Tribunal: TCU
Processo: 018.269/2024-9
Classe: ACÓRDÃO
Órgão julgador: AUGUSTO NARDES
Órgão colegiado: Plenário
Data de julgamento: 2026-03-04
Data de publicação: 2026-03-05

Ementa:
Auditoria operacional destinada a avaliar a maturidade em governança de dados de um conjunto de órgãos e entidades do Sistema de Administração de Recursos de Tecnologia da Informação (Sisp), bem como a examinar a adequação do modelo de aferição de maturidade utilizado pela Secretaria de Governo Digital (SGD) do Ministério da Gestão e da Inovação em Serviços Públicos (MGI).

Inteiro teor:
VISTOS, relatados e discutidos estes autos de auditoria operacional destinada a avaliar a maturidade da governança de dados em cinco organizações públicas federais - IBGE, BNDES, Anatel, Ministério do Meio Ambiente e Mudança do Clima (MMA) e INSS - bem como a examinar a adequação do modelo de aferição de maturidade utilizado pela Secretaria de Governo Digital (SGD/MGI) no âmbito do iGovSisp 2023, ACORDAM os Ministros do Tribunal de Contas da União, reunidos em Sessão de Plenário, por unanimidade, ante as razões expostas pelo Relator, em: 9.1. recomendar. com fundamento no art. 11 da Resolução TCU 315/2020, aos órgãos a seguir enumerados que, levando em consideração as boas práticas contidas no framework DAMA-DMBOK2, desenvolva ou revise seu programa de dados, alinhado aos seus objetivos de negócio e estratégicos, com a finalidade de orientar os esforços em governança e gestão de dados, contemplando avaliação e mecanismos de tratamento de riscos decorrentes das fragilidades identificadas na auditoria, em especial as listadas abaixo: 9.1.1. Instituto Brasileiro de Geografia e Estatística (IBGE): 9.1.1.1. inexistência de comitê ou conselho de governança de dados; 9.1.1.2. definição parcial de papéis e responsabilidades para governança de dados; 9.1.1.3. inexistência de unidade/escritório de governança de dados institucionalizado separadamente da área de TI; 9.1.1.4. adoção parcial de ações para fomentar a cultura de dados; 9.1.1.5. falta de processo de gestão de maturidade em governança de dados; 9.1.1.6. conformidade parcial com a LGPD; 9.1.1.7. não realização de auditoria e monitoramentos para garantir o cumprimento de políticas de governança de dados e requisitos legais; 9.1.1.8. adoção parcial de processo para gestão de incidentes de governança de dados; 9.1.2. Banco Nacional de Desenvolvimento Econômico e Social (BNDES): 9.1.2.1. inexistência de comitê ou conselho de governança de dados; 9.1.2.2. ações limitadas de capacitação ou treinamento em governança de dados; 9.1.2.3. adoção parcial de processo de gestão do ciclo de vida dos dados; 9.1.2.4. inexistência de métricas e indicadores para monitorar e avaliar a qualidade de dados; 9.1.2.5. inexistência de procedimentos para tratar problemas de qualidade de dados; 9.1.2.6. adoção parcial de processo de gestão de maturidade em governança de dados; 9.1.2.7. não realização de auditoria e monitoramentos para garantir o cumprimento de políticas de governança de dados e requisitos legais; 9.1.2.8. adoção parcial de processo para gestão de incidentes de governança de dados; 9.1.3. Ministério do Meio Ambiente e Mudança do Clima (MMA): 9.1.3.1. inexistência de política de governança de dados; 9.1.3.2. inexistência de normas e diretrizes para gestão de dados; 9.1.3.3. inexistência de comitê ou conselho de governança de dados; 9.1.3.4. indefinição de papéis e responsabilidades para governança de dados; 9.1.3.5. inexistência de unidade/escritório de governança de dados institucionalizado separadamente da área de TI; 9.1.3.6. não realização de ações de capacitação ou treinamento em governança de dados; 9.1.3.7. não realização de ações para fomentar a cultura de dados; 9.1.3.8. inexistência de catálogo de dados e de informações sobre metadados; 9.1.3.9. glossário limitado de termos do negócio; 9.1.3.10. adoção parcial de processo de gestão do ciclo de vida dos dados; 9.1.3.11. inexistência de métricas e indicadores para monitorar e avaliar a qualidade de dados; 9.1.3.12. inexistência de procedimentos para tratar problemas de qualidade de dados; 9.1.3.13. adoção de poucos padrões e protocolos para facilitar a integração e interoperabilidade de dados; 9.1.3.14. não utilização de ferramentas ou plataformas que suportam a integração de dados de diferentes fontes; 9.1.3.15. inexistência de solução centralizada para armazenar e gerenciar dados de diferentes fontes; 9.1.3.16. inexistência de processo de gestão de maturidade em governança de dados; 9.1.3.17. não realização de auditoria e monitoramentos para garantir o cumprimento de políticas de governança de dados e requisitos legais; 9.1.3.18. inexistência de processo para gestão de incidentes de governança de dados; 9.1.4. Agência Nacional de Telecomunicações (Anatel): 9.1.4.1. lacunas na implementação de normas e diretrizes para gestão de dados; 9.1.4.2. inexistência de comitê ou conselho de governança de dados; 9.1.4.3. definição insuficiente de papéis e responsabilidades para governança de dados; 9.1.4.4. inexistência de unidade/escritório de governança de dados institucionalizado separadamente da área de TI; 9.1.4.5. realização limitada de ações de capacitação ou treinamento em governança de dados; 9.1.4.6. realização limitada de ações para fomentar a cultura de dados; 9.1.4.7. informações limitadas sobre metadados; 9.1.4.8. lacunas no processo de gestão do ciclo de vida dos dados; 9.1.4.9. inexistência de processo de gestão de maturidade em governança de dados; 9.1.4.10. inexistência de processo para gestão de incidentes de governança de dados; 9.1.5. Instituto Nacional do Seguro Social (INSS): 9.1.5.1. inexistência de política de governança de dados; 9.1.5.2. implementação insuficiente de normas e diretrizes para gestão de dados; 9.1.5.3. inexistência de comitê ou conselho de governança de dados; 9.1.5.4. indefinição de papéis e responsabilidades para governança de dados; 9.1.5.5. inexistência de unidade/escritório de governança de dados institucionalizado separadamente da área de TI; 9.1.5.6. realização limitada de ações de capacitação ou treinamento em governança de dados; 9.1.5.7. não realização de ações para fomentar a cultura de dados; 9.1.5.8. catálogo de dados limitado; 9.1.5.9. glossário limitado de termos do negócio; 9.1.5.10. informações limitadas sobre metadados; 9.1.5.11. existência limitada de métricas e indicadores para monitorar e avaliar a qualidade de dados; 9.1.5.12. existência de poucos procedimentos para tratar problemas de qualidade de dados; 9.1.5.13. adoção de poucos padrões e protocolos para facilitar a integração e interoperabilidade de dados; 9.1.5.14. utilização de poucas ferramentas ou plataformas que suportam a integração de dados de diferentes fontes; 9.1.5.15. solução centralizada limitada para armazenar e gerenciar dados de diferentes fontes; 9.1.5.16. processo limitado de gestão de maturidade em governança de dados; 9.1.5.17. lacunas na conformidade com as leis e regulamentações aplicáveis à proteção de dados; 9.1.5.18. não realização de auditoria e monitoramentos para garantir o cumprimento de políticas de governança de dados e requisitos legais; 9.1.5.19. processo limitado para gestão de incidentes de governança de dados; 9.2. com fundamento no art. 11 da Resolução - TCU 315/2020, recomendar à Secretaria de Governo Digital (SGD) do Ministério da Gestão e da Inovação em Serviços Públicos (MGI) que reavalie seu método de avaliação da maturidade de GovDados, considerando a adoção das seguintes melhorias em seu modelo: 9.2.1. reformulação das perguntas do questionário, a fim de buscar maior detalhamento sobre a implementação das práticas e a demonstração de seus resultados e impactos; 9.2.2. solicitação de evidências para respostas de alto nível de maturidade e sua disponibilização centralizada, considerando, de forma a aumentar a transparência e a responsabilidade das organizações sobre suas declarações, a exigência de que tais documentos comprobatórios, especialmente as que não estiverem sob restrição de acesso, sejam anexadas ao sistema de resposta do iGovSisp e, posteriormente, disponibilizadas publicamente pela própria unidade em uma seção específica de seu portal ou em um repositório de acesso público associado aos resultados do levantamento; 9.2.3. adoção de opções de respostas objetivas, baseadas em níveis de adoção de práticas, como no questionário do iESGo do TCU e no questionário da auditoria, que são mais objetivas do que as escalas de níveis de resposta por níveis de maturidade em cada questão; 9.2.4. elaboração de um glossário com níveis de resposta e exemplos para cada um, visando minimizar a subjetividade e assegurar um entendimento comum dos critérios de avaliação; 9.3. encaminhar cópia do presente acórdão: 9.3.1. à Secretaria de Governo Digital (SGD) do Ministério da Gestão e da Inovação em Serviços Públicos (MGI); 9.3.2. à Fundação Instituto Brasileiro de Geografia e Estatística (IBGE); 9.3.3. ao Banco Nacional de Desenvolvimento Econômico e Social (BNDES); 9.3.4. à Agência Nacional de Telecomunicações (Anatel); 9.3.5. ao Ministério do Meio Ambiente e Mudança do Clima (MMA); 9.3.6. ao Instituto Nacional do Seguro Social (INSS). 9.4. autorizar à AudTI a constituir processo específico para monitorar as determinações ora proferidas; e 9.5. arquivar o presente processo, com base no art. 169, inciso V, do Regimento Interno do TCU.