Acórdão 2613/2011
Relatório:2. As ocorrências detectadas foram apresentadas pela equipe de auditoria nos seguintes termos [...]:"[...]2.9 - Inexistência do processo de gestão de configuração[...]2.9.3 - Efeito/Consequência do achado:a) desatualização ou deficiência da configuração de TI (efeito potencial);b) incidentes de segurança no ambiente de TI do Ministério (efeito potencial).2.9.4 - Critérios:a) Norma Técnica - ITGI - Cobit 4.1, DS9 - Gerenciar configurações;b) Norma Técnica - NBR - ISO/IEC 20000, item 9.1 - Gerenciamento de configuração;c) Norma Técnica - OGC - ITIL versão 2 - Livro Suporte a Serviços.[...]2.9.7 - Conclusão da equipe:Em relação à manifestação do Gestor encaminhada por meio do Ofício SE/MP 678/2010, novamente cabe o comentário sobre impossibilidade de transferência aos contratados do controle e responsabilidade dos processos de gestão e governança de TI.No que concerne à manifestação do Gestor sobre o relatório preliminar, a configuração da infraestrutura de TI que seria gerida pelo DSTI se refere ao âmbito dos itens de configuração dos serviços prestados em um contrato específico, celebrado posteriormente ao período da ação de controle e, isoladamente, não constitui um processo corporativo de gestão de configuração.Demais disso, o Gestor não afirmou existir um processo corporativo de gestão de configuração, nem apresentou evidências da existência de qualquer dos elementos essenciais desse processo no MP (descrição dos papéis envolvidos, das atividades e dos artefatos previstos, tais como base de dados de configuração e ferramenta de gestão de configuração).Dessarte, como declarado inicialmente pelo Gestor, o MP não possui processo de gestão de configuração no contexto da gestão de serviços de TI.[...]"Acórdão:9.1. recomendar à Secretaria Executiva do Ministério do Planejamento, Orçamento e Gestão que:[...]9.1.9. implemente processo de gestão de configuração de serviços de tecnologia da informação, à semelhança do Cobit 4.1, processo DS9 - Gerenciar configuração, e de outras boas práticas de mercado, como ITIL e NBR ISO/IEC 20000;