Acórdão 1328/2012
Relatório:Adoto, como relatório, a instrução da unidade técnica [...], nos seguintes termos:"[...]Falhas na gestão de riscos de TIEmbora o Departamento de TI da Eletrobras (DAI) tenha escritório de risco em funcionamento, foram encontradas falhas na gestão de riscos de TI relacionadas com o tratamento dado aos riscos identificados e avaliados. Além disso, verificou-se que a gestão de riscos de TI não está alinhada com a gestão de riscos corporativos da empresa.[...]Falhas no tratamento de riscos[...]Dentre os riscos identificados na matriz do quarto ciclo, foram selecionados os que deveriam ter sido tratados (peça 25), ou seja, aqueles para que, de acordo com a política de gestão de riscos de TI (peça 97), a área proprietária do risco de TI deveria ter apresentado plano de tratamento dos riscos, com opção de tratamento, ação proposta, responsável, prazo e recursos necessários.Entretanto, verificou-se que existem riscos na matriz para os quais ainda não foram apresentados planos de tratamento, e outros riscos cujos planos de tratamento não estão iniciados ou estão atrasados.Dentre esses riscos, o Quadro 2 destaca aqueles que, com base em seus atributos de probabilidade e impacto, foram classificados como de nível alto. Em conformidade com o documento Critérios de Riscos (peça 22), a equipe de auditoria classificou como de nível alto os riscos com valor igual ou superior a quinze para o produto dos atributos de probabilidade e impacto.[...]Acrescente-se que a apresentação dos resultados do terceiro ciclo da gestão de riscos de TI apontou algumas percepções do escritório de risco (peça 24, p. 13), sob a forma de relato de impropriedades no processo, tais como planos de tratamento não entregues, não planejados, replanejados, não iniciados ou interrompidos; aparente falta de interesse com as atividades de risco; aparente baixa prioridade para riscos por causa da concorrência com projetos e atividades; e ausência de informações imprescindíveis sobre a gestão de riscos por parte das divisões.Dessa forma, vários riscos identificados não foram adequadamente tratados pelas áreas gestoras, sendo que, em diversos casos, não se chegou nem mesmo a definir medidas para o tratamento dos riscos. Isso evidencia que o processo de gestão de riscos na entidade auditada apresenta falhas.Ausência de alinhamento entre as ações de gestão de riscos de TI e corporativos[...]Dessa forma, verifica-se que não há integração entre as atividades realizadas pela área de gestão de riscos corporativos (PGA) e pela área de gestão de riscos de TI (DAIQ), o que demonstra não alinhamento das ações relativas a gerenciamento de riscos empreendidas na Eletrobras.[...]Efeitos e riscos decorrentes da manutenção da situação encontrada- respostas inefetivas aos riscos de TI;- indefinição das ações para tratamento dos riscos de TI identificados;- priorização dos riscos de TI desalinhada com as prioridades do negócio.Boas práticasMerece destaque o fato de o DAI, por meio de escritório de risco atuante, realizar gestão contínua de riscos de TI. Além disso, registre-se que, enquanto o DAI já está no seu quarto ciclo de gestão de riscos, o Departamento de Gestão de Riscos e Conformidade de Controles (PGA), responsável pela gestão corporativa de riscos na Eletrobras, foi criado recentemente e ainda está no primeiro ciclo de gestão de riscos corporativos. Isso evidencia que a cultura de riscos está presente na área de TI antes mesmo do seu estabelecimento no âmbito corporativo da empresa.Acórdão:9.2. Recomendar à Eletrobras que:[...]9.2.2. aperfeiçoe o processo de gestão de riscos de TI, à semelhança das orientações do Cobit 4.1, PO9.5 - Resposta ao Risco e PO9.6 - Manutenção e Monitoramento do Plano de Ação de Risco;