Acórdão 1832/2006
Relatório:Trata-se de auditoria de natureza operacional realizada na Secretaria do Tesouro Nacional (STN) a fim de avaliar a gestão dos riscos operacionais associados à administração da dívida pública brasileira.[...]8.4 Sistemas 8.4.1 Tecnologia da Informação 8.4.1.1 Outro aspecto relevante, que envolve risco operacional, está associado à Tecnologia da Informação. Dada a magnitude e relevância da dívida pública para as finanças públicas, torna-se imprescindível um sistema de informática integrado para gerir uma grande variedade de bases de dados da dívida. Além da ótica dos ganhos de eficiência nos processos de trabalho, deve-se sempre ter em mente que um sistema informatizado, que armazena informações de interesse público, deve ser concebido não apenas para fins operacionais, mas também para viabilizar um sistema de gestão da dívida mais transparente e de fácil acesso para os órgãos de controle externo e interno. 8.4.1.2 Sob o ponto de vista do controle, é fundamental que o sistema seja dotado de mecanismos que não permitam alterações de informações e de decisões já processadas e que, em qualquer manuseio de informação ou qualquer tomada de decisão estratégica, que envolva altos volumes de recursos, ou outras decisões com nível de importância similar, fique registrada a autoria, [com o nome] do servidor. Além disso, o sistema deve permitir que o controle possa rastrear qualquer operação realizada via sistema, de forma que este mesmo sistema não permita que haja qualquer condição de burlar informações ex-post. Nesse sentido, faz-se necessário que o desenvolvimento do sistema integrado seja acompanhado por equipes especializadas em auditoria de sistemas para checar se o sistema é adequado, inalterável e incorruptível. 8.4.1.3 A COSIS foi inquirida sobre o atual sistema de informática e se há algum projeto de sistema integrado para a gestão da dívida. Esta equipe de auditoria questionou, ainda, se há preocupação de que o sistema seja auditável. Em resposta, fomos informados de que: "Não há neste momento um sistema integrado, mas existe um projeto neste sentido. A dívida pública é, atualmente, gerida por um conjunto de soluções tecnológicas, que incluem dois sistemas principais: o DPI, voltado para a dívida interna, e o Subsistema Dívida, voltado para a dívida Externa. Há um projeto de um sistema integrado para a área da dívida, que está em fase inicial de desenvolvimento. Este sistema substituirá aos poucos os sistemas atuais e tornará disponíveis novas funcionalidades que apoiarão o dia a dia dos usuários da área da dívida. Entre os melhoramentos esperados no novo sistema, destacam-se: a integração das bases de dados da dívida; redução dos riscos operacionais ligados à tecnologia; melhor integração dos processos de trabalho; e ganhos de eficiência no trabalho da área da dívida. Foram previstos mecanismos de segurança com registro de ações que permitem futuros trabalhos de auditoria. Devido à abrangência desta questão, tais aspectos serão levados em conta durante todo o processo de desenvolvimento deste sistema." 8.4.1.4 Falhas de sistemas podem acarretar sérios prejuízos ao erário. Logo, torna-se necessário que a Secretaria-Adjunta III esteja habilitada para evitar a ocorrência desse fator de risco (ou categoria de risco) que integra os riscos operacionais. A respeito deste assunto, a COSIS informou que, " (...) além de ações coordenadas pelo SERPRO visando a promover medidas corretivas para o ambiente, quando necessárias, o plano de contingência envolve as seguintes ações por parte da SECAD III: 1) comunicação à STN/COSIS e solicitação de providências junto ao SERPRO; 2) processamento em sistemas auxiliares (Excel e Access) de backup das bases de dados da dívida interna e externa, mencionado na resposta nº 16; 3) recorrência às informações e bases de dados do Banco Central, por meio do Departamento de Mercado Aberto e/ou do Sistema Especial de Liquidação e de Custódia (SELIC), por conter registros atualizados e conciliados com os do Tesouro Nacional de todos os títulos da DPMFi (exceto dívida securitizada, TDA, CFT e CDP); 4) recorrência às informações e bases de dados da Central de Liquidação e de Custódia (CETIP), por conter registros atualizados e conciliados com os do Tesouro Nacional de títulos da dívida securitizada, TDA, CFT e CDP; 5) em caso de indisponibilidade do SIAFI, recorrência à STN/COFIN, para executar os pagamentos e recebimentos de recursos da dívida, via telefone e e-mail junto ao Departamento de Administração Financeira (DEAFI) do Banco Central. 6) no caso da dívida externa, o cumprimento de obrigações financeiras à ordem do Tesouro Nacional, sem o SIAFI, pode ser realizado pelo Banco Central, por meio de seu Departamento de Administração das Reservas Internacionais (DEPIN), ou, alternativamente, pelo Banco do Brasil."8.4.1.5 A COSIS também explicou que existem procedimentos utilizados para a manutenção permanente de backup das bases de dados da dívida pública, dentre os quais destacou: backup diário, efetuado de modo incremental com retenção por dez dias; backup semanal que consiste num backup total com retenção por cinco semanas; e backup mensal que também consiste num backup total, sendo que fica retido por cinco anos. Adicionalmente, a COSIS salientou que há outros procedimentos de segurança adotados pela área de informática para proteção das informações dos sistemas informatizados da área da dívida pública, que existe uma política de acesso às informações dos sistemas da dívida e que existem procedimentos a serem observados, para que o servidor tenha acesso aos referidos sistemas. Quando questionada sobre estes tópicos de segurança, a COSIS relacionou os seguintes sistemas de segurança: i) Segurança Lógica - Equipamentos: realização de backup/restore, proteção de firewall, Proteção de IDS; ii) Segurança Lógica - Processos: backup e retenção de cópias, conforme já descrito, restauração eventual quando necessária; iii) Segurança Lógica - Acesso aos Sistemas: Sistema para habilitação de usuários e controle de acesso, por meio de senhas; e iv) Segurança Física: Servidores em sala cofre com permissão de acesso restrita. 8.4.1.6 Ante o exposto, sugere-se que haja recomendação dos seguintes itens por esta Corte de Contas: i) sejam integrados os sistemas de informática da área da dívida (DPI, DÍVIDA, etc.), com a preocupação de que os sistemas sejam auditáveis (fls. 555 a 557); e ii) sejam implantados mecanismos nos sistemas da dívida, de modo que não haja possibilidade de alteração de informações e de decisões já processadas e que, em qualquer manuseio de informação ou qualquer tomada de decisão estratégica, que envolva altos volumes de recursos, ou outras decisões com nível de importância similar, fique registrada a autoria do servidor. Além disso, os sistemas devem permitir que o controle possa rastrear qualquer operação realizada, via sistema, de forma que estes mesmos sistemas não permitam que haja qualquer condição de burlar informações ex-post (fls. 555 a 557).Voto:4. Hoje, está claro que a administração da dívida pública não pode prescindir de uma gestão de risco operacional. Afinal, entre as dívidas interna e externa, temos cerca de R$ 1,4 trilhão em jogo, em constante movimentação de refinanciamento, por meio de emissões, leilões e trocas de títulos. É um trabalho delicado e suscetível a especulações.5. A Secretaria do Tesouro Nacional, que administra a dívida, tem plena consciência desse interesse, conforme se percebe do relatório de auditoria.6. Entretanto, a gestão do risco operacional da dívida pública, até por constituir tema recente, ainda é algo embrionário. Muito já foi pensado e planejado, mas diversas soluções aguardam implantação. Tanto que boa parte das providências recomendadas pela equipe de auditoria do Tribunal vem de reprodução ou de inspiração de formulações da própria STN.7. A concordância da equipe de auditoria com o pensamento da STN mostra que a gestão do risco operacional da dívida pública trilha por um caminho apropriado e reforça a necessidade de concluí-lo. Por isto, julgo pertinentes as propostas contidas no relatório, que visam, sobretudo, regular e institucionalizar aspectos de controle do risco.Acórdão:9.2 - recomendar à Secretaria do Tesouro Nacional que:[...]9.2.17 - implante mecanismos nos sistemas da dívida, de modo que não haja possibilidade de alteração de informações e de decisões já processadas e que, em qualquer manuseio de informação ou qualquer tomada de decisão estratégica, que envolva altos volumes de recursos, ou outras decisões com nível de importância similar, fique registrada a autoria, com a identificação do servidor, devendo os sistemas permitir que o controle possa rastrear qualquer operação realizada, de forma que estes mesmos sistemas não permitam que haja qualquer condição de burlar informações ex-post;