Acórdão 2523/2012
Relatório:Adoto, como relatório, a instrução da unidade técnica [...], nos seguintes termos:"[...]180. Situação não muito diferente foi evidenciada quando da análise da existência e do conteúdo da política de segurança da informação (PSI) das empresas auditadas. Em três das cinco auditorias não foi constatada a formalização da PSI, documento que estabelece as diretrizes gerais relacionadas aos aspectos de proteção e salvaguarda dos ativos e das informações no ambiente corporativo, especialmente no que tange à disponibilidade, confidencialidade, integridade e autenticidade da informação, o que evidencia, no escopo deste trabalho, a inexistência da PSI. Em duas das fiscalizações, embora exista política de segurança da informação vigente, não foram constatadas no seu conteúdo algumas características previstas nos modelos de melhores práticas e verificadas pela equipe de auditoria, o que configura oportunidade de melhoria para as empresas fiscalizadas.181. Ressalta-se nesses casos que as diretrizes para a elaboração da política de segurança da informação constam da Norma Complementar NC-3/IN01/GSI/PR, de cumprimento mandatório a todos os órgãos e entidades da Administração Pública Federal direta e indireta.[...]"Voto:Trata-se de relatório consolidado de auditorias de natureza operacional associadas ao Tema de Maior Significância nº 7 de 2011 (TMS 7 - Sistemas Informatizados de Gestão das Empresas Estatais), cujo objetivo foi avaliar o uso e as práticas administrativas sustentadoras de sistemas integrados de gestão de empresas estatais.Os sistemas integrados de gestão abrangem funcionalidades e processos de negócio empresariais e caracterizam-se pela integração de processos com rigoroso tratamento de segurança, manutenção e evolução de sistemas.Foram realizadas sete fiscalizações: um levantamento de auditoria, cinco auditorias operacionais, realizadas nas Centrais Elétricas do Norte S/A (Eletronorte), na Petrobras Distribuidora S/A (BR Distribuidora), nas Centrais Elétricas Brasileiras S/A (Eletrobras), na Casa da Moeda do Brasil e na Empresa Brasileira de Correios e Telégrafos (ECT), e uma fiscalização consolidadora.As fiscalizações basearam-se em experiências internacionais de fiscalização de ambientes integrados de gestão e em manuais de boas práticas, como o Control Objectives for Information and Related Technology (Cobit) e a Norma Técnica ABNT NBR ISO/IEC 27.002:2005.Por meio de entrevistas, pesquisa de satisfação, teste substantivo de controles, observação direta, análise documental e análise de dados, foram avaliados aspectos de gestão e planejamento, processos e métodos de tecnologia da informação (TI), aspectos legais em contratos com fornecedores de serviços, controles de segurança da informação, bem como a atuação da auditoria interna, a satisfação dos usuários e a implementação do processo de negócio de aquisições públicas no sistema integrado de gestão.Gestão e planejamento, implementação do processo de negócio de aquisições públicas, processos e métodos de tecnologia da informação e controles de segurança da informação foram os aspectos avaliados com maior quantidade de achados nas fiscalizações.Em todas as empresas auditadas foram constatadas falhas no processo de gestão de riscos de TI e na avaliação de custo-benefício do sistema integrado de gestão, aspectos relacionados a gestão e planejamento. Foram também identificadas falhas nos manuais de uso dos sistemas integrados de gestão, e em processos e métodos de tecnologia da informação para sustentação dos sistemas integrados de gestão, tais como gerenciamento de requisitos, mudanças, configuração e testes.Os achados relacionados a aspectos legais em contratos com fornecedores de serviços, tais como definição de métricas objetivas e critérios de aceitabilidade, regularização de licenças em uso, remuneração vinculada a resultados, atendimento de níveis de serviço, liquidação de despesas com comprovação da realização dos serviços, acompanhamento do desenvolvimento de novas funcionalidades, entre outros, foram objeto de determinações nos respectivos acórdãos das fiscalizações.Quanto aos controles de segurança da informação, constataram-se falhas ou inexistência de políticas de segurança da informação e de controle de acesso em todas as empresas públicas auditadas. Em todas as fiscalizações foram evidenciadas falhas nos controles de acesso ao sistema integrado de gestão e no controle sobre atividades conflitantes. Em quatro das cinco empresas, não havia plano de continuidade de TI.Foram identificadas boas práticas relacionadas aos planos estratégicos de TI, aos comitês de TI, à estruturação dos planos de capacitação de TI e à atuação da auditoria interna na avaliação de controles de TI e no uso de informações dos sistemas integrados de gestão para planejamento e execução de auditorias. Apesar disso, em algumas empresas, há falhas na fiscalização do sistema integrado de gestão pela equipe de auditoria interna.Na pesquisa de satisfação com 9.011 respondentes, 59% afirmaram que o sistema integrado de gestão contribui para melhorar a produtividade dos usuários, 59% estão satisfeitos com o sistema, ao passo que apenas 8% estão insatisfeitos. Parcela relevante dos respondentes (25%) reclamou de dificuldades no uso do sistema. A necessidade de recadastramento de informações por falta de integração entre os dados dos sistemas legados internos e o sistema integrado de gestão foi uma das falhas apontadas pelos respondentes da pesquisa.Em relação à implementação do processo de negócio de aquisições públicas no sistema integrado de gestão, ficou evidenciado que, em todas as organizações auditadas, as informações relevantes produzidas por esse processo não estão contempladas pelos sistemas integrados de gestão. Documentos relevantes da fase de planejamento da contratação, como estudos técnicos preliminares e projeto básico, não constam dos sistemas integrados de gestão avaliados.Como as determinações e recomendações referentes a cada fiscalização já constaram de deliberações anteriores, cabe determinar aos órgãos governantes superiores que exijam dos órgãos e entidades sob sua jurisdição o cumprimento de normativos referentes às políticas de segurança da informação e de controle de acesso. A partir das oportunidades de melhoria identificadas nas fiscalizações, cabe também recomendar aos órgãos governantes superiores que fomentem a troca de informações e experiências sobre sistemas integrados de gestão e orientem seus jurisdicionados a observarem a legalidade dos instrumentos contratuais e as boas práticas.Ante o exposto, concordo com as determinações e recomendações propostas pela unidade técnica e voto no sentido de que seja aprovado o Acórdão que ora submeto à deliberação deste Colegiado. Acórdão:9.1. determinar ao Departamento de Coordenação e Governança das Empresas Estatais, [...], que exija dos órgãos e entidades sob sua jurisdição, com sistemas integrados de gestão já implantados ou com implantação planejada:9.1.1. política de segurança da informação formalmente aprovada, em obediência à Instrução Normativa nº 1/2008, art 5º, inciso VII, do Gabinete de Segurança Institucional da Presidência da República, observando as diretrizes da Norma Complementar nº 03/IN01/DSIC/GSIPR, as práticas dos itens 5.1.1 e 5.1.2 da NBR ISO/IEC 27002:2005, e à semelhança das orientações do objetivo de controle DS5.2 do Cobit 4.1;