Acórdão 1328/2012
Relatório:Adoto, como relatório, a instrução da unidade técnica [...], nos seguintes termos:"[...]Falhas no gerenciamento de mudançasForam detectadas falhas na execução do processo de gestão de mudanças nos sistemas de informação da Eletrobras, em especial nas mudanças rotineiras no sistema.[...]Análise das evidênciasO processo de gerenciamento de mudanças estabelece procedimentos e controles a serem utilizados no caso de necessidade de modificação, de caráter evolutivo ou corretivo, em um sistema de informação em operação.De acordo com o processo AI6 - Gerenciar mudanças do Cobit 4.1, o objetivo principal do processo de gerenciamento de mudança é assegurar a mitigação de riscos com impactos negativos na estabilidade ou na integridade dos ambientes de produção de sistemas. Segundo a melhor prática, todas as mudanças, incluindo manutenções e correções de emergência, relacionadas com a infraestrutura e as aplicações no ambiente de produção devem ser formalmente gerenciadas de maneira controlada. As mudanças (incluindo procedimentos, processos, parâmetros de sistemas e de serviço) devem ser registradas, avaliadas e autorizadas antes da implementação e revisadas em seguida, tendo como base os resultados efetivos e planejados.[...]Por meio da análise desse documento, constatou-se que não há comitê de gestão de mudanças responsável pela avaliação de impacto, priorização e autorização das implementações das alterações no sistema, conforme preconizam as boas práticas. A aprovação das solicitações de mudanças é realizada somente pelo gestor responsável pelo sistema [...].Além disso, da análise do documento, verificou-se também que a classificação das mudanças como emergenciais dá-se pela ausência do gestor responsável pela aprovação da mudança. Entende-se que a ideia de mudança emergencial deve se embasar na necessidade imediata da aplicação de uma mudança, por motivos como correção de erro que tornou inoperante um sistema ou necessidade urgente de nova funcionalidade.[...]Percebe-se, na análise do sistema SAI, que a documentação e o fluxo de gestão de mudanças são gerenciados por e-mail. O responsável pela promoção das mudanças no ambiente de produção baseia-se, unicamente, na existência de aprovação formal do responsável, realizada por e-mail, para efetuar a implantação de mudança no ambiente de produção.Por meio do sistema SAI, não há como se exigir fluxo formal de avaliação de impacto das mudanças, comprovação de realização de testes por parte do desenvolvedor, existência de testes realizados pelo solicitante da mudança, dentre outros requisitos de um consistente processo de gerenciamento de mudanças, conforme preconizam as melhores práticas previstas no processo AI6 do Cobit 4.1.Outro problema evidenciado na execução do processo de gestão de mudanças foi a dificuldade de rastreabilidade das aprovações das mudanças promovidas no ambiente SAP. Como se pode verificar no documento enviado em resposta ao item 7 do ofício mencionado no item 98, existe um identificador único [...] para cada mudança em produção no ambiente SAP.Contudo, não há como encontrar direta e facilmente no SAI a aprovação que autorizou a implementação dessa mudança, tendo em vista que não há mecanismos de normalização dos dados (que são salvos em e-mails do Outlook) que permitam tal pesquisa. Caso seja necessário obter essa informação, deve-se pesquisar na base de e-mails do sistema SAI utilizando como critério as mudanças efetuadas em data próxima à sua implantação em ambiente de produção, o que prejudica sobremaneira a auditabilidade do processo.[...]Efeitos e riscos decorrentes da manutenção da situação encontrada- ausência de rastreabilidade das mudanças;- falha no cumprimento de requisitos de conformidade;- potencial implantação de mudanças não autorizadas;- potencial disponibilidade reduzida do sistema;- mudanças não catalogadas nem rastreadas;[...]Acórdão:9.2. Recomendar à Eletrobras que:[...]9.2.4. aperfeiçoe o processo formal de gestão de mudanças, à semelhança das orientações do item 12.5.1 da Norma Técnica ABNT NBR ISO/IEC 27.002:2005 e do Cobit 4.1, AI6.1 - Padrões e Procedimentos de Mudança, AI6.2 - Avaliação de Impacto, Priorização e Autorização, AI6.3 - Mudanças de Emergência, AI6.4 - Acompanhamento de Status e Relatórios de Mudanças e AI6.5 - Finalização da Mudança e Documentação;