Acórdão 2465/2012
Voto:4. O sistema é administrado pela Comissão Gestora do Siconv, órgão central criado para esse fim, cuja secretaria-executiva é exercida pela Secretaria de Logística e Tecnologia da Informação do Ministério do Planejamento, Orçamento e Gestão - SLTI/MPOG. No que se refere à parte técnica, o desenvolvimento, a manutenção e a produção do Siconv são providos pelo Serviço Federal de Processamento de Dados - Serpro.5. A Portaria Interministerial 507/2011 [...], em seu art. 3º, informa que o Siconv é um sistema em que as transferências voluntárias serão realizadas e não simplesmente registradas, ou seja, cabe ao Siconv a operacionalização do ciclo desses repasses:"Os atos e os procedimentos relativos à formalização, execução, acompanhamento, prestação de contas e informações acerca de tomada de contas especial dos convênios e termos de parceria serão realizados no Sistema de Gestão de Convênios e Contratos de Repasse - SICONV, aberto à consulta pública, por meio do Portal dos Convênios."[...]8. A presente auditoria teve dois focos: i) análise da documentação de engenharia de software do sistema, especialmente em relação à aderência desta aos normativos vigentes e seu atendimento aos princípios que garantam transparência de informações à sociedade. De forma complementar, a equipe identificou oportunidades de melhoria na eficiência do sistema, sua usabilidade e transparência das informações; e ii) execução contratual do desenvolvimento do sistema, para identificar possíveis entraves e ineficiências no processo de desenvolvimento (o indício do tempo excessivo de desenvolvimento do sistema, o qual caminha para seu quinto ano, e ainda está com várias funcionalidades inconclusas ou não especificadas, foi a principal razão da escolha dessa linha de investigação).9. Quanto aos critérios de auditoria adotados, ressalta-se o Cobit 4.1 (Control Objectives for Information and Related Technology), da Information Systems Audit and Control Association (Isaca), que se destina a prover um modelo de boas práticas para governança de tecnologia da informação e é amplamente adotado no mundo. Foram empregados, também, o Decreto 6.170/2007, a Portaria Interministerial 507/2011 e normas NBR ISO/IEC, especialmente a 27.002:2005, que consiste em um código de boas práticas para gestão da segurança da informação.10. Da análise da documentação coletada, das entrevistas com usuários do sistema, do acesso à versão de produção do Siconv, ao datawarehouse (DW-Siconv) e sistema de demanda SLTI-Serpro, além da realização de pesquisa de opinião dos usuários do Siconv, encontraram-se os seguintes achados de auditoria:[...]c) falhas nas regras de negócio e documentação do sistema, a exemplo de:i) incompatibilidade entre o dicionário de dados disponível e o modelo de dados do Siconv;ii) ausência de matriz que aponte incompatibilidade de execução entre os vários perfis de acesso disponíveis no sistema;iii) ausência de documentação referente a várias necessidades de auditabilidade do sistema ou ausência de implementação de funcionalidades previstas no Documento de Visão; apesar de a funcionalidade de histórico de prestação de contas estar disponível, a mesma é falha por não permitir a recuperação de informações que foram sobrepostas e quem o fez;Acórdão:9.1. recomendar à Secretaria de Logística e Tecnologia da Informação do Ministério do Planejamento, Orçamento e Gestão que:[...]9.1.2. mantenha o dicionário de dados compatível com o modelo de dados do Siconv, de modo a tornar mais eficientes as manutenções evolutivas e corretivas, melhorando o entendimento das equipes envolvidas sobre o sistema, como recomenda o Cobit 4.1, objetivos de controle AI2.7 e AI6.5;9.1.3. elabore e revise periodicamente mapa contendo as atividades e perfis de usuários conflitantes no âmbito do Siconv, implementando mecanismos de controle que garantam a efetiva aplicação dessas restrições e a realização de processo de verificação periódica da base de usuários, com vistas a identificar, analisar e corrigir casos de usuários cadastrados em desconformidade com essas regras, de acordo com as recomendações do item 10.1.3 da Norma NBR ISO/IEC 27.002:2005;9.1.4. elabore documentação de engenharia de software que atenda aos requisitos de auditabilidade do Siconv, implementando-as de tal modo que torne segura a identificação dos usuários nas transações, por meio de atributos como CPF, timestamp e IP da máquina de acesso, como recomenda o objetivo de controle AI2.3 - Controle e auditabilidade do aplicativo, do Cobit 4.1;9.1.5. ao desenvolver ou manter funcionalidades de exibição de histórico de transações acessíveis aos usuários por meio do próprio sistema, a exemplo das funcionalidades F3.6, F4.5, F8.5, F11.5, F11.6, F11.7 e F11.8, previstas no Documento de Visão, defina funcionalidades em que seja possível a identificação de alterações nos conteúdos correspondentes com identificação de autor. De tal modo que seja possível ao usuário identificar alterações feitas por terceiros que possam comprometer a execução do ciclo da transferência voluntária ou que tenham sido realizadas de má-fé, como recomendado no objetivo de controle AI2.3 - Controle e auditabilidade do aplicativo, do Cobit 4.1;