Norma nº 170/2020

Aprova a 3ª Edição do Referencial Básico de Governança Organizacional para organizações públicas e outros entes jurisdicionados ao Tribunal de Contas da União.

 O PRESIDENTE DO TRIBUNAL DE CONTAS DA UNIÃO, no uso de suas atribuições legais e regimentais,considerando que o Plano Estratégico do Tribunal definiu como objetivos estratégicos "Induzir o aprimoramento da governança do Centro de Governo, promovendo a maturidade da governança pública e a integração das políticas públicas federais"; "Induzir o aperfeiçoamento da gestão de riscos e controles internos na administração pública federal"; "Induzir a disponibilidade e a confiabilidade de informações na Administração Pública"; e "Induzir o aperfeiçoamento dos mecanismos de governança multinível das políticas públicas a cargo da União, estados, Distrito Federal e municípios";considerando a importância da governança para o aperfeiçoamento da administração pública em benefício da sociedade;considerando a necessidade de revisão de literatura e atualização das boas práticas preconizadas no Referencial Básico de Governança publicado pelo Tribunal de Contas da União por meio da Portaria-TCU nº 25, de 29 de janeiro de 2014; econsiderando a importância do Referencial Básico de Governança como documento de orientação e incentivo para que as organizações da administração pública adotem boas práticas de governança organizacional, considerando as informações constantes do processo TC-028.209/2020-6; resolve:Art. 1º Fica aprovada a 3ª edição do Referencial Básico de Governança Organizacional para organizações públicas e outros entes jurisdicionados ao Tribunal de Contas da União (TCU), na forma do Anexo Único desta Portaria, a ser observado pelo TCU em ações de controle e de melhoria de processo que tratem direta ou indiretamente do tema governança organizacional.Art. 2º Cabe à Secretaria de Controle Externo da Administração do Estado (SecexAdministração) manter atualizado o Referencial de que trata esta Portaria e promover a devida complementação e detalhamento desse Documento, de modo a explicitar as práticas a serem avaliadas, bem como o modelo de avaliação a ser observado.Art. 3º Fica revogada a Portaria-TCU nº 25, de 29 de janeiro de 2014.Art. 4º Esta Portaria entra em vigor na data de sua publicação.JOSÉ MUCIO MONTEIROANEXO ÚNICO DA PORTARIA-TCU Nº 170, DE 12 DE NOVEMBRO DE 2020.REFERENCIALBÁSICO DEGOVERNANÇAORGANIZACIONAL(para organizações públicas e outros entes jurisdicionados ao TCU)3ªEDIÇÃOBrasília, 2020© Copyright 2020, Tribunal de Contas de UniãoImpresso no Brasil / Printed in Brazil www.tcu.gov.brPermite-se a reprodução desta publicação, em parte ou no todo, sem alteração do conteúdo, desde que citada a fonte e sem fins comerciais.Brasil. Tribunal de Contas da União.Referencial básico de governança aplicável a organizações públicas e outros entes jurisdicionados ao TCU / Tribunal de Contas da União. Edição 3 - Brasília: TCU, Secretaria de Controle Externo da Administração do Estado ¿ SecexAdministração, 2020.139 p.1.Governança. 2.Prestação de contas. 3.Transparência. I. Título.Ficha catalográfica elaborada pela Biblioteca Ministro Ruben RosaLISTA DE SIGLASABNT: Associação Brasileira de Normas TécnicasANAO: Australian National Audit OfficeAPF: Administração Pública FederalATRICON: Associação dos Membros dos Tribunais de ContasAudin: Auditoria InternaCEP: Comissão de Ética PúblicaCF/1988, CF/88, CF88: Constituição Federal de 1988CFC: Conselho Federal de ContabilidadeCGU: Controladoria Geral da UniãoCIPFA: Chartered Institute of Public Finance and AccountancyCIPS: Chartered Institute of Procurement & SupplyCLAD: Centro Latinoamericano de Administración para el DesarrolloCNJ: Conselho Nacional da JustiçaCOSO: Committee of Sponsoring Organizations of the Treadway Commissione-SIC: Sistema Eletrônico do Serviço de Informação ao CidadãoFCPE: Funções Comissionadas do Poder ExecutivoDAS: Direção e Assessoramento SuperioresGAO: The U.S. Government Accountability OfficeIAASB: The International Auditing and Assurance Standards BoardIBGC: Instituto Brasileiro de Governança CorporativaIBE: Institute of Business EthicsIFAC: The International Federation of AccountantsIIA: Institute of Internal AuditorsIN: Instrucão NormativaINDA: Estrutura Nacional de Dados AbertosINTOSAI: International Organization of Supreme Audit InstitutionsIPEA: Instituto de Pesquisa Econômica AplicadaIPPF: International Professional Practices FrameworkIRB: Instituto Rui Barbosa, da ATRICONISSAI: Normas Internacionais das Entidades Fiscalizadoras SuperioresLAI: Lei de Acesso à InformaçãoLRF: Lei de Responsabilidade FiscalMPF: Ministério Público FederalNBC: Normas Brasileiras de ContabilidadeNBR: Normas Brasileiras da ABNTNIGP: The Institute for Public ProcurementOCDE, OECD: Organização para a Cooperação e Desenvolvimento EconômicoOGP: Open Government PartnershipONU: Organização das Nações UnidasPPA: Plano PlurianualRBG: Referencial Básico de GovernançaRCA: Riscos e Controles nas AquisiçõesRePP: Relatórios de Políticas e Programas de GovernoRFB: receita Federal do BrasilSefip: Secretaria de Fiscalização de PessoalSegep: Secretaria de Gestão de PessoasSeges/MP: Secretaria de Gestão/Ministério do PlanejamentoSemag: Secretaria de Macroavaliação GovernamentalSFC: Secretaria Federal de ControleSOF: Secretaria do Orçamento FederalTCU: Tribunal de Contas da UniãoSumárioAPRESENTAÇÃO	8CAPÍTULO 1. GOVERNANÇA E RESULTADOS	9Qual a função do Estado?	9Qual o papel da administração pública?	9O que é a governança pública organizacional?	9Para que serve a governança pública organizacional?	9Como funciona a governança?	10Há diretrizes normativas de Estado para adoção das práticas de governança?	12Tenho de adotar tudo o que aparece neste Referencial?	12Como eu posso encontrar mais detalhes sobre governança?	12CAPÍTULO 2. RETROSPECTIVA HISTÓRICA	13GOVERNANÇA NO SETOR PÚBLICO	14CAPÍTULO 3. CONCEITOS FUNDAMENTAIS	16CONCEITO DE GOVERNANÇA PÚBLICA ORGANIZACIONAL	16RELAÇÃO PRINCIPAL-AGENTE NO SETOR PÚBLICO	16SISTEMA DE GOVERNANÇA NO SETOR PÚBLICO	17CAPÍTULO 4. PRINCÍPIOS E DIRETRIZES	20PRINCÍPIOS DE GOVERNANÇA PARA O SETOR PÚBLICO	20DIRETRIZES PARA A BOA GOVERNANÇA	21CAPÍTULO 5. PRÁTICAS DE GOVERNANÇA	231.	O MECANISMO DE LIDERANÇA E SUAS PRÁTICAS	241.1 Prática: estabelecer o modelo de governança	241.2 Prática: promover a integridade	261.3 Prática: promover a capacidade da liderança	282.	O MECANISMO DE ESTRATÉGIA E SUAS PRÁTICAS	292.1 Prática: gerir riscos	30.2 Prática: estabelecer a estratégia	322.3 Prática: promover a gestão estratégica	342.4 Prática: monitorar o alcance dos resultados organizacionais	342.5 Prática: monitorar o desempenho das funções de gestão	353.	O MECANISMO DE CONTROLE E SUAS PRÁTICAS	363.1 Prática: promover a transparência	373.2 Prática: garantir a accountability	383.3 Prática: avaliar a satisfação das partes interessadas	403.4 Prática: assegurar a efetividade da auditoria interna	41CAPÍTULO 6. PERSPECTIVAS DO TCU ACERCA DE GOVERNANÇA	44BREVE HISTÓRICO DA FORMAÇÃO DAS PERSPECTIVAS ADOTADAS NO TCU PARA OBSERVAÇÃO DA GOVERNANÇA	45Perspectiva organizacional	45Perspectiva de políticas públicas	46Perspectiva de Centro de Governo	47RELAÇÃO ENTRE AS PERSPECTIVAS	48REFERÊNCIAS	50APÊNDICE A - Funções de Gestão do Modelo de autoavaliação em governança organizacional	63APÊNDICE B - Potenciais benefícios das práticas de governança	79APÊNDICE C - Glossário dos termos usados nas definições de mecanismos e práticas	85APÊNDICE D - Comparativo entre as práticas das versões 2.0 e 3.0 do Referencial	97APRESENTAÇÃOA primeira edição do Referencial Básico de Governança (RBG) foi publicada, em 2013, para orientar e incentivar a implementação de boas práticas de governança por organizações públicas, principalmente pelo próprio TCU. A segunda edição foi aperfeiçoada para embasar os levantamentos de perfil de governança realizados pelo TCU e para servir de modelo de autoavaliação em governança pública organizacional para aquelas organizações que desejassem promover suas próprias melhorias, tendo sido aplicada pela primeira vez no Levantamento do Panorama de Governança Pública em Âmbito Nacional (2014). Na ocasião, 8.190 organizações públicas e outros entes jurisdicionados ao TCU participaram da autoavaliação, num esforço conjunto do TCU com o Instituto Rui Barbosa, a Associação dos Membros dos Tribunais de Contas do Brasil (Atricon) e 28 tribunais de contas (Acórdão 1.273/2015-TCU-Plenário).Nos anos seguintes, o RBG foi utilizado nos diagnósticos de governança de mais de quinhentas organizações jurisdicionadas ao TCU, realizados por meio de questionários eletrônicos. Os indicadores resultantes serviram para identificação de vulnerabilidades na governança dessas organizações e como subsídio para definição de objetivos e estruturação de ações de melhoria, bem como na identificação de boas práticas a serem seguidas.O RBG também serviu de inspiração para iniciativas de governos, a exemplo do Decreto 9.203/2017, que instituiu a política de governança da administração pública federal, estabelecendo princípios, diretrizes e práticas no tema, caracterizando-se como um importante passo no aprimoramento dessas organizações.Como contribuição ao processo de aperfeiçoamento da governança no setor público, o TCU publicou documentos adicionais: Referencial para avaliação de governança em políticas públicas (2014); Referencial para avaliação de governança do Centro de Governo (2016); Referencial de Combate à Fraude e Corrupção (2017 e 2018); Guia de Governança e Gestão em Saúde (2018) e Referencial básico de gestão de riscos (2018).Chegou o momento de atualizar o Referencial Básico de Governança com o conhecimento obtido pelos diagnósticos realizados, na revisão de literatura no tema e em pesquisas recentes publicadas por organismos multilaterais, como a Organização para a Cooperação e Desenvolvimento Econômico (OCDE) e a Organização das Nações Unidas (ONU). Além disso, esta edição estende o foco do Referencial aos demais entes jurisdicionados ao TCU, que prestam serviços de interesse coletivo e que, portanto, também precisam estabelecer estruturas e processos de governança que lhes sejam adequados.O TCU tem, entre seus objetivos estratégicos, o aprimoramento da governança e da gestão no setor público. Esperamos que, ao disponibilizar orientações mais atualizadas no tema e ao reforçar o incentivo na adoção de melhores práticas, possamos contribuir para aperfeiçoar o desempenho dessas organizações.José Múcio Monteiro FilhoPresidente do Tribunal de Contas da UniãoCAPÍTULO 1. GOVERNANÇA E RESULTADOSToda e qualquer organização pública deve existir somente em decorrência da necessidade dos seus serviços ou das políticas públicas que implementa. Estruturas de Estado dissociadas dessa realidade, pesadas, caras, lentas e burocráticas não coadunam com os objetivos a que se propõem, nem com os resultados que delas se esperam. Em boa parte do mundo, há esforços significativos para rever as estruturas de Estado, de modo a aumentar a capacidade de entrega dos resultados demandados pela sociedade, em termos de serviços e políticas públicas, a reduzir o seu custo e a melhorar o gerenciamento dos seus riscos.A governança pública serve exatamente para isso: aumentar e preservar o valor que o Estado entrega aos que o mantêm.Este é um referencial sobre governança pública na perspectiva organizacional. Há outras perspectivas de governança pública e as distinções entre elas são abordadas no Capítulo 6.Qual a função do Estado?O Estado existe fundamentalmente para realizar o bem comum. Os teóricos que cuidam da análise desta finalidade do Estado a desdobram em três vertentes: o bem-estar; a segurança e a justiça. A interdependência dos fins do Estado assume particular importância em relação à grande e última finalidade do Estado: a promoção do bem comum. O Estado, nesse sentido, enquanto forma de organização política por excelência da sociedade, pode ser aceito como o espaço natural de desenvolvimento do poder político (MATIAS-PEREIRA, 2018).Qual o papel da administração pública?A Administração Pública é o aparelho de Estado organizado com a função de executar serviços, visando à satisfação das necessidades da população. Nesse sentido, se apresenta como uma organização que tem o objetivo de pôr em prática funções políticas e serviços realizados pelo governo. Em outras palavras, é um conjunto de atividades destinadas à execução de obras e serviços, comissionados ao governo para o interesse da sociedade (MATIAS-PEREIRA, 2018).O que é a governança pública organizacional?É a aplicação de práticas de liderança, de estratégia e de controle, que permitem aos mandatários de uma organização pública e às partes nela interessadas avaliar sua situação e demandas, direcionar a sua atuação e monitorar o seu funcionamento, de modo a aumentar as chances de entrega de bons resultados aos cidadãos, em termos de serviços e de políticas públicas. Este conceito, derivado principalmente da governança corporativa, foi delineado e adotado pelo TCU em virtude do propósito de apoiar a melhoria do desempenho das organizações públicas jurisdicionadas. Este e outros conceitos importantes estão mais bem detalhados no Capítulo 3.Para que serve a governança pública organizacional?O propósito da governança não é, nem poderia ser, a criação de mais controles e de mais burocracia. Ao contrário, a governança provê formas de descobrir oportunidades de remover controles desnecessários, que se tornam empecilhos à entrega de resultados, pois seu objetivo é a melhoria do desempenho da organização para a geração de valor (adaptado de OCDE (2017)). Por isso, a mera adoção burocrática de práticas, sem foco nos resultados, não conduz à boa governança e nem condiz com ela. Todas as práticas de governança servem para criar contextos favoráveis à entrega dos resultados esperados pelos cidadãos, com sustentabilidade. Governança é só um modismo recente para dizer o mesmo que gestão?Essa é uma pergunta frequente. Governança é uma temática antiga e trazemos um pouco dessa história no capítulo 2.Governança não é o mesmo que gestão. Uma analogia[footnoteRef:2] poderá facilitar o entendimento. Em um condomínio residencial, a gestão está sob a responsabilidade do síndico. É ele quem recebe as verbas condominiais e as utiliza para fazer o condomínio funcionar. Ele tem poder para contratar e distratar. Mas ele é o dono do condomínio? Tem ele poder absoluto? Não, certamente que não. São os proprietários das unidades do condomínio que detêm o poder maior. Eles estabelecem as regras de funcionamento do condomínio e dão o direcionamento superior para que o síndico, eleito pelos proprietários e sob sua delegação, realize as ações por eles demandadas, sempre devendo prestar contas de suas ações à assembleia de proprietários, que pode, inclusive, destituí-lo. [2:  Analogia é a simplificação de uma realidade complexa. Assim, é reconhecido que a complexidade da governança pública é muito maior que a governança de um condomínio, mas a presente analogia busca exemplificar, de forma clara e simples, a diferença entre governança e gestão, para os que ainda não têm familiaridade com o assunto.] Assim, enquanto a governança é a função direcionadora, a gestão é a função realizadora. A Fonte: elaboração própria.A governança se preocupa com a qualidade do processo decisório e sua efetividade: como obter o maior valor possível para o(s) proprietário(s)[footnoteRef:3] e para as partes interessadas? Os problemas priorizados foram resolvidos? Como, por quem e por que as decisões foram tomadas? Os resultados esperados foram alcançados?  [3:  O parágrafo único do art. 1º da Constituição Federal de 1988 estabelece que todo poder emana do povo. Por isso, o povo brasileiro é considerado neste documento como "proprietário".] A gestão, por sua vez, recebe o direcionamento superior e se preocupa com a qualidade da implementação desta direção, com eficácia e eficiência: está claro o que deve ser feito? Tem-se os recursos necessários? Quais os riscos mais relevantes para o cumprimento da missão? Quanto é razoável gastar?Como funciona a governança?A governança pública organizacional envolve três atividades básicas realizadas pelos seus responsáveis (adaptado de ABNT (2018b)):1. avaliar, com fundamento em evidências, o ambiente, os cenários, as alternativas, o desempenho e os resultados atuais e os almejados. É necessário avaliar para poder direcionar. São perguntas típicas desta atividade:· qual é o problema?· quais são as evidências desse problema?· devemos agir para tratar esse problema (avaliar opção do contrafactual)?· já existem ações em andamento para tratar essas questões? estão produzindo os resultados esperados?· quais são possíveis alternativas de tratamento?· há evidências de que essas alternativas de tratamento produzam os efeitos/impactos esperados?· quais dessas alternativas são mais adequadas em termos de custo-benefício (especialmente num contexto de recursos escassos)?· de que recursos dispomos?· onde estamos? Aonde queremos chegar?Direcionar, priorizar e orientar a preparação, a articulação e a coordenação de políticas e de planos, alinhando as funções organizacionais às necessidades das partes interessadas (usuários dos serviços, cidadãos e sociedade em geral) e assegurando o alcance dos objetivos estabelecidos. O direcionamento dá os critérios para o monitoramento. São perguntas típicas desta atividade:· quais alternativas de tratamento serão selecionadas para tratar o problema e por quê (evidências)?· portanto, quais devem ser os objetivos?· como os alcançaremos?· que estruturas precisam existir e funcionar para viabilizar a execução destas iniciativas?· quais são os riscos?· que cuidados tomaremos?monitorar os resultados, o desempenho e o cumprimento de políticas e planos, confrontando-os com as metas estabelecidas e as expectativas das partes interessadas. O monitoramento gera insumos para a avaliação. São perguntas típicas desta atividade:· estamos no rumo certo?· estamos produzindo os efeitos e impactos esperados?· que correções fazer?· chegaremos ao destino?Já as atividades básicas de gestão são:1. Planejar - dada a direção, as prioridades e os objetivos, quais são os passos para chegar lá?1. Executar - colocar o plano para funcionar e gerar resultados de políticas e serviços; e1. Controlar - como estão os indicadores de eficácia e de eficiência? como lidar adequadamente com os riscos de não cumprir as metas?Para facilitar a comunicação dos conceitos de governança pública e a avaliação de sua implementação nas organizações públicas e outros entes jurisdicionados ao TCU, o Tribunal criou um modelo de governança e gestão Erro! Fonte de referência não encontrada.(        Fonte: elaboração própria.O modelo enfatiza a distinção entre governança e gestão, porém admite que há uma região em que as duas funções se tocam e, eventualmente, se sobrepõem. As diretrizes (direção/dirigir) necessárias ao planejamento organizacional vêm da função de governança, exercida por instâncias internas e externas de governança. O controle da gestão gera informações para subsidiar o monitoramento praticado pelas instâncias de governança, a fim de saber se as partes interessadas estão sendo atendidas e de decidir quais as correções a fazer.Dependendo da organização, a direção e o planejamento poderão estar mais juntos ou mais separados, como também o monitoramento e o controle poderão estar mais próximos ou mais afastados um do outro. Ainda assim, essas atividades devem ser identificadas de forma separada na organização, para que possam ser estruturadas, visando cumprir suas finalidades.No Capítulo 3, há maiores detalhes sobre as instâncias de governança responsáveis pelas atividades de avaliação, direção e monitoramento.As atividades de governança (avaliar, dirigir e monitorar) são implementadas por meio de práticas que podem ser agrupadas em três mecanismos, a saber: liderança, estratégia e controle. Os mecanismos e suas práticas vinculadas serão detalhados no Capítulo 5.Há diretrizes normativas de Estado para adoção das práticas de governança?Está em tramitação no Congresso Nacional o Projeto de Lei 9.163/2017 que visa estabelecer diretrizes nacionais para a adoção de práticas de governança para entes públicos. Mesmo ainda em tramitação, uma das práticas nele preconizadas (edição de planos de longo prazo) vem sendo incentivada pelo Governo Federal desde a recomendação, em 2018, feita pelo Comitê Interministerial de Governança - CIG, instituído pelo Decreto 9.203/2017 (BRASIL, 2017), para a elaboração de uma estratégia nacional de desenvolvimento econômico e social. Os estudos, revisados em 2019 e 2020, refletem uma Estratégia Federal de Desenvolvimento - EFD relativa a um período de 12 (doze) anos com referências a cenários macroeconômicos, diretrizes, desafios, orientações, índices-chave e metas-alvo para que órgãos e entidades possam considerar em seus planejamentos e suas ações.É clara a necessidade de alinhamento da estratégia dos entes federativos (e seus órgãos e entidades) com os planos governamentais, como os planos plurianuais, nacionais e setoriais, pois a entrega de resultados depende de que esses entes trabalhem na mesma direção (alinhamento).No âmbito da administração direta, autárquica e fundacional do Poder Executivo federal, a Política de Governança Pública, lançada pelo Decreto 9.203/2017, dá o direcionamento das boas práticas a serem seguidas pelos agentes públicos. Suas bases podem inspirar outros poderes e níveis federativos.Cabe mencionar que este Referencial foi elaborado com fundamento em boas práticas internacionalmente aceitas na literatura sobre o tema de governança organizacional, e que, eventualmente foram positivadas na legislação brasileira. Por isso, as práticas aqui recomendadas não estão limitadas aos normativos em vigor.Tenho de adotar tudo o que aparece neste Referencial?Não é intenção do TCU que este Referencial (ou os questionários subjacentes ou qualquer "ranking" criado a partir dos indicadores de governança gerados pelo Tribunal) seja tomado como fórmula prescritiva, pois as práticas de governança podem ser implementadas de maneiras diferentes e com níveis de complexidade diversos, dependendo das necessidades da organização em foco.Por isso, recomenda-se que cada organização observe a natureza do seu negócio, o contexto no qual se encontra inserida, seus objetivos mais relevantes e os riscos a eles associados, e implemente as práticas de governança com formato e nível de complexidade adequados para o alcance daqueles e tratamento destes, de acordo com a sua realidade, evitando a implementação de controles cujos custos superam os possíveis benefícios (art. 14 do Decreto-lei 200/1967).Nunca é demais relembrar: a governança organizacional tem como objetivo a entrega de resultados às partes interessadas que, no caso das organizações públicas e outros entes jurisdicionados ao TCU, são representadas principalmente pelos usuários dos serviços, cidadãos e sociedade em geral. Como eu posso encontrar mais detalhes sobre governança?Os próximos capítulos trazem mais detalhes conceituais e de como colocar em prática a governança.Organizações estaduais, municipais e até entes privados demandaram a utilização do RBG e dos questionários em seus próprios diagnósticos de governança. Isso motivou o Tribunal a desenvolver uma plataforma de autosserviço[footnoteRef:4] para que tais organizações pudessem realizar voluntariamente autoavaliações e obter indicadores. [4:  https://portal.tcu.gov.br/governanca/governancapublica/organizacional/formulario-igg] Além disso, o TCU dispõe de cursos específicos para capacitação em governança pública e vários materiais e auditorias no tema. Para encontrar tanto a plataforma de autosserviço, quanto capacitações, fiscalizações e outros materiais sobre Governança Pública,  basta acessar o site do Tribunal para localizá-los (https://portal.tcu.gov.br/governanca/).CAPÍTULO 2. RETROSPECTIVA HISTÓRICAGovernar (¿¿ß¿¿¿¿/¿¿ß¿¿¿¿) é a palavra grega usada para designar o ato de dar direção para um destino (p.ex.: dar direção a um navio). Em empreitadas de pequeno tamanho, a pessoa que concebe a direção desejada é geralmente a mesma que implementa as ações necessárias para ir adiante. Por isso, provavelmente haverá coerência entre a direção definida, a ação para segui-la e o resultado alcançado. Porém, em empreitadas maiores, pode haver várias pessoas estabelecendo direções e ainda outras ocupadas com a execução delas. Como resultado, surgem os esperados conflitos que tornam mais difícil o alcance de resultados satisfatórios para todos.A complexidade e o tamanho das organizações modernas e a dispersão da sua relação de propriedade (p.ex.: sociedades anônimas) são características que requerem regras para que haja convívio harmônico entre os proprietários e para que o direcionamento dado por eles seja implementado por administradores contratados. Para tanto, tais administradores recebem dos proprietários os recursos e o poder de comando (autonomia relativa) necessários para conduzir a organização na direção estabelecida e alcançar os objetivos almejados. Porém, é comum que os administradores, dados os seus interesses e preferências particulares, se comportem de maneira distinta daquela esperada pelos proprietários (conflito de interesse). Esse fenômeno cresce à medida que mais autonomia é dada aos administradores e menos informação e controle os proprietários (majoritários ou minoritários) tenham sobre a organização, ainda que seja um efeito esperado conforme se afastam da administração diária da organização e a delegam aos administradores. Isso é chamado de conflito agente-principal (ou conflito de agência): quando os interesses daqueles que têm direitos (principal) não são adequadamente atendidos pelos agentes incumbidos de respeitá-los e atendê-los (JENSEN; MECKLING, 2008).Surge assim, o chamado problema geral da governança corporativa: como aumentar a probabilidade de que administradores contratados efetivamente realizem os objetivos estabelecidos pelos proprietários ou partes interessadas de uma organização, e como reduzir os conflitos entre sócios majoritários e minoritários?Embora tal problema seja bastante antigo, somente no século XX é que o assunto passou a ser estudado sistematicamente. Berle e Means (1932) desenvolveram um dos primeiros estudos acadêmicos sobre o papel do Estado como regulador das organizações privadas, tendo sido criada, em 1934, a US Securities and Exchange Comission para proteger investidores, garantir a justiça, a ordem e a eficiência dos mercados e facilitar a formação de capital.No entanto, foram as crises financeiras dos anos 1990 que criaram demanda para formalização dos primeiros padrões mundiais de governança, visando à proteção de investidores: em 1992, foi publicado, na Inglaterra, o Cadbury Report, pelo Committee on the Financial Aspects of Corporate Governance (CAMBRIDGE, 1992); no mesmo ano, nos Estados Unidos, foi publicado o Internal Control - Integrated Framework, pelo Committee of Sponsoring Organizations of the Treadway Commission - COSO (COSO, 1992). Em 2002, em decorrência de escândalos envolvendo demonstrações contábeis fraudulentas ratificadas por empresas de auditorias, com impacto mundial, os Estados Unidos aprovaram a Lei Sarbanes-Oxley, para melhorar os controles necessários à garantia da fidedignidade das informações constantes dos relatórios financeiros (USA, 2002). No mesmo ano, foi fundado na Europa o European Corporate Governance Institute (ECGI), com o objetivo de promover as melhores práticas de governança corporativa, por meio de pesquisas científicas independentes e de fórum para debate e diálogo entre acadêmicos, legisladores e profissionais, focando nas principais questões de governança corporativa (ECGI, 2020). Desde então, tem sido crescente a preocupação de diversos países com aspectos relacionados à governança. O assunto também ganhou relevância no Brasil. Em 1995, foi fundado o Instituto Brasileiro de Governança Corporativa (IBGC)[footnoteRef:5], organização sem fins lucrativos que tem o objetivo de gerar e disseminar o conhecimento das melhores práticas em governança corporativa, aplicáveis não somente às empresas privadas com fins lucrativos, mas também a outros tipos de organizações, como terceiro setor, cooperativas, estatais, fundações e órgãos governamentais. [5:  O IBGC inicialmente chamava-se Instituto Brasileiro de Conselheiros de Administração (IBCA).] Em 2001, as empresas Mckinsey & Company e Korn/Ferry International (2001) publicaram o documento "Panorama de Governança Corporativa no Brasil", resultante do primeiro grande levantamento de governança corporativa, junto a 74 empresas, públicas ou privadas, de mais de US$ 250 milhões em faturamento, que evidenciou claro interesse dessas empresas pelas práticas de governança, assim como a existência de desafios e barreiras importantes.O IBGC publica, desde 1999, o "Código das melhores práticas de governança corporativa", que chegou à sua quinta edição em 2015, documento de referência que estrutura as práticas de governança em torno de quatro princípios básicos: transparência, equidade, prestação de contas (accountability)[footnoteRef:6] e responsabilidade corporativa (IBGC, 2015; 2020). [6:  O IBGC conceitua accountability como prestação de contas (IBGC, 2015): "os agentes de governança devem prestar contas de sua atuação de modo claro, conciso, compreensível e tempestivo, assumindo integralmente as consequências de seus atos e omissões e atuando com diligência e responsabilidade no âmbito dos seus papéis".] No plano jurídico brasileiro, as principais normas relacionadas ao tema da governança corporativa são:1. Lei do Mercado de Valores Mobiliários (Lei 6.385/1976);Lei das Sociedades Anônimas (Lei 6.404/1976);Código de Defesa do Consumidor (Lei 8.078/1990);Lei Anticorrupção (Lei 12.846/2013); eLei das Estatais (Lei 13.303/2016).A Lei das Sociedades Anônimas e a Lei do Mercado de Valores Mobiliários, embora de origens mais antigas, receberam várias atualizações significativas nos anos 2000 (em especial pela Lei 10.303/2001, que adicionou regramentos mais rigorosos visando reduzir riscos ao investidor minoritário e garantir sua participação no controle da empresa) e muitas atualizações nos anos 2010.GOVERNANÇA NO SETOR PÚBLICONo setor público, o gradativo esgotamento do modelo de administração pública burocrático-weberiano ao longo do século XX, associado à crise fiscal mundial dos anos 1980, favoreceu o desenvolvimento do modelo de administração pública gerencial, como proposta de tornar o Estado mais eficiente e mais capaz de atender às crescentes demandas por mais e melhores serviços (MATIAS-PEREIRA, 2018). Esse contexto propiciou ambiente para ampla discussão sobre governança pública, com novas propostas de modelos, tais como os exemplificados a seguir:1. Governança no setor público pela perspectiva do corpo governante, com ênfase em três princípios: transparência, integridade e prestação de contas (IFAC, 2001);1. Guia de melhores práticas para a governança no setor público, que acrescenta mais três princípios: liderança, compromisso e integração (ANAO, 2003);1. Padrão de boa governança para serviços públicos, alinhado aos anteriores e com ênfase em eficiência e eficácia (CIPFA, 2004).Uma compilação promovida pelo International Federation of Accountants (IFAC), em 2013, a partir de várias publicações, concluiu que a melhoria da governança pública depende de: garantir o comportamento ético, íntegro, responsável, comprometido e transparente da liderança; controlar a corrupção; implementar efetivamente um código de conduta e de valores éticos; observar e garantir a aderência das organizações às regulamentações, códigos, normas e padrões; garantir a transparência e a efetividade das comunicações; balancear interesses e envolver efetivamente os stakeholders (cidadãos, usuários de serviços, acionistas, iniciativa privada) (IFAC, 2013). Essa mesma compilação apresenta potenciais benefícios de uma boa governança pública, como, por exemplo:a) garantir a entrega de benefícios econômicos, sociais e ambientais para os cidadãos;b) garantir que a organização seja, e pareça, responsável para com os cidadãos;c) ter clareza acerca de quais são os produtos e serviços efetivamente prestados para cidadãos e usuários, e manter o foco nesse propósito;d) ser transparente, mantendo a sociedade informada acerca das decisões tomadas e dos riscos envolvidos;e) possuir e utilizar informações de qualidade e mecanismos robustos de apoio às tomadas de decisão;f) dialogar com a sociedade e a ela prestar contas;g) garantir a qualidade e a efetividade dos serviços prestados aos cidadãos;h) promover o desenvolvimento contínuo da liderança e dos colaboradores;i) definir claramente processos, papéis, responsabilidades e limites de poder e de autoridade;j) institucionalizar estruturas adequadas de governança;k) selecionar a liderança tendo por base aspectos como conhecimento, habilidades e atitudes (competências individuais);l) avaliar o desempenho e a conformidade da organização e da liderança, mantendo um balanceamento adequado entre eles;m) garantir a existência de um sistema efetivo de gestão de riscos;n) utilizar-se de controles internos para manter os riscos em níveis adequados e aceitáveis;o) controlar as finanças de forma atenta, robusta e responsável; ep) prover aos cidadãos dados e informações de qualidade (confiáveis, tempestivas, relevantes e compreensíveis).No Brasil, a estruturação e a consolidação de um modelo de governança corporativa para o setor público foi motivada por atuação do Tribunal de Contas da União, mediante a publicação do Referencial Básico de Governança Aplicável a Órgãos e Entidades da Administração Pública, em suas versões 1.0 (BRASIL, 2013) e 2.0 (BRASIL, 2014), antecedentes do presente Referencial.No plano jurídico brasileiro, muitos atos sancionados se alinham com essa visão de melhoria da governança pública, entre os quais destacam-se:1. Código de Ética Profissional do Servidor Público Civil do Poder Executivo federal (Decreto 1.171/1994), que estabelece padrões éticos e morais para o comportamento da liderança no serviço público (BRASIL, 1994);1. Lei das Contas Públicas (Lei 9.755/1998), que obriga à publicação das contas públicas nos níveis federal, estadual e municipal (BRASIL, 1988);1. Lei de Responsabilidade Fiscal (Lei Complementar 101/2000), que estabelece parâmetros de responsabilidade e transparência financeira e orçamentária (BRASIL, 2000);1. Decreto do Sistema de Correição do Poder Executivo (Decreto 5.480/2005) (BRASIL, 2005b);1. o extinto Programa Nacional de Gestão Pública e Desburocratização (GesPública, Decreto 5.378/2005), que estabeleceu o modelo de excelência na gestão pública (BRASIL, 2005);1. Decreto de Gestão da Ética (Decreto 6.029/2007) (BRASIL, 2007);1. Decreto de Vedação ao Nepotismo (Decreto 7.203/2010) (BRASIL, 2010b);1. Lei de Acesso à Informação (Lei 12.527/2011), que assegura o direito fundamental de acesso à informação pública e facilita o monitoramento e o controle de atos administrativos e da conduta de agentes públicos (BRASIL, 2011b);1. Lei de Conflito de Interesses (Lei 12.813/ 2013), que trata do tema no exercício de cargo ou emprego do Poder Executivo federal (BRASIL, 2013);1. Lei das Estatais (Lei 13.303/2016), que estabelece requisitos de governança para empresas públicas e de economia mista (BRASIL, 2016);1. Instrução Normativa Conjunta MP/CGU 1/2016, que trata de controles internos, gestão de riscos e governança no âmbito do Poder Executivo federal (BRASIL, 2016c);1. Lei de Defesa do Usuário de Serviços Públicos (Lei 13.460/2017), e sua regulamentação pelo Decreto 9.094/2017 (BRASIL, 2017f), que substituíram o GesPública e tratam sobre participação, proteção e defesa dos direitos do usuário dos serviços públicos (BRASIL, 2017b); 1. Decreto da Política de Governança da administração pública federal direta, autárquica e fundacional e Governança Pública (Decreto 9.203/2017), além de leis ou decretos, e outros normativos afins, editados pelos órgãos do poder executivo, legislativo e judiciário de estados e municípios, inspirados no decreto federal (BRASIL, 2017);1. Resoluções CNJ 308 e 309, ambas de 2020 (BRASIL, 2020e; 2020f), que trouxeram diretrizes técnicas para as atividades de auditoria interna do Poder Judiciário e organizaram tais atividades sob a forma de sistema. Como se vê, houve avanço no corpo de conhecimentos e nas normas criadas para auxiliar na construção de boa governança corporativa e boa governança pública em nosso país. CAPÍTULO 3. CONCEITOS FUNDAMENTAISO objeto de estudo do presente Referencial é a governança das organizações públicas e dos outros entes jurisdicionados ao TCU. As demais perspectivas apresentadas no Capítulo 6 são tratadas em outros referenciais já publicados.Ao longo do tempo, conceitos fundamentais sobre governança organizacional pública  foram assimilados por muitas organizações e integram importantes normativos setoriais ou federais, especialmente o Decreto 9.203/2017. Por essa razão, os conceitos aqui apresentados são os mesmos elaborados em 2014, considerados ainda adequados e suficientes para seus propósitos, mesmo reconhecendo que governança pública é área de estudo em permanente evolução, no Brasil e no mundo.CONCEITO DE GOVERNANÇA PÚBLICA ORGANIZACIONALÀ luz das fontes indicadas[footnoteRef:7], o TCU sintetizou o conceito de que a governança pública organizacional compreende essencialmente os mecanismos de liderança, estratégia e controle postos em prática para avaliar, direcionar e monitorar a atuação da gestão, com vistas à condução de políticas públicas e à prestação de serviços de interesse da sociedade. [7:  Os conceitos fundamentais apresentados neste capítulo foram consolidados em 2014, pelo grupo de trabalho encarregado da produção do Referencial Básico de Governança, nas suas duas primeiras versões (BRASIL, 2013; 2014), tomando por base diversos artigos científicos, padrões, modelos e códigos de diversos países, entre os quais destacam-se: Código das melhores práticas de governança corporativa (IBGC, 2009); Enterprise risk management - integrated framework (COSO, 2004); Good governance in the public sector (IFAC, 2014); Good governance standard for public services (CIPFA, 2004); Governança corporativa de tecnologia da informação (ABNT, 2009b); Government governance: corporate governance in the public sector (NETHERLANDS, 2000); Guide for board members of public bodies in Scotland (SCOTTISH, 2006); Guidelines for internal control standards for the public sector (INTOSAI, 2004); Internal control - integrated framework (COSO, 2013); Internal control management and evaluation tool (GAO, 2001); International professional practices framework (IIA, 2009); International public sector study 13 (IFAC, 2001); Norma de gestão de riscos - princípios e diretrizes (ABNT, 2009b); Programa nacional de gestão pública e desburocratização (BRASIL, 2010); e Public sector governance in Australia (EDWARDS et al., 2012).] Quanto a esse conceito, assimilado no Decreto 9.203/2017, pode-se afirmar que:1. tem como foco a governança nas organizações públicas e outros entes jurisdicionados ao TCU, não se confundindo com a governança de políticas públicas e nem de Centro de Governo, embora sejam relacionadas e interdependentes;1. admite que todas essas organizações existem para participar da execução de políticas públicas ou para prestar serviços à sociedade, ou ambas as coisas;1. indica que a governança é o direcionamento do esforço de gestão das organizações para resultados de interesse da sociedade, não se confundindo com a própria gestão;1. indica que governar é a realização de três atividades: avaliar as demandas das partes interessadas e estabelecer os problemas/serviços prioritários; direcionar a capacidade de realização da organização para a efetiva resolução dos problemas/serviços priorizados; e monitorar a gestão da organização para garantir que as direções estabelecidas sejam cumpridas e que os ajustes de percurso sejam realizados a tempo de evitar que os riscos impeçam ou prejudiquem a consecução dos objetivos; e1. indica que as diversas práticas que implementam essas três atividades de governança podem ser agrupadas em três mecanismos gerais: o de liderança, o de estratégia e o de controle.RELAÇÃO PRINCIPAL-AGENTE NO SETOR PÚBLICOO IBGC (2015) sustenta que os princípios e práticas da governança corporativa são aplicáveis às organizações públicas, com adaptações. MATIAS-PEREIRA (2018) enxerga a governança corporativa em organizações públicas como uma das vertentes comuns de aplicação do termo governança.Por isso, a governança pública organizacional parte do mesmo problema tratado pela governança corporativa: o conflito agente-principal (ou conflito de agência, v. Capítulo 2).No caso do Estado brasileiro, há garantia constitucional de que o povo (ou sociedade brasileira) é o detentor original de todos os direitos e poderes: "Todo o poder emana do povo, que o exerce por meio de representantes eleitos ou diretamente, nos termos desta Constituição" (Constituição Federal de 1988, art. 1º) (BRASIL, 1988b). Por isso, a sociedade assume o papel de "principal", pois compartilha as percepções de finalidade e valor e detêm o poder social, podendo exercê-lo de forma conjunta e ordenada por meio de estruturas criadas para representá-la (DALLARI, 2005).Consequentemente, todas as pessoas que, em seu papel institucional, implementam a estrutura do Estado brasileiro são "agentes", ou agentes públicos, que estão necessariamente a serviço do povo (Fonte: elaboração própria.SISTEMA DE GOVERNANÇA NO SETOR PÚBLICOPara garantir que uma corporação atenda aos interesses do principal, o IBGC recomenda um conjunto de práticas, por meio do Código Brasileiro de Governança Corporativa, a serem realizadas por agentes de governança, tais como: transparência; política de relacionamento com partes interessadas; avaliação de desempenho da alta administração; independência da auditoria interna; gerenciamento de riscos; e promoção de valores éticos e padrões de conduta (IBGC, 2015).Da mesma forma, em organizações públicas e outros entes jurisdicionados ao TCU, há necessidade de que tais práticas sejam realizadas por instâncias de governança, de modo que boa governança seja obtida e os resultados esperados pela sociedade sejam alcançados, de forma legítima. Isso requer estruturas administrativas (instâncias), processos de trabalho, instrumentos (ferramentas, documentos etc.), fluxo de informações e comportamento de pessoas envolvidas direta ou indiretamente na avaliação, no direcionamento e no monitoramento da organização. De forma simplificada, e inspirado no modelo do IBGC (2015), esse sistema de governança pode ser representado como ilustra a Fonte: elaboração própria.Eis os papéis gerais dessas instâncias de governança:1. as instâncias externas de governança são responsáveis pela fiscalização, pelo controle e pela regulação, desempenhando importante papel para promoção da governança das organizações públicas. São autônomas e independentes, e não se vinculam às organizações que são por elas governadas. Exemplos típicos dessas estruturas são o Congresso Nacional, o Tribunal de Contas da União e os conselhos superiores no Poder Judiciário;1. as instâncias externas de apoio à governança são responsáveis pela avaliação, auditoria e monitoramento independente e, nos casos em que disfunções são identificadas, pela comunicação dos fatos às instâncias superiores de governança, sejam elas internas ou externas. Exemplos típicos dessas estruturas são as auditorias independentes e o controle social organizado;1. as instâncias internas de governança são responsáveis por definir ou avaliar a estratégia e as políticas internas, bem como monitorar a conformidade e o desempenho destas, devendo agir nos casos em que desvios forem identificados. São, também, responsáveis por garantir que a estratégia e as políticas formuladas atendam ao interesse público servindo de elo entre principal e agente. Exemplos típicos dessas estruturas são os conselhos de administração ou equivalentes e a alta administração; e1. as instâncias internas de apoio à governança realizam a comunicação entre partes interessadas internas e externas à administração, bem como auditorias internas que avaliam os processos de governança e de gestão de riscos e controles internos, comunicando quaisquer disfunções identificadas à alta administração. Exemplos típicos dessas estruturas são a ouvidoria, a auditoria interna, o conselho fiscal, as comissões e os comitês (p. ex.: comitê de riscos; comitê de desburocratização; comitês estratégicos).A administração executiva ou alta administração[footnoteRef:8] é uma instância interna de governança e é responsável por avaliar, direcionar e monitorar, internamente, a organização. A autoridade máxima da organização e os dirigentes superiores são os agentes públicos que, tipicamente, atuam nessa estrutura. De forma geral, enquanto a autoridade máxima é a principal responsável pela direção da organização, os dirigentes superiores (gestores de nível estratégico e administradores executivos diretamente ligados à autoridade máxima) são responsáveis por auxiliar no estabelecimento de políticas e objetivos e no provimento de direcionamento para a organização. [8:  Por exemplo, no âmbito do Poder Executivo, o Decreto 9.203/2017 estabelece que compõem a alta administração os Ministros de Estado, ocupantes de cargos de natureza especial, ocupantes de cargo de nível 6 do Grupo-Direção e Assessoramento Superiores - DAS, e presidentes e diretores de autarquias, inclusive as especiais, e de fundações públicas ou autoridades de hierarquia equivalente. Essa norma criou o Comitê Interministerial de Governança - CIG para assessorar o Presidente da República na condução da política de governança da administração pública federal, bem como instituiu, em cada ministério e nas organizações da administração autárquica e fundacional, Comitês Internos de Governança como estruturas de apoio à alta administração dessas organizações.] Abaixo das instâncias de governança encontram-se as instâncias de gestão. A gestão tática é responsável por coordenar a gestão operacional em áreas específicas. Os dirigentes que integram o nível tático da organização (p. ex.: secretários) são os agentes públicos que, tipicamente, atuam nessa estrutura. Já a gestão operacional é responsável pela execução de processos produtivos finalísticos e de apoio. Os gerentes, membros da organização que ocupam cargos ou funções em nível operacional (p. ex.: gerentes, supervisores, chefes) são os agentes públicos que, tipicamente, atuam nessa estrutura.CAPÍTULO 4. PRINCÍPIOS E DIRETRIZESPRINCÍPIOS DE GOVERNANÇA PARA O SETOR PÚBLICODa literatura internacional (principalmente de organismos multilaterais e de referência nas áreas de controle e auditoria) e do Decreto 9.203/2017 (norma pública de governança), é possível extrair um conjunto abrangente de princípios que funcionam como valores interdependentes, servindo de guia para a atuação das organizações públicas e outros entes jurisdicionados ao TCU na busca dos resultados pretendidos e fortalecendo a confiança da sociedade nessas organizações: capacidade de resposta; integridade; transparência; equidade e participação; accountability; confiabilidade; e melhoria regulatória (CIPFA, 2004; IFAC, 2001; 2014; OCDE, 2015; 2018; THE UNITED NATIONS, 2015; 2018; 2019; BRASIL, 2017; 2018f):a) capacidade de resposta: é a capacidade de responder de forma eficiente e eficaz às necessidades das partes interessadas (ONU, 2015). A colaboração entre entes estatais, não estatais e sociedade civil contribui para obter um maior entendimento a respeito das demandas da sociedade, para equilibrar os interesses, priorizar o atendimento das necessidades e aumentar a confiança das partes interessadas nas instituições públicas. O princípio da capacidade de resposta depende, portanto, diretamente do princípio da participação. A ONU (2015) orienta que, para melhorar a capacidade de resposta do setor público, há que se focar na satisfação das expectativas das pessoas em termos de qualidade, quantidade e rapidez dos serviços públicos prestados com os recursos limitados disponíveis. Orienta ainda acerca de fatores determinantes para aumentar a capacidade de resposta no setor público: capacitação técnica e postura ética e profissional dos agentes públicos; capacitação e envolvimento dos cidadãos nas decisões públicas, inclusive por meios eletrônicos; e apoio às demais iniciativas do governo eletrônico, como a prestação de serviços multicanal (maior utilização das ferramentas de tecnologia) para ampliar o alcance, a agilidade e o acesso a serviços públicos e reduzir os custos;b) integridade: diz respeito às ações organizacionais e ao comportamento do agente público, referindo-se à adesão e alinhamento consistente aos valores, princípios e normas éticas comuns para sustentar e priorizar o interesse público sobre os interesses privados (OCDE, 2017). A OCDE (2018) sugere a adoção de políticas de integridade baseadas em contexto, evidências e riscos, evitando-se programas de conformidade excessivamente rígidos, pois tendem a ser limitados e falham como impedimento ao comportamento antiético. A estratégia de integridade pública deve ser fundamentada em três pilares (OCDE, 2017; 2020): implementar um sistema de integridade amplo e coerente; cultivar uma cultura de integridade pública; possibilitar a prestação de contas, a responsabilização e a transparência;c) transparência: diz respeito a permitir que a sociedade obtenha informações atualizadas sobre operações, estruturas, processos decisórios, resultados e desempenho do setor público. Consiste em disponibilizar, inclusive na forma de dados abertos, para as partes interessadas, as informações que sejam de seu interesse (arts. 3º, I e II, 5º, 8º e 10 da Lei 12.527/2011) e não apenas aquelas impostas por disposições de leis ou regulamentos. Caracteriza-se pela possibilidade de acesso a todas as informações relativas à organização pública, em uma linguagem cidadã, sendo um dos requisitos de controle do Estado pela sociedade civil. A adequada transparência resulta em clima de confiança, tanto internamente quanto nas relações de órgãos e entidades com terceiros. A organização transparente se obriga voluntariamente à divulgação oportuna de todas as questões relevantes a ela relacionadas, inclusive situação financeira, desempenho, composição e governança da organização (SLOMSKI, 2008). Abrange várias iniciativas, como: acesso à informação, divulgação de natureza obrigatória; divulgação de natureza proativa e voluntária, incluindo dados abertos do governo; e transparência fiscal e orçamentária (OCDE, 2018). O Banco Mundial (2017) orienta que a transparência efetiva deve garantir que a informação chegue ao público para o qual ela de fato importa, e que os cidadãos se sintam livres para buscar as informações sem medo de represálias e confiem que o uso dessas informações promoverá a responsabilização dos agentes públicos, caso necessário;d) equidade e participação: diz respeito a promover tratamento justo a todas as partes interessadas, levando em consideração seus direitos, deveres, necessidades, interesses e expectativas (IBGC, 2015). A participação efetiva das partes interessadas no processo de tomada de decisão e na formulação de políticas públicas é um dos princípios do Governo Aberto (OGP, 2011) e facilita a equidade nesses processos. A OCDE (2018) esclarece que a participação das partes interessadas favorece a equidade e a responsabilidade do governo, amplia a influência dos cidadãos nas decisões públicas, melhora a base de evidências para a formulação de políticas, reduz os custos de implementação e cria consciência cívica. O Banco Mundial (WORLD BANK, 2017) defende a combinação de diferentes mecanismos de participação social para impulsionar mudanças positivas na governança, mas alerta para os cuidados de evitar que mecanismos de participação direta sejam capturados por interesses privados e grupos oportunistas. Para as empresas estatais, a OCDE (2015) alerta sobre a importância das relações com as partes interessadas para construir empreendimentos sustentáveis e financeiramente sólidos. Na mesma direção, o IBGC (2017b) orienta que seja definida uma estratégia de relacionamento com as diversas partes interessadas, e que as estratégias organizacionais e tomadas de decisão busquem o equilíbrio entre as expectativas desses públicos. Formas de participação social incluem iniciativas que promovam o diálogo com a sociedade, de forma que os anseios sociais sejam considerados na tomada de decisão, por exemplo: ouvidorias; audiências e consultas públicas; mesas de diálogo; conselhos gestores e comissões de políticas públicas; comitês técnicos; conferências de políticas públicas; orçamentos participativos (BRASIL, 2014d; 2019d);e) accountability (prestação de contas e responsabilidade): diz respeito à obrigação que têm as pessoas ou entidades às quais se tenham confiado recursos, incluídas as empresas e corporações públicas, de assumir as responsabilidades de ordem fiscal, gerencial e programática que lhes foram conferidas, e de informar o cumprimento dessas a quem lhes delegou essas responsabilidades (BRASIL, 2011). Espera-se que os agentes públicos prestem contas de sua atuação espontaneamente, de forma clara e tempestiva, assumindo integralmente as consequências de seus atos e omissões (IBGC, 2015). O Banco Mundial (2017) esclarece que a prestação de contas efetiva está ligada a um conjunto amplo de incentivos e mecanismos institucionais, como os de garantia de responsabilização, de participação social e de parcerias entre atores estatais e não estatais. A OCDE (2018) aborda diferentes tipos de prestação de contas, como a administrativa, a financeira e orçamentária, a social e a referente a resultados de políticas públicas;f) confiabilidade: previsto pelo Decreto 9.203/2017 (BRASIL, 2017), foi descrito pelo Guia da Política de Governança Pública (BRASIL, 2018f, p.44-45) como:[...]representa a capacidade das instituições de minimizar as incertezas para os cidadãos nos ambientes econômico, social e político. (OCDE, 2017c, p. 24). Por isso, uma instituição confiável tem que se manter o mais fiel possível aos objetivos e diretrizes previamente definidos, passar segurança à sociedade em relação a sua atuação e, por fim, manter ações consistentes com a sua missão institucional.A OCDE (2017b) orienta que há duas condições a serem satisfeitas para promover a confiabilidade:· as organizações devem ser competentes, ou seja, fornecer serviços públicos acessíveis, eficientes e que atendem às necessidades e expectativas dos seus usuários;· as organizações devem atuar com base em valores, promovendo a integridade e o compromisso com o interesse público.g) melhoria regulatória: também previsto pelo Decreto 9.203/2017 (BRASIL, 2017), foi conceituado no Guia da Política de Governança Pública (BRASIL, 2018f, p.47-48) como:[...]representa o desenvolvimento e a avaliação de políticas e de atos normativos em um processo transparente, baseado em evidências e orientado pela visão de cidadãos e partes diretamente interessadas (European Comission, 2016). Não se restringe, portanto, à regulação econômica de setores específicos realizada pelas agências reguladoras. [...]Para além disso, "uma regulação bem direcionada, baseada em evidências e escrita de forma simples, tem maior probabilidade de ser adequadamente implementada e atingir seus objetivos, sejam econômicos, sociais ou ambientais".DIRETRIZES PARA A BOA GOVERNANÇAA boa governança é um direito do cidadão (CARMO, 2020). Para alcançá-la em organizações públicas e outros entes jurisdicionados ao TCU, é importante atender às seguintes diretrizes (CIPFA, 2004; IFAC, 2014; OCDE, 2015; 2018; ONU, 2015; 2018; BRASIL, 2017; 2018f):a) definir formalmente e comunicar claramente os papéis e responsabilidades das instâncias internas e de apoio à governança, e assegurar que sejam desempenhados de forma efetiva;b) estabelecer processos decisórios transparentes, baseados em evidências e orientados a riscos, motivados pela equidade e pelo compromisso de atender ao interesse público;c) promover valores de integridade e implementar elevados padrões de comportamento, começando pela demonstração de conduta exemplar da liderança da organização e de apoio às políticas e programa de integridade;d) aprimorar a capacidade da liderança da organização, garantindo que seus membros tenham habilidade, conhecimentos e experiências necessários ao desempenho de suas funções; avaliando o desempenho deles como indivíduos e como grupo; e equilibrando, na composição da liderança, continuidade e renovação;e) desenvolver continuamente a capacidade da organização, assegurando a eficácia e eficiência da gestão dos recursos organizacionais, como a gestão e a sustentabilidade do orçamento, das pessoas, das contratações e da tecnologia e segurança da informação;f) apoiar e viabilizar a inovação para agregar valor público e lidar com as limitações de recursos e com novas ameaças e oportunidades;g) estabelecer um sistema eficaz de gestão de riscos e controles internos;h) estabelecer objetivos organizacionais alinhados ao interesse público, e comunicá-los de modo que o planejamento e a execução das operações reflitam o propósito da organização e contribuam para alcançar os resultados pretendidos;i) monitorar o desempenho da organização e utilizar os resultados para identificar oportunidades de melhoria e avaliar as estratégias organizacionais estabelecidas;j) considerar os interesses, direitos e expectativas das partes interessadas nos processos de tomada de decisão;k) implementar boas práticas de transparência; l) prestar contas às partes interessadas e implementar mecanismos eficazes de responsabilização dos agentes;m) apoiar o uso das ferramentas digitais para aumentar e facilitar a participação das partes interessadas nas decisões públicas e aprimorar a prestação de serviços públicos;n) promover a simplificação administrativa, a modernização da gestão pública e a integração dos serviços públicos, especialmente aqueles prestados por meio eletrônico;o) editar e revisar atos normativos, pautando-se pelas boas práticas regulatórias e pela legitimidade, estabilidade e coerência do ordenamento jurídico e realizando consultas públicas, sempre que conveniente.CAPÍTULO 5. PRÁTICAS DE GOVERNANÇAPara compor o presente Referencial, foram sintetizados os mecanismos e práticas da governança pública organizacional mostrados na Fonte: elaboração própria.Essas práticas não contêm todo o conjunto possível de práticas de governança organizacional, mas somente aquelas consideradas, atualmente, aplicáveis a quaisquer organizações públicas ou outros entes jurisdicionados ao TCU (com base em normativos federais no tema, literatura internacional e nacional, e fiscalizações de governança realizadas pelo TCU). Também é necessário enfatizar que, enquanto algumas organizações menores eventualmente tenham dificuldades em implementar todos os aspectos das práticas sugeridas, organizações maiores e mais maduras irão além das práticas sugeridas neste Referencial, desenvolvendo outras práticas, conforme suas características institucionais, exigências legais e necessidades apresentadas pelos resultados pretendidos e riscos enfrentados.As práticas indicadas na É importante mencionar que o modelo de autoavaliação que o TCU desenvolveu abrange não somente as práticas relacionadas aos mecanismos de liderança, estratégia e controle, mas também inclui a atenção da governança para as funções de gestão que são comuns às organizações públicas e que são fundamentais para viabilizar a geração de valor público, como aquelas relacionadas à administração de capital humano e financeiro, e à gestão da segurança e da tecnologia da informação. No Apêndice A, há breve descrição das funções de gestão contempladas no questionário de governança e gestão.O Referencial e os questionários subjacentes devem ser usados como ferramentas de apoio para que as organizações aperfeiçoem continuamente sua governança, priorizando, nessa evolução, as práticas com maior possibilidade de mitigar os riscos que poderiam impedir ou atrapalhar o alcance dos resultados esperados pela sociedade.A seguir, é caracterizado e fundamentado cada mecanismo de governança e suas respectivas práticas. Além disso, o Apêndice C contém glossário dos termos relacionados a cada prática, e o Apêndice B apresenta um rol exemplificativo de potenciais benefícios da implementação de cada prática.1. O MECANISMO DE LIDERANÇA E SUAS PRÁTICASA OCDE (2018) destaca que a liderança é elemento crucial para promover a boa governança pública. O comprometimento dos agentes dos mais altos níveis políticos e gerenciais do setor público é essencial para o sucesso no desenvolvimento e implementação dos valores, estratégias, políticas e processos necessários à boa governança e à melhoria dos resultados que são entregues à sociedade.São os membros das instâncias internas de governança (conceitos disponíveis na p. 2020) que lideram a organização e são responsáveis ¿¿pela direção e supervisão estratégicas e ainda pela accountability da organização (IFAC, 2014). São responsáveis, coletivamente, pelo estabelecimento dos objetivos e atividades organizacionais alinhados com os interesses das partes interessadas, e de estruturas e processos adequados para uma governança eficaz (IIA, 2020). Por isso, neste Capítulo, liderança é sinônimo de instâncias internas de governança, e engloba os conselhos ou colegiados superiores e a alta administração da organização.É papel fundamental da liderança avaliar o modelo de governança adotado e ajustá-lo ao contexto e aos objetivos organizacionais, comunicando-o adequadamente às partes interessadas.A liderança também é responsável por promover uma cultura de ética e integridade, de forma que as ações institucionais e as de seus gestores e colaboradores individualmente priorizem o interesse público sobre o interesse privado.Para bem cumprir seus papéis e responsabilidades, os membros da liderança devem possuir, coletivamente, as competências (conhecimentos, habilidades e atitudes) adequadas e voltadas aos objetivos. O desenvolvimento de tais competências é alcançado não somente por meio de critérios de seleção ou escolha, mas também com oportunidades de aprimoramento durante o exercício dos mandatos e avaliações regulares de desempenho quanto à contribuição desses indivíduos para o alcance das metas organizacionais (IFAC, 2014).Ao longo das próximas seções apresentamos breve descrição de cada uma das três práticas que compõem o mecanismo de liderança, quais sejam:a) estabelecer o modelo de governança;b) promover a integridade; ec) promover a capacidade da liderança.1.1 Prática: estabelecer o modelo de governançaO modelo de governança é a representação clara e pública de como funciona ou deveria funcionar a governança na organização.A prática de "estabelecer o modelo de governança" consiste na definição de um conjunto de diretrizes (orientações), valores, processos e estruturas necessários para que as atividades de governança - avaliar, dirigir e monitorar a gestão - sejam desempenhadas de forma eficaz, de modo a possibilitar que a organização alinhe seus objetivos ao interesse público, gerencie seus riscos e entregue o valor esperado de forma íntegra, transparente e responsável. Esta prática engloba:a) a identificação de instâncias internas e as de apoio à governança;b) a garantia de fluxos de informações eficazes entre elas e as partes interessadas; ec) a definição de processos de trabalho e atividades relacionados à avaliação, ao direcionamento e ao monitoramento da organização.O alcance de uma boa governança depende fundamentalmente da definição e da implantação de um modelo de governança adequado ao tamanho, complexidade, negócio e perfil de risco da organização.O Decreto 9.203/2017 prevê os seguintes aspectos desta prática para as organizações da administração direta, autárquica e fundacional do Poder Executivo federal:Art. 4º São diretrizes da governança pública:[...]X - definir formalmente as funções, as competências e as responsabilidades das estruturas e dos arranjos institucionais;[...]Art. 6º Caberá à alta administração dos órgãos e das entidades, observados as normas e os procedimentos específicos aplicáveis, implementar e manter mecanismos, instâncias e práticas de governança em consonância com os princípios e diretrizes estabelecidos neste Decreto.Em 2018, o Governo Federal publicou o Guia da Política de Governança Pública (BRASIL, 2018f), para orientar a interpretação e execução do Decreto 9.203/2017, servindo de referência para os demais poderes. Esse guia esclareceu (p. 68-69) que:A alta administração tem como principal papel na execução da política de governança a implantação e a manutenção de mecanismos, instâncias e práticas de governança, em consonância com os princípios e diretrizes estabelecidos no Decreto no 9.203, de 2017 (art. 6º). [...]Por fim, é importante destacar que a observância desses patamares mínimos de governança deve, preferencialmente, ser precedida de uma análise do modelo de governança que a instituição adota e dos desafios que ela deve enfrentar para assegurar que sua ação esteja direcionada para objetivos alinhados aos interesses da sociedade.A partir do levantamento prévio dos gargalos e das fragilidades institucionais, é possível formular um plano específico e contextualizado para o aprimoramento da governança. Nesse sentido, a função da alta administração é promover as ações necessárias para que esse diagnóstico seja o mais preciso possível.A Lei 13.303/2016, que dispõe sobre o estatuto jurídico da empresa pública, sociedade de economia mista e suas subsidiárias, estabeleceu a responsabilidade dos conselhos de administração no tema:Art. 18. Sem prejuízo das competências previstas no art. 142 da Lei 6.404, de 15 de dezembro de 1976, e das demais atribuições previstas nesta Lei, compete ao Conselho de Administração:I - Discutir, aprovar e monitorar decisões envolvendo práticas de governança corporativa, relacionamento com partes interessadas, política de gestão de pessoas e código de conduta dos agentes;Estabelecer o modelo de governança implica:a) definir as instâncias internas de governança e as instâncias internas de apoio à governança. Isto pressupõe: identificá-las; avaliar se são necessárias, suficientes e apropriadas ao desempenho eficaz das funções de governança na organização ou se necessitam de aprimoramento; verificar se suas finalidades, composições e atribuições estão definidas de forma clara e se os mecanismos de articulação entre essas instâncias permitem agilidade e responsabilização no processo decisório; avaliar se os agentes que compõem tais instâncias compreendem seus papéis e responsabilidades, bem como as regras de relacionamento com os demais;b) garantir, por meio de mecanismos formais, às instâncias internas de governança e às de apoio os recursos necessários e o acesso oportuno a informações necessárias ao desempenho de suas funções;c) estabelecer a responsabilidade da mais alta instância de governança: pela aprovação e avaliação da estratégia organizacional e das políticas internas, de modo que estejam alinhadas ao interesse público; pela supervisão da gestão; e pela accountability da organização. A delegação de competências a instâncias de apoio e à gestão não retira da autoridade delegante a responsabilidade final pelos resultados produzidos;d) identificar as principais partes interessadas da organização e definir diretrizes de comunicação, transparência e prestação de contas. Ao estabelecer orientações de relacionamento com as partes interessadas, a organização pode identificar interesses conflitantes, alinhar expectativas, possibilitar melhor compreensão dos resultados esperados e custos associados, antecipar as ações necessárias à obtenção de apoio e à prevenção de reações negativas (IFAC, 2014);e) estabelecer medidas para fortalecimento da atuação pautada em padrões de ética e integridade;f) definir diretrizes para direcionar e monitorar o desempenho da gestão e acompanhar os resultados organizacionais. Os resultados devem ser medidos considerando as expectativas das partes interessadas (IFAC, 2014), que devem ser conhecidas e adequadamente endereçadas;g) garantir o balanceamento de poder e a segregação de funções na tomada de decisões críticas. Para isso, é necessário: identificar as decisões consideradas críticas e respectivas alçadas e segregação de funções; definir um limite de tempo razoável para que o mesmo indivíduo exerça uma função ou papel associado a decisões críticas de negócio; formalizar os instrumentos que suportam a atuação das instâncias e que direcionam a tomada de decisão; revisar periodicamente os processos de decisão da organização, de modo a identificar novas decisões que devam ser consideradas como críticas. O IBGC (2015, p. 70, 97 e 24) dispõe que:Os documentos organizacionais devem estabelecer um conjunto formal de alçadas de decisão e discriminar o que é de competência dos diretores, da diretoria como colegiado ou do conselho de administração.[...]A organização deve zelar pela separação e definição clara de funções, papéis e responsabilidades associadas aos mandatos de todos os agentes de governança. Devem ainda ser definidas as alçadas de decisão de cada instância, de forma a minimizar possíveis focos de conflitos de interesses.[...]1.2 Estatuto/Contrato social(...): é o contrato que, complementando a legislação, rege e estabelece a forma de funcionamento da organização, incluindo as alçadas e as atribuições de cada agente de governança. Contribui para dar transparência ao sistema de governança da organização e para fomentar a confiança nas relações com todas as partes interessadas relevantes.Deve ser dada publicidade ao modelo de governança no site oficial da organização na internet, de modo que a sociedade tenha acesso às informações sobre a composição das instâncias de governança, papéis e responsabilidades de seus membros, valores organizacionais, fluxos de informação e processos de tomada de decisão.Trata-se de um modelo dinâmico[footnoteRef:10], que deve ser revisto sempre que necessário para adaptar-se às mudanças nos ambientes internos e externos da organização e manter-se adequado ao atendimento das necessidades e expectativas das partes interessadas. [10:  Não obstante, o modelo deve atender, no âmbito da Administração direta, autárquica e fundacional do Poder Executivo federal, pelo menos ao direcionamento estabelecido no Decreto 9.203/2017, bem como às recomendações expedidas pelo Comitê Interministerial de Governança.] De forma geral, as instâncias internas de governança devem avaliar, periodicamente, se o modelo está adequado ao tamanho, negócio, complexidade e perfil de risco da organização, se incorpora as melhores práticas de governança e as diretrizes emanadas de organizações de hierarquia superior, se atende às normas internas e externas e cria as condições favoráveis ao alcance dos resultados esperados pelas partes interessadas. Para cumprir essa responsabilidade, as instâncias internas de governança devem contar com o apoio da função de auditoria interna e, quando for o caso, dos Comitês Internos de Governança.1.2 Prática: promover a integridadeIntegridade diz respeito às ações organizacionais e comportamento do agente público, referindo-se à sua adesão e alinhamento consistente aos valores, princípios e normas éticas comuns para sustentar e priorizar o interesse público sobre os interesses privados (OCDE, 2017; 2020).A prática de "promover a integridade" diz respeito à definição e promoção dos valores da organização e dos padrões de comportamento esperados dos seus membros, a começar pelo comprometimento da liderança com esses valores e condutas. Possibilita à organização fomentar a integridade das suas atividades e a das pessoas que as executam, de modo a construir e preservar sua imagem, reputação e credibilidade perante as partes interessadas (OCDE, 2017).O IIA (2019b) destaca a integridade como um dos princípios de governança que apoiam o objetivo principal das organizações públicas de servir ao interesse público, pois os cidadãos, como principais stakeholders, esperam que os agentes públicos ajam de acordo com os padrões éticos, valores e expectativas da sociedade, e que os recursos providos por ela sejam gastos adequadamente. Assim, quando informações e ações públicas não são confiáveis, a legitimidade da organização é prejudicada. Os valores e padrões de conduta estabelecidos devem promover uma cultura organizacional focada na atuação em prol do interesse da sociedade e do alcance dos objetivos da organização. Esses valores devem refletir o comportamento que os cidadãos esperam dos agentes que gerenciam recursos públicos (IFAC, 2014).Implementar os mais altos padrões de integridade profissional na administração pública é um dos compromissos firmados, em 2011, pelo Brasil com a Open Government Partnership (OGP, 2011):O governo que presta contas exige altos padrões éticos e códigos de conduta para seus funcionários públicos. Comprometemo-nos a ter políticas, mecanismos e práticas fortes contra a corrupção, garantindo a transparência na gestão do dinheiro público e das aquisições públicas e fortalecendo o estado de direito.E esse comportamento ético dos agentes públicos é um direito do usuário de serviço público assegurado na Lei 13.460/2017:Art. 5º O usuário de serviço público tem direito à adequada prestação dos serviços, devendo os agentes públicos e prestadores de serviços públicos observar as seguintes diretrizes: [...]XII - observância dos códigos de ética ou de conduta aplicáveis às várias categorias de agentes públicos;Para que os valores de integridade sejam incorporados às práticas organizacionais, é fundamental o comprometimento da liderança da organização (IBE, 2017). A OCDE (2018, 2020) destaca o comprometimento e o exemplo de gestores de alto escalão como um princípio fundamental para o fomento da integridade pública. Nesse sentido, as instâncias internas de governança devem liderar pelo exemplo ("tom do topo"), utilizando os valores estabelecidos para orientar a sua tomada de decisão (IFAC, 2014). A necessidade de a alta administração liderar pelo exemplo no fortalecimento da integridade também é destacada no Guia da Política de Governança Pública (BRASIL, 2018f, p. 44):Para além de garantir a plena efetividade do que tem sido disciplinado nesses códigos, a diretriz reitera e reforça o dever da alta administração de liderar pelo exemplo. Ainda que o grau de responsabilidade dos servidores públicos varie de acordo com as funções e atribuições próprias e também de seus respectivos órgãos e entidades, as condutas dos líderes no sentido de fortalecer a integridade na administração pública podem ser replicadas em todas as instâncias inferiores - e, ao serem voluntariamente implementadas pelas lideranças, tendem a ser mais aceitas e observadas pelos servidores.Além disso, a liderança deve garantir que programas relacionados à integridade estejam operando na organização, baseando-se, inclusive, nos principais riscos de integridade identificados, e certificar-se quanto à eficácia dessas medidas para a criação da cultura ética desejável. Para monitorar a eficácia desses programas, a liderança pode (e deve) contar com o apoio da função de auditoria interna (IIA, 2012).Para promover a integridade na organização, é necessário:a) evidenciar o apoio da liderança aos programas e políticas de integridade pública. Pressupõe compromisso formal com valores éticos e padrões de conduta a eles aplicáveis; responsabilidade pela aprovação e supervisão das diretrizes e políticas relacionadas à gestão da integridade; definição de requisitos de integridade para seleção, promoção e avaliação de desempenho desses dirigentes; treinamento periódico para aprimorar suas habilidades no julgamento de questões de integridade pública; apoio e suporte às ações de detecção, investigação e sanção a violações dos padrões de integridade pública;b) direcionar e monitorar a gestão da integridade na organização, com base nos riscos de integridade identificados. Consiste na aprovação, avaliação e supervisão das medidas de promoção da integridade. O programa de integridade, que abrange a gestão da ética, deve contemplar a definição de valores fundamentais e padrões de conduta; identificação das instâncias responsáveis pela gestão do programa e atribuição clara de responsabilidades; definição de estratégia de comunicação e de treinamento; disponibilização de canais para receber e tratar denúncias; definição de mecanismos de monitoramento e avaliação da eficácia do programa; identificação e tratamento dos riscos de integridade. Ressalte-se que a organização deve analisar, avaliar e gerenciar os riscos para a integridade, fragilidades organizacionais ou associadas ao ambiente, para evitar a ocorrência de fraudes e de desvios éticos; ec) estabelecer mecanismos de controle para evitar que preconceitos, vieses ou conflitos de interesse influenciem as decisões e as ações da liderança. Refere-se a medidas para evitar que pessoas envolvidas em possíveis conflitos de interesse participem de decisões e ações relevantes.Nesse sentido, no Brasil, a Lei 12.813/2013 disciplinou as situações que configuram conflito de interesses no exercício de cargo ou emprego do Poder Executivo federal (servindo de referência para a elaboração de normativos similares para outros Poderes e entes federativos). Além disso, a instituição do programa de integridade foi tornada obrigatória para a administração federal direta, autárquica e fundacional, por meio do Decreto 9.203/2017, nos seguintes termos:Art. 4º São diretrizes da governança pública: [...]V - fazer incorporar padrões elevados de conduta pela alta administração para orientar o comportamento dos agentes públicos, em consonância com as funções e as atribuições de seus órgãos e de suas entidades;[...]Art. 19. Os órgãos e as entidades da administração direta, autárquica e fundacional instituirão programa de integridade, com o objetivo de promover a adoção de medidas e ações institucionais destinadas à prevenção, à detecção, à punição e à remediação de fraudes e atos de corrupção, estruturado nos seguintes eixos:I - comprometimento e apoio da alta administração;II - existência de unidade responsável pela implementação no órgão ou na entidade;III - análise, avaliação e gestão dos riscos associados ao tema da integridade; eIV - monitoramento contínuo dos atributos do programa de integridade.Art. 20-A. Cabe à Controladoria-Geral da União estabelecer os procedimentos necessários à estruturação, à execução e ao monitoramento dos programas de integridade dos órgãos e das entidades da administração pública federal direta, autárquica e fundacional.A Controladoria-Geral da União (CGU), em cumprimento ao art. 20-A do Decreto 9.203, publicou manuais, guias e cartilhas para orientar as organizações do Governo Federal na implantação dos seus programas de integridade, e disponibilizou na internet o Painel de Integridade Pública, que permite o monitoramento desses programas. A Portaria CGU nº 1.089/2017 (BRASIL, 2018j), posteriormente alterada pela Portaria CGU nº 57/2019 (BRASIL, 2019e), estabeleceu procedimentos para estruturar, executar e monitorar os programas de integridade do Poder Executivo Federal.No âmbito das empresas estatais, a Lei 13.303/2016 estabeleceu medidas obrigatórias em prol da integridade, inclusive a prevenção de conflitos de interesses e a gestão de riscos de fraude e corrupção:Art. 9º [...]§ 1º Deverá ser elaborado e divulgado Código de Conduta e Integridade, que disponha sobre:I - princípios, valores e missão da empresa pública e da sociedade de economia mista, bem como orientações sobre a prevenção de conflito de interesses e vedação de atos de corrupção e fraude;II - instâncias internas responsáveis pela atualização e aplicação do Código de Conduta e Integridade;III - canal de denúncias que possibilite o recebimento de denúncias internas e externas relativas ao descumprimento do Código de Conduta e Integridade e das demais normas internas de ética e obrigacionais;IV - mecanismos de proteção que impeçam qualquer espécie de retaliação a pessoa que utilize o canal de denúncias;V - sanções aplicáveis em caso de violação às regras do Código de Conduta e Integridade;VI - previsão de treinamento periódico, no mínimo anual, sobre Código de Conduta e Integridade, a empregados e administradores, e sobre a política de gestão de riscos, a administradores.[...]Art. 12. A empresa pública e a sociedade de economia mista deverão: [...] II - adequar constantemente suas práticas ao Código de Conduta e Integridade e a outras regras de boa prática de governança corporativa, na forma estabelecida na regulamentação desta lei.[...]Art. 14. O acionista controlador da empresa pública e da sociedade de economia mista deverá:I - fazer constar do Código de Conduta e Integridade, aplicável à alta administração, a vedação à divulgação, sem autorização do órgão competente da empresa pública ou da sociedade de economia mista, de informação que possa causar impacto na cotação dos títulos da empresa pública ou da sociedade de economia mista e em suas relações com o mercado ou com consumidores e fornecedores;[...]Art. 18. Sem prejuízo das competências previstas no art. 142 da Lei 6.404, de 15 de dezembro de 1976, e das demais atribuições previstas nesta lei, compete ao Conselho de Administração: [...]II - implementar e supervisionar os sistemas de gestão de riscos e de controle interno estabelecidos para a prevenção e mitigação dos principais riscos a que esta¿ exposta a empresa pública ou a sociedade de economia mista, inclusive os riscos relacionados a¿ integridade das informações contábeis e financeiras e os relacionados a¿ ocorrência de corrupção e fraude;[...]Art. 32. Nas licitações e contratos de que trata esta lei serão observadas as seguintes diretrizes: [...] V - observação da política de integridade nas transações com partes interessadas.1.3 Prática: promover a capacidade da liderançaOs resultados de qualquer organização dependem das competências das pessoas que nela trabalham.Por isso, no contexto da governança, é fundamental mobilizar conhecimentos, habilidades e atitudes da liderança em prol da otimização dos resultados organizacionais. Assim, é importante que todos os dirigentes públicos (e os que os assessoram) sejam nomeados mediante processos transparentes e baseados em mérito; sejam responsabilizados pelo desempenho; e lhes sejam dadas oportunidades de desenvolver suas capacidades de liderança (OCDE, 2019).Promover a capacidade da liderança envolve:a) definir e divulgar as competências desejáveis ou necessárias da liderança, bem como os critérios de seleção ou escolha a serem observados. Além disso, pressupõe que o processo de seleção ou escolha seja executado de forma transparente, pautando-se pelos critérios e competências previamente definidos. Tais ações reduzem o risco de nomeação de dirigentes: sem experiência ou formação adequadas para o exercício do cargo ou função; com histórico de delitos penais, cíveis, administrativos, eleitorais, envolvimentos em atos de corrupção etc.; que não atendam aos critérios gerais previstos em lei ou em normas aplicáveis; ou que não atendam às necessidades e aos objetivos da organização;b) definir diretrizes para o desenvolvimento da liderança, além de identificar as competências desejáveis ou necessárias e aprimorá-las, considerando as oportunidades de desenvolvimento observadas. O programa de aperfeiçoamento de competências deve contemplar ações preparatórias para exercício da função; preparo para as mudanças de cenário nos ambientes interno e externo; melhoria da capacidade dos membros de avaliar os planos e decisões propostos pela gestão, apresentando opções alternativas, identificando vieses e reconhecendo quando será necessária a solicitação de consultoria externa (IFAC, 2014). Além disso, deve haver diretrizes para preenchimento das lacunas de desenvolvimento identificadas, de modo a equilibrar, quando aplicável, o desenvolvimento das habilidades dos membros atuais e a substituição deles por novos membros; c) estabelecer procedimentos para transmissão de informação e conhecimento no momento da sucessão da liderança. A alta rotatividade de líderes somada à ausência ou deficiência de regras de transição podem levar à descontinuidade na realização das atividades da liderança quando da ocorrência de afastamentos, impedimentos legais ou regulamentares, ou vacância de cargos/funções ocupados por esses dirigentes;d) definir diretrizes para a avaliação de desempenho desses membros, bem como indicadores e metas de desempenho. Implica que a avaliação seja realizada com base nos indicadores e metas previamente definidos e não limitada à autoavaliação ou a aspectos comportamentais e subjetivos. Os resultados das avaliações de desempenho alimentam o programa de aprimoramento de competências da liderança e o de recompensa, e evitam que a tomada de decisão acerca da manutenção ou destituição dos atuais líderes seja desprovida de evidências. Essa prática, a depender da organização, não é direcionada pelas instâncias internas de governança, mas por instâncias externas, pertencentes a outra organização ou estrutura de hierarquia superior; ee) definir diretrizes e conjunto de benefícios, financeiros e não financeiros, para o reconhecimento da liderança. Pressupõe que o conjunto de benefícios definido seja coerente e adequado à complexidade e responsabilidade dos papéis e funções desempenhados e que sua concessão considere tanto o resultado organizacional como o desempenho individual e coletivo. Tais ações reduzem o risco de pagamentos de gratificações de desempenho ou outros benefícios sem vinculação ao alcance de resultados. Por fim, o conjunto de benefícios concedidos deve ser divulgado às partes interessadas. Essa prática, a depender da organização, não é direcionada pelas instâncias internas de governança, mas por instâncias externas, pertencentes a outra organização ou estrutura de hierarquia superior.O Decreto 9.727/2019 normatizou aspectos desta prática para a alta administração pública federal direta, autárquica e fundacional:Art. 2º São critérios gerais para a ocupação de DAS ou de FCPE:I - idoneidade moral e reputação ilibada;II - perfil profissional ou formação acadêmica compatível com o cargo ou a função para o qual tenha sido indicado; eIII - não enquadramento nas hipóteses de inelegibilidade previstas no inciso I do caput do art. 1º da Lei Complementar 64, de 18 de maio de 1990. [...]Art. 11. Os órgãos e as entidades deverão manter atualizado o perfil profissional desejável para cada cargo em comissão do Grupo - DAS ou FCPE, de níveis 5 e 6, alocados em suas estruturas regimentais ou seus estatutos, conforme os critérios mínimos estabelecidos neste Decreto e o modelo definido em ato do Secretário Especial de Desburocratização, Gestão e Governo Digital do Ministério da Economia.§ 1º O perfil da vaga referido no caput será elaborado pelo órgão ou pela entidade em que o DAS ou a FCPE estiver alocado e deverá ser validado pela autoridade máxima do órgão ou da entidade, vedada a delegação.§ 2º Os órgãos e as entidades deverão utilizar mecanismos de transparência ativa para disponibilizar, de forma organizada e em formato aberto, os perfis de que trata o caput e o currículo do ocupante de cada cargo em comissão ou função de confiança. [...]Art. 10. As ações de capacitação e desenvolvimento de pessoal necessárias à ocupação dos cargos em comissão e das funções de confiança de que trata este Decreto constarão do plano de capacitação dos órgãos e das entidades de que trata o Decreto 5.707, de 23 de fevereiro de 2006, a partir da análise das necessidades de treinamento, aperfeiçoamento ou desenvolvimento de conhecimentos, habilidades e competências.No âmbito do Poder Judiciário, o Conselho Nacional de Justiça, por meio da Resolução 240, de 9 de setembro de 2016 (alterada pela Resolução 248, de 2018), dispôs que:Art. 5º São diretrizes para a seleção, o ingresso e a lotação de servidores: [...]VI - Prover cargos em comissão e funções de confiança mediante o atendimento a critérios previamente estabelecidos, orientados pelas necessidades do órgão, pela competência exigida pelo cargo ou função e pelo reconhecimento do mérito, promovendo, sempre que possível, processo seletivo transparente e acessível.As empresas públicas e sociedades de economia mista, bem como suas subsidiárias, também devem observar essa prática. O art. 17 da Lei 13.303/2016 estabeleceu critérios para indicação de membros de conselho de administração, diretores, inclusive diretor-geral e diretor-presidente, e ainda a obrigatoriedade de que eles participem de treinamentos específicos por ocasião da posse e anualmente. No art. 13, a lei dispôs sobre a avaliação de desempenho, individual e coletiva, de periodicidade anual, dos administradores e dos membros de comitês.2. O MECANISMO DE ESTRATÉGIA E SUAS PRÁTICASAs organizações públicas e outros entes jurisdicionados ao TCU existem para produzir políticas, bens e serviços públicos, visando ao aumento, de forma sistêmica e integrada, do bem-estar social e das oportunidades aos cidadãos. Para isso é importante traçar claramente seus objetivos, definir sua estratégia de atuação, desdobrá-la em planos de ação e acompanhar sua implementação (BRASIL, 2010).A liderança da organização é responsável por esse direcionamento estratégico (sempre orientado pelos objetivos de Estado e de Governo) e pelo monitoramento da sua execução, devendo avaliar periodicamente a adequação da estratégia por meio de mensuração do desempenho organizacional (HARVARD, 2011), acompanhar as mudanças nos ambientes interno e externo e identificar as expectativas das partes interessadas, promovendo a revisão da estratégia quando necessário (IBGC, 2015). Essa responsabilidade também é enfatizada pelo IIA (2020, p. 7):O corpo administrativo normalmente determina a direção da organização, definindo a visão, missão, valores e apetite organizacional a riscos. Em seguida, delega a responsabilidade pelo atingimento dos objetivos da organização à gestão, juntamente com os recursos necessários. O corpo administrativo recebe relatórios da gestão sobre os resultados planejados, reais e esperados, bem como relatórios sobre riscos e gerenciamento de riscos.Para estabelecer sua estratégia, a organização deve partir da cadeia de valor, da missão institucional, da visão de futuro, da análise dos ambientes interno e externo, compreendendo os tipos de riscos aos quais está exposta e estabelecendo limites aceitáveis de exposição. Daí terá condições de analisar as alternativas de estratégia disponíveis, selecionando aquela que melhor apoie a missão e visão organizacionais e promova o perfil de risco mais adequado (COSO, 2017).A estratégia deve ser desenvolvida (com orçamentos viáveis), comunicada e desdobrada para as demais unidades organizacionais, de forma que os objetivos estratégicos sejam traduzidos em objetivos, indicadores e metas para as áreas responsáveis, monitorando-se e avaliando-se sua execução. A estratégia deve ser atualizada de acordo com o aprendizado organizacional e as mudanças no ambiente (KAPLAN; NORTON, 2008). Para isso, a gestão de riscos deve estar integrada não somente à formulação da estratégia e seu planejamento, mas também à sua execução e monitoramento, nos diversos níveis organizacionais (COSO, 2017).2.1 Prática: gerir riscosDe acordo com o COSO (2017), o gerenciamento de riscos deve ser integrado ao planejamento estratégico da entidade por meio do processo de definição da estratégia e dos objetivos de negócios. Os objetivos de negócios permitem que a estratégia seja posta em prática e moldam o dia-a-dia das operações e prioridades da organização.A gestão de riscos serve para identificar e entender os riscos e manter as instâncias responsáveis informadas, para que as respostas aos riscos sejam apropriadas. Para isso, a organização precisa implantar estrutura de gestão de riscos adequada às suas necessidades, definir o processo de gestão de riscos e integrá-lo à gestão e à tomada de decisão, garantindo a alocação de recursos e a existência dos canais de comunicação necessários (ABNT, 2018).A liderança tem a responsabilidade de supervisão da gestão de riscos da organização, cabendo-lhe direcionar, monitorar e avaliar a implantação da estrutura e a integração do processo de gestão de riscos às atividades organizacionais, assegurando a sua eficácia e utilizando as informações acerca de riscos para apoiar os seus processos decisórios (IIA, 2009). Destaque deve ser dado para a gestão dos riscos considerados críticos, cujas informações subsidiam o programa de continuidade das atividades organizacionais, permitindo a elaboração de planos de recuperação dos sistemas e operações em casos de desastres (IIA, 2008).Na prática, a liderança define diretrizes e aprova a estrutura de gestão de riscos, delegando a sua implantação para a gestão e assumindo o papel de supervisão (IIA, 2009).Para apoiar esse processo de implantação das boas práticas de gestão de riscos, o IIA preconiza que: as funções de gestão são responsáveis pelo provisão de produtos e serviços aos clientes e desenvolvimento e implementação dos controles internos que respondem aos riscos (primeira linha); as funções - unidades, comitês ou outras estruturas organizacionais - de facilitação, apoio  e monitoramento sobre questões relacionadas a riscos são voltadas para garantir que processos e controles desenvolvidos estejam em prática na primeira linha e operando com eficácia (segunda linha); a função de auditoria interna (terceira linha) deve fornecer às instâncias de governança avaliação objetiva acerca da gestão e reporte dos riscos considerados críticos e do desenho e operação dos processos de gestão de riscos na organização (IIA, 2009; 2016; 2020).Gerir os riscos refere-se a:a) definir e implementar a estrutura de gestão de riscos. A estrutura exige o comprometimento da liderança com a gestão de riscos, por meio de uma política. De acordo com a ISO 31.000:2018, os objetivos e o comprometimento com a gestão de riscos devem ser formalizados numa política, declaração ou outras formas que incluam:· o propósito da organização para gerenciar riscos e vínculos com seus objetivos e outras políticas; · reforço da necessidade de integrar a gestão de riscos na cultura global da organização; · integração da gestão de riscos nas atividades principais e na tomada de decisão; atribuição de autoridades e responsabilidades;· comprometimento com a disponibilização de recursos (pessoas, métodos, ferramentas, sistemas de informação, necessidades de treinamento);· a maneira pela qual os objetivos conflitantes são tratados;· formas de medição e reporte no âmbito dos indicadores de desempenho da organização; análise crítica e melhoria. Além da política, a estrutura de gestão de riscos deve abranger:·  o estabelecimento de fluxos de comunicação para compartilhar informações e decisões acerca de gestão de riscos interna e externamente;· a definição dos limites de exposição ao risco e a formalização do processo de gestão de riscos, incluindo os critérios de análise e avaliação de riscos. Para a implementação, a ISO 31.000:2018 recomenda a conscientização de todos na organização acerca da estrutura definida para gestão de riscos e a elaboração de um plano com prazos e recursos;b) estabelecer as funções da segunda linha (facilitação, apoio e monitoramento das atividades de gestão de riscos). O IIA (2020) orienta que essas funções fornecem apoio e questionamento às decisões e ações da primeira linha, mas não são totalmente independentes da gestão. O IIA (2020) orienta ainda que deve haver colaboração e comunicação entre os papeis de primeira e segunda linhas de gestão e auditoria interna, para garantir que não haja duplicação, sobreposição ou lacunas desnecessárias. A segunda linha exerce os seguintes papeis (IIA, 2020, p. 6):Fornecer expertise complementar, apoio, monitoramento e questionamento quanto ao gerenciamento de riscos, incluindo:· Desenvolvimento, implantação e melhoria contínua das práticas de gerenciamento de riscos (incluindo controle interno) nos níveis de processo, sistemas e entidade.· O atingimento dos objetivos de gerenciamento de riscos, como: conformidade com leis, regulamentos e comportamento ético aceitável; controle interno; segurança da informação e tecnologia; sustentabilidade; e avaliação da qualidade.Fornecer análises e reportar sobre a adequação e eficácia do gerenciamento de riscos (incluindo controle interno).c) implantar o processo de gestão de riscos, que deve ser incorporado aos demais processos organizacionais, a começar do planejamento estratégico, de forma a subsidiar a tomada de decisão e assegurar o alcance dos objetivos, sejam eles estratégicos, operacionais, específicos de um projeto, processo, função, serviço, produto, ativo, ou programa (ABNT, 2018b). Considera-se que o processo de gestão de riscos está totalmente integrado à gestão quando (IIA, 2014; IBGC, 2017; BRASIL, 2018b): · os gestores foram treinados e conscientizados acerca das suas responsabilidades com respeito à gestão de riscos; · o processo é executado de maneira sistemática por toda a organização e está integrado aos objetivos estratégicos e à cadeia de valor da organização; · há registro abrangente de riscos - analisados e avaliados de acordo com os critérios definidos formalmente, revisados regularmente, com identificação do tipo, dos gestores, das ações de tratamento e das medidas de monitoramento e reporte; · os protocolos de comunicação definidos são aplicados em todas as etapas do processo; · mudanças no perfil de riscos, incidentes de risco e riscos com nível acima do apetite a risco são reportados às instâncias superiores; · processos e projetos relevantes estão identificados e são rotineiramente avaliados quanto a riscos;d) gerenciar os riscos críticos. Os riscos críticos (aqueles com potencial de impacto significativo nas operações e nos resultados) devem ser avaliados com precisão e os respectivos planos de mitigação devem ser monitorados. WALKER (2011) evidenciou como boa prática que o reporte acerca desses riscos deve ser: · adaptado às necessidades da organização; · realizado de forma rotineira e com frequência definida; · encaminhado diretamente a todos os membros das instâncias internas de governança, de forma independente da administração executiva; · confiável e suficientemente detalhado para informar à liderança acerca dos riscos críticos, mas simplificado de forma a não exagerar na quantidade de riscos considerados críticos; · completo, englobando atualizações acerca dos planos de resposta a esses riscos. Um conjunto de indicadores-chave de risco (Key risk indicators (KRI)) pode ajudar a organização a gerenciar os riscos críticos e a identificar riscos emergentes, adotando ações proativas (BASLEY et al., 2010). A função de auditoria interna tem o papel de fornecer avaliação objetiva à liderança acerca da eficácia da gestão dos riscos críticos e da qualidade dos reportes relacionados (IIA, 2009); ee) implementar um processo de gestão de continuidade de negócios, para se preparar e reduzir os efeitos de possíveis incidentes que tenham o potencial de interromper as atividades da organização, sejam provocados pelo homem (p.ex.: ataques terroristas) ou naturais (p.ex.: incêndios, inundações, terremotos, furacões e pandemias) (IIA, 2008). A ABNT (2020) orienta que a liderança aprove e comunique às partes interessadas uma política de continuidade do negócios apropriada à finalidade da organização, e atribua as responsabilidades pela gestão de continuidade de negócio na organização. A organização utiliza os resultados do processo de avaliação de riscos para definir a estratégia de proteção e recuperação das suas atividades prioritárias em caso de desastres (ABNT, 2020). A estratégia deve ser desdobrada em planos de continuidade que estabeleçam procedimentos e responsáveis, e que sejam testados. O IIA (2008) ressalta que a conscientização e o treinamento são fundamentais para o sucesso da execução dos planos de continuidade de negócios quando ocorrem os desastres.O Decreto 9.203/2017 (BRASIL, 2017) e a Lei das Estatais (BRASIL, 2016) abordam diversos aspectos dessa prática a serem observados pelas organizações da administração federal direta e indireta, com ênfase para o papel da alta administração. O Decreto 9.203/2017 dispõe, de forma contundente, em seus artigos 2º e 17, que cabe à alta administração (ministros, inclusive), estabelecer, direcionar, monitorar e aprimorar o processo e os sistemas de gestão de riscos e controles internos:Art. 2º Para os efeitos do disposto neste Decreto, considera-se:[...]IV - gestão de riscos - processo de natureza permanente, estabelecido, direcionado e monitorado pela alta administração, que contempla as atividades de identificar, avaliar e gerenciar potenciais eventos que possam afetar a organização, destinado a fornecer segurança razoável quanto à realização de seus objetivos.[...]Art. 17. A alta administração das organizações da administração pública federal direta, autárquica e fundacional deverá estabelecer, manter, monitorar e aprimorar sistema de gestão de riscos e controles internos com vistas à identificação, à avaliação, ao tratamento, ao monitoramento e à análise crítica de riscos que possam impactar a implementação da estratégia e a consecução dos objetivos da organização no cumprimento da sua missão institucional, observados os seguintes princípios:I - implementação e aplicação de forma sistemática, estruturada, oportuna e documentada, subordinada ao interesse público;II - integração da gestão de riscos ao processo de planejamento estratégico e aos seus desdobramentos, às atividades, aos processos de trabalho e aos projetos em todos os níveis da organização, relevantes para a execução da estratégia e o alcance dos objetivos institucionais;III - estabelecimento de controles internos proporcionais aos riscos, de maneira a considerar suas causas, fontes, consequências e impactos, observada a relação custo-benefício; eIV - utilização dos resultados da gestão de riscos para apoio à melhoria contínua do desempenho e dos processos de gerenciamento de risco, controle e governança.A Lei das Estatais (Lei n. 13.303/2016) prevê que:Art. 6º O estatuto da empresa pública, da sociedade de economia mista e de suas subsidiárias deverá observar regras de governança corporativa, de transparência e de estruturas, práticas de gestão de riscos e de controle interno, composição da administração e, havendo acionistas, mecanismos para sua proteção, todos constantes desta lei.[...]Art. 9º A empresa pública e a sociedade de economia mista adotarão regras de estruturas e práticas de gestão de riscos e controle interno que abranjam:I - ação dos administradores e empregados, por meio da implementação cotidiana de práticas de controle interno;II - área responsável pela verificação de cumprimento de obrigações e de gestão de riscos;III - auditoria interna e Comitê de Auditoria Estatutário. [...]§ 2º A área responsável pela verificação de cumprimento de obrigações e de gestão de riscos deverá ser vinculada ao diretor-presidente e liderada por diretor estatutário, devendo o estatuto social prever as atribuições da área, bem como estabelecer mecanismos que assegurem atuação independente..2 Prática: estabelecer a estratégiaKluyver e Pearce (2015) admitem que não há uma definição simples e descritiva para estratégia[footnoteRef:11], mas conseguem apresentar as suas principais dimensões, declarando que a estratégia não é sinônimo de visão, missão, objetivos, prioridades e planos, e sim o resultado das escolhas feitas com o objetivo de criar e maximizar valor a longo prazo para as partes interessadas. É o resultado de escolhas sobre: a maneira como a organização irá atuar; quem serão seus clientes e quais necessidades deles serão atendidas; que benefícios tangíveis e intangíveis irá oferecer aos seus clientes e outras partes interessadas; como os recursos serão alocados, e redes de parcerias e capacidades internas serão desenvolvidas para apoiar a entrega desses benefícios; qual estrutura organizacional e políticas de gestão serão adotadas para apoiar a proposta de valor escolhida. [11:  Segundo Mintzberg et al. (2000, 2007), por muitos anos, a estratégia foi vista como produto de deliberação: primeiro formulada de forma explícita e depois implementada. Porém, a execução era feita mediante estratégias emergentes (não expressamente pretendidas, mas formadas em resposta a determinadas circunstâncias não previstas). Por isso, para os autores, a estratégia não deve ser puramente deliberada e nem puramente emergente, pois a primeira ignoraria o aprendizado da implementação, numa tentativa frustrada de prever tudo com antecedência; e a segunda impediria o controle. Para eles, a estratégia se forma gradualmente, com a quebra de limites entre formulação e implementação, em que "deliberação e controle" se conjugam com "flexibilidade e aprendizado organizacional", o que seria possível com canais de comunicação abertos e eficazes.] Kaplan e Norton (2008) afirmam que o desenvolvimento da estratégia envolve o conhecimento da razão de existência da organização e o que ela busca para o futuro; o entendimento sobre o contexto em que ela está inserida, ou seja, seus ambientes interno e externo e o desempenho da estratégia existente; os riscos aos quais é capaz de se expor e as oportunidades que pode aproveitar; suas principais capacidades internas e seus gargalos; quem são suas partes interessadas e clientes, e qual proposta de valor a ser entregue a eles.A liderança da organização é responsável por estabelecer a estratégia e deve incentivar o pensamento estratégico por meio de: desenvolver visão sistêmica do ambiente externo; construir sólida rede de relacionamentos de alto nível; atentar para oportunidades que possam potencializar os resultados organizacionais; fomentar o pensamento crítico; aproveitar as informações que surgem de canais informais na organização; incentivar a adoção de projetos-piloto (IBGC, 2017b). Devem ser evitados os inibidores do pensamento estratégico, tais como: excesso de atenção a assuntos operacionais; inércia em tempos de bonança; previsões estratégicas simplistas como projeções do passado. O planejamento estratégico deve traduzir o pensamento estratégico, por meio de: codificar a estratégia formulada (expressá-la claramente para que seja comunicada de forma objetiva), planejar a estratégia (traduzi-la em temas, objetivos, indicadores, metas, limites de tolerância), e desdobrar a estratégia em planos de ação para as demais unidades organizacionais, indicando recursos e responsáveis (KAPLAN, NORTON, 2008; MINTZBERG, 2007b; COSO, 2017). Atualmente, nota-se aumento da atenção aos métodos ágeis como abordagem para o processo de planejamento (CAVALCANTE, 2020).  Para dirigir o processo de planejamento estratégico, a liderança deve estabelecer diretrizes quanto à: compreensão e ponderação dos interesses das partes interessadas; observação do apetite a risco definido; necessidade de coordenação com outras organizações[footnoteRef:12]; consideração das políticas públicas governamentais nas quais a organização esteja inserida e prioridades traçadas pelo Governo. [12:  Por exemplo, outras instâncias do Governo, outros poderes ou entes federados.] Estabelecer a estratégia engloba:a) definir o modelo de gestão da estratégia, considerando aspectos como: transparência e envolvimento das partes interessadas; alinhamento com as diretrizes e prioridades (de Estado ou de Governo); consideração das políticas públicas e programas de governo pelos quais a organização seja responsável ou esteja diretamente envolvida na implementação; integração do processo de gestão de riscos à gestão da estratégia. Tal modelo deve estimular o pensamento estratégico e orientar o planejamento, a comunicação, a execução, o monitoramento, a avaliação e a revisão da estratégia. Deve explicitar como as instâncias internas de governança participam da avaliação, direcionamento e monitoramento dos resultados e como as partes interessadas são envolvidas e comunicadas sobre essas atividades. Nesse sentido, o IIA (2019b, p. 13) observa que:Como os recursos são limitados e devem ser alocados a atividades específicas, as organizações públicas geralmente devem se alinhar e incorporar a política geral do Estado em seus planos estratégicos e operacionais com orçamento devido [...] a liderança das organizações públicas deve criar políticas operacionais para garantir que atinjam as metas da política do governo e cumpram com a legislação relacionada.b) definir a estratégia da organização. Consiste em fazer escolhas e estabelecer prioridades, a partir de evidências. Essas escolhas e prioridades devem suportar a missão, a visão e os valores fundamentais da organização, compreendendo objetivos, indicadores e metas de desempenho. Pressupõe o envolvimento das partes interessadas na formulação da estratégia; a consideração de orientações e deliberações dos órgãos de controle e das diretrizes e prioridades (de Estado e de Governo); a identificação das prioridades e políticas públicas de responsabilidade da organização ou nas quais a organização esteja envolvida. Contempla: os orçamentos relacionados aos objetivos; unidades internas (ou externas) que contribuem para o alcance de cada objetivo e responsáveis pela coordenação; indicadores para cada objetivo com respectivas linhas de base e metas; previsão de aferição periódica dos indicadores; publicação, na internet, do plano estratégico organizacional, excepcionados os casos de sigilo amparados pela legislação aplicável à organização.Normativos nacionais trazem a obrigatoriedade de as organizações da administração federal direta e indireta formularem suas estratégias.A Lei 13.303/2016 prevê que:Art. 23 [...]§ 1º Sem prejuízo do disposto no caput, a diretoria deverá apresentar, até a última reunião ordinária do Conselho de Administração do ano anterior, a quem compete sua aprovação: [...]II - estratégia de longo prazo atualizada com análise de riscos e oportunidades para, no mínimo, os próximos 5 (cinco) anos.§ 2º Compete ao Conselho de Administração, sob pena de seus integrantes responderem por omissão, promover anualmente análise de atendimento das metas e resultados na execução do plano de negócios e da estratégia de longo prazo, devendo publicar suas conclusões e informá-las ao Congresso Nacional, às Assembleias Legislativas, à Câmara Legislativa do Distrito Federal ou às Câmaras Municipais e aos respectivos tribunais de contas, quando houver.§ 3º Excluem-se da obrigação de publicação a que se refere o § 2º as informações de natureza estratégica cuja divulgação possa ser comprovadamente prejudicial ao interesse da empresa pública ou da sociedade de economia mista.O Decreto 9.203/2017 aborda a questão para as organizações da administração pública federal direta, autárquica e fundacional:Art. 5º São mecanismos para o exercício da governança pública: [...]II - estratégia, que compreende a definição de diretrizes, objetivos, planos e ações, além de critérios de priorização e alinhamento entre organizações e partes interessadas, para que os serviços e produtos de responsabilidade da organização alcancem o resultado pretendido; [...]Art. 17. A alta administração das organizações da administração pública federal direta, autárquica e fundacional deverá estabelecer, manter, monitorar e aprimorar sistema de gestão de riscos e controles internos com vistas à identificação, à avaliação, ao tratamento, ao monitoramento e à análise crítica de riscos que possam impactar a implementação da estratégia e a consecução dos objetivos da organização no cumprimento da sua missão institucional, observados os seguintes princípios: [...]II - integração da gestão de riscos ao processo de planejamento estratégico e aos seus desdobramentos, às atividades, aos processos de trabalho e aos projetos em todos os níveis da organização, relevantes para a execução da estratégia e o alcance dos objetivos institucionais.2.3 Prática: promover a gestão estratégicaEsta prática trata do desdobramento da estratégia nas diversas unidades organizacionais, e de sua execução e eventuais ajustes no planejamento. É a comunicação eficaz e implementação da estratégia, a fim de que o planejamento das operações esteja alinhado verticalmente com a estratégia organizacional e articulado horizontalmente com as demais unidades, de modo a gerar a sinergia necessária à entrega de valor pretendido. A prática é essencial para a execução da estratégia, pois cada unidade organizacional traduz os objetivos estratégicos em objetivos e metas para as suas respectivas áreas, desenvolvendo planos que apoiem as prioridades da organização.Kaplan e Norton (2008) destacaram que uma estratégia visionária não vinculada a excelentes processos operacionais e de governança é impossível de se implementar, e que o alinhamento das unidades organizacionais é fundamental para o sucesso na implementação da estratégia. O desdobramento da estratégia deve englobar as unidades de negócio, as quais devem apresentar suas estratégias às unidades de suporte - como recursos humanos, finanças, contratações, tecnologia da informação - para explicar como elas podem contribuir para o alcance dos objetivos de negócio. As unidades de suporte alinham então seus objetivos às estratégias de negócios e à estratégia organizacional para atender de forma efetiva às necessidades de seus clientes internos (KAPLAN; NORTON, 2006).Promover a gestão estratégica pressupõe:a) a identificação das unidades ou funções finalísticas e de suporte. Porter (1989) traz o conceito de cadeia de valor, classificando as atividades da organização como primárias (logísticas interna e externa, operações, marketing e vendas, serviços) ou de apoio (aquisições, tecnologia, recursos humanos, infraestrutura, planejamento, finanças, contabilidade, administração, assessoria jurídica). Kaplan e Norton (2006) diferenciam as unidades finalísticas e de apoio pelo objetivo destas de apoiar aquelas, e pelos tipos de clientes, que são quase sempre internos nas de apoio. Diferentes contextos organizacionais, no entanto, podem apresentar funções diversas em suas cadeias de valor;b) o estabelecimento do modelo de gestão dessas unidades, de forma a evitar incoerências entre os seus processos e atividades. Implica definir diretrizes claras para que se orientem nos exercícios de suas atribuições, e atribuir responsabilidade e autoridade aos seus membros;c) a definição de objetivos, indicadores e metas para cada unidade ou função alinhados com a missão, visão e estratégia organizacionais, e com as estratégias das demais unidades. As estratégias das unidades devem ser elaboradas de forma proativa e articulada com as demais unidades, considerar decisões de alocação de recursos e ser comunicadas claramente dentro da organização e para partes interessadas externas (excepcionados os casos de sigilo legalmente amparados). As metas devem ser claras, mensuráveis, e ter responsáveis e prazos definidos; ed) a definição do modelo de monitoramento da estratégia, que permita acompanhamento contínuo da evolução dos indicadores e dos planos de ação, viabilizando ações corretivas e retroalimentando a estratégia sempre que necessário.2.4 Prática: monitorar o alcance dos resultados organizacionais Cabe à liderança a responsabilidade de implementar as formas de criação de valor para a sociedade, de acordo os propósitos de criação e as competências de sua organização.Segundo o Decreto 9.203/2017, art. 6º, parágrafo único, compete à alta administração implementar instâncias, mecanismos e práticas de governança, incluindo nesse arcabouço, no mínimo, formas de acompanhamento de resultados, soluções para melhoria do desempenho das organizações e instrumentos de promoção do processo decisório fundamentado em evidências. É a liderança que dirige a organização para a produção de resultados, como se vê nos arts. 4º e 5º do referido Decreto:Art. 4º São diretrizes da governança pública:I - direcionar ações para a busca de resultados para a sociedade, encontrando soluções tempestivas e inovadoras para lidar com a limitação de recursos e com as mudanças de prioridades; [...]III - monitorar o desempenho e avaliar a concepção, a implementação e os resultados das políticas e das ações prioritárias para assegurar que as diretrizes estratégicas sejam observadas; [...]XI - promover a comunicação aberta, voluntária e transparente das atividades e dos resultados da organização, de maneira a fortalecer o acesso público à informação.Art. 5º São mecanismos para o exercício da governança pública:I - liderança, que compreende conjunto de práticas de natureza humana ou comportamental exercida nos principais cargos das organizações, para assegurar a existência das condições mínimas para o exercício da boa governança, quais sejam:a) integridade;b) competência;c) responsabilidade; ed) motivação; (grifos nossos) [...]No âmbito federal, para auxiliá-la na consecução dessas diretrizes, a alta administração é orientada a manter Comitês Internos de Governança, que têm como competência, entre outras:Art. 15-A. São competências dos comitês internos de governança, instituídos pelos órgãos e entidades da administração pública federal direta, autárquica e fundacional:I - auxiliar a alta administração na implementação e na manutenção de processos, estruturas e mecanismos adequados à incorporação dos princípios e das diretrizes da governança previstos neste Decreto;II - incentivar e promover iniciativas que busquem implementar o acompanhamento de resultados no órgão ou na entidade, que promovam soluções para melhoria do desempenho institucional ou que adotem instrumentos para o aprimoramento do processo decisório (Decreto 9.203/2017, grifos nossos).O acompanhamento de resultados deve permitir verificar se (adaptado de INTOSAI (2019)):a) os objetivos estabelecidos estão sendo adequados ao atendimento das necessidades identificadas (relevância da atuação organizacional);b) os objetivos estão sendo atingidos (eficácia);c) os recursos disponíveis estão sendo empregados de forma econômica (economicidade);d) os resultados imediatos alcançados estão sendo maximizados com relação aos recursos empregados (eficiência);e) os resultados diretos e indiretos estão contribuindo para solucionar os problemas identificados (efetividade e impacto).Para monitorar o alcance dos resultados organizacionais, a liderança deve garantir:a) que a execução da estratégia é periodicamente monitorada por meio de rotinas projetadas para aferir o alcance de metas, para tratar as situações de não alcance de metas e para relatar às partes interessadas os resultados alcançados;b) que os principais processos pelos quais a estratégia é implementada sejam periodicamente avaliados quanto à eficiência, que as ineficiências encontradas sejam tratadas, e que as partes interessadas tomem conhecimento dos resultados dessas avaliações; ec) que os efeitos da execução da estratégia sejam periodicamente avaliados para saber se os problemas priorizados estão sendo resolvidos e se estão aparecendo efeitos colaterais indesejáveis, que ajustes na estratégia sejam adotados para reduzir os efeitos indesejáveis e maximizar os efeitos desejados, e que as partes interessadas tomem conhecimento dos efeitos produzidos.2.5 Prática: monitorar o desempenho das funções de gestão  Essa prática está diretamente relacionada à prática 2.3 "Promover a gestão estratégica", pois o monitoramento do desempenho das funções de gestão pressupõe que os objetivos, indicadores e metas (específicas, mensuráveis, alcançáveis, relevantes e com prazos definidos) das unidades de negócio e de suporte estejam definidos, alinhados à estratégia organizacional, comunicados e alinhados entre elas. Kaplan e Norton (2006) citam os acordos de serviços estratégicos, que definem níveis de serviço, produtos e custos negociados entre as unidades de suporte e as unidades de negócio, como meios de alinhar os esforços dessas unidades e monitorar o desempenho.A liderança é responsável por monitorar o desempenho das funções de gestão e informar as partes interessadas acerca do desempenho organizacional. Para isso, recebe relatórios da gestão (atividade de "controlar" executada pela gestão). Para que o controle da gestão gere informações precisas, confiáveis e tempestivas para a liderança, faz-se necessário definir rotinas de monitoramento do progresso no alcance das metas, e atribuir as responsabilidades pela execução dessas rotinas, incluindo a aferição dos indicadores, a periodicidade e formato dos relatórios da gestão. O Guia Técnico de Gestão Estratégica do Governo Federal orientou que o monitoramento dos processos finalísticos da cadeia de valor seja realizado mensalmente (BRASIL, 2020c); e que as informações decorrentes subsidiem o monitoramento e a avaliação da estratégia organizacional, atividades que, conforme disposto pela IN 24/2020 (BRASIL, 2020b), para os órgãos e as entidades da administração pública federal devem ser realizadas, no mínimo, a cada trimestre (Art. 7º).  O guia alerta para a necessidade de que a elaboração da estratégia e o monitoramento da sua execução estejam alinhados com o PPA (BRASIL, 2020c, p.4):O cenário atual de austeridade econômica é uma excelente oportunidade para fortalecer a gestão estratégica nos órgãos e entidades da Administração Pública Federal (APF). A simplificação e o novo formato do Plano Plurianual (PPA), que exige a elaboração de planos estratégicos institucionais por parte de todos os órgãos da administração pública federal, demandará mais realismo do ponto de vista orçamentário e das capacidades organizacionais, desenvolvidas em harmonia com os planos setoriais e os demais planos nacionais.[...]Articular ações de curto, médio e longo prazo e desenvolver uma visão sistêmica do planejamento na APF, alinhando as estratégias organizacionais às diretrizes da Estratégia Nacional de Desenvolvimento Econômico e Social (ENDES), aos programas do PPA 2020-2023, ao orçamento e aos diferentes subsistemas administrativos, como a gestão orçamentária e financeira.O monitoramento do desempenho das funções de gestão deve ser realizado de maneira sistemática e contínua, para proporcionar a tomada de decisão com base em evidências, corrigindo desvios, identificando oportunidades de melhoria e casos de sucesso e promovendo o aprendizado, a fim de orientar as ações da gestão em prol do alcance dos objetivos definidos. O monitoramento da gestão também fornece insumos para a avaliação da estratégia organizacional. Esta prática implica:a) estabelecimento das rotinas para o levantamento das informações necessárias ao monitoramento; b) implantação dos indicadores de desempenho;c) monitoramento da execução dos planos vigentes quanto ao alcance das metas estabelecidas; d) definição do formato e periodicidade dos relatórios de gestão gerados para a liderança; ee) definição do formato e periodicidade dos relatórios gerados para as partes interessadas e publicação desses relatórios na internet.3. O MECANISMO DE CONTROLE E SUAS PRÁTICAS[footnoteRef:13] [13:  O mecanismo "controle" não se refere à atuação da unidade de controle interno ou de correição. Remete às práticas que têm o potencial de promover o controle das organizações públicas pelas partes interessadas. São práticas voltadas para estimular a responsabilidade das organizações e dos agentes públicos, e ainda para criar mecanismos que garantam que eles sejam responsabilizados por suas ações.] Os cidadãos delegam ao setor público o poder para gerir os recursos públicos e alcançar os resultados esperados. Em contrapartida, as organizações do setor público devem prestar contas aos cidadãos, demonstrando que administraram os recursos a elas confiados em conformidade com os princípios éticos, diretrizes estabelecidas pelo governo e normas aplicáveis. Assim, o controle sobre como os recursos públicos estão sendo empregados e se as metas estão sendo atingidas é um requerimento da sociedade e só é viável se houver práticas de transparência e de prestação de contas eficazes.Os cidadãos devem ter acesso a informações que lhes possibilitem conhecer o que acontece nas organizações e entender o que elas planejam fazer, o que têm realizado de fato e quais resultados têm alcançado, para poderem assim se posicionar a respeito. Além disso, os cidadãos devem estar convencidos de que eventuais desvios do interesse público serão devidamente apurados e tratados.A auditoria interna é instrumento essencial para proteger o valor das organizações públicas (e de outros entes jurisdicionados ao TCU) na entrega de bens, serviços e políticas públicas aos cidadãos, pois tem o papel de avaliar objetivamente a eficácia dos processos de governança implementados, a execução dos planos, orçamentos e programas de governo, e se as organizações gerenciam adequadamente os seus riscos adotando controles eficazes para minimizá-los. A INTOSAI (2013, p. 4) declara que a auditoria contribui para a boa governança:· fornecendo aos usuários previstos, com independência, informações objetivas e confiáveis, conclusões ou opiniões baseadas em evidência suficientes e apropriada, relativas às entidades públicas; · aperfeiçoando a accountability e a transparência, promovendo melhorias contínuas e permanente confiança no uso apropriado de recursos e bens públicos e no desempenho da administração pública;· fortalecendo a efetividade dos órgãos que, dentro do ordenamento constitucional, exercem funções gerais de controle e correição sobre o governo, bem como dos responsáveis pela gestão de atividades financiadas com recursos públicos;· criando incentivos para mudança ao proporcionar conhecimento, análises abrangentes e recomendações bem fundamentadas para aprimoramentos.3.1 Prática: promover a transparência A Constituição Federal de 1988, no seu art. 5º, XXXIII c/c art. 37, §3º, II, já considerava o acesso à informação um direito fundamental do cidadão. Em 2011, o Brasil firmou o compromisso de aumentar a disponibilidade sobre as atividades governamentais, como signatário do Open Government Partnership (OGP, 2011). Desde então, a legislação brasileira tem avançado nessa direção, estabelecendo regras para promoção da transparência na Administração Pública.No mesmo ano, a Lei de Acesso à Informação (LAI, Lei 12.527/2011) regulou o direito constitucional de acesso à informação, obrigando União, estados, Distrito Federal e municípios (incluindo entidades privadas sem fins lucrativos que recebam recursos públicos) a observarem procedimentos para garantia desse direito à sociedade.A LAI possibilitou o exercício do direito de acesso por qualquer pessoa (art. 10), garantindo gratuidade da informação (art. 12), limitando os prazos para atendimento das solicitações (art. 11) e possibilitando o recurso em caso de negativas (art. 11, §4º). Obrigou a criação de serviços de acesso à informação (SIC) físicos e eletrônicos (arts. 10 e 11); impediu exigências exageradas de identificação e ainda a apresentação de justificativas para os pedidos (art. 10, §1º e 2º); previu a responsabilização de agentes públicos pela inobservância da lei (art. 32), e até de pessoas físicas e entidades privadas que detiverem informações em virtude de vínculo de qualquer natureza com o poder público (art. 33).A LAI estabeleceu a publicidade como regra e o sigilo como exceção (rol de sigilo limitado pelos artigos 22, 23 e 31); a divulgação de informações de interesse público, independentemente de solicitações; e o desenvolvimento da cultura de transparência e do controle social da administração pública.Os arts. 7º e 8º da LAI obrigaram que os sítios oficiais das organizações mantivessem informações íntegras, autênticas, atualizadas e disponíveis em formato aberto. A normatização a respeito de dados abertos foi ampliada para o Governo Federal em 2012, com a instituição da Estrutura Nacional de Dados Abertos (INDA) (BRASIL, 2012d), e depois, em 2016, com a publicação da Política de Dados Abertos do Poder Executivo federal (Decreto 8.777/2016), cuja gestão passou a ser coordenada pela CGU a partir de 2019 (Decreto 9.903/2019). Cada órgão e entidade da administração federal direta, autárquica e fundacional deve elaborar e executar um Plano de Dados Abertos, de acordo com os requisitos postos pelo art. 5º do Decreto 8.777/2016.Em 2017, o Decreto 9.203 definiu a transparência como princípio da governança pública, e estabeleceu, como uma das diretrizes da governança, a promoção da comunicação aberta, voluntária e transparente das atividades e dos resultados da organização, de maneira a fortalecer o acesso público à informação.Promover a transparência implica:a) assegurar transparência ativa e passiva às partes interessadas, admitindo-se o sigilo, como exceção, nos termos da lei. Envolve identificar as exigências normativas e jurisprudenciais de publicidade e as demandas por informação das partes interessadas. Relaciona-se, ainda, com a definição, pelas instâncias internas de governança, de diretrizes para disponibilização de informações relacionadas à área de atuação da organização e comunicação com as diferentes partes interessadas. Significa não apenas ter serviços de acesso à informação, mas torná-los eficazes; não apenas publicar informações, mas garantir que sejam confiáveis, claras, íntegras e tempestivas; e avaliar a satisfação das partes interessadas com a transparência da organização. Esse propósito depende da atuação proativa da ouvidoria ou estrutura similar para analisar as demandas externas e utilizar os resultados da análise para subsidiar os gestores no aprimoramento dos serviços prestados e dos processos organizacionais, conforme previsto nos artigos 13 e 14 da Lei 13.460/2017 (BRASIL, 2017b). Como resultado, espera-se que as partes interessadas reconheçam que suas necessidades de informação foram atendidas;b) disponibilizar os dados de forma aderente aos princípios de dados abertos, para facilitar o manuseio e a análise das informações. Requer a publicação e execução do plano de dados abertos, e o monitoramento do cumprimento desse plano. O art. 5º da Política de Dados Abertos do Poder Executivo federal é uma fonte de boas práticas para a elaboração do plano de dados abertos (BRASIL, 2016b). Essa norma prevê que o plano aborde, no mínimo os seguintes tópicos:I - criação e manutenção de inventários e catálogos corporativos de dados; II - mecanismos transparentes de priorização na abertura de bases de dados [...]; III - cronograma relacionado aos procedimentos de abertura das bases de dados, sua atualização e sua melhoria; IV - especificação clara sobre os papéis e responsabilidades das unidades do órgão ou entidade da administração pública federal relacionados com a publicação, a atualização, a evolução e a manutenção das bases de dados; V - criação de processos para o engajamento de cidadãos, com o objetivo de facilitar e priorizar a abertura da dados, esclarecer dúvidas de interpretação na utilização e corrigir problemas nos dados já disponibilizados; VI - demais mecanismos para a promoção, o fomento e o uso eficiente e efetivo das bases de dados pela sociedade e pelo Governo.3.2 Prática: garantir a accountabilityA liderança é responsável por garantir que a implementação do modelo de governança pública inclua mecanismos de accountability (prestação de contas e responsabilização), em contexto de transparência que lhes garanta a efetividade em direção ao interesse da sociedade e que garanta o acesso a todas as informações de interesse público, e não somente daquelas previamente obrigatórias por norma (IFAC, 2014; IBGC, 2015; OCDE, 2018).A INTOSAI declara que a accountability e a transparência são dois elementos importantes para a boa governança. Segundo a ISSAI 20, a transparência é uma força poderosa que, quando aplicada de forma consistente, pode ajudar a combater a corrupção, melhorar a governança e promover a accountability (INTOSAI, 2010).Garantir a accountability é uma prática que está, portanto, diretamente relacionada à promoção da transparência (prática 3.1), existindo até uma sobreposição entre as duas, principalmente quanto ao primeiro elemento da accountability: a prestação de contas. Decidiu-se, no entanto, abordá-las separadamente neste Referencial para destacar que  a promoção da transparência isoladamente não garante a accountability, pois esta última exige que os responsáveis informem e justifiquem suas decisões no que tange à gestão dos recursos públicos, e ainda que as estruturas e processos organizacionais garantam que eles sejam responsabilizados por suas ações.A legislação brasileira tem avançado no tema, trazendo a obrigatoriedade de que sejam disponibilizadas informações acerca da atuação das pessoas e das organizações que gerem recursos públicos. A Lei de Responsabilidade Fiscal (LRF, Lei Complementar 101/2000) trouxe regras para a prestação de contas da gestão fiscal a todos os entes federativos, determinando, em seu art. 48, a ampla divulgação, inclusive por meios eletrônicos, de: planos; orçamentos; leis de diretrizes orçamentárias; prestações de contas e respectivos pareceres prévios; relatórios resumidos da execução orçamentária; relatórios de gestão fiscal; e as versões simplificadas desses documentos. Em 2009, a Lei Complementar 131 acrescentou dispositivos à LRF, incentivando a participação da sociedade no planejamento e acompanhamento dos gastos públicos e obrigando todos os entes da Federação a disponibilizarem, em tempo real e em meios eletrônicos de acesso público, informações referentes à execução orçamentária e financeira (art. 48 e 48-A). O descumprimento pode impedir o ente de receber transferências voluntárias (art. 73-C c/c art. 23, § 3º, I).A LAI, por sua vez, inovou ao não limitar a prestação de contas a dados fiscais, mas ampliá-la para todas as atividades exercidas pelos órgãos e entidades, inclusive às relativas a: políticas, estrutura organizacional e serviços; implementação, acompanhamento e resultados de programas, projetos, ações, indicadores e metas propostos; resultados de inspeções, auditorias, prestações e tomadas de contas realizadas pelos órgãos de controle interno e externo (arts. 7º e 8º).O Decreto 7.724/2012 (BRASIL, 2012), que regulamentou a LAI para a Administração Pública Federal (APF), obrigou os órgãos e entidades federais a divulgarem informações individualizadas acerca de remuneração e subsídio recebidos por ocupante de cargo, posto, graduação, função e emprego público, incluindo auxílios, ajudas de custo, proventos de aposentadoria e pensões (art. 7º, VI). O Decreto também detalhou o rol de informações a serem divulgadas para acompanhamento da gestão: programas, projetos, ações, obras e atividades, com indicação da unidade responsável, principais metas e resultados e, quando existentes, indicadores de resultado e impacto; licitações realizadas e em andamento, com editais, anexos e resultados, além dos contratos firmados e notas de empenho emitidas.Em 2016, a Lei 12.813, em seu art. 11, estabeleceu a divulgação diária, na internet, da agenda de compromissos públicos de: ministros de Estado; ocupantes de cargos de natureza especial ou equivalente e do Grupo-Direção e Assessoramento Superiores - DAS, níveis 6 e 5 ou equivalentes; presidente, vice-presidente e diretor, ou equivalentes, de autarquias, fundações públicas, empresas públicas ou sociedades de economia mista.A Lei das Estatais (Lei 13.303/2016) estabeleceu para as empresas públicas e sociedades de economia mista, a obrigação de divulgar: relatório integrado ou de sustentabilidade anual; carta anual de governança corporativa; política de distribuição de dividendos; política de transações com partes relacionadas; política de divulgação de informações; informações tempestivas e atualizadas de dados econômico-financeiros, fatores de risco, políticas e práticas de governança corporativa (art. 8º); forma de remuneração dos administradores (art. 12); execução de seus contratos e orçamento (art. 88).O segundo elemento da accountability - a responsabilização - decorre diretamente da competência recebida para gerir os recursos que provêm dos cidadãos, o que implica também a responsabilidade pelo seu eventual mau uso (IIA, 2019b).Para garantir a responsabilização, as organizações devem estabelecer mecanismos que possibilitem a clara atribuição de papéis e responsabilidades e a identificação e apuração de ilícitos, bem como a instauração (ou a requisição às instâncias competentes pela instauração) dos procedimentos necessários à apuração de irregularidades, e a aplicação de sanções nos casos pertinentes.Por isso, é necessário prover os meios para que a organização tome conhecimento das irregularidades e desvios éticos cometidos pelos agentes públicos. A OCDE (2017) recomenda a disponibilização de canais alternativos para apresentação de denúncias, com possibilidade de sigilo ao denunciante e garantia de que a organização pública tenha competência e capacidade para investigar a denúncia.A eficácia dos canais de denúncia está ligada diretamente à facilidade para denunciar (BRASIL, 2018h) e a uma cultura organizacional em que os gestores, servidores e empregados possam fazer denúncias baseadas em evidências, sem temer represálias (IBE, 2017). A ausência de medidas de proteção ao denunciante ou a dificuldade de reportar a denúncia levam à desmotivação para denunciar.Não basta, no entanto, ter meios apenas para identificar os ilícitos. A organização precisa implantar mecanismos para tratar essas informações, possibilitar a punição dos responsáveis e a redução de potenciais danos. O CIPFA (2014) cita os componentes de uma estratégia efetiva de combate à fraude e corrupção, dentre eles: implementar mecanismos eficazes de denúncia de irregularidades; aplicar sanções e buscar reparação, incluindo recuperação de ativos e prejuízos financeiros.A falta de mecanismos apropriados para apurar irregularidades e tomar as medidas necessárias à sanção dos responsáveis impossibilita as organizações de darem efetividade às normas reguladoras de conduta e de recuperarem ou reduzirem prejuízos financeiros causados por fraude e corrupção. A inércia no tratamento de denúncias pode gerar um ambiente propício para irregularidades e a propagação de atos de fraude e corrupção por longos períodos, além de impactar negativamente a reputação e a credibilidade da organização, que passa a imagem de omissão perante os ilícitos cometidos.O Decreto 6.029/2007 instituiu o Sistema de Gestão da Ética para o Poder Executivo federal, além de regular as competências e a atuação coordenada das comissões de ética dos órgãos e entidades da administração direta e indireta.A atividade de correição no Poder Executivo federal foi detalhada no Decreto 5.480/2015, tendo como órgão central do sistema a Corregedoria-Geral da União (CRG). Em 2018, o então Ministério da Transparência e Controladoria-Geral da União publicou a IN nº 14 (BRASIL, 2018i), que regulamentou o decreto para todos os órgãos e entidades do Poder Executivo, orientando acerca de procedimentos correcionais para apuração de irregularidades administrativas cometidas por servidores ou empregados públicos. A IN CGU nº 13/2019 (BRASIL, 2019c) tratou de procedimentos de responsabilização de entes privados que venham a praticar atos lesivos contra a Administração Pública, englobando os previstos nas leis 12.846/2013 (Lei Anticorrupção) e 8.666/1993 (Lei das Licitações), e em outras normas que tratam de licitações e contratos e ainda as infrações administrativas por comportamento inidôneo ou pela prática de fraude ou simulação.No âmbito dos demais poderes, as comissões e comitês de ética, os comitês gestores dos códigos e conduta, e os conselhos de ética e decoro parlamentar atuam no tratamento de desvios éticos. As atividades de correição são executadas por: corregedorias; corregedorias parlamentares; corregedorias gerais da justiça federal, eleitoral e do trabalho, e corregedoria da justiça militar; Corregedoria Nacional de Justiça; corregedorias-regionais; comissões disciplinares permanentes e outros órgãos de correição, conforme legislação aplicável a essas organizações.Cabe mencionar também a atuação das seguintes organizações:a) Secretaria Federal de Controle, da Controladoria-Geral da União, na comprovação da legalidade e avaliação dos resultados, quanto à eficácia e eficiência, da gestão orçamentária, financeira e patrimonial nos órgãos e entidades da administração federal, bem como da aplicação de recursos públicos por entidades de direito privado (art. 74 CF/1988; art. 20 da Lei 10.180/2001);b) Tribunal de Contas da União, na apreciação e julgamento das contas dos administradores e demais responsáveis por dinheiros, bens e valores públicos da administração direta e indireta, incluídas as fundações e sociedades instituídas e mantidas pelo Poder Público federal, e as contas daqueles que derem causa a perda, extravio ou outra irregularidade de que resulte prejuízo ao erário público (art. 71 da CF/1988; art. 1º da Lei 8.443/1992);c) Polícia Federal, na apuração de infrações penais contra bens, serviços e interesses da União ou de suas entidades autárquicas e empresas públicas (art. 144, § 1º, da CF/1988); d) Ministério Público, na promoção de ações penais públicas, nos casos de crime contra a Administração Pública, bem como inquéritos civis e a ações civis públicas para proteção do patrimônio público (art. 129 da CF/88; Código Penal, título XI); também, sequestro de bens e propositura de ação civil por ato de improbidade administrativa (art. 17 da Lei 8.429/1992).Cada organização deve identificar as instâncias responsáveis pela apuração de desvios éticos e ilícitos administrativos, e pelas medidas e encaminhamentos necessários à responsabilização dos ilícitos que também tenham repercussão nas esferas civil e penal. Cabe ainda avaliar se a atuação dessas instâncias compreende não somente os atos cometidos pelos seus servidores ou empregados, mas também os praticados por membros de conselhos e da alta administração.Os textos dos códigos de ética e dos normativos que tratam de apuração e responsabilização de ilícitos podem estar dispersos e não ser suficientemente detalhados para orientar os servidores e empregados envolvidos nas comissões processantes, de sindicância e de investigação. É necessária, assim, a compilação da legislação pertinente e o detalhamento desses normativos, com padrões mínimos para a correta execução, de modo a gerar segurança nas suas ações, e evitar repetição de erros e omissão de passos essenciais. A organização deve evitar, portanto, apurar ilícitos de forma assistemática, dependendo somente dos conhecimentos prévios das comissões designadas. Da mesma forma, deve buscar harmonização e simplificação de normas relacionadas a conduta, para que não surjam conflitos e superposições entre as esferas disciplinar e da gestão ética, ou mesmo entre os diversos códigos de conduta a que o servidor está sujeito. Garantir a accountability contempla:a) prestar contas da atuação organizacional, de acordo com a legislação vigente e demandas da sociedade. A prestação de contas não deve se restringir aos relatórios entregues aos órgãos de controle, nem a disponibilizar à sociedade somente o que está imposto em norma, mas garantir que estejam disponíveis, em locais de amplo acesso (como a internet), as informações de interesse geral, e que essas possibilitem uma avaliação do valor que a organização entrega à população. A organização pode fomentar o controle social do que tem sido planejado e alcançado por ela, ao publicar os extratos dos planos de sua responsabilidade e ainda os respectivos relatórios de acompanhamento (excepcionados os casos de restrição de acesso amparados pela legislação), de forma que a sociedade possa tomar conhecimento dos desdobramentos desses planos na organização, e acompanhar o alcance de objetivos e metas e a evolução dos indicadores. As informações às quais a organização se compromete a dar transparência podem ser disponibilizadas no Portal Brasileiro de Dados Abertos, de modo a concentrar os dados num só lugar e facilitar a busca dos interessados;b) estabelecer canal para recebimento de manifestações das partes interessadas. Pressupõe diretrizes que orientem o recebimento, encaminhamento e tratamento das manifestações. Pressupõe ainda a existência de política que garanta a não retaliação a denunciantes de boa fé e sanção aos que produzirem falsa denúncia. O canal deve ser amplamente divulgado para os públicos interno e externo, e possibilitar o sigilo do denunciante nos termos da lei. Cada denúncia recebida deve ser analisada em processo individual, e as referentes à liderança superior devem ser destinadas a uma instância superior de governança. Como resultado, espera-se que o público alvo reconheça a disponibilidade, adequação e eficácia do canal de manifestações;c) designar as instâncias responsáveis por apurar (mediante denúncia ou de ofício) e tratar desvios éticos e infrações disciplinares cometidos por gestores, servidores ou empregados da organização; observados os princípios do contraditório e da ampla defesa;d) padronizar procedimentos para orientar a apuração e tratamento de desvios éticos, de ilícitos administrativos e de atos lesivos cometidos por pessoas jurídicas contra a organização (exemplos: sindicâncias, processos administrativos disciplinares; processos administrativos de responsabilização; tomada de contas especial). Os procedimentos também devem abordar os encaminhamentos de resultados das apurações aos órgãos competentes quando necessário, como, por exemplo: encaminhar ao MPF, RFB, CGU e TCU resultados de sindicâncias patrimoniais (art. 10 do Decreto 5.483/2005); representar às organizações competentes para providências nas esferas civil e penal (arts. 154 e 171 da Lei 8.112/1990; art. 16 da Lei 8.429/1992; art. 15 da Lei 12.846/2013); encaminhar à CGU os resultados das sindicâncias e procedimentos disciplinares (art. 5º do Decreto 5.480/2005); informar ao TCU e ao MPF acerca de procedimento administrativo instaurado para apurar ato de improbidade (art. 15 da Lei 8.429/92); comunicar à Comissão de Ética Pública (CEP) situações que possam configurar descumprimento das normas de conduta da Alta Administração (art. 7º do Decreto 6.029/2007);e) capacitar as equipes que compõem as comissões processantes, bem como as de sindicância e de investigação. Tal medida reduz o risco de nulidades formais nos procedimentos correcionais e o consequente impedimento de punir os responsáveis; ef) adotar meios de simplificação de apuração e punição de faltas de menor potencial ofensivo, estimulando termos de ajustes de conduta e outros mecanismos que reduzam o custo administrativo de processamento de falhas menores em relação a questões mais relevantes. 3.3 Prática: avaliar a satisfação das partes interessadas Esta prática implica monitorar e avaliar a imagem da organização perante as partes interessadas, bem como a satisfação destas com bens, serviços e políticas sob responsabilidade da organização, cuidando que ações de melhoria sejam implementadas, sempre que necessário.A ABNT NBR ISO 9001:2015 (ABNT, 2015), que trata do sistema de gestão da qualidade, orienta que a organização deve determinar os requisitos para os produtos e serviços a serem por ela oferecidos, observando a regulamentação aplicável; e que deve monitorar a percepção dos clientes quanto ao grau em que suas necessidades e expectativas foram atendidas. Orienta ainda que as inconformidades identificadas, incluindo as provenientes de reclamações dos usuários, devem ter suas causas determinadas para que ações corretivas apropriadas sejam adotadas.A Emenda Constitucional nº 19, de 1998, elevou o princípio da eficiência da administração pública ao patamar constitucional e estabeleceu diretrizes para o consequente direito do usuário do serviço público, como ficou estabelecido na Constituição Federal:Art. 37. A administração pública direta e indireta de qualquer dos Poderes da União, dos Estados, do Distrito Federal e dos Municípios obedecerá aos princípios de legalidade, impessoalidade, moralidade, publicidade e eficiência e, também, ao seguinte: [...]§ 3º A lei disciplinará as formas de participação do usuário na administração pública direta e indireta, regulando especialmente:I - as reclamações relativas à prestação dos serviços públicos em geral, asseguradas a manutenção de serviços de atendimento ao usuário e a avaliação periódica, externa e interna, da qualidade dos serviços; [...]Art. 175. Incumbe ao Poder Público, na forma da lei, diretamente ou sob regime de concessão ou permissão, sempre através de licitação, a prestação de serviços públicos.Parágrafo único. A lei disporá sobre: [...]II - os direitos dos usuários; [...]IV - a obrigação de manter serviço adequado (grifos nossos).A Lei 13.460/2017 (regulamentando o art. 37, §3º, I da CF88) dispôs sobre participação, proteção e defesa dos direitos do usuário dos serviços públicos da administração pública e estabeleceu um conjunto de ações para o alinhamento da prestação dos serviços às efetivas necessidades da sociedade. Esse importante normativo exigiu, ainda, absoluta transparência das ações organizacionais por meio de divulgação de carta de serviços ao usuário, documento que deve trazer informações claras e precisas de cada um dos serviços prestados e de padrões de qualidade prometidos:Art. 6º São direitos básicos do usuário:I - participação no acompanhamento da prestação e na avaliação dos serviços; [...]Art. 7º Os órgãos e entidades abrangidos por esta Lei divulgarão Carta de Serviços ao Usuário. Para avaliar a satisfação das partes interessadas, a organização deve:a) elaborar, divulgar e manter atualizada Carta de Serviços ao Usuário contendo informações claras e precisas em relação a cada serviço prestado. Essa é uma condição necessária para que haja a avaliação, pois como o usuário vai avaliar os serviços prestados se ele não souber quais serviços a organização se compromete a prestar?b) identificar os requisitos a serem considerados para a prestação dos serviços, incluindo os demandados pelos usuários e os requeridos pelos normativos aplicáveis, assegurando-se de que sejam atendidos;c) realizar pesquisas de satisfação dos usuários, comunicando amplamente os resultados dessas pesquisas e utilizando os seus resultados para promover melhorias na prestação dos serviços.3.4 Prática: assegurar a efetividade da auditoria internaA auditoria interna deve aumentar e proteger o valor organizacional, fornecendo avaliação, assessoria e conhecimento objetivos baseados em riscos. A atividade de auditoria interna agrega valor quando oferece maneiras de aprimorar os processos de governança, gestão de riscos e de controle (IIA, 2017).As expectativas para a função da auditoria interna, bem como seus objetivos e responsabilidades, devem ser acordados com a liderança e definidos formalmente no estatuto da auditoria. O estatuto deve ser aprovado pela liderança, e contemplar as regras de funcionamento e organização da auditoria; estabelecer o nível de autoridade adequado para o acesso a registros, propriedades físicas e pessoal; garantir a independência da atividade por meio do acesso direto e irrestrito à alta administração e reporte funcional ao conselho ou colegiado superior; tratar da objetividade dos seus membros e da avaliação e melhoria da qualidade das suas atividades (IIA, 2019).A atividade de auditoria presta serviços de avaliação e consultoria para apoiar a liderança na sua responsabilidade de supervisionar a gestão.Os serviços de avaliação dos processos de governança fornecem informações objetivas sobre o desenvolvimento e eficácia desses processos, verificando se eles promovem: processos decisórios consistentes; supervisão efetiva dos processos de gestão de riscos e controles; valores de ética e integridade na organização; gestão do desempenho organizacional e prestação de contas; o fluxo das informações acerca de riscos e controle às áreas competentes na organização; e a comunicação eficaz entre as instâncias de governança e a gestão (IIA, 2019).Os serviços de avaliação dos processos de gestão de risco e controles permitem compreender esses processos na organização e verificar: adequação do desenho e eficácia da operação; se os processos atendem às necessidades estratégicas da organização; a adequação da gestão e reporte dos riscos críticos, incluindo a eficácia dos controles e outras respostas a esses riscos; se os planos de tratamento de riscos estão sendo executados; e  se o progresso está sendo reportado (IIA, 2010).Apesar das normas de auditoria interna abordarem em títulos separados os serviços de avaliação dos processos de governança, gestão de riscos e controles, a auditoria interna deve ter o entendimento de que esses processos não são independentes, mas inter-relacionados. Deve compreender também que as opiniões acerca desses processos não são necessariamente desenvolvidas com trabalhos específicos, mas baseadas nas informações obtidas de diversas atividades de auditoria realizadas ao longo do tempo e ainda nas provenientes de outras fontes de informação: trabalhos de prestadores externos de serviços de avaliação, como órgãos de controle e regulação; autoavaliações realizadas pela gestão; avaliações realizadas pela segunda linha de defesa; e ocorrências e incidentes de risco na organização (IIA, 2019).Os serviços de consultoria, cuja natureza e escopo são acordados com o cliente, devem ser realizados com as salvaguardas necessárias à manutenção da independência da auditoria interna e objetividade dos auditores, mas são fundamentais quando os processos de governança e de gestão de riscos e controles não estão amadurecidos na organização. Os serviços de consultoria podem contemplar atividades de orientação, assessoria, facilitação e capacitação, como por exemplo: oferecer treinamentos nos temas de governança, riscos, ética e controles; participar de forças-tarefa; atuar como facilitadores em sessões de avaliação de riscos e controles da gestão; disponibilizar ferramentas e técnicas utilizadas para analisar riscos e controles; facilitar grupos de discussão; promover o desenvolvimento de uma linguagem, estrutura e entendimento comuns acerca de riscos e controles (IIA, 2009; 2019).A auditoria interna, na condução das suas atividades, também avalia o potencial de ocorrência de fraude e como a organização gerencia o risco de fraude. O IIA (2009b) orienta que, embora a gestão e o conselho tenham a responsabilidade final pela dissuasão de fraude, os auditores internos podem auxiliá-los a verificar se a organização tem controles internos adequados e se promove ambiente de controle adequado.O art. 18 do Decreto 9.203/2017 destaca o papel da auditoria interna governamental de adicionar valor e melhorar as operações das organizações para o alcance de seus objetivos, realizando trabalhos de avaliação e consultoria, adotando abordagem baseada em riscos e promovendo a prevenção, detecção e investigação de fraudes praticadas por agentes públicos ou privados na gestão de recursos públicos federais.A Lei das Estatais (BRASIL, 2016), no art. 9º, § 3º, estabeleceu que a auditoria interna deve estar vinculada ao Conselho de Administração e ter a responsabilidade de aferir a adequação do controle interno, a efetividade do gerenciamento dos riscos e dos processos de governança e a confiabilidade do processos necessários ao preparo de demonstrações financeiras.É importante destacar que a auditoria interna no setor público apresenta algumas especificidades que a diferencia da auditoria das corporações privadas com fins lucrativos. A primeira é quanto à proposta de adicionar valor. O IIA (2019b) orienta que a auditoria interna das organizações públicas considere, na sua proposta de adicionar valor: o dever dessas organizações de buscar o bem comum e defender os princípios da boa governança de prestação de contas; eficiência, eficácia e equidade na entrega de bens e serviços públicos; transparência e integridade. Os auditores que atuam nesse contexto devem avaliar se as organizações públicas estão em conformidade com as obrigações legais e éticas para com seus constituintes públicos e se os recursos estão sendo utilizados de forma eficaz e eficiente.O IIA (2019b) esclarece que os auditores internos que atuam no setor público devem avaliar e propor melhorias na governança, na gestão de riscos e nos controles internos da gestão, mas alerta que essas responsabilidades possuem, no contexto público, um escopo mais amplo e riscos adicionais, pois envolvem, por exemplo: o reporte sobre economia, eficiência e eficácia do uso dos recursos; avaliação se os planos, orçamentos e políticas da organização são projetados e operam de forma que lhes permita atingir os objetivos da política governamental e/ou programa; atenção especial ao nível de integridade na organização e à eficácia dos processos de governança na promoção da ética e valores apropriados dentro da organização; identificação de casos de ineficiência e desperdício, potencial corrupção e abusos de autoridade e poder.No Poder Executivo federal, os órgãos e unidades que executam atividade de auditoria interna compõem o Sistema de Controle Interno (SCI) têm o dever constitucional (art. 74 da Constituição Federal de 1988) e legal (art. 20 da Lei 10.180/2001) de fiscalizar a utilização dos recursos públicos e avaliar a execução dos programas de governo e o cumprimento das metas previstas no plano plurianual. Para orientar a realização dessas atividades pela auditoria interna, especificamente quanto à apuração de fatos e atos ilegais ou irregulares, a IN SFC 3/2017 e o Manual de Orientações Técnicas da Atividade de Auditoria Governamental do Poder Executivo federal, aprovado pela IN SFC 8/2017, estabeleceu um terceiro tipo de serviço, além da avaliação e da consultoria, chamado de "apuração" (BRASIL, 2017c; 2017e).No Poder Judiciário, as Resoluções CNJ nº 308 e 309, ambas de 2020, trouxeram diretrizes para as atividades de auditoria interna e padronizaram procedimentos, alinhando-os com a Estrutura Internacional de Práticas Profissionais (IPPF) (BRASIL 2020e; 2020f). A efetividade da atuação da auditoria interna está diretamente relacionada à consideração dos riscos no planejamento das suas atividades. As normas de auditoria preconizam que as prioridades da atividade de auditoria interna devem estar consistentes com as metas da organização. Para elaborar o plano de auditoria, o chefe de auditoria deve se reunir com a liderança a fim de obter um entendimento das estratégias e objetivos organizacionais, riscos associados e ainda sobre a maturidade dos processos de gestão de riscos da organização. Essa abordagem ajuda a definir o universo de auditoria e os possíveis trabalhos a ser realizados (IIA, 2019).Nesse sentido, as IN SFC 3 e 8 de 2017 estabeleceram que os órgãos e unidades que integram o SCI e as auditorias internas singulares dos órgãos e entidades do Poder Executivo federal (Audin) considerem, ao planejar os seus trabalhos, as estratégias, os objetivos, as metas institucionais da unidade auditada e os riscos a que os processos dela estão sujeitos, além das expectativas dos destinatários dos trabalhos de auditoria, quais sejam: a alta administração, os gestores das organizações e das entidades públicas federais e a sociedade. A IN SFC 8/2017 bem colocou que, somente dessa forma, os trabalhos de auditoria estarão alinhados às reais demandas das unidades auditadas e poderão contribuir de forma tempestiva e efetiva, em assuntos relevantes, críticos e/ou estratégicos para a organização (BRASIL, 2017c; BRASIL, 2017e). Tal prática foi prevista também para o Poder Judiciário, no art. 32 da Resolução CNJ 309/2020 (BRASIL, 2020f).Os resultados dos trabalhos de auditoria interna devem ser comunicados à liderança, a quem cabe acompanhar e discutir sobre as recomendações e garantir que sejam adotadas as providências necessárias. Se a auditoria interna entender que a gestão aceitou um nível de risco que pode ser inaceitável, ela deve discutir o caso com a alta administração e, se a questão não for resolvida, deve comunicá-la ao conselho ou colegiado superior (IIA, 2019). Essas disposições foram incorporadas à IN SFC 3/2017. Normalmente existem políticas e protocolos de comunicação para orientar a auditoria interna sobre quem deve receber os resultados dos trabalhos. No contexto das organizações públicas, no entanto, a auditoria interna deve conhecer os requisitos da legislação brasileira e de outros normativos aplicáveis à transparência desses reportes. A IN SFC 8/2017 orientou as organizações do Poder Executivo acerca dos encaminhamentos dos resultados de cada tipo de serviço prestado pela auditoria interna.As recomendações da auditoria interna devem levar em conta os possíveis custos de sua implementação e preservar a autonomia do gestor para a busca de soluções menos onerosas e efetivas para a resolução das deficiências identificadas.O desempenho da atividade de auditoria interna deve ser avaliado por programa de avaliação e melhoria da qualidade e por meio de métricas que permitam medir a eficiência e eficácia da sua atuação (IIA, 2010b). O IIA (2011) recomenda que o estabelecimento das métricas de desempenho seja feito por um grupo que inclua a alta administração, assim como o conselho.Cabe citar novamente as IN SFC 3 e 8 de 2017, bem como as Resoluções CNJ 308 e 309 de 2020, como fontes de boas práticas, pois preveem que as unidades de auditoria interna instituam formalmente um programa de gestão e melhoria da qualidade (PGMQ) e comuniquem periodicamente os resultados à alta administração e ao conselho, se houver. O PGMQ deve contemplar indicadores de desempenho e feedback de gestores e de partes interessadas quanto à relevância, à qualidade e ao valor agregado pela atividade de auditoria interna. As normas preveem ainda que as comunicações devem conter os resultados das avaliações internas e externas, as fragilidades encontradas que possam comprometer a qualidade da atividade de auditoria interna e os respectivos planos de ação corretiva, se for o caso.Cabe mencionar a existência de modelos de maturidade para a atividade de auditoria interna, a exemplo do Modelo de Capacidade de Auditoria Interna (IA-CM), reconhecido pelo IIA e pelo Banco Mundial (IIA, 2009c). A seguir são citados exemplos de ações que a liderança pode adotar para assegurar para a efetividade da auditoria interna:a) informar a auditoria interna acerca das estratégias, objetivos e prioridades organizacionais, riscos relacionados, expectativas das partes interessadas, processos e atividades relevantes para que essas informações possam ser consideradas na elaboração dos planos de auditoria interna;b) promover o acompanhamento sistemático das recomendações da atividade de auditoria interna, discutindo acerca dos resultados dos trabalhos, garantindo a adoção das providências necessárias e registrando formalmente eventuais decisões de não implementar determinadas recomendações da auditoria interna; ec) apoiar o programa de avaliação e melhoria da qualidade da auditoria interna, contribuindo para a definição dos principais indicadores de desempenho e avaliando o valor que a atividade de auditoria interna agrega à organização.CAPÍTULO 6. PERSPECTIVAS DO TCU ACERCA DE GOVERNANÇAA primeira ocorrência do termo 'Governança' em acórdãos do TCU foi em 2001 e a sua utilização vem crescendo bastante, especialmente a partir de 2013, como se pode observar na Fonte: elaboração própria.Mas qual é o conceito de governança adotado pelo TCU?Como já exposto no Capítulo 2, governar significa originariamente dar direção para um destino. Assim, estar desgovernado significa estar sem destino estabelecido ou sem capacidade para chegar ao lugar almejado, a exemplo do que acontece ao navio quando seu capitão não estabelece o rumo ou quando seu leme está inoperante.Nesse sentido geral, a governabilidade seria a capacidade de estabelecer uma direção e de efetivamente implementá-la para alcançar o destino almejado; enquanto a governança adicionaria a preocupação com a legitimidade da direção e da forma de alcançá-la, exigindo a participação das partes interessadas e transparência e prestação de contas (accountability) dos responsáveis pelo direcionamento, de modo a maximizar a probabilidade de que o resultado (destino e o modo de alcançá-lo) traga os benefícios esperados aos interessados (adaptado de MATIAS-PEREIRA, 2018).Assim, governança é um termo abrangente, amplamente utilizado em diversos setores da sociedade e na literatura acadêmica com diferentes conceitos, dependendo da área ou perspectiva de aplicação (adaptado de MATIAS-PEREIRA, 2018).Os exemplos a seguir são úteis para perceber a influência da perspectiva na conceituação de governança:1. Governança corporativa: sistema pelo qual as organizações são dirigidas e controladas (CAMBRIDGE, 1992; ABNT, 2018b); conjunto de mecanismos de convergência de interesses de atores direta e indiretamente impactados pelas atividades das organizações (LA PORTA, 2000), mecanismos esses que protegem os investidores externos da expropriação pelos internos (gestores e acionistas controladores) (LA PORTA et al., 2000); estrutura (administrativa, política, econômica, social, ambiental, legal e outras) posta em prática para garantir que os resultados pretendidos pelas partes interessadas sejam definidos e alcançados (IFAC, 2014);1. Governança pública: sistema que determina o equilíbrio de poder entre os envolvidos - cidadãos, representantes eleitos (governantes), alta administração, gestores e colaboradores - com vistas a permitir que o bem comum prevaleça sobre os interesses de pessoas ou grupos (adaptado de MATIAS-PEREIRA, 2010);1. Governança global: conjunto de instituições, mecanismos, relacionamentos e processos, formais e informais, entre Estado, mercado, cidadãos e organizações, internas ou externas ao setor público, por meio dos quais os interesses coletivos são articulados, direitos e deveres são estabelecidos e diferenças são mediadas (WEISS; THAKUR, 2010).Em publicação recente do Instituto de Pesquisa Econômica Aplicada (IPEA) dedicada ao tema da governança pública, ressalta-se a dificuldade em conceituar governança:Esse cenário de disputa e confusão conceitual não é exclusividade do contexto nacional, uma vez que é comum, tanto nos governos e organismos multilaterais quanto na academia, coexistirem visões que nem sempre são convergentes. (CAVALCANTE, P.; PIRES, R.R.C. in IPEA, 2018, p. 5)O conceito de governança, por si só, é polissêmico e polêmico, e seu uso ampliado e vago, tanto no debate público quanto no acadêmico, termina, por vezes, esvaziando seus contornos. Essa polissemia é explicada, entre outros fatores, pela produção multidisciplinar do campo de análise de políticas públicas. (BICHIR, R. in IPEA, 2018, p. 49)A elasticidade conceitual de "governança" tornou-se um problema, com uma grande proliferação de vários tipos de governança gerando uma imensa confusão semântica e conceitual. No mais das vezes, governança aparece como sinônimo contemporâneo de gestão ou de governar aplicado a muitos possíveis objetos (empresas, governos, organizações, políticas), com (ou sem) critérios ou condições (que frequentemente caracterizam uma alegada "boa governança"). (MARTINS, H.F. in IPEA, 2018, p. 57)Mas, para Humberto Falcão Martins, é possível identificar três eixos de significação para governança:Uma tentativa de depuração do campo semântico e conceitual para se chegar à "governança para resultados" pressupõe a existência de distintos eixos de significação no vasto emaranhado da "governança". Um primeiro eixo de significação provém da governança corporativa. Um segundo eixo coloca a governança no sentido político-institucional, de qualidades e capacidades institucionais para o "bom governo". Um terceiro eixo refere-se à "governança pública" como um paradigma de administração pública (Aguilar, 2006) ou como um "regime de implementação de políticas e prestação de serviços públicos" (Osborne, 2010). Estes eixos possuem diferenciações de significado, mas podem compartilhar algum chão em comum, relacionado ao processo de tomada de decisão e implementação de algo. Com efeito, nos três eixos de significação governança aparece como condução de empresas (e outros tipos de organizações), condução de países e condução do trato de problemas públicos complexos. (MARTINS, H.F. in IPEA, 2018, p. 57)BREVE HISTÓRICO DA FORMAÇÃO DAS PERSPECTIVAS ADOTADAS NO TCU PARA OBSERVAÇÃO DA GOVERNANÇADiante da variação de perspectivas (eixos de significação) e de conceitos, o TCU compilou, de fontes nacionais e internacionais, os elementos necessários para a composição e publicação de referenciais teóricos que dessem suporte aos trabalhos de controle externo da Administração Pública Federal e de outros entes jurisdicionados ao Tribunal, ao mesmo tempo em que fornecessem aos gestores públicos orientações para melhoria da gestão pública.Com base nessas compilações, o TCU adota perspectivas de observação da governança que se alinham aos três eixos de significação citados por Humberto Falcão Martins (in IPEA, 2018, p. 57):a) Perspectiva Organizacional (ou corporativa), chamada no RBG 2.0 (BRASIL, 2014) de perspectiva de órgãos e entidades e de atividades intraorganizacionais, que trata do desempenho individual das organizações públicas e outros entes jurisdicionados ao TCU;b) Perspectiva de Políticas Públicas, chamada no RBG 2.0 de perspectiva dos entes federativos, esferas de poder e políticas públicas, que trata do desempenho dos programas e políticas públicas, levando em conta a extensa rede de interações entre entes públicos e privados para sua realização; ec) Perspectiva de Centro de Governo, chamada no RBG 2.0 de perspectiva de sociedade e Estado, que trata do direcionamento que o governo é capaz de dar à nação e da sua legitimação perante as partes interessadas.Perspectiva organizacionalA origem da atenção do TCU à perspectiva organizacional, objeto deste Referencial, remonta a trabalhos pioneiros realizados em temas transversais ao serviço público como Tecnologia da Informação, Pessoal e Aquisições Logísticas. O primeiro levantamento de perfil de governança de TI aconteceu em 2007/2008, resultando no Acórdão 1.603/2008-TCU-Plenário, sucedido pelo Acórdão 2.471/2008-TCU-Plenário. Levantamentos na área de pessoal e aquisições logísticas foram realizados em 2013 e em 2016. Em todos esses levantamentos, os questionários continham perguntas relativas à governança e gestão geral da organização, como no aspecto do planejamento estratégico e no aspecto das auditorias internas.Diante do impacto positivo dos levantamentos de perfil de governança de TI, inclusive junto aos gestores de TI, o mesmo tipo de trabalho foi iniciado, em 2013, pela Secretaria de Controle Externo de Aquisições Logísticas (Selog) e pela Secretaria de Fiscalização de Pessoal (Sefip), em suas respectivas áreas de atuação, tendo sido realizados levantamentos em 2013 e em 2016. Em todos esses três levantamentos os questionários, encaminhados para centenas de organizações públicas e outros entes jurisdicionados ao TCU, continham perguntas relativas à governança e gestão geral da organização, como no aspecto do planejamento estratégico e no aspecto das auditorias internas.Em 2014 e 2015, contando com apoio da Associação dos Membros dos Tribunais de Contas (ATRICON), por meio de seu braço acadêmico, o Instituto Rui Barbosa (IRB), o TCU resolveu separar, dos questionários anteriores, a parte relativa à governança e gestão geral das organizações e desenvolvê-la em um questionário próprio, baseado no seu Referencial Básico de Governança aplicável a órgãos e entidades da Administração Pública (BRASIL, 2014). Este novo levantamento envolveu as esferas federal, estadual e municipal, sendo convidados à participação mais de doze mil entes públicos. Dessa experiência participaram 8.190 dirigentes máximos e obtiveram-se 7.770 respostas válidas, sendo 7.390 delas nas esferas estadual ou municipal. Este movimento dos tribunais de contas colocou o tema da governança na pauta dos três poderes, nas três esferas, e alcançou grande repercussão nacional.Em 2016 e 2017, percebendo que havia sobrecarga dos gestores públicos com quatro questionários de governança, o TCU decidiu integrar todos os questionários em um só instrumento de visão corporativa ou organizacional. Foram eliminadas as redundâncias e as questões não essenciais ou de aplicabilidade restrita. Uma equipe de professores doutores do Centro de Estudos Avançados de Governo e Administração Pública da Universidade de Brasília (CEAG/UnB), liderada pelo Prof. Dr. Paulo Carlos Du Pin Calmon, auxiliou na revisão de fundamentação e redação de cada questão, além de proceder, de modo independente, aos testes junto a gestores públicos convidados para criticar e melhorar o questionário.O novo questionário foi aplicado com sucesso em 2017 e um versionamento dele para incluir aspectos de combate à fraude e à corrupção foi aplicado em 2018.A aplicação dos questionários abrange, em 2020[footnoteRef:14], cerca de 430 organizações públicas e outros entes jurisdicionados ao TCU e é acompanhada da disponibilização do referencial que fundamenta o questionário como um todo e cada questão individualmente, um manual de preenchimento do questionário, uma lista de perguntas frequentes e o modo de contato com a equipe do TCU para esclarecimentos. Além disso, realizam-se eventos de lançamento do questionário e de encerramento do ciclo com apresentação de resultados, para os quais são convidados os dirigentes máximos das organizações respondentes, como forma de sensibilização. As informações resultantes dos levantamentos estão publicadas no portal de Governança Pública do TCU[footnoteRef:15], na aba "Organizacional". [14:  Em 2018, foram colhidas respostas de 498 organizações. No entanto, a partir de 2019, a redução do número de ministérios e a forte desestatização na administração indireta conduziu à revisão da tabela de organizações abrangidas pelos levantamentos de governança organizacional.]  [15:  https://portal.tcu.gov.br/governanca/governancapublica/] Apenas a título de exemplo, os resultados do levantamento de 2018 sugerem que a maioria das organizações públicas evoluiu bastante na prática de planejamento estratégico desde 2007 (Fonte: elaboração própria.Perspectiva de políticas públicasA atenção do TCU à perspectiva de políticas públicas remonta à criação da Secretaria de Fiscalização e Avaliação de Programas de Governo (Seprog), no final do ano 2000. Os trabalhos anteriores do Tribunal para avaliação de políticas públicas (em cooperação técnica com o Reino Unido) já havia demonstrado ser esta uma importante vertente do controle externo, em resposta às demandas da sociedade e do Congresso Nacional. Ao longo dos anos, foram desenvolvidas técnicas de auditoria mais avançadas e visões mais abrangentes dos problemas de formulação e avaliação das políticas públicas.Em 2014, com apoio da Organização para a Cooperação e Desenvolvimento Econômico (OCDE), o TCU consolidou o Referencial para Avaliação de Governança em Políticas Públicas (BRASIL, 2014b), cujo modelo geral de oito dimensões avaliáveis é apresentado na A dimensão institucionalização aborda a formalização da política pública, com o estabelecimento de normas, processos decisórios, identificação dos atores envolvidos, suas competências e recursos. Os planos e objetivos tratam da operacionalização das ações e definição de objetivos e metas para a consecução da política. A participação demonstra a importância de envolver as partes interessadas para dar legitimidade e eficácia à política. A capacidade organizacional é o ponto de maior interseção com a perspectiva organizacional de governança, pois versa sobre a necessidade de que cada organização envolvida na formulação e implementação da política pública tenha processos e estruturas apropriados para executar a sua parte, e direcionar suas ações para alcançar os resultados esperados, acompanhando e informando a sociedade acerca do seu desempenho. A coordenação e coerência discorre sobre a importância de articular as ações para evitar sobreposição de esforços e assim gerar a sinergia adequada ao alcance dos resultados pretendidos. O monitoramento e avaliação tratam do acompanhamento contínuo da implementação da política por meio de indicadores e da avaliação dos resultados da intervenção. Gestão de riscos e controle interno abordam o processo de identificação, avaliação e tratamento de riscos no desenvolvimento e implementação da política. Por último (accountability), a obrigação de prestar contas e dar transparência sobre as operações e resultados alcançados pela política pública, garantindo a responsabilização dos atores envolvidos.Fonte: BRASIL (2014b, p. 41).Esse Referencial suporta metodologicamente os Relatórios de Políticas e Programas de Governo (RePP), elaborados anualmente em atendimento à Lei de Diretrizes Orçamentárias (LDO). As informações resultantes dos trabalhos em governança de políticas públicas estão publicadas no portal de Governança Pública do TCU[footnoteRef:16], na aba "Políticas Públicas". [16:  https://portal.tcu.gov.br/governanca/governancapublica/] Cabe mencionar também, no contexto de governança de políticas públicas, os Guias Práticos de Avaliação de Políticas Públicas ex ante e ex post, publicados pelo Governo Federal em 2018 (BRASIL,2018k; 2018l). Esses guias trazem orientações práticas para as análises a serem realizadas quando da formulação das políticas e ao longo da implementação. Perspectiva de Centro de GovernoO Centro de Governo é o conjunto de instâncias que fornece apoio ao chefe do Poder Executivo, coordena a totalidade da ação governamental e assegura coerência e coesão às diversas iniciativas propostas pelo governo eleito. Seu papel é fundamental para a melhoria dos padrões de qualidade dos serviços estatais, para a restauração da confiança dos cidadãos na Administração e para o desenvolvimento socioeconômico da nação.A origem da atenção do TCU com a perspectiva de Centro de Governo remonta ao Acordo de Cooperação firmado com a OCDE, em 2013, que resultou em recomendações, consolidadas pela Secretaria de Macroavaliação Governamental (Semag) do TCU, para melhorias na organização do Centro de Governo brasileiro e para melhoria da capacidade do TCU para avaliá-lo.Tais recomendações foram a base para o desenvolvimento do Referencial de Avaliação da Governança do Centro de Governo (BRASIL, 2016d), pela Secretaria de Controle Externo da Administração do Estado (SecexAdministração), secretaria criada, também em 2013, com o objetivo de fiscalizar as contas do poder judiciário, do ministério público e de poder legislativo, bem com as contas e o funcionamento dos órgãos centrais do Poder Executivo federal.É nesta perspectiva que se verifica tanto a capacidade do governo de exercer consistentemente a autoridade concedida pela sociedade mediante o voto, quanto a sua legitimação política mediante o reconhecimento da produção do desenvolvimento nacional e do bem comum demandado pela sociedade (MATIAS-PEREIRA, 2010; PETERS, 2012; WORLD BANK, 1991, 2007, 2020).O modelo de governança de Centro de Governo compõe-se das dimensões apresentadas na A dimensão de estratégia trata da definição das prioridades governamentais, e de estratégias e planos operacionais alinhados à visão de longo prazo, além da promoção da gestão de riscos e das tomadas de decisões baseadas em evidências. A coordenação aborda os mecanismos de articulação política entre o centro de governo e os ministérios de linha, Poder Legislativo, demais entes federativos, setor privado e sociedade organizada, incluindo a coordenação necessária para a consecução de políticas públicas. A supervisão versa sobre o monitoramento contínuo da implementação das políticas e avaliação do desempenho governamental. A dimensão da transparência engloba a comunicação em prol da integração das ações governamentais e da participação social, e, naquele Referencial, também a accountability.A perspectiva de centro de governo tem conexão com a perspectiva organizacional, uma vez que as organizações direcionam seus esforços de acordo com as prioridades estabelecidas pelo governo. Fonte: BRASIL (2016d, p. 35).As informações resultantes dos trabalhos em governança de Centro de Governo estão publicadas no portal de Governança Pública do TCU[footnoteRef:17], na aba "Centro de Governo". [17:  https://portal.tcu.gov.br/governanca/governancapublica/] RELAÇÃO ENTRE AS PERSPECTIVASImportante perceber que, como diz Humberto Falcão Martins (in IPEA, 2018, p. 57), há um "chão comum" entre todas as perspectivas. Elas se relacionam e são interdependentes (A partir das três perspectivas apresentadas, podemos dizer que, para alcançar essa efetividade, as organizações públicas devem ser bem governadas, para executar políticas públicas que atendam aos anseios da sociedade, sob a liderança de um centro de governo que dê coerência e coordenação a esses movimentos. Fonte: elaboração própria.REFERÊNCIASABNT. Associação Brasileira de Normas Técnicas. ABNT ISO GUIA 73: 2009. Gestão de Riscos ¿ Vocabulário. 1 ed. Rio de Janeiro, 2009. Disponível em: https://www.abntcatalogo.com.br/norma.aspx?ID=57312. Acesso em: 12 nov. 2020.ABNT. Associação Brasileira de Normas Técnicas. ABNT NBR ISO 20400:2017. Compras sustentáveis: diretrizes. 1 ed. Rio de Janeiro, 2017. Disponível em: https://www.abntcatalogo.com.br/norma.aspx?ID=382915. Acesso em: 12 nov. 2020.ABNT. Associação Brasileira de Normas Técnicas. ABNT NBR ISO 22313:2020. Segurança e resiliência: sistema de gestão de continuidade de negócios, orientações para o uso da ABNT NBR ISSO 22301 . Disponível em: https://www.abntcatalogo.com.br/norma.aspx?ID=445002. Acesso em: 12 nov. 2020.ABNT. Associação Brasileira de Normas Técnicas. ABNT NBR ISO 26000:2010. Diretrizes sobre responsabilidade social. Rio de Janeiro, 2010. Disponível em: https://www.abntcatalogo.com.br/norma.aspx?ID=80778. Acesso em: 12 nov. 2020.ABNT. Associação Brasileira de Normas Técnicas. ABNT NBR ISO 31000: 2018. Gestão de Riscos ¿ Diretrizes. 2 ed. Rio de Janeiro, 2018. Disponível em: https://www.abntcatalogo.com.br/norma.aspx?ID=392334. Acesso em: 12 nov. 2020.ABNT. Associação Brasileira de Normas Técnicas. ABNT NBR ISO/IEC 38500:2009. Governança corporativa de tecnologia da informação (Cancelada em 28/11/2018. Substituída por: ABNT NBR ISO/IEC 38500:2018), 2009b. Disponível em: https://www.abntcatalogo.com.br/norma.aspx?ID=40015. Acesso em: 12 nov. 2020.ABNT. Associação Brasileira de Normas Técnicas. ABNT NBR ISO/IEC 38500:2018. Tecnologia da informação - Governança da TI para a organização, 2018b. Disponível em: https://www.abntcatalogo.com.br/norma.aspx?ID=408943. Acesso em: 12 nov. 2020.ABNT. Associação Brasileira de Normas Técnicas. ABNT NBR ISO/IEC 12207:2009, 2009c. Engenharia de sistemas e software: processos de ciclo de vida de software (Cancelada em 30/08/2017, sem norma em substituição).ABNT. Associação Brasileira de Normas Técnicas. ABNT NBR ISSO 9001:2015. Sistema de Gestão da Qualidade, 2015b. Disponível em: https://www.abntcatalogo.com.br/norma.aspx?ID=345041. Acesso em: 12 nov. 2020.AGUINIS, Herman. Performance Management. 3 ed. Indiana: Pearson Education, 2014. ALMEIDA, Francisco Carlos Ribeiro de. A verdadeira função do Tribunal de Contas da União no processo orçamentário. Revista do TCU, Brasília, v. 32, n. 87, jan/mar 2001. Disponível em: https://revista.tcu.gov.br/ojs/index.php/RTCU/article/view/915. Acesso em: 12 nov. 2020.ANAO. Australian National Audit Office. Public sector governance: better practice guide. Framework, processes and practices, 2003. Disponível em:  https://www.anao.gov.au/pubs/better-practice-guides. Acesso em: 12 nov. 2020.BEASLEY, M.; BRANSON, B.; HANCOCK, B. Developing Key Risk Indicators to Strengthen Enterprise Risk Management: how key risk indicators can sharpen focus on emerging Risks. Committee of Sponsoring Organizations of the Treadway Commission, 2010. Disponível em: https://www.coso.org/Documents/COSO-KRI-Paper-Full-FINAL-for-Web-Posting-Dec110-000.pdf. Acesso em: 12 nov. 2020.BERLE, A.; MEANS, G. The modern corporation and private property. New York: Macmillan, 1932.BRASIL. Câmara dos Deputados. Projeto de Lei nº 128, de 4 de fevereiro de 2019. Institui a Política Nacional de Participação Social - PNPS e o Sistema Nacional de Participação Social - SNPS, e dá outras providências, 2019d. Disponível em: https://www.camara.leg.br/proposicoesWeb/fichadetramitacao?idProposicao=2190591.Acesso em: 12 nov. 2020.BRASIL. Casa Civil da Presidência da República. Avaliação de Políticas Públicas: guia prático de análise ex post, volume 2. Brasília: 2018l. Disponível em: https://www.gov.br/casacivil/pt-br/centrais-de-conteudo/downloads/guiaexpost.pdf/view. Acesso em: 12 nov. 2020.BRASIL. Casa Civil da Presidência da República. Guia da Política de Governança Pública, 2018f. Disponível em: https://www.gov.br/casacivil/pt-br/centrais-de-conteudo/downloads/guia-da-politica-de-governanca-publica. Acesso em: 12 nov. 2020.BRASIL. Casa Civil da Presidência da República. Instituto de Pesquisa Econômica Aplicada. Avaliação de Políticas Públicas: guia prático de análise ex ante, volume 1. Brasília, 2018k. Disponível em: https://www.ipea.gov.br/portal/index.php?option=com_content&view=article&id=32688. Acesso em: 12 nov. 2020.BRASIL. Conselho Nacional de Justiça. Portaria nº 211 de 6 de set. 2012. Aprova o Regulamento Geral da Corregedoria Nacional de Justiça, 2012b. Disponível em: https://atos.cnj.jus.br/atos/detalhar/2104. Acesso em: 12 nov. 2020.BRASIL. Conselho Nacional de Justiça. Resolução nº 240, de 9 de setembro de 2016. Dispõe sobre a Política Nacional de Gestão de Pessoas no âmbito do Poder Judiciário (alterada pela Resolução nº 248, de 2018), 2018g. Disponível em: https://atos.cnj.jus.br/atos/detalhar/atos-normativos?documento=2342. Acesso em: 12 nov. 2020.BRASIL. Conselho Nacional de Justiça. Resolução nº 308, de 11 de março de 2020, 2020e. Organiza as atividades de auditoria interna do Poder Judiciário, sob a forma de sistema, e cria a Comissão Permanente de Auditoria. Disponível em: https://atos.cnj.jus.br/atos/detalhar/3288. Acesso em: 12 nov. 2020.BRASIL. Conselho Nacional de Justiça. Resolução nº 309, de 11 de março de 2020, 2020f. Aprova as Diretrizes Técnicas das Atividades de Auditoria Interna Governamental do Poder Judiciário - DIRAUD-Jud e dá outras providências. Disponível em: https://www.cnj.jus.br/wp-content/uploads/2020/04/Resolu%C3%A7%C3%A3o-CNJ-n%C2%BA-309.pdf. Acesso em: 12 nov. 2020.BRASIL. Constituição da República Federativa do Brasil, BRASIL, 1988, 1988b. Disponível em: http://www.planalto.gov.br/ccivil_03/constituicao/constituicaocompilado.htm. Acesso em: 12 nov. 2020.BRASIL. Controladoria-Geral da União. Guia Prático de Gestão de Riscos para a integridade: orientações para a administração pública federal, direta, autárquica e fundacional, 2018. Disponível em: https://www.gov.br/cgu/pt-br/centrais-de-conteudo/publicacoes/etica-e-integridade/arquivos/manual-gestao-de-riscos.pdf. Acesso em: 12 nov. 2020.BRASIL. Controladoria-Geral da União. Instrução Normativa 13, de 8 de agosto de 2019, 2019c. Define os procedimentos para apuração da responsabilidade administrativa de pessoas jurídicas de que trata a Lei nº 12.846. Disponível em: http://www.in.gov.br/web/dou/-/instrucao-normativa-n-13-de-8-de-agosto-de-2019-210039570. Acesso em: 12 nov. 2020. BRASIL. Controladoria-Geral da União. Portaria nº 57, de 4 de janeiro de 2019, 2019e. Altera a Portaria CGU nº 1.089, de 25 de abril de 2018, que estabelece orientações para que os órgãos e as entidades da administração pública federal direta, autárquica e fundacional adotem procedimentos para a estruturação, a execução e o monitoramento de seus programas de integridade e dá outras providências. Disponível em: https://www.in.gov.br/materia/-/asset_publisher/Kujrw0TZC2Mb/content/id/58029864. Acesso em: 12 nov. 2020.BRASIL. Decreto 5.378, de 23 de fevereiro de 2005 (Revogado pelo Decreto 9.094/2017). Disponível em:  http://www.planalto.gov.br/ccivil_03/_Ato2004-2006/2005/Decreto/D5378.htm. Acesso em: 12 nov. 2020.BRASIL. Decreto 5.480, de 30 de junho de 2005. Dispõe sobre o Sistema de Correição do Poder Executivo federal, e dá outras providências, 2005b. Disponível em: http://www.planalto.gov.br/ccivil_03/_Ato2004-2006/2005/Decreto/D5480.htm. Acesso em: 12 nov. 2020.BRASIL. Decreto 6.029, de 1º de fevereiro de 2007. Instituiu o Sistema de Gestão da Ética do Poder Executivo federal, 2007. Disponível em:  http://www.planalto.gov.br/ccivil_03/_ato2007-2010/2007/decreto/d6029.htm. Acesso em: 12 nov. 2020.BRASIL. Decreto 7.203, de 4 de junho de 2010. Dispõe sobre a vedação do nepotismo no âmbito da administração pública federal, 2010b. Disponível em: http://www.planalto.gov.br/ccivil_03/_Ato2007-2010/2010/Decreto/D7203.htm. Acesso em: 12 nov. 2020.BRASIL. Decreto 7.724, de 16 de maio de 2012. Regulamenta a Lei nº 12.527, de 18 de novembro de 2011, 2012. Disponível em: http://www.planalto.gov.br/ccivil_03/_ato2011-2014/2012/Decreto/D7724.htm. Acesso em: 12 nov. 2020.BRASIL. Decreto 8.243, de 23 de maio de 2014. Institui a Política Nacional de Participação Social ¿ PNPS e o Sistema Nacional de Participação Social - SNPS, 2014d (Revogado pelo Decreto 9.759, de 2019). Disponível em: http://www.planalto.gov.br/ccivil_03/_Ato2011-2014/2014/Decreto/D8243.htm. Acesso em: 12 nov. 2020.BRASIL. Decreto 8.420, de 18 de março de 2015. Regulamenta a Lei nº 12.846, de 1º de agosto de 2013, que dispõe sobre a responsabilização administrativa de pessoas jurídicas, 2015. Disponível em: http://www.planalto.gov.br/ccivil_03/_ato2015-2018/2015/decreto/d8420.htm. Acesso em: 12 nov. 2020.BRASIL. Decreto 8.777, de 11 de maio de 2016. Institui a Política de Dados Abertos do Poder Executivo federal, 2016b. Disponível em: http://www.planalto.gov.br/ccivil_03/_ato2015-2018/2016/decreto/d8777.htm. Acesso em: 12 nov. 2020.BRASIL. Decreto 9.094, de 17 de julho de 2017. Regulamenta dispositivos da Lei nº 13.460, de 26 de junho de 2017, 2017f. Disponível em:  http://www.planalto.gov.br/ccivil_03/_Ato2015-2018/2017/Decreto/D9094.htm. Acesso em: 12 nov. 2020.BRASIL. Decreto 9.203, de 22 de novembro de 2017. Dispõe sobre a política de governança da administração pública federal direta, autárquica e fundacional, 2017. Disponível em: http://www.planalto.gov.br/ccivil_03/_ato2015-2018/2017/decreto/D9203.htm. Acesso em: 12 nov. 2020.BRASIL. Decreto 9.727, de 15 de março de 2019. Dispõe sobre os critérios, o perfil profissional e os procedimentos gerais a serem observados para a ocupação dos cargos em comissão do Grupo-Direção e Assessoramento Superiores - DAS e das Funções Comissionadas do Poder Executivo ¿ FCPE, 2019b. Disponível em: http://www.planalto.gov.br/ccivil_03/_ato2019-2022/2019/decreto/D9727.htm. Acesso em: 12 nov. 2020.BRASIL. Decreto nº 1.171, de 22 de junho de 1994. Aprova o Código de Ética Profissional do Servidor Público Civil do Poder Executivo federal, 1994. Disponível em: http://www.planalto.gov.br/ccivil_03/decreto/D1171.htm. Acesso em: 12 nov. 2020.BRASIL. Lei 10.303, de 31 de outubro de 2001. Altera e acrescenta dispositivos na Lei no 6.404, de 15 de dezembro de 1976, que dispõe sobre as Sociedades por Ações, e na Lei no 6.385, de 7 de dezembro de 1976, que dispõe sobre o mercado de valores mobiliários e cria a Comissão de Valores Mobiliários, 2001. Disponível em: http://www.planalto.gov.br/ccivil_03/leis/leis_2001/l10303.htm. Acesso em: 12 nov. 2020.BRASIL. Lei 12.527, de 18 de novembro de 2011. Regula o acesso a informações, 2011b. Disponível em: http://www.planalto.gov.br/ccivil_03/_ato2011-2014/2011/lei/l12527.htm. Acesso em: 12 nov. 2020.BRASIL. Lei 12.813, de 16 de maio de 2013. Dispõe sobre o conflito de interesses no exercício de cargo ou emprego do Poder Executivo federal, 2013. Disponível em: http://www.planalto.gov.br/ccivil_03/_ato2011-2014/2013/lei/l12813.htm. Acesso em: 12 nov. 2020.BRASIL. Lei 12.846, de 1 de agosto de 2013. Dispõe sobre a responsabilização administrativa e civil de pessoas jurídicas pela prática de atos contra a administração pública, nacional ou estrangeira, e dá outras providências, 2013c. Disponível em: http://www.planalto.gov.br/ccivil_03/_ato2011-2014/2013/lei/l12846.htm. Acesso em: 12 nov. 2020.BRASIL. Lei 13.303, de 30 de junho de 2016. Dispõe sobre o estatuto jurídico da empresa pública, da sociedade de economia mista e de suas subsidiárias, no âmbito da União, dos Estados, do Distrito Federal e dos Municípios, 2016. Disponível em: http://www.planalto.gov.br/ccivil_03/_ato2015-2018/2016/lei/l13303.htm. Acesso em: 12 nov. 2020.BRASIL. Lei 13.460, de 26 de junho de 2017. Dispõe sobre participação, proteção e defesa dos direitos do usuário dos serviços públicos da administração pública, 2017b. Disponível em: http://www.planalto.gov.br/ccivil_03/_ato2015-2018/2017/lei/l13460.htm. Acesso em: 12 nov. 2020.BRASIL. Lei 6.385, de 7 de dezembro de 1976. Dispõe sobre o mercado de valores mobiliários e cria a Comissão de Valores Mobiliários, 1976. Disponível em: http://www.planalto.gov.br/ccivil_03/leis/L6385.htm. Acesso em: 12 nov. 2020.BRASIL. Lei 6.404, de 15 de dezembro de 1976. Dispõe sobre as Sociedades por Ações, 1976b. Disponível em: http://www.planalto.gov.br/ccivil_03/leis/l6404consol.htm. Acesso em: Acesso em: 12 nov. 2020.BRASIL. Lei 8.078, de 11 de setembro de 1990. Dispõe sobre a proteção do consumidor e dá outras providências, 1990b. Disponível em:  http://www.planalto.gov.br/ccivil_03/leis/l8078.htm. Acesso em: 12 nov. 2020.BRASIL. Lei 8.112, de 11 de dezembro de 1990. Dispõe sobre o regime jurídico dos servidores públicos civis da União, das autarquias e das fundações públicas federais, 1990. Disponível em: http://www.planalto.gov.br/ccivil_03/leis/l8112cons.htm. Acesso em: 12 nov. 2020.BRASIL. Lei 9.755, de 16 de novembro de 1988. Dispõe sobre a criação de "homepage" na "Internet", pelo Tribunal de Contas da União, para divulgação dos dados e informações que especifica, e dá outras providências, 1988. Disponível em: http://www.planalto.gov.br/ccivil_03/LEIS/L9755.htm. Acesso em: 12 nov. 2020.BRASIL. Lei Complementar 101, de 4 de maio de 2000. Estabelece normas de finanças públicas voltadas para a responsabilidade na gestão fiscal e dá outras providências, 2000. Disponível em: http://www.planalto.gov.br/ccivil_03/leis/lcp/lcp101.htm. Acesso em: 12 nov. 2020.BRASIL. Lei Complementar 131, de 27 de maio de 2009. Acrescenta dispositivos à Lei Complementar no 101, de 4 de maio de 2000, 2009. Disponível em: http://www.planalto.gov.br/ccivil_03/leis/lcp/lcp131.htm. Acesso em: 12 nov. 2020.BRASIL. Ministério da Economia. Secretaria de Gestão. Instrução Normativa 1, de 10 de janeiro de 2019. Dispõe sobre Plano Anual de Contratações de bens, serviços, obras e soluções de tecnologia da informação e comunicações no âmbito da Administração Pública federal direta, autárquica e fundacional e sobre o Sistema de Planejamento e Gerenciamento de Contratações, 2019. Disponível em: https://www.in.gov.br/materia/-/asset_publisher/Kujrw0TZC2Mb/content/id/59109742/do1e-2019-01-11-instrucao-normativa-n-1-de-10-de-janeiro-de-2019-59109733. Acesso em: 12 nov. 2020.BRASIL. Ministério da Economia. Secretaria Especial de Desburocratização, Gestão e Governo Digital. Secretaria de Gestão. Instrução Normativa 24, de 18 de março de 2020. Dispõe sobre a elaboração, avaliação e revisão do planejamento estratégico institucional dos órgãos e das entidades da administração pública federal integrantes do Sistema de Organização e Inovação Institucional do Governo Federal - SIORG, 2020b. Disponível em: http://www.in.gov.br/en/web/dou/-/instrucao-normativa-n-24-de-18-de-marco-de-2020-251068261. Acesso em: 12 nov. 2020.BRASIL. Ministério da Economia. Secretaria Especial de Desburocratização, Gestão e Governo Digital. Secretaria de Gestão. Guia Técnico de Gestão Estratégica v1.0; Brasília, 2020c. Disponível em: https://www.gov.br/economia/pt-br/centrais-de-conteudo/publicacoes/guias-e-manuais/guia_gestao_estrategica_v1-0.pdf/view. Acesso em: 12 nov. 2020. BRASIL. Ministério da Transparência e Controladoria-Geral da União. Secretaria Federal de Controle Interno. Instrução Normativa 3, de 9 de junho de 2017. Aprova o Referencial Técnico da Atividade de Auditoria Interna Governamental do Poder Executivo Federal, 2017c. Disponível em: https://repositorio.cgu.gov.br/handle/1/33265. Acesso em: 12 nov. 2020.BRASIL. Ministério da Transparência e Controladoria-Geral da União. Secretaria Federal de Controle Interno. Instrução Normativa 8, de 6 de dezembro de 2017. Aprova o Manual de Orientações Técnicas da Atividade de Auditoria Interna Governamental do Poder Executivo Federal, que estabelece os procedimentos para a prática profissional da atividade. 2017e. Disponível em: https://repositorio.cgu.gov.br/handle/1/33265. Acesso em: 12 nov. 2020.BRASIL. Ministério da Transparência e Controladoria-Geral da União. Instrução normativa 14, de 14 de novembro de 2018, 2018i. Regulamenta a Atividade Correcional no Sistema de Correição do Poder Executivo Federal de que trata o Decreto nº 5.480. Disponível em: http://www.in.gov.br/materia/-/asset_publisher/Kujrw0TZC2Mb/content/id/50484511/do1-2018-11-16-instrucao-normativa-n-14-de-14-de-novembro-de-2018-50484367. Acesso em: 12 nov. 2020.BRASIL. Ministério da Transparência e Controladoria-Geral da União. Portaria nº 1.089, de 25 de abril de 2018, 2018j. Estabelece orientações para que os órgãos e as entidades da administração pública federal direta, autárquica e fundacional adotem procedimentos para a estruturação, a execução e o monitoramento de seus programas de integridade (alterada pela Portaria CGU nº 57/2019). Disponível em: http://www.in.gov.br/web/guest/materia/-/asset_publisher/Kujrw0TZC2Mb/content/id/11984199/do1-2018-04-26-portaria-n-1-089-de-25-de-abril-de-2018-11984195. Acesso em: 12 nov. 2020.BRASIL. Ministério do Planejamento, Desenvolvimento e Gestão. Secretaria de Gestão Pública. Manual de Orientação para a Gestão do Desempenho, 2013b. Disponível em:  http://www.gespublica.gov.br/content/manual-de-orientação-para-gestão-do-desempenho. Acesso em: 12 nov. 2020.BRASIL. Ministério do Planejamento, Desenvolvimento e Gestão. Secretaria de Planejamento e Assuntos Econômicos. Guia Metodológico para indicadores: orientações básicas aplicadas à metodologia do plano plurianual, PPA 2016-2019. 3ª ed. Brasília, 2018e.BRASIL. Ministério do Planejamento, Desenvolvimento e Gestão. Secretaria de Gestão. Programa nacional de gestão pública e desburocratização - GesPública, 2010. Disponível em: http://www.gespublica.gov.br/sites/default/files/documentos/iagp_1000_pontos.pdf. Acesso em: 12 nov. 2020.BRASIL. Ministério do Planejamento, Orçamento e Gestão. Secretaria de Logística e Tecnologia da Informação. Cartilha Técnica para Publicação de Dados Abertos no Brasil, v. 1.0, 2012c. Disponível em: http://dados.gov.br/pagina/cartilha-publicacao-dados-abertos. Acesso em: 12 nov. 2020.BRASIL. Ministério do Planejamento, Orçamento e Gestão. Secretaria de Logística e Tecnologia da Informação. Instrução Normativa nº 4, de 12 de abril de 2012, 2012d. Institui a Infraestrutura Nacional de Dados Abertos ¿ INDA. Disponível em: https://www.gov.br/governodigital/pt-br/dados-abertos/InstrucaoNormativaINDA42012.pdf. Acesso em: 12 nov. 2020.BRASIL. Presidência da República. Controladoria-Geral da União. Instrução Normativa 1, de 10 de maio de 2016. Dispõe sobre controles internos, gestão de riscos e governança no âmbito do Poder Executivo federal, 2016c. Disponível em: http://www.in.gov.br/materia/-/asset_publisher/Kujrw0TZC2Mb/content/id/21519355/do1-2016-05-11-instrucao-normativa-conjunta-n-1-de-10-de-maio-de-2016-21519197. Acesso em: 12 nov. 2020.BRASIL. Supremo Tribunal Federal. Súmula Vinculante 13, de 29 de agosto de 2008. Disponível em: http://www.stf.jus.br/portal/cms/verNoticiaDetalhe.asp?idConteudo=94747.Acesso em: 12 nov. 2020.BRASIL. Tribunal de Contas da União. Acórdão 1.603/2008-TCU-Plenário. Levantamento de Auditoria: situação da governança de tecnologia da informação - TI na administração pública federal, 2008b. Disponível em: https://pesquisa.apps.tcu.gov.br/#/documento/acordao-completo/*/KEY%253A%2522ACORDAO-COMPLETO-40269%2522/DTRELEVANCIA%2520desc%252C%2520NUMACORDAOINT%2520desc/0/%2520. Acesso em: 12 nov. 2020.BRASIL. Tribunal de Contas da União. Acórdão 2.471/2008-TCU-Plenário. Fiscalização de Orientação Centralizada. Tema de maior significância "Terceirização Na Administração Pública Federal¿, 2008c. Disponível em: https://pesquisa.apps.tcu.gov.br/#/documento/acordao-completo/*/KEY%253A%2522ACORDAO-COMPLETO-36185%2522/DTRELEVANCIA%2520desc%252C%2520NUMACORDAOINT%2520desc/0/%2520. Acesso em: 12 nov. 2020.BRASIL. Tribunal de Contas da União. Gestão de Riscos: avaliação da Maturidade. 2018b. Disponível em: https://portal.tcu.gov.br/biblioteca-digital/gestao-de-riscos-avaliacao-da-maturidade.htm. Acesso em: 12 nov. 2020.BRASIL. Tribunal de Contas da União. Glossário de Termos do Controle Externo, 2017d. Disponível em: https://portal.tcu.gov.br/lumis/portal/file/fileDownload.jsp?fileId=8A8182A25EC59C0F015F58F31F6504A6. Acesso em: 12 nov. 2020.BRASIL. Tribunal de Contas da União. Manual de Gestão de Riscos do TCU, 2018d. Disponível em: https://portal.tcu.gov.br/planejamento-governanca-e-gestao/gestao-de-riscos/manual-de-gestao-de-riscos/. Acesso em: 12 nov. 2020.BRASIL. Tribunal de Contas da União. Plano Estratégico do TCU: 2015 ¿ 2021, 2015b. Disponível em: https://portal.tcu.gov.br/tcu/paginas/planejamento/2021/doc/Plano%20estratégico%202015_2021.pdf. Acesso em: 12 nov. 2020.BRASIL. Tribunal de Contas da União. Portal Corporativo. Pesquisa Integrada. Pesquisa pelo termo 'Governança', 2020d. Disponível em: https://pesquisa.apps.tcu.gov.br/#/resultado/acordao-completo/governan%25C3%25A7a/%2520/%2520?ts=1590433629771. Acesso em: 12 nov. 2020.BRASIL. Tribunal de Contas da União. Portaria-TCU nº 280, de 16 de junho de 2011. Dispõe sobre as Normas de Auditoria do Tribunal de Contas da União, 2011. Disponível em: http://portal.tcu.gov.br/biblioteca-digital/normas-de-auditoria-do-tribunal-de-contas-da-uniao-nat.htm. Acesso em: 12 nov. 2020.BRASIL. Tribunal de Contas da União. Referencial Básico de Gestão de Riscos. 2018c. Disponível em: https://portal.tcu.gov.br/biblioteca-digital/referencial-basico-de-gestao-de-riscos.htm. Acesso em: 12 nov. 2020.BRASIL. Tribunal de Contas da União. Referencial Básico de Governança: aplicável a órgãos e entidades da Administração Pública, 2013d. Disponível em: https://portal.tcu.gov.br/data/files/D3/12/6D/E3/E2B0F410E827A0F42A2818A8/2624038.PDF. Acesso em: 12 nov. 2020.BRASIL. Tribunal de Contas da União. Referencial Básico de Governança: aplicável a órgãos e entidades da Administração Pública, 2ª edição, 2014c. Disponível em: https://portal.tcu.gov.br/lumis/portal/file/fileDownload.jsp?inline=1&fileId=8A8182A24F0A728E014F0B34D331418D. Acesso em: 12 nov. 2020.BRASIL. Tribunal de Contas da União. Referencial de Combate à Fraude e Corrupção: aplicável a órgãos e entidades da Administração Pública. 2ª Ed. 2018, 2018h. Disponível em: https://portal.tcu.gov.br/data/files/A0/E0/EA/C7/21A1F6107AD96FE6F18818A8/Referencial_combate_fraude_corrupcao_2_edicao.pdf. Acesso em: 12 nov. 2020.BRASIL. Tribunal de Contas da União. Referencial de Controle de Políticas Públicas, 2020. No prelo. BRASIL. Tribunal de Contas da União. Referencial para avaliação de governança em políticas públicas, 2014b. Disponível em: https://portal.tcu.gov.br/governanca/governancapublica/politicas-publicas/. Acesso em: 12 nov. 2020.BRASIL. Tribunal de Contas da União. Referencial para avaliação de governança do centro de governo, 2016d. Disponível em: https://portal.tcu.gov.br/governanca/governancapublica/centro-de-governo/. Acesso em: 12 nov. 2020.BRASIL. Tribunal de Contas da União. Resolução-TCU nº 187, de 5 de abril de 2006. Dispõe sobre a política de gestão de pessoas no Tribunal de Contas da União, 2006. Disponível em: https://pesquisa.apps.tcu.gov.br/#/documento/ato-normativo/*/TIPO%253A%2528Resolu%25C3%25A7%25C3%25A3o%2529%2520NUMATO%253A187%2520NUMANOATO%253A2006/DTRELEVANCIA%2520desc%252CNUMATOINT%2520desc/0/%2520?uuid=17a9fde0-c220-11ea-a830-bbe1ff11690c. Acesso em: 12 nov. 2020.BRASIL. Tribunal de Contas da União. Riscos e Controles nas Aquisições (RCA). Publicado pelo TCU por meio do Acórdão 1.321/2014-TCU-Plenário, 2014. Disponível em: http://www.tcu.gov.br/arquivosrca/ManualOnLine.htm. Acesso em: 12 nov. 2020.CAMBRIDGE. University of Cambridge. The Cadbury Report. Report of the Committee on the Financial Aspects of Corporate Governance, 1992. Disponível em: https://web.actuaries.ie/sites/default/files/erm-resources/243_financial_aspects_of_corporate_governance.pdf. Acesso em: 12 nov. 2020.CARMO, R. C. Direito Fundamental à Boa Governança, 2020. Disponível em: https://irbcontas.org.br/artigo/direito-fundamental-a-boa-governanca/. Acesso em: 12 nov. 2020. CAVALCANTE, L. S.; SOUZA, M. M. Metodologia ágil e a técnica OKR, [2020?]. Disponível em: http://intra.serpro.gov.br/tema/entrevistas/metodologia-agil-e-a-tecnica-okr. Acesso em: 12 nov. 2020.CFC. Conselho Federal de Contabilidade. NBC TA 315 (R1), de 5 de set. de 2016. Disponível em: http://www1.cfc.org.br/sisweb/SRE/docs/NBCTA315(R1).pdf. Acesso em: 12 nov. 2020.CIPFA. Chartered Institute of Public Finance and Accountancy. Code of Practice on Managing the risk of Fraud and Corruption, 2014. Disponível em: https://www.cipfa.org/services/networks/better-governance-forum/counter-fraud-documentation/code-of-practice-on-managing-the-risk-of-fraud-and-corruption. Acesso em: 12 nov. 2020.CIPFA. Chartered Institute of Public Finance and Accountancy. The good governance standard for public services, 2004. Disponível em: https://www.cipfa.org/policy-and-guidance/reports/good-governance-standard-for-public-services. Acesso em: 12 nov. 2020.CIPS, Chartered Institute of Procurement & Supply; NIGP, The Institute for Public Procurement. Public Procurement Practice: strategic procurement planning, 2012b. Disponível em: https://www.nigp.org/home/find-procurement-resources/guidance/global-best-practices. Acesso em: 12 nov. 2020.CLAD. Centro Latinoamericano de Administración para el Desarrollo. Nações Unidas. Departamento de Assuntos Econômicos e Sociais. Carta Iberoamericana de la Función Pública, 2003. Disponível em: http://old.clad.org/documentos/declaraciones/cartaibero.pdf. Acesso em 12 nov. 2020.COSO. Committee of Sponsoring Organizations of the Treadway Commission. Enterprise Risk Management: integrating with Strategy and Performance, 2017. Disponível em: https://www.coso.org/Pages/erm.aspx. Acesso em 12 nov. 2020.COSO. Committee of Sponsoring Organizations of the Treadway Commission. Enterprise risk management: integrated framework, Executive Summary. 2004. Disponível em: https://www.coso.org/Documents/COSO-ERM-Executive-Summary.pdf. Acesso em: 12 nov. 2020.COSO. Committee of Sponsoring Organizations of the Treadway Commission. Committee of Sponsoring Organizations of the Treadway Commission. Internal control ¿ integrated framework. Executive sumary and framework, 1992. Disponível em: https://www.coso.org/Pages/ic.aspx. Acesso em: 12 nov. 2020.COSO. Committee of Sponsoring Organizations of the Treadway Commission. Internal control: integrated framework, 2013. Disponível em: https://www.coso.org/Pages/default.aspx. Acesso em: 12 nov. 2020.EDWARDS, et al. Public Sector Governance in Australia. Australian National University E Press, 2012. Disponível em: https://press.anu.edu.au/publications/series/anzsog/public-sector-governance-australia. Acesso em: 12 nov. 2020.GAO. United States General Accounting Office. Internal Control Management and Evaluation Tool, 2001. Disponível em: http://www.gao.gov/assets/80/76615.pdf. Acesso em: 12 nov. 2020.HARVARD. Harvard Business School Publishing. Harvard Business Review´s 10 must reads on strategy. Boston: 2011. IBE. Institute of Business Ethics. Corporate Ethics Policies and Programmes. 2016 UK and Continental Europe Survey, 2017. Disponível em: https://www.ibe.org.uk/resource/ibe-survey-report-corporate-ethics-policies-and-programmes-2016-uk-and-continental-europe-survey-pdf.html. Acesso em: 12 nov. 2020.IBGC. Instituto Brasileiro de Governança Corporativa. Código das Melhores Práticas de Governança Corporativa. 5ª ed., 2015. Disponível em: https://conhecimento.ibgc.org.br/Paginas/Publicacao.aspx?PubId=21138. Acesso em: 12 nov. 2020.IBGC. Instituto Brasileiro de Governança Corporativa. Código das Melhores Práticas de Governança Corporativa. 4ª ed., 2009. Disponível em: https://conhecimento.ibgc.org.br/Paginas/Publicacao.aspx?PubId=21141. Acesso em: 12 nov. 2020.IBGC. Instituto Brasileiro de Governança Corporativa. Gerenciamento de Riscos Corporativos: evolução em governança e estratégia. 2017. Disponível em: https://conhecimento.ibgc.org.br/Lists/Publicacoes/Attachments/21794/Riscos%20cad19.pdf. Acesso em: 12 nov. 2020.IBGC. Instituto Brasileiro de Governança Corporativa. O Papel do Conselho de Administração na Estratégia das Organizações. 2017b. Disponível em: https://conhecimento.ibgc.org.br/Lists/Publicacoes/Attachments/23484/Publicacao-IBGCOrienta-PapelCAEstrategia_2017.pdf. Acesso em: 12 nov. 2020.IBGC. Instituto Brasileiro de Governança Corporativa. Quem somos, 2020. Disponível em: https://www.ibgc.org.br/quemsomos. Acesso em: 12 nov. 2020.IFAC, The International Federation of Accountants. Comparison of Principles, 2013. Disponível em: https://www.ifac.org/system/files/publications/files/Comparison-of-Principles.pdf. Acesso em: 12 nov. 2020.IFAC, The International Federation of Accountants. Governance in the public sector: a governing body perspective. International public sector study nº 13, 2001. Disponível em: https://portal.tcu.gov.br/en_us/biblioteca-digital/governance-in-the-public-sector-a-governing-body-perspective.htm. Acesso em: 12 nov. 2020.IFAC, The International Federation of Accountants; CIPFA, The Chartered Institute of Public Finance & Accountancy. International Framework: Good Governance in the Public Sector, 2014. Disponível em: https://www.ifac.org/knowledge-gateway/contributing-global-economy/publications/international-framework-good-governance-public-sector. Acesso em: 12 nov. 2020.IIA. Institute of Internal Auditors. Código de Ética e Normas Internacionais para a Prática Professional da Auditoria Interna - IPPF. Tradução: Instituto de Auditores Internos do Brasil, 2017. Disponível em: https://iiabrasil.org.br//ippf. Acesso em: 12 nov. 2020.IIA. Institute of Internal Auditors. Declaração de Posicionamento: o papel da auditoria interna no gerenciamento de riscos corporativo. Tradução: Instituto de Auditores Internos do Brasil, 2009. Disponível em: https://iiabrasil.org.br//ippf/declaracoes-de-posicionamento. Acesso em: 12 nov. 2020.IIA. Institute of Internal Auditors. Internal Audit Capability Model (IA-CM): for the public sector, 2009c. Disponível em: https://na.theiia.org/iiarf/Public%20Documents/Internal%20Audit%20Capability%20Model%20IA-CM%20for%20the%20Public%20Sector%20Overview.pdf. Acesso em: 12 nov. 2020.IIA. Institute of Internal Auditors. International Professional Practices Framework ¿ IPPF. Orientações de implantação do código de ética e normas internacionais para a prática profissional da auditoria interna. Tradução: Instituto de Auditores Internos do Brasil, 2019. Disponível em: https://iiabrasil.org.br//ippf/orientacoes-de-implantacao. Acesso em: 12 nov. 2020.IIA. Institute of Internal Auditors. International Professional Practices Framework ¿ IPPF. Orientação Suplementar, guia prático: a auditoria interna e a segunda linha de defesa. Tradução: Instituto de Auditores Internos do Brasil, 2016. Disponível em: https://iiabrasil.org.br//ippf/orientacoes-suplementares. Acesso em: 12 nov. 2020. IIA. Institute of Internal Auditors. International Professional Practices Framework ¿ IPPF. Orientação Suplementar, guia prático: aspectos exclusivos da auditoria interna no setor público, 2019b. Disponível em: https://iiabrasil.org.br//ippf/orientacoes-suplementares. Acesso em: 12 nov. 2020.IIA. Institute of Internal Auditors. International Professional Practices Framework - IPPF. Orientação Suplementar, guia prático: auditoria interna e fraude. Tradução: Instituto de Auditores Internos do Brasil, 2009b. Disponível em: https://iiabrasil.org.br//ippf/orientacoes-suplementares. Acesso em: 12 nov. 2020. IIA. Institute of Internal Auditors. Modelo das Três Linhas de Defesa do IIA 2020: uma atualização das Três Linhas de Defesa. Tradução: Instituto de Auditores Internos do Brasil, 2020. Disponível em: https://iiabrasil.org.br/korbilload/upl/editorHTML/uploadDireto/20200758glob-th-editorHTML-00000013-20072020131817.pdf. Acesso em: 12 nov. 2020.IIA. Institute of Internal Auditors. Professional Practices Framework ¿ IPPF. Orientação Suplementar, guia prático: interação com o conselho. Tradução: Instituto de Auditores Internos do Brasil, 2011. Disponível em: https://iiabrasil.org.br//ippf/orientacoes-suplementares. Acesso em: 12 nov. 2020. IIA. Institute of Internal Auditors. Risk maturity assessment, 2014. London, Chartered Institute of Internal Auditors, 2014. Disponível em: https://global.theiia.org/standards-guidance/topics/documents/201501guidetorbia.pdf. Acesso em: 12 nov. 2020.IIA. Institute of Internal Auditors. The International Professional Practices Framework ¿ IPPF. Practice guide: evaluating ethics-related programs and activities, 2012. Disponível em:  https://iiabrasil.org.br//ippf/orientacoes-suplementares. Acesso em: 12 nov. 2020.IIA. Institute of Internal Auditors. The International Professional Practices Framework ¿ IPPF. Practice guide: assessing organizational governance in the public sector, 2014b. Disponível em:  https://iiabrasil.org.br//ippf/orientacoes-suplementares. Acesso em: 12 nov. 2020.IIA. Institute of Internal Auditors. The International Professional Practices Framework ¿ IPPF. Guia prático: Gestão de Continuidade de Negócios. Tradução: Instituto de Auditores Internos do Brasil, 2008. Disponível em:  https://iiabrasil.org.br//ippf/orientacoes-suplementares. Acesso em: 12 nov. 2020.IIA. Institute of Internal Auditors. The International Professional Practices Framework ¿ IPPF. Guia prático: avaliando a adequação do gerenciamento de riscos usando a ISO 31.000. Tradução: Instituto de Auditores Internos do Brasil, 2010. Disponível em: https://iiabrasil.org.br//ippf/orientacoes-suplementares. Acesso em: 12 nov. 2020.IIA. Institute of Internal Auditors. The International Professional Practices Framework ¿ IPPF. Guia prático: mensurando a eficácia e eficiência da auditoria interna. Tradução: Instituto de Auditores Internos do Brasil, 2010b. Disponível em:  https://iiabrasil.org.br//ippf/orientacoes-suplementares. Acesso em: 12 nov. 2020.INTOSAI. International Organization of Supreme Audit Institutions. INTOSAI GOV 9100: Guidelines for internal control standards for the public sector, 2004. Disponível em: https://portal.tcu.gov.br/site-issai/issai-framework/intosai-gov.htm. Acesso em: 12 nov. 2020.INTOSAI. International Organization of Supreme Audit Institutions. GUID 9020. Evaluation of Public Policies, 2019. Disponível em: https://www.issai.org/pronouncements/guid-9020-evaluation-of-public-policies/. Acesso em: 12 nov. 2020. INTOSAI. International Organization of Supreme Audit Institutions. Normas Internacionais das Entidades Fiscalizadoras Superiores (ISSAI). ISSAI 20: Princípios de transparência e accountability, 2010. Disponível em: https://portal.tcu.gov.br/fiscalizacao-e-controle/auditoria/normas-internacionais-das-entidades-fiscalizadores-superiores-issai/. Acesso em: 12 nov. 2020. INTOSAI. International Organization of Supreme Audit Institutions. Normas Internacionais das Entidades Fiscalizadoras Superiores (ISSAI). ISSAI 100: Princípios Fundamentais de Auditoria do Setor Público, 2013. Disponível em: https://portal.tcu.gov.br/fiscalizacao-e-controle/auditoria/normas-internacionais-das-entidades-fiscalizadores-superiores-issai/. Acesso em: 12 nov. 2020.IPEA. Instituto de Pesquisa Econômica Aplicada. Boletim de Análise Político-Institucional - Governança Pública. n.19, Brasília: Ipea, 2018. Disponível em: https://www.ipea.gov.br/portal/images/stories/PDFs/boletim_analise_politico/181206_bapi_19.pdf. Acesso em: 12 nov. 2020.ISACA. Cobit. Disponível em: https://www.isaca.org/resources/cobit. Acesso em: 12 nov. 2020.JENSEN, C; MECKLING, W. H. Teoria da Firma: comportamento dos administradores, custos de agência e estrutura de propriedade, 2008. Disponível em: https://www.scielo.br/pdf/rae/v48n2/v48n2a13.pdf. Acesso em: 12 nov. 2020. KAPLAN, R.; NORTON, D. P. Alignment: using the balanced scorecard to create corporate synergies. Harvard Business School Publishing Corporation, 2006.KAPLAN, R.; NORTON, D. P. The Execution Premium: linking strategy to operations for competitive advantage. Harvard Business Scholl Publishing Corporation, 2008.KLUYVER, C. A.; PEARCE J. A. II. Strategic Management: an executive perspective. Business Expert Press, 2015. LA PORTA, R.; et al. Investor protection and corporate governance. Journal of Financial Economics. Volume 58, Issues 1¿2, 2000, Pages 3-27. Disponível em: http://papers.ssrn.com/sol3/papers. cfm?abstract_id=183908. Acesso em: 12 nov. 2020.MATIAS-PEREIRA, J. Curso de Administração Pública: foco nas instituições e ações governamentais. 5. ed. São Paulo: GEN-Atlas, 2018.MATIAS-PEREIRA, J. Finanças públicas: a política orçamentária no Brasil. São Paulo: Atlas, 2006.MATIAS-PEREIRA, J. Governança no setor público. São Paulo: Atlas, 2010.MCKINSEY & COMPANY; KORN/FERRY INTERNATIONAL. Panorama de Governança Corporativa no Brasil. São Paulo, 2001. Disponível em: https://ecgi.global/code/panorama-de-governan%C3%A7a-corporativa-no-brasil-report-mckinsey-company-and-kornferry. Acesso em: 12 nov. 2020.MINTZBERG, H. Ascensão e Queda do Planejamento Estratégico. Tradução: Maria Adelaide Carpigiani. Bookman, 2007b.MINTZBERG, H. et al. O Processo da Estratégia: conceito, contextos e casos selecionados. 4ª ed. Tradução de Luciana de Oliveira da Rocha. Porto Alegre: Artmed, 2007.MINTZBERG, H. et al. Safari de Estratégia: um roteiro pela selva do planejamento estratégico. Tradução de Nivaldo Montingelli Jr. Porto Alegre: Bookman, 2000.NETHERLANDS. The Netherlands Ministry of Finance Government Audit Policy Directorate - DAR. Government governance: corporate governance in the public sector, why and how?, 2000. Disponível em: https://ecgi.global/code/government-governance-corporate-governance-public-sector-why-and-how. Acesso em: 12 nov. 2020.O que é a iniciativa. Portal do Governo Brasileiro, 2020. Disponível em: http://governoaberto.cgu.gov.br/a-ogp/o-que-e-a-iniciativa. Acesso em: 12 nov. 2020.OCDE. Organização para a Cooperação e Desenvolvimento Econômico. Draft Policy Framework on Sound Public Governance, 2018. Versão preliminar. Disponível em: https://www.oecd.org/governance/policy-framework-on-sound-public-governance/. Acesso em: 12 nov. 2020.OCDE. Organização para a Cooperação e Desenvolvimento Econômico. Diretrizes da OCDE sobre Governança Corporativa de Empresas Estatais, 2015. Disponível em: https://www.oecd.org/publications/diretrizes-da-ocde-sobre-governanca-corporativa-de-empresas-estatais-edicao-2015-9789264181106-pt.htm. Acesso em: 12 nov. 2020.OCDE. Organização para a Cooperação e Desenvolvimento Econômico. Recomendação do Conselho sobre Liderança e Competência na Função Pública, 2019. Disponível em: http://www.oecd.org/gov/pem/recommendation-on-public-service-leadership-and-capability-pt.pdf. Acesso em: 12 nov. 2020.OCDE. Organização para a Cooperação e Desenvolvimento Econômico. Recomendação do Conselho da OCDE sobre Integridade Pública, 2017. Disponível em: https://www.oecd.org/gov/ethics/integrity-recommendation-brazilian-portuguese.pdf. Acesso em: 12 nov. 2020.OCDE. Organização para a Cooperação e Desenvolvimento Econômico. Public Integrity Handbook, 2020. Disponível em: https://www.oecd-ilibrary.org/sites/ac8ed8e8-en/1/2/1/index.html?itemId=/content/publication/ac8ed8e8-en&_csp_=676f6ac88ad48a9ffd47b74141d0fc42&itemIGO=oecd&itemContentType=book. Acesso em: 12 nov. 2020.OCDE. Organização para a Cooperação e Desenvolvimento Econômico. Avaliação da Gestão de Recursos Humanos no Governo ¿ Relatório da OCDE: Brasil, 2010. Disponível em: https://www.oecd-ilibrary.org/governance/avaliacao-da-gestao-de-recursos-humanos-no-governo-relatorio-da-ocde-brasil_9789264086098-pt. Acesso em: 12 nov. 2020.OCDE. Organização para a Cooperação e Desenvolvimento Econômico. Trust and public policy: how better governance can help rebuild public trust. Paris: OECD Publishing, 2017b. Disponível em: https://www.oecd-ilibrary.org/governance/trust-and-public-policy_9789264268920-en. Acesso em: 12 nov. 2020.OGP. Open Government Partnership. Open Government Declaration. 2011. Disponível em: https://www.opengovpartnership.org/process/joining-ogp/open-government-declaration/. Acesso em: 12 nov. 2020.ONU. THE UNITED NATIONS. Principles of effective governance for sustainable development, 2018. Disponível em: https://publicadministration.un.org/en/Intergovernmental-Support/CEPA/Principles-of-Effective-Governance. Aceso em: 12 nov. 2020. ONU. THE UNITED NATIONS. World Public Sector Report: responsive and accountable public governance. New York: United Nations, 2015. Disponível em: https://publicadministration.un.org/publications/content/PDFs/World%20Public%20Sector%20Report2015.pdf. Acesso em: 12 nov. 2020.PERGUNTAS frequentes: aspectos gerais da Lei de Acesso à Informação. Portal do Governo Brasileiro, 2020b. Disponível em: https://www.gov.br/acessoainformacao/pt-br/perguntas-frequentes/aspectos-gerais-da-lei. Acesso em: 12 nov. 2020.PETERS, B. G. A cybernetic model of governance. In: LEVI-FAUR, D. Oxford Handbook of Governance. Oxford: Oxford University Press, 2012.PORTER, M. E. Vantagem competitiva: criando e Sustentando um desempenho superior. Tradução de Elizabeth Maria de Pinho Braga. Rio de Janeiro: Elsevier, 1989.SCOTTISH. Scottish Government. On Board: a guide for board members of public bodies in Scotland, 2006. Disponível em: https://www.gov.scot/publications/board-guide-board-members-public-bodies-scotland-april-2015/. Acesso em: 12 nov. 2020.SHLEIFER, A.; VISHNY, R. W. A survey of corporate governance. Jornal of finance, USA, v. 52, n. 2, p. 737-789, 1997.              SLOMSKI, V. Governança corporativa e governança na gestão pública. São Paulo: Atlas, 2008.SOBEL, P.; REDING, K.. Enterprise Risk Management: achieving and sustaining success. The Institute of Internal Auditors Research Foundation, 2012. SOBRE os dados.gov.br. Portal Brasileiro de Dados Abertos, 2020. Disponível em: http://dados.gov.br/pagina/sobre. Acesso em: 12 nov. 2020.TEIXEIRA, Vilmar Agapito. Criando Valor Público ¿ Gestão Estratégica no TCU. Página de Liderança, Brasília, 2012. Disponível em: https://www.google.com.br/url?sa=t&rct=j&q=&esrc=s&source=web&cd=&ved=2ahUKEwjIqqOq7pDrAhXTJrkGHYhADXsQFjAAegQIBRAB&url=https%3A%2F%2Fportal.tcu.gov.br%2Flumis%2Fportal%2Ffile%2FfileDownload.jsp%3FfileId%3D8A8182A24F0A728E014F0B1FA28F6CDB&usg=AOvVaw1ZBpkVjQQ-1EROeEZDKfUY. Acesso em: 12 nov. 2020.USA. Sarbanes¿Oxley Act of 2002. Disponível em: https://www.govinfo.gov/content/pkg/PLAW-107publ204/pdf/PLAW-107publ204.pdf. Acesso em: 12 nov. 2020.WALKER, P.; SHENKIR, W.; BARTON, T. Improving Board Risk Oversight Through Best Practices. The Institute of Internal Auditors Research Foundation, 2011. Disponível em: https://na.theiia.org/certification/CIA%20Resources/Improving%20Board%20Risk%20Oversight.pdf. Acesso em: 12 nov. 2020.WEISS, Thomas G.; THAKUR, Ramesh. Global Governance and the UN: an Unfinished Journey. Bloomington, Ind.: Indiana University Press, 2010. Disponível em: https://www.ethicsandinternationalaffairs.org/2011/global-governance-and-the-un-an-unfinished-journey-by-thomas-g-weiss-and-ramesh-thakur/. Acesso em: 12 nov. 2020.WORLD BANK. The International Bank for Reconstruction and Development. A Decade of Measuring the Quality of Governance. Washington: World Bank, 2007. Disponível em: https://etico.iiep.unesco.org/sites/default/files/wbi2007-report.pdf. Acesso em: 12 nov. 2020. WORLD BANK. The International Bank for Reconstruction and Development. Worldwide Governance Indicators (WGI), 2020. Disponível em: https://info.worldbank.org/governance/wgi/. Acesso em: 12 nov. 2020. WORLD BANK. The International Bank for Reconstruction and Development. Managing development: the governance dimension, 1991. Disponível em: http://documents.worldbank.org/curated/en/884111468134710535/pdf/34899.pdf. Acesso em: 12 nov. 2020. WORLD BANK. World Development Report: governance and the law, 2017. Disponível em: http://www.worldbank.org/en/publication/wdr2017. Acesso em: 12 nov. 2020. APÊNDICE A - Funções de Gestão do Modelo de autoavaliação em governança organizacional A boa governança dirige a gestão para assegurar a eficácia e eficiência no uso dos recursos organizacionais, de modo que a organização tenha condições de responder com êxito às mudanças ambientais e corresponder às demandas e necessidades das partes interessadas.Para cumprir o seu papel, a governança deve aprovar e apoiar as políticas e estratégias das funções de gestão, assegurar-se de que tais instrumentos reflitam as diretrizes estabelecidas e suportem os objetivos organizacionais, e monitorar o desempenho dessas funções.A seguir, estão relacionadas as funções de gestão que são abordadas no modelo de autoavaliação em governança pública utilizado pelo TCU, respectivas práticas e breve descrição de cada uma delas. Considerou-se importante citá-las neste Referencial, a fim de ressaltar a necessidade de a governança alinhar essas funções à estratégia organizacional e desenvolver suas capacidades.Cabe mencionar que a autoavaliação não abrange todas as práticas das funções de gestão. Optou-se por destacar as que possuem ampla fundamentação na literatura, que são relevantes para o bom desempenho da gestão e que são comuns à maioria das organizações que estão sob a jurisdição do TCU, para que os resultados pudessem ser comparáveis.Mais informações acerca da autoavaliação, organizações participantes, referências bibliográficas utilizadas, instruções de preenchimento, glossário e resultados dos últimos trabalhos podem ser obtidos no site de governança pública: https://portal.tcu.gov.br/governanca/governancapublica.1. Gestão de Pessoas1.1 Realizar planejamento da gestão de pessoasO planejamento da gestão de pessoas busca alinhar as entregas dessa gestão às necessidades organizacionais. Deve estabelecer claramente os objetivos e os indicadores, metas e responsáveis para cada objetivo, além das formas e da periodicidade do monitoramento do desempenho. Desse modo, ajuda a priorizar ações e permite uma análise mais criteriosa quanto ao que é possível efetivamente realizar (inclusive em relação aos recursos disponíveis).É importante ressaltar que o planejamento deve ser específico para a área de gestão de pessoas, mas abranger a totalidade da organização, visando dar suporte direto à implementação dos planos organizacionais. Esse planejamento deve abranger todas as funções/subsistemas operacionais de gestão de pessoas (tais como recrutamento e seleção, treinamento e desenvolvimento, promoção da qualidade de vida no trabalho, avaliação de desempenho, concessão de benefícios e vantagens), a fim de maximizar a contribuição de cada uma delas para a consecução dos objetivos desta gestão e da estratégia organizacional. Para isso, deve-se aprovar e publicar objetivos, metas e indicadores de desempenho para cada função/subsistema. Em algumas oportunidades, o TCU já recomendou a elaboração do plano com a inclusão de cada função/subsistema, conforme os acórdãos 3023/2013, 99/2015 e 2212/2015 (todos do Plenário).O planejamento de gestão de pessoas funciona como uma ferramenta de comunicação, pois possibilita coordenar os esforços para objetivos comuns. Além disso, também é uma ferramenta de controle, pois permite a avaliação dos resultados e dos responsáveis pelas ações. Evita-se, portanto, projetos e políticas sem vinculação com a real condição de execução e das necessidades da organização. Um planejamento sólido também facilita a manutenção de caminhos adotados e evita mudanças de rumos sem motivações e divergentes do interesse público.A falta de direcionamento para a atuação das funções/subsistemas de gestão de pessoas pode impedir a organização de identificar resultados abaixo do esperado, bem como operações desconexas entre si ou que não apoiam a estratégia organizacional, dificultando a correção de eventuais distorções de rumos.1.2 Definir, em termos qualitativos e quantitativos, a demanda por colaboradores e gestoresO planejamento da força de trabalho é uma prática de gestão de pessoas que visa garantir que as unidades organizacionais possuam colaboradores e gestores na quantidade necessária (quantitativo) e com os perfis profissionais adequados para atenderem às suas necessidades (qualitativo). A prática possibilita a identificação mais precisa da real necessidade de força de trabalho e gera insumos fundamentais para os processos de seleção, movimentação e treinamento, dentre outros.A definição adequada da demanda por colaboradores e gestores deve ser precedida da definição dos perfis profissionais desejados para cada ocupação, do quantitativo necessário de pessoal por unidade organizacional ou processo de trabalho, e da identificação das lacunas entre as necessidades atuais e futuras da organização e a capacidade existente, tanto em termos quantitativos quanto qualitativos. Tal processo gera informações objetivas que subsidiam a formulação das estratégias de gestão de pessoas (p. ex.: realocação, contratação, nomeação, desenvolvimento, terceirização), de forma que o planejamento da força de trabalho se alinhe à estratégia organizacional.Cabe mencionar que a definição de perfis profissionais desejados para os atuais e futuros ocupantes dos cargos e funções das organizações deve levar em consideração as responsabilidades e atribuições de cada ocupação, bem como um conjunto de fatores (competências, experiência, idoneidade etc.) que contribuam de maneira determinante para o exercício das atividades e tarefas que lhes são ou serão atribuídas. O perfil profissional interliga todos os processos de gestão de pessoas, como recrutamento e seleção, desenvolvimento e avaliação de desempenho. Além disso, os perfis permitem a configuração de cursos de formação e de planos de desenvolvimento aderentes à estratégia organizacional e ao desempenho esperado, bem como definem parâmetros de avaliação de desempenho, de forma a minimizar a subjetividade.A criação e o monitoramento de indicadores sobre a força de trabalho pode auxiliar na definição e atualização, com base em critérios técnicos, de tabelas de lotação necessária por unidade organizacional, e a definição de estratégias de gestão de pessoas com base nas análises realizadas, conforme recomendado nos acórdãos 2.212/2015, 99/2015, 1.883/2015, 1.564/2015 e 1.234/2015, todos do Plenário do TCU.1.3 Assegurar o provimento das vagas existentesConsiste em garantir que os processos de seleção, escolha e movimentação de colaboradores e gestores sejam baseados em informações precisas acerca da demanda, tanto qualitativa quanto quantitativa, de força de trabalho das unidades ou processos organizacionais.Esta prática depende, portanto, diretamente da anterior, pois consiste em executar as estratégias de seleção, contratação e realocação de pessoal formuladas com base nos dados obtidos da definição adequada da demanda da força de trabalho.Assegurar o adequado provimento das vagas existentes permite balancear melhor a carga de trabalho das unidades organizacionais e evitar a seleção de profissionais com base em critérios, perfis ou quantitativos inadequados, o que reduz o risco de baixo desempenho das unidades organizacionais causado por falta de pessoal ou falta da qualificação necessária para o bom desempenho das suas atribuições.1.4 Assegurar a disponibilidade de sucessores qualificadosTem por objetivo assegurar a continuidade das atividades e processos organizacionais, principalmente aqueles relativos às ocupações críticas de gestão, ou seja, que possuem duas características principais: dificuldade de reposição (pelo menos mantendo-se o nível de eficiência e eficácia) e influência direta nos resultados organizacionais, pois o desempenho inadequado pode colocar em risco o funcionamento da organização. Cabe mencionar que as ocupações críticas não são necessariamente posições elevadas na hierarquia.Tal objetivo pode ser atingido com a identificação de perfis profissionais requeridos para posições de gestão e de potenciais sucessores, e com ações de desenvolvimento ou seleção/contratação para sanar eventuais lacunas de competência. Desse modo, a organização pode selecionar ou desenvolver potenciais gestores com base em perfis profissionais desejados, garantindo, no futuro, a disponibilidade de sucessores que os apresentem.Devido à importância da capacitação dos gestores e potenciais sucessores, normas específicas direcionam a Administração Pública Federal nesse sentido, conforme se observa, por exemplo, no art. 5º, parágrafos 4º e 5º da Lei 11.416/2006, art. 17 da Lei 13.303/2016 e art. 3º, inciso VI do Decreto 9.991/2019. Além disso, há as recomendações constantes no relatório do Acórdão 2.212/2015 do Plenário do TCU.Observa-se ainda que a OCDE (2010) apontou que os países mais avançados em governança de pessoas no setor público já adotavam, à época, a definição de perfis profissionais como critério básico para a seleção de gestores, inclusive seniores. A discricionariedade da escolha continuará acontecendo, mas deve considerar também a adequação dos escolhidos aos perfis profissionais mais alinhados às necessidades organizacionais.1.5 Desenvolver as competências dos colaboradores e dos gestoresConsiderando que a qualidade dos serviços prestados pelas organizações públicas e outros entes jurisdicionados ao TCU está relacionada diretamente ao conhecimento e às habilidades dos seus colaboradores, as práticas de treinamento e de desenvolvimento contribuem decisivamente para que essas organizações alcancem os resultados pretendidos. Por essa razão, as ações educacionais para o desenvolvimento das potencialidades individuais têm destaque entre as práticas de gestão de pessoas, devendo receber investimentos suficientes.Esta prática envolve promover ações de treinamento visando a melhoria do desempenho atual e as necessidades futuras da organização, de modo a não ser surpreendida com a carência de novas competências.A prática envolve ainda avaliar as ações educacionais atualmente executadas para promover sua melhoria. As avaliações devem contemplar análises quanto ao atendimento de necessidades estratégicas organizacionais, custo-benefício e resultados alcançados, não se limitando, portanto, a cálculos de quantidade de recursos investidos ou de ações ofertadas.1.6 Desenvolver e manter ambiente de trabalho positivo para o desempenhoDeve-se construir e manter ambiente de trabalho favorável ao bom desempenho dos colaboradores, como, por exemplo: a realização de pesquisas de opinião acerca de clima organizacional, de bem-estar e de satisfação com o trabalho; a oferta de condições mais flexíveis e estimulantes para realização do trabalho; a execução de práticas de reconhecimento e de programa de qualidade de vida; e o estabelecimento de procedimentos para identificar as razões de desligamentos voluntários e de pedidos de movimentação interna dos colaboradores.Há diversas razões para que organizações avaliem a satisfação com o trabalho e cuidem do bem-estar de seus colaboradores. A primeira delas é a responsabilidade social que as instituições devem ter com a sua força de trabalho. Isso vale tanto para o setor privado quanto para o setor público. Outra razão importante está na possibilidade do aumento no comprometimento que os colaboradores demonstram com a organização e na promoção de um ambiente de trabalho mais humano. Todos esses são fatores críticos para o sucesso das organizações.O mercado de trabalho compete cada vez mais por talentos. Para recrutá-los, as organizações devem estar atentas ao fato de que as pessoas não estão buscando apenas bons salários, mas também ambientes de trabalho saudáveis, que proporcionem a satisfação de outras necessidades. Nesse contexto, condições mais flexíveis no cumprimento de jornada de trabalho, maior autonomia para realização de tarefas, programas de inclusão e de promoção ao respeito à diversidade, incentivos para capacitação contínua, podem estimular o aumento do desempenho.Programas de qualidade de vida, por sua vez, buscam promover a saúde (física e mental) do colaborador. Ao contribuírem para a diminuição dos níveis de estresse e de incidência de doenças ocupacionais, tais programas reduzem os custos com a saúde, como os decorrentes de assistência médica, de absenteísmo, de acidentes de trabalho etc. As organizações podem investir em programas relacionados a: prática de exercícios físicos, ergonomia, nutrição, higiene e segurança do trabalho, entre outros.É importante que os resultados dos programas de qualidade de vida e das medidas de flexibilização e estímulo ao trabalho sejam avaliados, para evitar desperdícios e verificar se estão resultando em melhor desempenho dos colaboradores.Há consenso, no campo de estudo comportamental, de que reforços positivos oferecidos de maneira adequada na realização de atividades podem levar à melhoria do desempenho. Portanto, as práticas de reconhecimento devem ser adotadas para incentivar e premiar colaboradores, gestores e/ou equipes que se destacaram pelo desempenho apresentado. As organizações da Administração Pública Federal, por restrições legais, não podem, por ato interno, criar benefícios remuneratórios e benefícios financeiros, os quais, quando existem, devem ser normatizados por lei. Mas podem estabelecer recompensas não financeiras, focadas nas necessidades que os colaboradores têm de reconhecimento, realização, satisfação e crescimento pessoal ou coletivo.O desligamento voluntário de colaboradores é ainda um dos temas mais preocupantes da gestão, pois costuma gerar grande dispêndio de recursos. Por isso, é importante identificar as razões pelas quais há a intenção de deixar a organização e os motivos que levaram ao efetivo desligamento. As razões são causas percebidas para um comportamento, podem revelar vários motivos subjacentes que o indivíduo experimenta. Por isso, é fundamental para ações de melhoria na gestão de pessoas a identificação de todas as causas, e não somente razões de caráter legal, tais como "posse em outro cargo inacumulável".Há também movimentações que ocorrem dentro da própria organização e que não se justificam por aumento de remuneração ou alcance de cargos mais altos na hierarquia. A identificação do conjunto de razões para esse tipo de movimentação pode ser decisiva para a melhoria de aspectos da gestão, pois podem apontar falhas em processos, unidades ou condições de trabalho como, por exemplo, excesso ou falta de carga de trabalho ou clima organizacional propício à desmotivação.1.7 Gerir o desempenho dos colaboradores e dos gestoresOs colaboradores e gestores devem ser avaliados sistematicamente, segundo o desempenho individual das tarefas e atividades a eles atribuídas. Diversos normativos preveem a prática para a APF, como: art. 2º §2º da Lei 10.404/2002; art. 140 da 11.784/2008; art. 2º da Lei 12.300/2010; arts. 14 e 16 da Lei 10.356/2001; art. 6º V da Resolução CNJ 240/2016. O TCU, por meio do Acórdão 2.212/2015-Plenário, também fez recomendações para implementação dessa prática.A prática busca promover a melhoria do desempenho dos gestores e colaboradores e subsidiar a formulação das estratégias de gestão de pessoas. Contribui para: alinhar os processos de trabalho com os objetivos estratégicos da organização; identificar as necessidades de adequação funcional relacionadas a problemas de adaptação ao cargo, à função ou à organização; democratizar o ambiente de trabalho, estabelecendo um diálogo contínuo com colaboradores e equipes a respeito dos resultados desejados pela organização.O processo também é elemento integrador de diversas práticas de gestão de pessoas, pois oferece insumos para: a melhoria de programas de capacitação, o pagamento de gratificação de desempenho, a política de promoção e progressão no cargo ou carreira, e a identificação de falhas em equipes, gestores, processos, fluxos e condições de trabalho.O processo de gestão de desempenho foi detalhadamente exposto na Lei 11.784/2008:Art. 149. O ciclo da avaliação de desempenho compreenderá, ressalvadas as situações previstas no ato de que trata o parágrafo único do art. 150, as seguintes etapas:I - publicação das metas globais, a que se refere o inciso I do caput do art. 144 desta Lei;II - estabelecimento de compromissos de desempenho individual e institucional, firmados no início do ciclo de avaliação entre o gestor e cada integrante da equipe, a partir das metas institucionais de que tratam os arts. 144 e 145 desta Lei;III - acompanhamento do desempenho individual e institucional, sob orientação e supervisão do gestor e da Comissão de Acompanhamento de que trata o art. 160 desta Lei, de todas as etapas ao longo do ciclo de avaliação;IV - avaliação parcial dos resultados obtidos, para fins de ajustes necessários;V - apuração final das pontuações para o fechamento dos resultados obtidos em todos os componentes da avaliação de desempenho;VI - publicação do resultado final da avaliação; eVII - retorno aos avaliados, visando a discutir os resultados obtidos na avaliação de desempenho, após a consolidação das pontuações. 2. Gestão de tecnologia e da segurança da informaçãoCompreende vários processos com vistas ao adequado funcionamento da TI, sendo os principais descritos a seguir.2.1 Realizar planejamento de tecnologia da informaçãoO Planejamento de TI é um processo de gestão com o objetivo de atender às necessidades finalísticas e de informação da organização, considerando-se inclusive a visão de longo prazo. Envolve a identificação e priorização das necessidades organizacionais e a definição de projetos, ações e metas para supri-las. O planejamento de TI é complemento natural e necessário do planejamento estratégico institucional, estabelecendo diretrizes e ações transversais para suportar objetivos de negócio de todas as áreas da organização. Dessa forma, é importante que o planejamento de TI seja realizado com a participação das principais áreas (setores) que compõem a instituição. O produto mais evidente do processo de planejamento de TI é o Plano Diretor de Tecnologia da Informação (PDTI) ou instrumento equivalente, o qual deve abarcar ao menos aspectos táticos (projetos e ações para implementar a estratégia) e operacionais.No âmbito do processo de planejamento institucional ou do de TI, a organização pode também produzir um Plano Estratégico de TI (Peti) com foco na definição dos objetivos estratégicos do uso da TI na instituição. Muitas vezes o Peti está contido, implicitamente, no PDTI, sendo publicado um único documento.A elaboração de um PETI não é imprescindível, pois, atualmente, estratégias relacionadas à TI costumam já fazer parte das estratégias definidas em âmbito institucional, devido à relevância do tema. Cumpre ressaltar que sempre é necessário que o PDTI explicite como as ações e projetos que ele contém se alinham com os objetivos dos planos estratégicos institucionais, incluindo o PETI, se existir.Devem ser observados os seguintes aspectos para adoção da prática:a) a organização deve executar um processo de planejamento de tecnologia da informação de forma harmonizada e integrada ao processo de planejamento institucional;b) devem participar ativamente desse processo representantes das mais importantes áreas internas clientes da área de TI, por meio de um "Comitê de TI" ou estrutura equivalente. Recomenda-se que tal comitê seja presidido pelo dirigente da área de TI (CIO);c) o processo de planejamento de TI deve estar formalizado e publicado, ainda que seja na forma de guia, Wiki ou instrumentos assemelhados. A definição do processo deve estabelecer critérios objetivos que orientem como serão selecionados e priorizados os projetos e ações de TI (p. ex.: balanceamento entre custos, riscos, e valor agregado dos benefícios);d) como resultado do processo de planejamento de TI, deve ser produzido um plano de TI, o qual deve ser patrocinado pela alta administração (aprovado pelo dirigente máximo da organização ou por dirigente ou colegiado que integra a alta administração) e deve ser publicado na internet para conhecimento da sociedade em geral e de partes interessadas;e) o plano de TI deve estar alinhado ao plano estratégico da instituição e deve ser o instrumento que efetivamente fundamenta a proposta orçamentária da área de TI e o planejamento das contratações;f) considerando-se o necessário aspecto estratégico do plano de TI, ao elaborá-lo a organização deve avaliar iniciativas estratégicas que têm por objetivo ampliar ou melhorar o uso de TI como instrumento de transformação do negócio em benefício da sociedade (transformação digital); eg) periodicamente, a instituição deve avaliar o processo de planejamento de TI quanto ao grau de cumprimento das suas orientações pelos atores envolvidos com sua execução, bem como avaliar o desempenho do próprio processo (eficiência, eficácia e efetividade). Também é necessário que haja acompanhamento concomitante da execução do plano de TI. Em ambos os casos, devem ser realizados os ajustes que se revelarem necessários.2.2 Gerir serviços de tecnologia da informaçãoO gerenciamento (ou gestão) de serviços de TI, do inglês "IT Service Management" (ITSM), estabelece um conjunto de processos de trabalho que tem por objetivo assegurar que o provimento dos serviços de TI da organização seja feito de modo alinhado às necessidades do negócio, com adequada qualidade e otimização de custos e de riscos.A gestão de serviços de TI contempla, entre outros, os seguintes processos e atividades:a) produção do catálogo de serviços de TI: é o processo ou atividade periódica que tem por objetivo disponibilizar, de forma tempestiva e atualizada, aos usuários dos serviços e ao pessoal de suporte, um rol completo dos serviços de TI disponíveis, com informações relevantes como: metas do serviço; pontos de contato e horários de utilização, tudo em conformidade com os Acordos de Níveis de Serviço (ANS) estabelecidos;b) gestão de mudanças: é o processo cujo objetivo é permitir que mudanças necessárias sejam feitas, mas com a mínima interrupção dos serviços de TI e mínimo impacto nos ANS estabelecidos;c) gestão de configuração e ativos: é o processo que tem como principal objetivo manter informações relevantes sobre a configuração de ativos de TI necessários à entrega dos serviços de TI (incluindo os relacionamentos entre eles) durante todo seu ciclo de vida. São exemplos de ativos de TI: computadores, equipamentos de rede, bancos de dados, sistemas e soluções de TI; ed) gestão de incidentes: tem por objetivo gerir o ciclo de vida de todos os incidentes e, para cada incidente, restabelecer o serviço de TI aos usuários o mais rápido possível.Devem ser observados os seguintes aspectos para adoção da prática:a) é necessário que a organização elabore um catálogo de serviços de TI contendo informações importantes para os clientes e para o pessoal de suporte. Essas informações são normalmente obtidas dos ANS estabelecidos pela área de tecnologia da informação e as áreas internas clientes. O referido catálogo deve estar sempre atualizado, ser divulgado e estar disponível para seus usuários e para as equipes de suporte;b) é imprescindível que seja executado um processo de gestão de mudanças que assegure que: critérios para autorização de mudanças estejam definidos; mudanças sejam precedidas de planejamento e testes, nos quais se identifiquem os ativos de TI afetados; mudanças sejam comunicadas tempestivamente a todas as partes afetadas; mudanças sejam rastreáveis e monitoradas para permitir eventuais ações corretivas ou de retorno à situação anterior, e lições aprendidas com mudanças sejam documentadas e compartilhadas, visando ao aprimoramento do processo e dos serviços;c) também deve ser executado um processo de gestão de configuração dos ativos associados aos serviços de TI. É necessário que haja uma base de dados contendo registros sobre todos os ativos de TI e como eles se relacionam com cada serviço. Essa base de dados deve estar atualizada e deve servir de insumo para o planejamento e o acompanhamento de todas as mudanças;d) outro processo crítico é a gestão de incidentes de serviços de TI. Incidente, para os fins deste processo, é um ou mais eventos que levem à interrupção ou à possibilidade de interrupção não planejada de um serviço de TI ou à redução da qualidade de um serviço de TI. Os elementos essenciais deste processo são: definição de regras para a priorização e o escalamento de incidentes considerando-se os níveis de serviços especificados em acordos com as áreas clientes (ANS); manutenção de bases de conhecimento sobre erros conhecidos e problemas, de modo a auxiliar na resolução de incidentes;e) os processos de gestão de mudanças, de configuração e de gestão de incidentes devem ser formalizados e publicados, ao menos na forma de guia ou instrumento similar; ef) em relação a cada um dos três processos de gestão desta prática, a organização deve, periodicamente, avaliar o grau de cumprimento das suas orientações pelos atores envolvidos com sua execução, bem como avaliar o desempenho dos próprios processos (eficiência, eficácia e efetividade), e devem ser realizados os ajustes que se revelarem necessários2.3 Gerir nível de serviço de tecnologia da informaçãoO processo de gestão do nível de serviço tem por objetivo definir, acordar, documentar, monitorar, reportar e analisar criticamente os serviços de TI prestados, de modo a garantir que a sua entrega seja alcançável, gerenciada e alinhada com os requisitos de clientes e as necessidades do negócio.Para a boa realização deste processo, são indispensáveis os Acordos de Nível de Serviço (ANS). Trata-se de um documento que descreve o serviço e suas metas, bem como as responsabilidades do provedor do serviço (área de TI) e da parte cliente. Um ANS típico geralmente contém: breve descrição dos serviços, período de validade do acordo, breve descrição das comunicações, horário dos serviços, objetivos, indicadores e respectivas métricas e metas, responsabilidades de ambas as partes, garantias, medidas emergenciais, planos alternativos e definições sobre relatórios de monitoramento, dentre outras informações.Organizações com alta maturidade em governança de TI podem estabelecer penalidades em caso de não cumprimento do ANS pelas partes, porém isso não é um requisito imprescindível.Também é indício de maior maturidade em governança a inclusão, nos ANS, da avaliação da satisfação dos usuários com o serviço. Porém, essa é uma métrica considerada subjetiva, enquanto as metas definidas em um ANS devem ser objetivas. Assim, a satisfação dos usuários, caso utilizada, deve ser tratada apenas como um elemento informativo e orientador de possíveis melhorias.Devem ser observados os seguintes aspectos para adoção da prática:a) A área responsável pelo provimento e gestão de TI da organização deve estabelecer acordos de níveis de serviço (ANS) com as áreas internas clientes, relativamente a cada serviço de TI provido.b) o ANS de cada serviço deve estabelecer metas de nível de serviço para importantes requisitos de qualidade e desempenho, tais como: horários de funcionamento; taxa aceitável de disponibilidade; taxa máxima de erros aceitável durante a operação do serviço; mecanismos mínimos de redundância e de recuperação etc.;c) o ANS deve conter informações relevantes para orientar a atuação do suporte de primeiro e segundo nível do serviço;d) o ANS deve ser formalizado e submetido a revisões regulares para assegurar sua efetividade no alcance dos objetivos de negócio;e) o ANS deve ser monitorado continuamente pela área de TI, e relatórios periódicos sobre o alcance dos níveis de serviço devem ser encaminhados às áreas clientes do serviço; ef) os usuários dos serviços de TI também devem ser comunicados sobre aspectos relevantes dos resultados do monitoramento de níveis de serviços.2.4 Gerir riscos de tecnologia da informação e a continuidade dos serviços de TIA gestão de riscos é uma forma coordenada de dirigir e controlar uma organização no que se refere a riscos. Pode ser aplicada a toda uma organização, em suas várias áreas e níveis, bem como a áreas/funções, atividades e projetos específicos.Nesta prática, avalia-se a gestão de riscos aplicada à área (função) de TI da organização, tendo por objetivo otimizar os riscos associados com TI, denominados de forma ampla como Risco de TI.Risco de TI é o risco para o negócio que está associado à propriedade, administração, operação, uso, adoção ou não adoção de TI na organização.O Risco de TI pode ser categorizado da seguinte forma:a) risco de não aproveitamento do benefício de TI: é o risco estratégico de TI, pois representa oportunidades perdidas de não adotar e usar novas tecnologias como instrumento para melhorar a eficiência ou a eficácia dos processos de negócio, ou como elemento disruptivo em novas iniciativas estratégicas, em benefício da sociedade;b) risco de projetos e programas dependentes de TI: refere-se ao risco que pode se materializar no âmbito de projetos e programas que têm por objetivo implementar a TI em novos negócios ou em aprimorar soluções ou serviços de TI. Ou seja, é a tradicional disciplina de risco de projetos ou de programas aplicada com foco nos projetos e programas de TI; ec) risco operacional dos serviços de TI: referente a possíveis impactos resultantes de baixo desempenho apresentado pelos serviços e sistemas de TI que suportam a operação normal do negócio (prestação diária, apoiada por TI, dos serviços públicos de responsabilidade da instituição).A gestão da continuidade associa-se intimamente com a gestão de riscos, diferenciando-se desta por assumir que as ações de resposta ou tratamento de risco falharam ou não são aplicáveis e um evento catastrófico (de alto impacto) concretizou-se. Dessa forma, o principal objetivo do processo de gestão de continuidade é responder à crise instalada e restaurar os serviços e todo o negócio aos níveis de operação normal o mais rápido possível, observadas as prioridades estabelecidas.Devem ser observados os seguintes aspectos para adoção da prática:a) deve ser executado um processo de gestão dos Riscos de TI, no qual estejam estabelecidos papéis e responsabilidades, estratégias gerais e critérios de respostas . Idealmente, tal processo deve ser parte integrante do processo de gestão de riscos institucional;b) a responsabilidade por coordenar a gestão de Riscos de TI deve estar claramente definida (área ou função da organização);c) os processos de negócio críticos para a organização devem ter os principais Riscos de TI identificados, analisados e avaliados;d) deve ser produzido e mantido atualizado um plano de tratamento ou respostas aos Riscos de TI avaliados. As respostas podem envolver ações para mitigação, transferência, eliminação ou aceitação do risco como um todo ou parcialmente, conforme os critérios previamente estabelecidos;e) a organização deve executar um processo de gestão de continuidade dos serviços de TI;f) o processo deve estabelecer papéis, responsabilidades e estratégias gerais de respostas a eventos, recuperação de desastres e continuidade envolvendo serviços de TI críticos;g) o processo de gestão de continuidade de serviços de TI deve integrar o processo de gestão de continuidade do negócio institucional;h) deve ser elaborado um plano de continuidade dos serviços de TI ou plano equivalente;i) as ações e os prazos registrados no plano de continuidade de serviços de TI devem ser fundamentados em análises de impacto no negócio (do inglês business impact analysis (BIA)) realizadas;j) o plano de continuidade de serviços de TI deve ser periodicamente testado e revisado;k) o processo de gestão de Riscos de TI e o processo de gestão de continuidade de serviços de TI devem ser formalizados e publicados, ao menos na forma de guia ou instrumento similar; el) periodicamente, a organização deve avaliar o grau de cumprimento das orientações dos dois processos citados nesta prática pelos atores envolvidos com sua execução, bem como avaliar o desempenho dos próprios processos (eficiência, eficácia efetividade), e devem ser realizados os ajustes que se revelarem necessários.2.5 Definir políticas de responsabilidades para a gestão da segurança da informaçãoSegurança da Informação é o conjunto coordenado de ações que objetivam viabilizar e assegurar a disponibilidade, a integridade, a confidencialidade e a autenticidade das informações.A gestão de riscos (de segurança da informação, neste caso) é parte integrante da segurança da informação. O risco de segurança da informação refere-se à exploração de uma ou mais vulnerabilidades de um ativo de informação ou de um conjunto de ativos, por parte de uma ou mais ameaças, com impacto negativo no negócio da organização.É recomendado em normas técnicas que as organizações instituam uma política de segurança da informação, aprovada pela alta administração e comunicada para todos os servidores ou funcionários e partes externas relevantes. Esse documento deve estabelecer os objetivos, os princípios, os processos mais importantes e as responsabilidades relativos à segurança da informação em âmbito institucional.Devem ser observados os seguintes aspectos para adoção da prática:a) deve estar instituída uma política de segurança da informação que:¿	declare o comprometimento da alta administração com a segurança da informação;¿	estabeleça princípios, diretrizes, objetivos, estruturas e responsabilidades relativos à segurança da informação;¿	contemple diretrizes sobre gestão de riscos de segurança da informação (pode ser norma complementar);¿	contenha diretrizes gerais para conscientização, treinamento e educação em segurança da informação; e¿	seja amplamente comunicada a todo o pessoal da organização e também a colaboradores e partes externas relevantes;b) deve existir um comitê de segurança da informação responsável por debater e formular diretrizes para a segurança da informação em âmbito institucional, propondo a elaboração e a revisão de normas internas relacionadas com a segurança da informação;c) as áreas mais importantes da organização devem estar representadas nesse comitê, o qual deve ser presidido pelo gestor institucional de segurança da informação de que trata o item seguinte;d) deve existir um gestor institucional de segurança da informação, designado formalmente e em nível hierárquico imediatamente abaixo da alta administração, de modo que detenha as prerrogativas e os recursos necessários para bem realizar sua função;e) as ações institucionais de segurança da informação e a execução do processo de gestão de riscos de segurança da informação institucional devem ser coordenadas por esse gestor;f) é também responsabilidade desse gestor coordenar ações periódicas de conscientização e de treinamento em segurança da informação; eg) periodicamente, a organização deve avaliar o grau de cumprimento da política de segurança da informação pelos atores envolvidos com sua execução, bem como avaliar criticamente a própria política (eficiência, eficácia e efetividade), e devem ser realizados os ajustes que se revelarem necessários.2.6 Estabelecer processos e atividades para a gestão da segurança da informaçãoOs processos relacionados com a gestão da segurança da informação e as atividades operacionais subjacentes são abordados nesta prática. Trata-se de aspectos essenciais para que a segurança da informação seja realizada de forma efetiva.Os processos e atividades desta prática têm como objetivo catalogar e proteger as informações e os ativos de segurança da informação.Importante observar que o termo "ativos associados à informação" refere-se não apenas a recursos de processamento, armazenamento e transmissão de informações, mas também aos locais onde se encontram esses recursos. Observe-se ainda que o conceito não está restrito apenas a recursos de tecnologia da informação, envolvendo também outros tipos de ativos que suportam informações.Os elementos principais desta prática são:a) o processo de gestão de riscos de segurança da informação e os controles dele derivados;b) o processo de controle de acesso à informação, controles dele decorrentes e respectiva política;c) o processo de gestão dos ativos associados à informação e o respectivo inventário de ativos;d) o processo de gestão de incidentes de segurança da informação e controles dele decorrentes; ee) o processo para a classificação e tratamento das informações que a organização produz ou custodia e respectivos controles.Note-se que, relativamente a este último processo, as boas práticas recomendam que as informações sejam classificadas considerando os seus diversos tipos, os diversos atributos (confidencialidade, integridade, disponibilidade, autenticidade e outros), bem como os diversos requisitos (legais e de negócio) que resultam na necessidade de classificação. Em síntese, para ser efetivo, este processo não pode se restringir apenas a classificar a informação quanto à confidencialidade em razão da imprescindibilidade à segurança da sociedade ou do Estado de que trata a Lei de Acesso à Informação (LAI).Além da execução dos citados processos, a efetividade da segurança da informação requer também a realização contínua de um conjunto mínimo de atividades operacionais consideradas essenciais pelas boas práticas, tais como: implementar defesas contra malware, realizar cópias de backup e gerenciar a segurança de equipamentos conectados na rede, entre outras.Devem ser observados os seguintes aspectos para adoção da prática:a) deve ser executado um processo de gestão de riscos de segurança da informação, no qual estejam estabelecidos papéis e responsabilidades, estratégias gerais, diretrizes e critérios de respostas a riscos. Esse processo deve integrar o processo de gestão de riscos institucional;b) a organização deve possuir um gestor formalmente responsável por coordenar a gestão de riscos de segurança da informação em âmbito institucional (normalmente é o gestor institucional de segurança da informação);c) as informações críticas para a organização (produzidas ou custodiadas) devem ter os riscos de segurança da informação identificados, analisados e avaliados, considerando-se os seguintes aspectos: confidencialidade, integridade e disponibilidade. Outros atributos da informação como autenticidade e confiabilidade também podem ser considerados;d) deve ser produzido e mantido atualizado um plano de tratamento ou respostas aos riscos de segurança da informação avaliados. As respostas podem envolver ações para mitigação, transferência, eliminação ou aceitação do risco como um todo ou parcialmente, conforme os critérios previamente estabelecidos;e) deve existir e ser executado pela organização um processo de controle de acesso à informação e aos ativos associados às informações críticas para o negócio;f) a execução desse processo deve ser orientada por uma Política de Controle de Acesso (PCA), a qual deve estabelecer princípios, objetivos, diretrizes, principais atividades e responsabilidades relativos ao processo;g) a definição e a implementação de controles de acesso físicos e lógicos devem ser considerados na execução desse processo;h) os controles de acesso implementados devem ser avaliados periodicamente quanto à sua efetividade e para assegurar que direitos de acesso indevidos ou não mais necessários sejam removidos tempestivamente;i) é necessário que a organização execute um processo de gestão dos ativos associados à informação que produz, armazena ou trata. Esse processo pode fazer parte de um processo de gestão de ativos mais abrangente;j) deve ser mantido um inventário de ativos associados à informação;k) um responsável deve ser definido para cada um dos importantes ativos associados à informação;l) os registros do inventário de ativos associados à informação devem subsidiar o processo de gestão de riscos de segurança da informação e também o processo de gestão de continuidade dos serviços de TI que usam as informações;m) deve estar estabelecido e ser executado um processo para classificação e tratamento de informações que a organização produz, processa e custodia;n) esse processo deve assegurar que sejam identificadas as principais informações dos seguintes tipos:¿	informações sigilosas ou confidenciais em razão de sua imprescindibilidade à segurança da sociedade ou do Estado de que trata a Lei de Acesso à Informação (LAI);¿	informações pessoais de que tratam a LAI e a Lei Geral de Proteção de Dados (LGPD);¿	informações sigilosas em função de outras hipóteses legais de sigilo ou de segredo; e¿	informações críticas para a organização em razão de necessidades específicas do negócio, tais como as relacionadas a requisitos de integridade, disponibilidade, autenticidade ou outros atributos da informação;o) além disso, o processo de classificação e tratamento de informações deve assegurar que as informações de cada um desses tipos sejam adequadamente rotuladas e protegidas de modo compatível com os requisitos legais ou de negócio cabíveis em cada caso;p) a organização deve executar um processo de gestão de incidentes de segurança da informação, o qual pode ser parte integrante de um processo de gestão de incidentes mais abrangente. Incidente de segurança da informação é um ou mais eventos que comprometam ou tenham alta probabilidade de comprometer a confidencialidade ou a integridade ou a disponibilidade ou a autenticidade (ou outro atributo crítico para o negócio) de informações;q) deve estar estabelecido e ser comunicado ponto de contato, preferencialmente único, para a notificação de incidentes de segurança da informação, assim como os canais para comunicação;r) as responsabilidades quanto ao tratamento das notificações de incidentes de segurança da informação devem estar definidas, assim como diretrizes para adoção de ações emergenciais e para escalamento e comunicação interna e externa;s) também devem existir diretrizes e definição de responsabilidades quanto à posterior análise de incidentes de segurança da informação, identificação de causas raízes e planejamento e implementação de ações corretivas;t) uma equipe de tratamento e resposta a incidentes em redes computacionais (ETIR) ou estrutura equivalente deve estar instituída;u) a organização deve executar um conjunto mínimo de atividades operacionais relacionadas com a gestão da segurança da informação e dos recursos de processamento da informação, inclusive dos mantidos em nuvem. As principais atividades são:¿	gerenciar os dispositivos conectados em sua rede, bem como os softwares instalados nesses dispositivos;¿	gerenciar as vulnerabilidades técnicas dos seus ativos de software, de hardware e de rede críticos para o negócio;¿	implementar configurações seguras em seus ativos de software, de hardware e de rede críticos para o negócio;¿	gerenciar e analisar logs de auditoria dos ativos de software, de hardware e de rede críticos para o negócio;¿	aplicar controles compensatórios para o uso de privilégios administrativos em seus ativos de software, de hardware e de rede críticos para o negócio;¿	implementar defesas contra malware (p. ex.: vírus) e outras ameaças cibernéticas (p. ex.:phishing);¿	limitar e controlar o uso de portas, protocolos e serviços de rede nas conexões de sua rede interna com as redes externas;¿	implementar defesa de perímetro das conexões de sua rede interna com a internet e outras redes externas;¿	realizar cópias regulares de segurança (backup) das informações digitais e periodicamente realizar testes de recuperação dessas informações; e¿	executar regularmente testes de segurança em seu ambiente de TI (detecção de vulnerabilidades e testes de penetração);v) os processos de gestão de riscos de segurança da informação, gestão de ativos associados à informação, classificação e tratamento de informações e de gestão de incidentes de segurança da informação devem estar formalizados e publicados, ao menos na forma de guia ou instrumento similar; ew) periodicamente, a organização deve avaliar o grau de cumprimento das orientações dos processos citados nesta prática pelos atores envolvidos com sua execução, bem como avaliar o desempenho dos próprios processos (eficiência, eficácia e efetividade), e devem ser realizados os ajustes que se revelarem necessários.2.7 Executar processo de softwareRefere-se ao processo de trabalho usado por uma organização na produção ou aquisição de software e na gestão do seu ciclo de vida. Abrange atividades realizadas desde a demanda ou solicitação do software pela área cliente, o desenvolvimento ou a aquisição, a operação diária e a eventual retirada (desativação) do software.Software é qualquer sistema informatizado, aplicativo, biblioteca de funções, módulo, componente ou script que resulte da programação de computadores ou equipamentos similares.Para aumentar a probabilidade de resultados positivos e para que riscos sejam mitigados, o desenvolvimento de software, seja próprio ou com apoio de pessoal contratado, requer que seja definido ou adotado um "modelo de desenvolvimento" ou "modelo de processo" de software.A disciplina da Engenharia de Software tem evoluído rapidamente e muitos modelos ou processos de desenvolvimento de software foram propostos, entre eles o modelo waterfall, espiral, RUP, ágil etc.Qualquer que seja o modelo adotado ou customizado pela organização para o desenvolvimento de software, ele deve estabelecer diretrizes, papéis e responsabilidades, ao menos quanto às seguintes atividades essenciais:a) definição, análise e gestão de requisitos;b) projeto/design;c) implementação (codificação); ed) testes.Adicionalmente, segundo a norma técnica ABNT NBR ISO/IEC 12207:2009[footnoteRef:18] (ABNT 2009c), o processo de software deve tratar também dos seguintes aspectos e fases do ciclo de vida do software, entre outros: [18:  A ABNT NBR ISO/IEC 12207:2009 foi cancelada em 2017, sem norma que a substitua. De todo modo, mantém-se aqui como boa prática, considerando que esteve válida por longo tempo e se baseia em outras normas e padrões que auxiliaram na melhoria de processos das organizações. ] a) gestão da documentação;b) gestão da configuração;c) gestão da qualidade;d) aceitação (pela área cliente);e) instalação (transição para ambiente de produção);f) operação diária;g) manutenção; eh) desativação.A ABNT NBR ISO/IEC 12207:2009 (ABNT 2009c) também trata como parte do processo de software as atividades relacionadas com a aquisição de software pronto, tais como: planejamento da aquisição, seleção e aprovação do fornecedor, gestão contratual etc.Ainda que as diretrizes gerais para essas atividades possam ser obtidas dos macro processos de contratação e de gestão contratual estabelecidos pela organização, aspectos específicos da aquisição de software devem ser regulamentados em processo ou norma própria (ou em processo ou norma sobre contratação de soluções de TI).Devem ser observados os seguintes aspectos para adoção da prática:a) deve haver pessoal próprio da organização capacitado para realizar as atividades de gestão do processo de software;b) análises de soluções de mercado devem ser realizadas antes de se decidir pelo desenvolvimento interno (devem existir critérios pré-definidos para orientar a decisão de construir ou comprar);c) ao planejar aquisições de software por contratação, devem ser realizados estudos para identificar e tratar o risco de futura dependência tecnológica de fornecedor (vendor lock in), de tecnologia e de caminho tecnológico (path dependence);d) devem ser priorizadas arquiteturas de software que promovam o desacoplamento de soluções, sistemas e componentes, inclusive nos casos de software adquirido;e) deve haver participação de representante da área de negócio como integrante da equipe de desenvolvimento ou aquisição de software, desde sua concepção até a aceitação final;f) desde as etapas iniciais de análise da necessidade do negócio, devem ser identificados requisitos de segurança da informação e deve haver gestão permanente desses requisitos durante todo o ciclo de vida do software;g) o item anterior deve ser aplicado também para: requisitos de interoperabilidade, de acessibilidade e de usabilidade;h) a organização deve assegurar nos instrumentos contratuais todos os seus direitos: autorais, de propriedade e de uso relativamente ao software que desenvolve por meio de contratação;i) devem ser definidos previamente indicadores e metas de qualidade e de desempenho para os softwares a serem desenvolvidos ou adquiridos e o alcance dessas metas deve ser mensurado e embasar a aplicação de penalidades ou ajustes procedimentais cabíveis;j) o processo de software deve estar formalizado e publicado, ao menos na forma de guia ou instrumento similar; ek) periodicamente, a organização deve avaliar o grau de cumprimento das orientações do processo de software pelos atores envolvidos com sua execução, bem como avaliar o desempenho do próprio processo (eficiência, eficácia e efetividade), e devem ser realizados os ajustes que se revelarem necessários.2.8 Gerir projetos de tecnologia da informaçãoUm projeto é, resumidamente, o esforço temporário empreendido para criar um produto, serviço ou resultado único. Portanto, projetos diferenciam-se das atividades operacionais, que têm a característica de serem executadas continuamente, por prazo indeterminado, e visam produzir produtos ou serviços em série, não criar um único e novo resultado.A gestão de projetos tem por objetivo assegurar que os projetos sejam adequadamente aprovados, planejados, executados e passem por uma revisão pós-implantação, com vistas à ótima realização dos benefícios almejados e a redução dos riscos, especialmente os relacionados com atraso de entrega, mau uso de recursos ou prejuízo financeiro.Para alcançar esses objetivos, as boas práticas recomendam que o processo de gestão de projetos contemple os seguintes subprocessos (áreas de conhecimento), entre outros:a) gestão da comunicação do projeto;b) gestão das partes interessadas do projeto;c) gestão do escopo do projeto;d) gestão do cronograma do projeto;e) gestão dos custos do projeto;f) gestão da qualidade do projeto;g) gestão dos recursos do projeto;h) gestão dos riscos do projeto; ei) gestão das aquisições do projeto.Esses subprocessos são executados com maior ou menor intensidade, conforme a etapa do projeto (Iniciação, Planejamento, Execução, Monitoração, Encerramento).A etapa de Iniciação de um projeto de TI é especialmente crítica, pois ali devem ser analisados aspectos como: alinhamento do projeto de TI aos planos de negócio; benefícios para o negócio; riscos estratégicos da não realização; modelo de execução (próprio, contratado, misto). A atuação do Comitê de TI é de extrema importância nesta etapa (autoriza ou não o prosseguimento).Conforme suas avaliações de riscos, a organização pode relaxar a execução de um ou mais desses subprocessos para os projetos de baixa criticidade e materialidade.Devem ser observados os seguintes aspectos para adoção da prática:a) deve ser executado um processo de gestão de projetos de tecnologia da informação, o qual pode ser parte integrante de um processo institucional de gestão de projetos;b) para a boa gestão dos projetos, é necessário que exista uma base de dados consolidada (portfólio) de projetos de tecnologia da informação. Eventualmente, pode haver portfólio mais abrangente. Nesse caso, deve permitir facilmente filtrar os dados relativos a projetos de TI;c) o escopo, os custos, o uso de recursos e o cumprimento de prazos devem ser gerenciados durante a execução de todos os projetos de TI;d) todos os projetos de TI de alta materialidade ou alta relevância, ao menos, devem ser submetidos ao processo de gestão de riscos de TI;e) o processo de gestão de projetos deve estar formalizado e publicado, ao menos na forma de guia ou instrumento similar; ef) periodicamente, a organização deve avaliar o grau de cumprimento das orientações do processo de gestão de projetos pelos atores envolvidos com sua execução, bem como avaliar o desempenho do próprio processo (eficiência, eficácia e efetividade), e devem ser realizados os ajustes que se revelarem necessários.3. Gestão de Contratações3.1 Promover a integridade na área de contrataçõesA integridade na área de contratações versa sobre os valores e padrões de comportamento estabelecidos para as equipes que atuam no processo de contratações.Trata-se de avaliar se os valores e padrões de conduta estabelecidos para a organização são suficientes para a área de contratações, ou se devem ser complementados para abordar aspectos específicos do processo de aquisições, como por exemplo, conduta perante fornecedores e práticas anticompetitivas.A prática avalia dois aspectos:a) promoção da ética nas contratações: versa sobre a existência de normativos que limitem ou impeçam gestores e colaboradores de realizar negócios pessoais com representantes de fornecedores ou de receber benefícios de fornecedores atuais ou potenciais; obrigatoriedade de registro de situações que possam conduzir a conflito de interesses no exercício das suas atividades; e verificações se gestores e colaboradores possuem impedimentos legais quando do ingresso na área de contratações ou se exercem atividade privada que tenha algum tipo de relação pessoal ou profissional com fornecedores atuais; eb) publicação na internet dos documentos de cada contratação: estudo técnico preliminar; documento de formalização da demanda; Termo de Referência (TR) ou projeto básico; edital de licitação das contratações (ou instrumento convocatório equivalente); manifestações das partes interessadas (pedidos de esclarecimento, impugnações e representações) e as respectivas respostas; ata de julgamento, contendo propostas e lances oferecidos (quando for o caso); inteiro teor dos contratos, notas de empenho, aditivos e termos de prorrogação de contratos; termos de recebimentos provisórios e definitivos; mapa de gerenciamento de riscos da contratação, incluindo suas eventuais atualizações; e análise realizada e justificativa dada para subsidiar a decisão de eventual prorrogação contratual.3.2 Desenvolver a capacidade da área de contrataçõesA definição dos perfis profissionais desejados para gestores e colaboradores que atuam no processo de contratações e dos quantitativos necessários para cada etapa do processo são os principais insumos para a adequada alocação desses profissionais. Tais informações servem de subsídio para a política ou plano de capacitação e de remoção interna, a fim de mitigar o risco de atividades críticas serem executadas por pessoas sem competência para tal. Nesta prática, inserem-se, ainda, a avaliação de desempenho e os mecanismos para atrair e reter colaboradores na área de contratações.Esta prática consiste em avaliar se:a) a organização possui mecanismos para desenvolver a capacidade dos gestores e dos colaboradores da área de contratações (definição de perfis profissionais); alocação de pessoal de acordo com o perfil estabelecido; definição de quantitativo de pessoal para cada área; critérios para avaliação de desempenho; procedimentos para transmissão de informações na sucessão de pessoal; política ou plano de capacitação para o pessoal da área de contratações; e treinamento específico antes de os colaboradores dessa área assumirem o encargo pela primeira vez; eb) a organização possui mecanismos para atrair e reter colaboradores na área de contratações, incluindo política de rotatividade com limitação máxima para permanência no cargo ou função; incentivos para os colaboradores que atuam nas funções-chave da área de contratações e funções; e cargos de confiança preenchidos preferencialmente por pessoas do quadro efetivo da organização ou da própria área de contratações.3.3 Realizar planejamento das contrataçõesO Plano de Contratações é o documento pelo qual a organização define o planejamento das contratações e prorrogações de contratos de bens, serviços, obras e soluções de tecnologia da informação e comunicações para o exercício subsequente.O plano deve conter informações sobre: itens, quantitativos, descrição sucinta dos itens; estimativa de valor; justificativa para a aquisição; grau de prioridade; data estimada da contratação; se há vinculação ou dependência com a contratação de outros itens para determinada execução.A elaboração deve ser feita por grupo que represente os diversos setores da organização.Deve ser aprovado pela alta administração e revisado periodicamente.Esta prática consiste em avaliar se:a) é elaborado um plano das contratações;b) o plano de contratações é aprovado pelo dirigente máximo da organização (ou pelo ordenador de despesas, por delegação);c) o plano de contratações é elaborado com a participação de setores relevantes;d) o plano de contratações contempla a associação dos itens a um projeto ou a um processo alinhado à estratégia da organização;e) o plano de contratações é divulgado de modo adequado, incluindo o site oficial da organização na internet.3.4 Estabelecer processos de trabalho de contrataçõesA ISO 9001 (ABNT, 2015, p. 8) preconiza o que:Entender e gerenciar processos inter-relacionados como um sistema contribui para a eficácia e a eficiência da organização em atingir os resultados pretendidos. Essa abordagem habilita a organização a controlar as inter-relações e interdependências entre processos do sistema, de modo que o desempenho global da organização possa ser elevado.Um processo para aquisições públicas pode ser visto como tendo três fases: 1. Planejamento da contratação, que recebe como insumo uma necessidade de negócio, e gera como saída um edital completo, incluindo o Termo de Referência (TR) ou Projeto Básico (PB) para a contratação; 2. Seleção do fornecedor, que recebe como insumo o edital completo, e gera como saída o contrato; e 3. Gestão do contrato, que recebe como insumo o contrato, e gera como saída uma solução, que produz resultados, os quais atendem à necessidade que desencadeou a contratação.Esta prática consiste em avaliar se há:a) definição de processo de trabalho para a fase de planejamento das contratações, com procedimentos padronizados para planejamento da contratação; definição interna de papéis e responsabilidades dos colaboradores que atuam nesta etapa; modelos padronizados para os documentos a serem elaborados; e exigência de que as equipes alocadas reúnam as competências necessárias para o desempenho das atividades;b) definição de processo de trabalho para a etapa de seleção do fornecedor, com procedimentos padronizados para seleção de fornecedores (p.ex.: listas de verificação para pregoeiros); definição interna de papéis e responsabilidades dos colaboradores que atuam nesta etapa; modelos padronizados para os documentos a serem elaborados; e exigência de que as equipes alocadas reúnam as competências necessárias para o desempenho das atividades; ec) definição de processo de trabalho para a etapa de gestão de contratos, com atenção às normas de fiscalização e procedimentos padronizados aplicáveis; a autoridade competente avalia objetivamente a capacidade do indicado de assumir responsabilidade para ser gestor ou fiscal de contrato (conforme sua complexidade e demanda de atuação); definição interna de papéis e responsabilidades dos colaboradores que atuam nesta etapa; modelos padronizados para documentos utilizados na gestão de contratos; e exigência de que as equipes alocadas reúnam as competências necessárias para o desempenho das atividades.3.5 Gerir riscos em contrataçõesTrata-se de gerenciar os riscos que possam impactar o alcance dos objetivos definidos pela organização para a área de contratações; e ainda de cada contratação, ou seja, dependente, portanto, das especificidades de cada objeto a ser contratado.A Instrução Normativa Seges/MP 5/2017 trata do assunto em seus artigos 20 e 25:Art. 20. O Planejamento da Contratação, para cada serviço a ser contratado, consistirá nas seguintes etapas:[...]II - Gerenciamento de Riscos;[...]Art. 25. O Gerenciamento de Riscos é um processo que consiste nas seguintes atividades:I - identificação dos principais riscos que possam comprometer a efetividade do Planejamento da Contratação, da Seleção do Fornecedor e da Gestão Contratual ou que impeçam o alcance dos resultados que atendam às necessidades da contratação;II - avaliação dos riscos identificados, consistindo da mensuração da probabilidade de ocorrência e do impacto de cada risco;III - tratamento dos riscos considerados inaceitáveis por meio da definição das ações para reduzir a probabilidade de ocorrência dos eventos ou suas consequências;IV - para os riscos que persistirem inaceitáveis após o tratamento, definição das ações de contingência para o caso de os eventos correspondentes aos riscos se concretizarem; eV - definição dos responsáveis pelas ações de tratamento dos riscos e das ações de contingência.Parágrafo único. A responsabilidade pelo Gerenciamento de Riscos compete à equipe de Planejamento da Contratação devendo abranger as fases do procedimento da contratação previstas no art. 19.Esta prática avalia dois aspectos:a) gestão dos riscos da área responsável pela gestão das contratações, contemplando identificação, análise, avaliação dos riscos, tratamento dos riscos identificados e responsáveis pelas ações de tratamento dos riscos. Além disso, gestão de riscos para os processos de trabalho das fases de planejamento da contratação, seleção do fornecedor e gestão de contratos. E ainda, capacitação dos gestores da área de contratações em gestão de riscos; eb) gestão dos riscos das etapas de planejamento da contratação, seleção do fornecedor e gestão de cada contratação - gestão de riscos contempla identificação, análise, avaliação dos riscos, tratamento dos riscos identificados e responsáveis pelas ações de tratamento dos riscos; realização dessa gestão em cada contratação, incluindo contratação de serviços continuados; e capacitação em gestão de riscos dos integrantes da equipe de planejamento das contratações.3.6 Contratar e gerir com base em desempenhoA contratação com base em desempenho é um método de contratação com foco em saídas, qualidade ou resultados que podem vincular ao menos parte do pagamento de um fornecedor, prorrogações ou renovações de contrato ao cumprimento de padrões de desempenho e requisitos específicos e mensuráveis.Contratos com base em desempenho têm as seguintes características, entre outras:a) descrevem os requisitos em termos de resultados exigidos, ao invés de especificar como o trabalho deve ser realizado;b) definem padrões de desempenho mensuráveis;c) descrevem como o desempenho da contratada será avaliado em um plano de garantia de qualidade; ed) identificam e usam incentivos positivos e negativos, quando apropriado.Deve-se dar preferência ao modelo de execução indireta de serviços baseado na prestação e remuneração de serviços mensuradas por resultados, considerando as vantagens advindas de sua aplicação (Decreto-Lei 200/1967 art. 10 § 7º; Acórdão TCU 786/2006-P).Os aspectos avaliados são:a) adoção de métricas objetivas para mensuração de resultados do contrato e vinculação da remuneração da contratada ao desempenho apresentado nos contratos de prestação de serviços de tecnologia da informação, serviços prestados de forma contínua e outros serviços; eb) se a necessidade que motivou a contratação ainda existe e se a solução escolhida ainda é a mais vantajosa. Ambas são condições para prorrogações contratuais de prestação de serviços de tecnologia da informação, serviços prestados de forma contínua e outros serviços.3.7 Realizar contratações sustentáveisÉ o processo de tomada de decisões de compras de bens e serviços que atendam às necessidades de uma organização de forma que beneficie não só a ela, mas a sociedade como um todo, minimizando impactos no meio ambiente (ABNT, 2017).Visa realizar compras que têm os maiores impactos ambientais, sociais e econômicos positivos possíveis ao longo de todo o ciclo de vida. As atividades envolvem os aspectos de sustentabilidade relacionados aos bens ou serviços e aos fornecedores ao longo das cadeias de suprimentos. Contribuem para a realização dos objetivos e metas organizacionais de sustentabilidade e para o desenvolvimento sustentável em geral (ABNT, 2017).Esta prática se refere à adoção de critérios e práticas sustentáveis nas contratações, quando possível, incluindo a aprovação de Plano de Logística Sustentável, contendo objetivos, papéis e responsabilidades definidos, os critérios e as práticas de sustentabilidade adotados, ações, metas, prazos de execução e mecanismos de monitoramento e avaliação, que permitam à organização estabelecer práticas de sustentabilidade e racionalização de gastos e processos; e descrição, nos autos ou processos de cada contratação, dos aspectos de sustentabilidade cabíveis.4. Gestão orçamentáriaA dimensão da gestão orçamentária passou a integrar o modelo de governança e gestão organizacional em 2019. Sua estruturação como dimensão aplicável às organizações públicas e outros entes jurisdicionados ao TCU contou com a colaboração da Secretaria de Macroavaliação Governamental (SEMAG) do TCU e da Secretaria do Orçamento Federal (SOF) do Ministério da Economia.Essa inclusão decorre da importância do processo orçamentário para a consecução das metas organizacionais e para a efetiva entrega de resultados à sociedade brasileira, marcadamente depois de 1988, pois, segundo Matias-Pereira (2006, p. 246):[...] verifica-se que o constituinte, ao aprovar a Constituição Federal de 1988, definiu a estruturação de um sistema constitucional de normas ordenadoras em relação à matéria financeiro-orçamentária. Isso pode ser observado na interação do plano plurianual, da lei de diretrizes orçamentárias e da lei orçamentária anual, com a Lei de Diretrizes Orçamentárias (LDO) cumprindo a função de ligação entre o plano e o orçamento. Essa interação ocorre, de forma especial, no cumprimento de prioridades e metas estabelecidas (grifo nosso).Para Almeida (2001, p. 20), o processo orçamentário é tão importante para a entrega de resultados que atendam às demandas sociais (legitimidade), que justifica cuidados especiais de controle já na fase de elaboração do orçamento:[...] é por intermédio dos orçamentos da União a que se refere o parágrafo 5º do artigo 165 da Constituição Federal, que o governo exerce a função de formulador de políticas públicas para atender às demandas sociais e aos interesses supremos do Estado. Esta característica dos orçamentos públicos coloca-os na esfera de interesse dos agentes de Controle Externo (Congresso Nacional e Tribunal de Contas da União), enquanto responsáveis pelo controle da legitimidade a que se refere o "caput" do artigo 70 da Constituição Federal. Este controle deve ser realizado, não apenas na fase de execução, mas, principalmente, na etapa em que receitas e despesas são autorizadas e convertidas em mandamento legal (grifos nossos).).Por isso, e considerando que a primeira e a segunda linhas (IIA, 2020) estão diretamente nas mãos dos gestores, percebeu-se ser oportuna a inclusão da dimensão da gestão orçamentária neste Referencial de governança para autoavaliação.4.1. Estabelecer o processo orçamentário organizacionalO orçamento brasileiro é um instrumento de planejamento e controle da alocação dos recursos disponíveis para auxiliar na consecução dos objetivos estabelecidos para a organização (MATIAS-PEREIRA, 2006). No entanto, como demonstrou Cruz (2011), o processo orçamentário dentro das organizações públicas pode não ser claro.Por essa razão, a primeira prática da gestão orçamentária no nível organizacional é garantir que exista um processo orçamentário bem definido. Para isso, é esperado que o processo de trabalho para elaboração anual da proposta orçamentária esteja formalizado com, no mínimo, etapas e atividades, procedimentos padronizados, papéis e responsabilidades, e prazos para cada colaborador no processo. Além disso, é necessário garantir que todas as áreas funcionais da organização que consomem recursos financeiros significativos participem formalmente do processo de gestão do orçamento. Além disso, devem existir indicadores que permitam gerenciar o processo orçamentário e os seus resultados.Deve ser clara a forma como o orçamento é alinhado com o planejamento estratégico da organização, garantindo que haja: conhecimento e compreensão do desempenho de planos e orçamentos anteriores e das causas de eventual mau desempenho; análise de viabilidade em termos de disponibilidade de recursos e de análise de custo-benefício; e alinhamento com os planos superiores e as estratégias nacionais e de governo.Além disso, devem-se estabelecer metas formais de economia financeira com respeito às despesas correntes e com respeito à redução do estoque de restos a pagar, garantindo a melhoria da eficiência das despesas administrativas.Por último, a organização deve ter processo claro de busca de orçamento para o adequado financiamento de sua atuação.4.2. Contemplar as prioridades no orçamentoConsiderando que a entrega de resultados à sociedade é o objetivo da governança, a gestão orçamentária precisa garantir que as prioridades locais, setoriais ou nacionais que demandam recursos orçamentários são conhecidas por meio de levantamentos objetivos, e que elas são adequadamente contempladas na proposta orçamentária.Além disso, a organização deve garantir que a avaliação das suas políticas públicas está incorporada ao seu processo orçamentário.APÊNDICE B - Potenciais benefícios das práticas de governançaBenefícios potenciais x práticasEstabelecer o modelo de governançaPromover a integridadePromover a capacidade da liderançaGerir riscosEstabelecer a estratégiaPromover a gestão estratégicaMonitorar o alcance dos resultados organizacionaisMonitorar o desempenho das funções de gestãoPromover a transparênciaGarantir a accountabilityAvaliar a satisfação das partes interessadasAssegurar a efetividade da auditoria interna1.  A liderança conquista melhores condições para estabelecer políticas internas. x x   xx  x 2.  Alcance e manutenção de cultura organizacional ética. x     xxx x3.  Alocação mais eficaz e eficiente dos recursos organizacionais para o alcance dos resultados desejados.    xxxx xx 4.  Aumento da capacidade das partes interessadas em se manifestar com relação às atividades do Estado.x         x 5.  Aumento da capacidade de identificar desvios na implementação da estratégia ou necessidades de mudança da estratégia por meio da utilização dos dados do monitoramento do desempenho.    xxxxxxx 6.  Aumento da motivação para denunciar atos ilegais ou ilegítimos. x      xx  7.  Aumento da satisfação dos usuários com o atendimento dos agentes públicos. x    xxxxx 8.  Aumento de confiança e de segurança jurídica dos tomadores de decisãoxx      xx  9.  Aumento de sustentabilidade da organização.x     xxxxx 10.   Aumento do alinhamento das decisões organizacionais aos interesses das partes interessadas.x   x   xx  11.   Aumento do conhecimento das partes interessadas sobre as atividades do Estado.x       xx  12.   Aumento do planejamento de auditoria interna baseado em riscos.   x       x13.   Aumento do valor das atividades da auditoria interna em contribuição para as prioridades organizacionais.           x14.   Conquistar e manter boa imagem e credibilidade da organização perante as partes interessadas.xxxx  xxxxx 15.   Garantia de que a liderança atende aos critérios e perfis vinculados às necessidades e objetivos da organização.x x     xx  16.   Garantia de que a liderança não tenha histórico de delitos penais, cíveis, administrativos, eleitorais, envolvimentos em atos de corrupção.x x     xx  17.   Garantia de que a lideranças das organizações tenham bom desempenho.x x x x xx  18.   Identificação de ilegalidades ou ineficiências na utilização dos recursos públicos e na execução dos programas de governo.x  x  xxxxxx19.   Identificação de lacunas ou sobreposição de esforços de avaliação entre prestadores internos e externos.           x20.   Identificação de necessidades de aprimoramento nos processos e procedimentos de auditoria interna.            x21.   Identificação tempestiva de vulnerabilidades na gestão dos riscos críticos organizacionais e na confiabilidade e integridade do reporte desses riscos.   x       x22.   Identificação tempestiva de vulnerabilidades nos processos de governança, gestão de riscos e controles da organização.           x23.   Maior agilidade nos processos decisórios de governança.x  x  xx    24.   Maior alinhamento entre as metas das unidades e os objetivos organizacionais.xx  xxxx    25.   Maior alinhamento entre os objetivos das unidades de suporte e os das finalísticas.      x x    26.   Maior aproximação entre estratégia organizacional, os interesses das partes interessadas e as prioridades nacionais.x   x x xxx 27.   Maior capacidade de identificar adequada e oportunamente as mudanças no perfil de riscos organizacional.   x       x28.   Maior capacidade de identificar e tratar riscos emergentes.   x       x29.   Maior capacidade de manter o perfil de risco dentro dos limites de capacidade de risco da organização.   x       x30.   Maior clareza de responsabilização nos processos decisórios de governança.x       xx  31.   Maior clareza na codificação e na comunicação da estratégia formulada.     xx      32.   Maior conhecimento dos tomadores de decisão quanto aos riscos mais relevantes (operacionais, de imagem, legais, orçamentários, etc..) e ao apetite a risco organizacional.   x        33.   Maior e melhor aproveitamento de oportunidades de negócio.   xxxxx  x 34.   Maior facilidade de mapear oportunidades de aprimoramento de desempenho da liderança.  x x x     35.   Maior facilidade de reconhecer o bom desempenho da liderança, com base em evidências.   x x x     36.   Maior garantia de continuidade administrativa nos processos sucessórios da liderança organizacional.  x         37.   Maior motivação dos gestores e dos colaboradores, que passam a entender como suas atividades contribuem para os resultados organizacionais.      x x  x 38.   Maior nível de colaboração, confiança e compartilhamento de informações relacionadas a riscos na organização e com as partes interessadas.   x       x39.   Maior probabilidade de que as decisões críticas levem em consideração os riscos.x  xx      x40.   Maior resiliência da organização.x  xxxxxxxxx41.   Maximizar a probabilidade de alcance dos objetivos da organização.x  xxxxx  xx42.   Melhor articulação entre formulação e implementação da estratégia.     xxx    43.   Melhores condições de recuperar ou reduzir prejuízos financeiros causados por fraude e corrupção.   x    xx x44.   Melhoria da capacidade de alcance de resultados (entrega de valor).x  xxxxxxxxx45.   Melhoria da capacidade de resposta às demandas das partes interessadas x  xxxxxxxx 46.   Melhoria no balanceamento de poder para redução de riscos pessoais e organizacionais na tomada de decisões críticasx  x        47.   Menor vulnerabilidade da organização à prática de atos ilegais ou ilegítimos. x x    xx x48.   Mudança da postura reativa da organização para a proativa, com consequentes redução de custos e impacto positivo na moral dos gestores e colaboradores.    xxxxxxxx 49.   Obtenção de melhor relação custo-benefício na criação e manutenção de controles.   x       x50.   Pagamentos de gratificações de desempenho vinculadas ao alcance de resultados.  x x x     51.  Reconhecimento de que a estratégia lida adequadamente com os riscos relevantes.   xxxxx  xx52.   Redução da quantidade de controles desnecessários, redundantes, excessivos ou ineficazes.   x       x53.   Redução de ocorrência e recorrência de incidentes de riscos evitáveis.   x       x54.   Redução do custo com sindicâncias, processos administrativos disciplinares, procedimentos disciplinares e tomadas de contas especiais. xx     xx x55.   Redução do número de casos e dos prejuízos causados por fraude e corrupção. xxx    xx xTOTAL21911251814222023241724APÊNDICE C - Glossário dos termos usados nas definições de mecanismos e práticasVERBETEDEFINIÇÃOPRÁTICAS            Accountabilityprestação de contas e responsabilidade. Diz respeito à obrigação que têm as pessoas ou entidades às quais se tenham confiado recursos, incluídas as empresas e corporações públicas, de assumir as responsabilidades de ordem fiscal, gerencial e programática que lhes foram conferidas, e de informar a quem lhes delegou essas responsabilidades (BRASIL, 2011)1.1; 3.2            Administração públicaórgão ou entidade integrante da administração pública de qualquer dos Poderes da União, dos Estados, do Distrito Federal e dos Municípios (BRASIL, 2017b).3.3            Alçada de decisãolimite de competência definido para a tomada de decisão.1.1            Alta administraçãoautoridades que integram a direção executiva de uma organização (autoridade máxima e demais membros da gerência sênior), com poderes para propor políticas, objetivos e direção geral da organização. Como exemplos mais conhecidos de gestores de nível estratégico, podem ser citados: Ministros de Estado; ocupantes de cargos de natureza especial; ocupantes de cargo do Grupo-Direção e Assessoramento Superiores (DAS) nível 6; presidentes, diretores-gerais e secretários-gerais de tribunais; presidentes e diretores de autarquias, inclusive as especiais; presidentes e diretores de fundações públicas; presidentes de empresas públicas e sociedades de economia mista, bem como a diretoria executiva (BRASIL, 2017).1.1; 3.2; 3.4            Análise de riscosprocesso de compreender a natureza e determinar o nível (magnitude, severidade) de um risco ou conjunto de riscos, mediante a combinação das consequências e de suas probabilidades. A consequência é o resultado de um evento que afeta os objetivos. O propósito da análise de riscos é compreender a natureza do risco e suas características, incluindo o nível de risco, onde apropriado. A análise de riscos envolve a consideração detalhada de incertezas, fontes de risco, consequências, probabilidade, eventos, cenários, controles e sua eficácia. Um evento pode ter múltiplas causas e consequências e pode afetar múltiplos objetivos (ABNT, 2009).1.2; 2.1            Apetite ao riscoos tipos e quantidades de risco, em nível amplo, que uma organização está disposta a aceitar em busca de valor (COSO, 2017).2.2            Área de gestão de contratações ou área de contrataçõesunidade ou conjunto de unidades organizacionais responsáveis pelo planejamento, coordenação e acompanhamento das ações destinadas à realização das contratações no âmbito da organização (BRASIL, 2019).2.3; 2.5            Área de gestão de pessoasunidade ou conjunto de unidades organizacionais especializadas na coordenação e execução de ações e práticas de gestão de pessoas (p. ex.:unidades de treinamento e desenvolvimento, recrutamento e seleção, qualidade de vida no trabalho, gestão de desempenho, análise e concessão de benefícios, pagamento de ativos e inativos).2.3; 2.5            Área de gestão de tecnologia da informaçãounidade ou conjunto de unidades organizacionais responsáveis pela coordenação e execução de ações e práticas de gestão de Tecnologia da Informação (p. ex.: gerenciamento de infraestrutura de TI, gerenciamento de projetos de TI, planejamento de TI, informatização de projetos organizacionais, gerenciamento de catálogo de serviços de TI, gestão de riscos de TI).2.3; 2.5        Área finalísticaunidade ou conjunto de unidades organizacionais responsáveis pela execução de processos finalísticos. Os processos finalísticos referem-se ao conjunto de atividades que representam a essência da organização, e estão diretamente relacionados à missão organizacional e aos objetivos principais a serem atendidos pela atuação da organização. Geram produtos ou serviços para os clientes da instituição. São sustentados por processos de apoio.2.3; 2.5        Auditoria internaum departamento, divisão, equipe de consultores ou outros profissionais que prestem serviços independentes e objetivos de avaliação e de consultoria, criados para agregar valor e melhorar as operações de uma organização. A atividade de auditoria interna auxilia a organização a atingir seus objetivos, aplicando uma abordagem sistemática e disciplinada para avaliar e melhorar a eficácia dos processos de governança, gerenciamento de riscos e controle (IIA, 2019b).1.1; 3.4        Avaliação da estratégiaavaliar o desempenho da estratégia, se ela está funcionando em termos de resultado pretendido e impacto esperado, se está levando a organização a entregar o valor proposto (KAPLAN; NORTON, 2008).2.2        Avaliação de desempenhoConsiste em identificar informações válidas, precisas e sistemáticas acerca do quanto o desempenho do indivíduo está de acordo com o esperado para seu cargo. Para tal, a delimitação prévia de um plano de trabalho, entre chefia e subordinado, na etapa de planejamento, que esteja alinhado com os critérios de verificação de desempenho, é fundamental para a correta execução e consequente avaliação de desempenho (COELHO Jr, 2011 apud SEGEP, 2013)1.3        Avaliação de riscoenvolve a comparação do nível com o limite de exposição ao risco, a fim de determinar se ele é aceitável (BRASIL, 2018d).1.2; 2.1        Balanceamento de poderrecomenda que se deve evitar a concentração de poder, autoridade e responsabilidade nas mãos de um ou de poucos indivíduos. Como regra básica, decisões e atividades críticas devem ser tomadas ou executadas por colegiado constituído por membros competentes e mutuamente independentes (BRASIL, 2014c).1.1        Canal de manifestaçõesé instrumento relevante para acolher opiniões, críticas, reclamações e denúncias, contribuindo para o combate a fraudes e corrupção e para a efetividade e transparência na comunicação e no relacionamento da organização com as partes interessadas (IBGC, 2015). O canal deve estar disponível para qualquer cidadão fazer uma denúncia, e a organização deve permanentemente divulgá-lo, especialmente a servidores ou empregados e partes interessadas, tais como beneficiários de programas, usuários de serviços públicos e fornecedores. O canal deve oferecer várias opções de denúncia como formulários eletrônicos na internet, e-mail, telefone, carta e atendimento presencial, preservando o anonimato, quando cabível (BRASIL, 2018h).3.2        Catálogo de informaçõesé um serviço disponível para que o usuário tenha acesso aos dados publicados pelo órgão ou entidade. Segundo a Cartilha para Publicação de Dados Abertos no Brasil, todos os dados publicados pela organização devem estar acessíveis por meio do catálogo, sendo desejável que o referido catálogo possibilite a navegação e a busca simplificada dos dados. O catálogo deve ser acessível a partir do portal institucional do órgão ou entidade. Existem diversas formas de se implementar um catálogo de dados. Uma simples página contendo a lista de arquivos de dados publicados, em conjunto com as informações que possibilitem organizar, classificar e relacionar esses dados, pode ser considerada um catálogo (BRASIL, 2012c).3.1        Código de ética e de condutadocumento que detalha valores, princípios e comportamentos esperados de todos os colaboradores e gestores da organização, podendo se estender a terceiros, como fornecedores e prestadores de serviços com que a organização se relaciona. Deve ser suficientemente detalhado, de modo a fornecer orientações claras e ser apoiado expressamente pela alta administração (BRASIL, 2014c).1.2        Comitê ou comissão de éticacolegiado encarregado de orientar e aconselhar sobre a ética profissional dos membros da organização, no tratamento com as pessoas e com o patrimônio público, competindo-lhe conhecer concretamente de imputação ou de procedimento suscetível de censura (BRASIL, 1994). Compete às Comissões de Ética, de forma geral: I - atuar como instância consultiva de dirigentes e colaboradores no âmbito de seu respectivo órgão ou entidade; II - recomendar, acompanhar e avaliar, no âmbito do órgão ou entidade a que estiver vinculada, o desenvolvimento de ações objetivando a disseminação, capacitação e treinamento sobre as normas de ética e disciplina; III - orientar e aconselhar sobre a conduta ética do colaborador; IV - esclarecer e julgar comportamentos com indícios de desvios éticos; V - dirimir dúvidas a respeito da interpretação das normas de conduta ética e deliberar sobre os casos omissos; VI - elaborar e propor alterações ao código de ética ou de conduta próprio; VII - dar ampla divulgação ao regramento ético (BRASIL, 2007).1.2        Conflito de interessessituação gerada pelo confronto entre interesses públicos e privados que possa comprometer o interesse coletivo ou influenciar, de maneira imprópria, o desempenho da função pública (BRASIL, 2013). Qualquer relacionamento que não seja, ou aparente não ser, no melhor interesse da organização. Um conflito de interesses prejudicaria a habilidade de um indivíduo desempenhar objetivamente suas obrigações e responsabilidades (IIA, 2017).1.2        Conselho ou Colegiado Superiorestrutura colegiada com poder decisório encarregada de direcionar, em nível estratégico, as atividades e a administração de um órgão ou entidade da Administração pública Federal, não se confundindo com conselhos e comissões de caráter opinativo. Sua denominação pode variar de acordo com a organização, de modo que o enquadramento de um colegiado como ¿conselho¿ deve ser realizado com base nas suas atribuições e poderes legais e regimentais. Caso não exista na organização, suas atribuições são absorvidas pela alta administração (BRASIL, 2017e). O conselho atua como instância interna de governança, sendo responsável por aprovar a estratégia e as políticas organizacionais, bem como monitorá-las (IFAC, 2014).1.1; 3.2; 3.4        Criação de valoré oferecer respostas efetivas a necessidades ou demandas coletivas que sejam politicamente desejadas (legitimidade), cujos resultados modifiquem aspectos da sociedade (TEIXEIRA, 2012).2.4        Critérios de análise e avaliação de riscosorientações para determinação de níveis de risco, priorização e seleção das medidas de tratamento, podendo incluir os critérios mais comuns, como probabilidade e impacto, e outros que ainda possam afetar a prioridade do risco - vulnerabilidade, velocidade, volatilidade, interdependência, correlação (SOBEL e REDING, 2012). Para apoiar o processo de avaliação de riscos, a norma ABNT 31.000 (2018) orienta considerar na definição dos critérios: a natureza e o tipo de incertezas que podem afetar resultados e objetivos; como as consequências e as probabilidades serão definidas e medidas; fatores relacionados ao tempo; como o nível de risco será determinado; como as combinações e sequências de múltiplos riscos serão levadas em consideração, e a capacidade da organização. 2.1        Critérios gerais de seleção ou escolhacritérios que abrangem o perfil profissional desejado, mas não se limitam a ele, pois contemplam outras exigências como: ausência de impedimentos legais; questões éticas; potenciais conflitos de interesse. Por exemplo, o art. 2º do Decreto 9.727/2019 estabeleceu os critérios gerais para ocupação de cargos em comissão do Grupo-Direção e Assessoramento Superiores (DAS) e Funções Comissionadas do Poder Executivo (FCPE): I - idoneidade moral e reputação ilibada; II - perfil profissional ou formação acadêmica compatível com o cargo ou a função para o qual tenha sido indicado; e III - não enquadramento nas hipóteses de inelegibilidade previstas no art. 1º, I, da Lei Complementar 64/1990. O art. 17 da Lei 13.303/2016 previu critérios para indicação de membros de conselhos de administração e diretoria, e vedou, no § 2º, indicações que possam levar a conflito de interesses.1.3        Dados abertosdados acessíveis ao público, representados em meio digital, estruturados em formato aberto, processáveis por máquina, referenciados na internet e disponibilizados sob licença aberta que permita sua livre utilização, consumo ou cruzamento, limitando-se a creditar a autoria ou a fonte (BRASIL, 2016b).3.1        Decisões críticasaquelas de grande impacto e de difícil desfazimento, e que, por isso, demandam limites de alçada de decisão e segregação de funções para sua tomada. Normalmente incluem questões estratégicas, objetivos estratégicos e metas principais, nomeações de cargos de alto nível, questões financeiras de grande materialidade, investimentos e desinvestimentos, padrões de conduta, definição de apetite a risco, entre outros.1.1        Delegação de competênciaprincípio previsto no Decreto-lei 200/1967, que tem o objetivo de assegurar maior rapidez e objetividade às decisões, situando-as na proximidade dos fatos, pessoas ou problemas a atender. Ainda segundo o parágrafo único do art. 12 do Decreto, o ato de delegação indicará com precisão a autoridade delegante, a autoridade delegada e as atribuições objeto de delegação.1.1        Desvios éticosatos cometidos em desconformidade com os valores éticos e normas de conduta aplicáveis à organização. Os ilícitos éticos são a forma mais leve de infração que o servidor ou parte interessada pode cometer. Por conseguinte, a sanção é branda, em geral resumindo-se a aplicação de censura nos assentamentos. No entanto, a importância de se apurar e aplicar a sanção está na mensagem que se passa para todos na organização e fora dela. Além disso, grandes esquemas fraudulentos podem ter início a partir de pequenos desvios éticos que foram reiteradamente negligenciados (BRASIL, 2018h).1.2; 3.2        Efetividaderelação entre os resultados de uma intervenção ou programa de governo, em termos de efeitos sobre a população-alvo (impactos observados), e os objetivos pretendidos (impactos esperados). Diz respeito ao alcance dos resultados pretendidos a médio e longo prazo (TCU, 2010 apud BRASIL, 2017d).2.4        Eficáciagrau de alcance de metas programadas em termos de produtos (bens ou serviços) em um determinado período, independentemente dos custos implicados. O conceito de eficácia diz respeito à capacidade da gestão de cumprir objetivos imediatos, traduzidos em metas de produção ou de atendimento, ou seja, a capacidade de prover bens ou serviços de acordo com o que foi planejado (TCU, 2010; ISSAI 300 apud BRASIL, 2017d)2.4        Eficiênciarelação entre os produtos (bens ou serviços) gerados por uma atividade e os custos dos insumos empregados para produzi-los, em um determinado período, mantidos os padrões de qualidade. Refere-se ao esforço do processo de transformação de insumos em produtos. Pode ser examinada sob duas perspectivas: minimização do custo total ou dos meios necessários para obter a mesma quantidade e qualidade de produto; ou otimização da combinação de insumos para maximizar o produto quando o gasto total está previamente fixado (TCU, 2010; ISSAI 300 apud BRASIL, 2017d).2.4        Estrutura de gestão de riscosé a maneira como a entidade se organiza para gerenciar os riscos do seu negócio, representando o conjunto de componentes e arranjos organizacionais para a concepção, a implementação, o monitoramento, a análise crítica e a melhoria contínua da gestão de riscos através de toda a organização. Inclui a política de gestão de riscos, os manuais e guias, os recursos, a definição de objetivos e de papéis e responsabilidades que permitirão incorporar a gestão de riscos em todos os níveis da organização (ABNT, 2009 apud BRASIL, 2018c).2.1        Formato abertoformato de arquivo não proprietário, cuja especificação esteja documentada publicamente e seja de livre conhecimento e implementação, livre de patentes ou qualquer outra restrição legal quanto à sua utilização (BRASIL, 2016b).3.1        Fraudeato intencional praticado por um ou mais indivíduos, entre gestores, responsáveis pela governança, empregados ou terceiros, envolvendo o uso de falsidade para obter uma vantagem injusta ou ilegal (Iaasb, 2009 apud BRASIL, 2018h). Ato intencional de omissão ou manipulação de transações, adulteração de documentos, registros e demonstrações contábeis. A fraude pode ser caracterizada por manipulação, falsificação ou alteração de registros ou documentos, de modo a modificar os registros de ativos, passivos e resultados; apropriação indébita de ativos; supressão ou omissão de transações nos registros contábeis; registro de transações sem comprovação; e aplicação de práticas contábeis indevidas (CFC, 1999 apud BRASIL, 2018h).1.2; 3.1; 3.2; 3.4        Gestão da estratégiaé a maneira como a organização conduz a formulação e o planejamento da estratégia e de como a executa, integrando-a à gestão das operações (KAPLAN; NORTON, 2008).2.2        Gestão de continuidade do negócioContinuidade de negócios é a capacidade da organização de continuar fornecendo produtos ou serviços em capacidades predefinidas aceitáveis após uma disrupção. A gestão de continuidade de negócios é o processo de implementação e manutenção da continuidade de negócios para evitar perdas e se preparar para mitigar e gerenciar disrupções. O estabelecimento de um SGCN permite que a organização controle, avalie e melhore continuamente sua continuidade de negócios. (ABNT, 2020).2.1        Gestão de riscosatividades coordenadas para dirigir e controlar uma organização no que se refere a riscos. A gestão de riscos é parte integrante de todas as atividades organizacionais (ABNT, 2009).1.2; 2.1        Gestão do desempenhoprocesso que envolve atividades de planejamento, execução, avaliação propriamente dita, revisão e ajuste do desempenho, que permitam, ainda durante o período avaliativo, a correção de desvios para assegurar que o realizado corresponda ao planejado (AGUINIS, 2014).1.3        Governo Abertoa Parceria para Governo Aberto ou OGP (do inglês Open Government Partnership) é uma iniciativa internacional que pretende difundir e incentivar globalmente práticas governamentais relacionadas à transparência dos governos, ao acesso à informação pública e à participação social. A OGP foi lançada em 20 de setembro de 2011, quando os oito países fundadores da Parceria (África do Sul, Brasil, Estados Unidos, Filipinas, Indonésia, México, Noruega e Reino Unido) assinaram a Declaração de Governo Aberto e apresentaram seus Planos de Ação (Portal do Governo Brasileiro, 2020).3.1; 3.2        Identificação de riscosprocesso de busca, reconhecimento e descrição de riscos; envolve a identificação das fontes de risco, os eventos, suas causas e suas consequências potenciais. A organização pode usar uma variedade de técnicas para identificar incertezas que podem afetar um ou mais objetivos. Convém que os seguintes fatores e o relacionamento entre eles sejam considerados: fontes tangíveis e intangíveis de risco; causas e eventos; ameaças e oportunidades; vulnerabilidades e capacidades; mudanças nos contextos externo e interno; indicadores de riscos emergentes; natureza e valor dos ativos e recursos; consequências e seus impactos nos objetivos; limitações de conhecimento e de confiabilidade da informação; fatores temporais; vieses, hipóteses e crenças dos envolvidos (ABNT, 2009; 2018).2.1        Ilícitos administrativosa categoria engloba todas as infrações cometidas contra a lei que disciplina o cargo ou emprego e os regulamentos internos da organização. Tanto os procedimentos de apuração e responsabilização quanto as medidas punitivas são da alçada da própria organização, o que faz desse procedimento um importante instrumento de correção da fraude e corrupção (BRASIL, 2018h).3.2        Indicadoros indicadores são instrumentos que contribuem para identificar, medir e descrever aspectos relacionados a um determinado fenômeno ou objeto da realidade a respeito do qual o Estado decide agir ou não. A principal finalidade de um indicador é, portanto, traduzir, de forma mensurável (quantitativamente) ou descritível (qualitativamente), um ou mais aspectos da realidade dada (situação social) ou construída (ação), de maneira a tornar operacional o seu acompanhamento (BRASIL, 2018e).2.2        Iniciativas estratégicassão coleções de projetos e programas discricionários de duração finita, fora das atividades operacionais do dia a dia da organização, projetados para ajudar a organização a atingir seu desempenho desejado (KAPLAN; NORTON, 2008). Indicam, em linhas gerais, o conjunto de medidas ou ações a serem implementadas no curto, médio e longo prazos para assegurar o alcance dos objetivos estabelecidos no mapa estratégico e para preencher as lacunas existentes entre o desempenho atual da organização e o desejado (BRASIL, 2015b).2.2        Integridade públicadiz respeito ao comportamento da organização e do agente público, referindo-se à sua adesão e alinhamento consistente aos valores, princípios e normas éticas comuns para sustentar e priorizar o interesse público sobre os interesses privados (OCDE, 2017).1.2        Indicador-chave de risco (KRI)indicadores que fornecem informações em tempo hábil acerca de eventos ou condições que podem desencadear riscos. São diferentes dos indicadores de desempenho (KPI), pois se antecipam à materialização dos riscos, enquanto os KPI focam em riscos que já ocorreram para fornecer uma visão sobre o desempenho alcançado (BASLEY et al., 2010).2.1        Limites de exposição ao riscorepresenta o nível de risco acima do qual é desejável o tratamento do risco. Espera-se que, com os resultados do tratamento, o nível de risco residual fique abaixo do limite de exposição (BRASIL, 2018d).2.1        Linha de base de indicadoré o valor aferido do indicador na data de referência que marca o início do plano, projeto, programa ou política. Esse valor serve de referência para explicitar a situação inicialmente encontrada e, posteriormente, para avaliar o desempenho e impacto das ações executadas (BRASIL, 2018e).2.2        Manifestaçõesreclamações, denúncias, sugestões, elogios e demais pronunciamentos de usuários que tenham como objeto a prestação de serviços públicos e a conduta de agentes públicos na prestação e fiscalização de tais serviços (BRASIL, 2017b).3.2        MecanismoConjunto de práticas (ou arranjos institucionais) que  influenciam a forma como os atores internos se organizam e interagem entre eles e com os atores externos à organização. Por exemplo: estruturas; regras formais; rotinas; valores; hábitos; processos; papéis; estratégias.Aplicável a todo o capítulo.        Metaas metas são etapas para o alcance de objetivos. O alcance das metas é aferido pelos indicadores. A meta deve ter as seguintes características: específica ¿ expressar claramente o que deve ser alcançado, sem ambiguidades; mensurável ¿ expressar em que medida o objetivo deve ser alcançado em certo intervalo de tempo, permitindo avaliação e feedback; apropriada ¿ estar alinhada com os objetivos, contribuindo para alcançá-los, isto é, ser relevante para medir os objetivos; realista ¿ poder ser alcançada no período previsto a custo razoável e considerando as restrições existentes, deve levar em conta os objetivos da instituição, o contexto econômico em que está inserida, as limitações orçamentárias, o desempenho anterior (se as metas não forem realistas, elas serão vistas como meros ideais e não terão influência prática no comportamento dos agentes), e ter prazo determinado, expressando o período esperado para seu alcance (CIPS e NIGP, 2012).2.2        Missãorepresenta a razão da existência de uma organização, ou seja, o que ela faz, por que faz, para quem ela atua, e qual impacto visa produzir na sua clientela2.2        Monitoramento da estratégiaatividade contínua de acompanhamento do progresso na execução da estratégia; avaliação dos riscos associados à implementação bem-sucedida da estratégia; identificação de problemas na execução e suas causas, e determinação de ações corretivas (KAPLAN; NORTON, 2008)2.2        Objetivo estratégicosão os fins a serem perseguidos pela organização para o cumprimento de sua missão e o alcance de sua visão de futuro. Constituem elo entre as diretrizes de uma organização e seu referencial estratégico. Traduzem, consideradas as demandas e expectativas dos clientes, os desafios a serem enfrentados num determinado período.2.2        Órgão governante superioré um ente público com atribuições normativas para orientar e fiscalizar outros entes sob sua jurisdição (BRASIL, 2014).2.2        Papéis e responsabilidadesdiz respeito a atribuição de responsabilidades aos membros, executivos e não executivos, da organização.1.1        Partes interessadassão pessoas, grupos ou instituições com interesse em bens, serviços ou benefícios públicos, podendo ser afetados positiva ou negativamente, ou mesmo envolvidos no processo de prestação de serviços públicos. Em resumo, são aqueles cuja atuação e opinião devem ser levadas em conta na formulação de estratégias, na prestação de contas e na transparência. No setor público, abrangem: agentes políticos, servidores públicos, usuários de serviços e cidadãos em geral, fornecedores, instituições governamentais ou não governamentais, como órgãos reguladores, organizações da sociedade civil, da academia, da mídia, do setor privado, cada qual com interesse legítimo na organização pública, mas não necessariamente com direitos de propriedade (IFAC, 2001; OCDE, 2018).1.1; 1.2; 1.3; 2.1; 2.2; 2.3; 2.4; 2.5; 3.1; 3.2; 3.3        Pensamento estratégicoé uma atividade contínua de aprendizado, de conhecimento da realidade organizacional e atenção a mudanças nos ambientes interno e externo, que sintetiza dados analíticos, intuição e criatividade para dar o direcionamento de para onde a organização deve ser conduzida. Difere-se do planejamento estratégico que, por sua vez, articula a estratégia formada no pensamento estratégico, detalhando-a e viabilizando a sua execução e controle (MINTZBERG, 2007b).2.2        Perfil profissionalconjunto de competências profissionais, estilo de comportamento e outras características pessoais que influenciam o desempenho apresentado pelo ocupante de cargo ou função (BRASIL, 2006).1.3        Perfil profissional desejadoé a descrição de um conjunto de conhecimentos, habilidades e outras características idealmente necessárias para executar as atividades de determinada ocupação (ou de um conjunto de ocupações) em uma organização e que influenciam o desempenho apresentado pelo trabalhador. É a referência, o ideal para determinado indivíduo exercer o conjunto de atividades que lhe são atribuídas. Quando confrontado com o desempenho real, indica se o trabalhador é ou não qualificado para atuar em seu âmbito de trabalho. Cabe salientar que o perfil não deve se restringir a conhecimentos técnicos especializados ou a experiência no desempenho de tarefas análogas, sendo importante que incorpore todas aquelas características (habilidades, atitudes, capacidades cognitivas etc.) que a gestão de pessoas considera relevantes para o êxito no trabalho. Os perfis profissionais devem resultar de estudos técnicos realizados por pessoas qualificadas para isso, a partir da análise das tarefas a serem desempenhadas, mediante a utilização de instrumentos capazes de garantir a confiabilidade e a validade dos perfis resultantes (CLAD, 2003).1.3        Plano de auditoriadocumento que contempla a lista dos trabalhos de auditoria propostos (especificando se os trabalhos são de avaliação ou consultoria); a justificativa para a escolha de cada trabalho proposto (como classificação de riscos, tempo desde a última auditoria, alteração na gestão etc.); os objetivos e o escopo de cada trabalho proposto; uma lista de iniciativas ou projetos resultantes da estratégia da auditoria interna, mas que possam não estar diretamente relacionados a um trabalho de auditoria. Embora os planos de auditoria sejam geralmente elaborados anualmente, eles podem ser desenvolvidos de acordo com outro ciclo. Por exemplo, a atividade de auditoria interna pode manter um plano de auditoria de doze meses e reavaliar os projetos trimestralmente. Ou a atividade de auditoria interna pode desenvolver um plano de auditoria para vários anos e avaliar o plano anualmente (IIA, 2019).3.4        Plano de dados abertosdocumento orientador para as ações de implementação e promoção de abertura de dados de cada órgão ou entidade da administração pública federal, obedecidos os padrões mínimos de qualidade, de forma a facilitar o entendimento e a reutilização dos dados (BRASIL, 2016b).3.1        Políticaé um conjunto de princípios e diretrizes que estabelecem os parâmetros gerais, em determinado tema, para uma organização orientar o exercício das suas atividades e assim exercer suas responsabilidades.1.1        Política de gestão de riscosdocumento que contém a declaração das intenções e diretrizes gerais e estabelece claramente os objetivos e o comprometimento da organização em relação à gestão de riscos. Convém que aborde as justificativas da organização para gerenciar riscos; as responsabilidades para gerenciar riscos; o comprometimento de tornar disponíveis os recursos necessários para auxiliar os responsáveis pelo gerenciamento dos riscos, e a forma com que o desempenho da gestão de riscos será medido e reportado (ABNT, 2009; 2018).2.1        Políticas públicas governamentaiso conjunto de diretrizes e intervenções emanadas de atores governamentais, que visam tratar, ou não, problemas públicos que requerem, utilizam ou afetam recursos públicos (BRASIL, 2020).2.2        Portal Brasileiro de Dados Abertosé a ferramenta construída pelo governo para centralizar a busca e o acesso dos dados e informações públicas; foi lançado em cumprimento a um dos compromissos firmados pelo Brasil no primeiro plano de ação de governo aberto, lançado na OGP - Parceria para Governo Aberto (Portal Brasileiro de Dados Abertos, 2020b). O governo federal desenvolveu o Portal Brasileiro de Dados Abertos com o objetivo de ser o catálogo central de dados governamentais do Brasil. Cada órgão ou entidade pode desenvolver um catálogo próprio, todavia esse deve ser integrado com o catálogo central, ou seja, deve existir um registro no Portal Brasileiro de Dados Abertos para cada conjunto de dados no catálogo do órgão ou entidade.3.2        Procedimento disciplinarprocesso ou procedimento administrativo destinado a apurar irregularidades disciplinares praticadas por servidores ou empregados públicos. A IN nº 14/2018 do então Ministério da Transparência e Controladoria-Geral da União prevê procedimentos disciplinares para empregados públicos regidos pela Lei 9.962, de 22 de fevereiro de 2000, e processo administrativo sancionador relativo aos empregados públicos das empresas públicas e sociedades de economia mista (BRASIL, 2018i).3.2        Processo administrativo de responsabilizaçãoo PAR constitui procedimento destinado à responsabilização administrativa de pessoa jurídica em decorrência de atos lesivos contra a administração pública nacional ou estrangeira, nos termos do art. 5º da Lei 12.846/2013. Os atos previstos como infrações administrativas na Lei 8.666/1993, ou em outras normas de licitações e contratos da administração pública que também sejam tipificados como atos lesivos, serão apurados, conjuntamente, no PAR. Do PAR poderá resultar a aplicação de penalidade de multa e de publicação extraordinária de decisão condenatória, nos termos do art. 6º, da Lei 12.846/2013, e de penalidade que implique restrição ao direito de contratar e licitar com a Administração pública (BRASIL, 2018i).3.2        Processo administrativo disciplinaro PAD é o instrumento destinado a apurar responsabilidade de servidor por infração disciplinar praticada no exercício de suas atribuições, ou que tenha relação com as atribuições do cargo em que se encontre investido. Do PAD poderá resultar a aplicação de penalidade de advertência, suspensão de até noventa dias, demissão, destituição do cargo em comissão ou cassação de aposentadoria ou disponibilidade, observados os princípios do contraditório e da ampla defesa (BRASIL, 1990; BRASIL, 2018i).3.2        Processo de gestão de riscosaplicação sistemática de políticas, procedimentos e práticas de gestão para as atividades de comunicação e consulta, estabelecimento do contexto e avaliação, tratamento, monitoramento, análise crítica, registro e relato de riscos (ABNT, 2009; 2018).2.1; 3.4        Processos de controlepolíticas, procedimentos (manuais e automatizados) e atividades que fazem parte de um framework de controle, criados e operados para assegurar que os riscos sejam contidos no nível que uma organização esteja disposta a aceitar (IIA, 2019b).3.4        Processos de governançaprocessos que moldam a maneira como uma organização é dirigida e monitorada para o alcance dos seus objetivos e cumprimento das suas obrigações de prestação de contas e responsabilidade. O IIA (2014b) cita alguns exemplos de processos e estruturas de governança que podem ser considerados nos trabalhos de avaliação, como por exemplo: formas de seleção, avaliação e remuneração de membros de conselho e comitês; processos de definição de estratégia e objetivos organizacionais; processos decisórios relacionados a decisões críticas; programas de ética e de integridade; processos de supervisão da gestão de riscos; prestação de contas; gestão do desempenho organizacional, e comunicação com partes interessadas.3.4        Programa de éticaconjunto de medidas organizacionais voltadas para a promoção da ética. Os principais elementos de um programa de ética são: código de ética; apoio e comprometimento formal do conselho e da alta administração; instâncias responsáveis; estratégia de comunicação dos valores éticos e padrões de conduta; treinamento dos colaboradores e gestores; canal de denúncias e de esclarecimentos de dúvidas acerca de ética profissional; gestão de riscos relacionados a ética; e monitoramento do desempenho do programa de ética (IBE, 2017).1.2        Programa de integridadeconjunto estruturado de medidas institucionais voltadas para a prevenção, detecção, punição e remediação de fraudes e atos de corrupção, em apoio à boa governança (BRASIL, 2017). O programa de integridade deve ser estruturado, aplicado e atualizado de acordo com as características e riscos atuais das atividades de cada pessoa jurídica, a qual, por sua vez, deve garantir o constante aprimoramento e adaptação do programa, visando garantir sua efetividade. Os principais elementos de um programa de integridade são: comprometimento e apoio da alta administração; padrões de conduta, código de ética, políticas e procedimentos de integridade, aplicáveis a todos os empregados e administradores; estruturação das instâncias responsáveis; estratégia de comunicação do programa; treinamentos periódicos sobre o programa de integridade; gestão de riscos de integridade; canais de denúncia de irregularidades; e monitoramento do desempenho do programa (BRASIL, 2015; 2019e).1.2        Resposta a riscopara todos os riscos identificados, o gerenciamento seleciona e implanta uma resposta ao risco. As respostas ao risco se classificam nas seguintes categorias: aceitar, quando nenhuma ação é tomada para alterar a gravidade do risco, é a resposta apropriada quando o risco para a estratégia e os objetivos de negócios já está dentro do apetite ao risco; evitar, quando são tomadas medidas para remover o risco; explorar, quando são tomadas medidas que aceitam um risco para obter um desempenho aprimorado, sem exceder os limites de tolerância aceitáveis; reduzir, quando são tomadas medidas para reduzir a magnitude do risco; compartilhar, quando são tomadas ações para reduzir a magnitude do risco, transferindo ou compartilhando uma parte do risco (COSO, 2017).2.1        Revisão da estratégiaato de utilizar dados operacionais internos, dados de avaliação da estratégia e novas informações sobre o ambiente externo para rever a estratégia, avaliar se ela permanece válida, se não está obsoleta ou apresenta falhas significativas, e ajustá-la conforme necessário, considerando novas ideias e oportunidades (KAPLAN; NORTON, 2008).2.2        Riscoé o efeito da incerteza sobre objetivos estabelecidos. É a probabilidade de ocorrência de eventos que afetem a realização ou alcance dos objetivos, combinada com o impacto dessa ocorrência sobre os resultados pretendidos (BRASIL, 2018c).2.1        Risco críticorisco significativo, com impacto potencial relevante nas principais atividades ou objetivos da organização (BASLEY et al., 2010).2.1        Riscos de integridaderiscos que configurem ações ou omissões que possam favorecer a ocorrência de fraudes ou atos de corrupção. Exemplos: abuso de poder em favor de interesses privados; nepotismo; solicitação ou recebimento de vantagem indevida; utilização de recursos públicos em favor de interesses privados (BRASIL, 2018).1.2        Segregação de funçõessignifica repartir funções entre os agentes públicos cuidando para que um indivíduo não exerça funções incompatíveis entre si, como, por exemplo, as de autorização, registro e custódia de ativos. A segregação de funções destina-se a reduzir as oportunidades que permitam a qualquer pessoa estar em posição de perpetrar e de ocultar erros ou fraudes no curso normal das suas funções (CFC, 2016).1.1        Serviço públicoatividade administrativa ou de prestação direta ou indireta de bens ou serviços à população, exercida por órgãos ou entidade da administração pública (BRASIL, 2017b).3.3        Serviços de avaliaçãoexame objetivo da evidência com o propósito de fornecer para a organização uma avaliação independente sobre os processos de governança, gerenciamento de riscos e controles. Exemplos podem incluir trabalhos da auditoria financeira, de desempenho, de conformidade, de segurança de sistemas e de ¿due diligence¿ (IIA, 2017).3.4        Serviços de consultoriaatividades de assessoria ao cliente ou serviços relacionados, cuja natureza e escopo são acordados com o cliente e destinam-se a agregar valor e melhorar os processos de governança, gerenciamento de riscos e controle da organização, sem que o auditor interno assuma responsabilidade de gestão. Exemplos incluem orientação, assessoria, facilitação e treinamento (IIA, 2019b).3.4        Sindicânciano âmbito do Poder Executivo federal, a sindicância pode ser investigativa, patrimonial ou acusatória. Há ainda a sindicância disciplinar para servidores temporários. A sindicância investigativa (SINVE) constitui procedimento de caráter preparatório, destinado a investigar falta disciplinar praticada por servidor ou empregado público federal, quando a complexidade ou os indícios de autoria ou materialidade não justificarem a instauração imediata de procedimento disciplinar acusatório. A sindicância patrimonial (SINPA) constitui procedimento investigativo para apurar indícios de enriquecimento ilícito, inclusive evolução patrimonial incompatível com os recursos e disponibilidades do servidor ou empregado público federal. A sindicância acusatória (SINAC) constitui procedimento destinado a apurar responsabilidade de servidor público federal por infração disciplinar de menor gravidade, quando não cabível termo de ajustamento de conduta (TAC) ou termo circunstanciado administrativo (TCA). A sindicância disciplinar para servidores temporários é procedimento previsto para apuração das infrações disciplinares atribuídas a contratados nos termos da Lei 8.745/1993 (BRASIL, 2018i). Para o Poder Judiciário federal, a sindicância é o procedimento investigativo sumário destinado a apurar irregularidades atribuídas a magistrados ou a servidores e serviços judiciários auxiliares, serventias, órgãos prestadores de serviços notariais e de registro, que atuem por delegação do poder público ou oficializados, e cuja apreciação não se deva dar por inspeção ou correição (BRASIL, 2012b). No Poder Legislativo, a sindicância também é procedimento investigativo, que visa a apuração de denúncias de ilícitos.3.2        Tolerâncialimites, relacionados à consecução dos objetivos, de variação aceitável no desempenho (COSO, 2017).2.2        Tomada de contas especialprocesso formalizado, com rito próprio, que visa apurar responsabilidade por omissão ou irregularidade no dever de prestar contas ou por dano causado ao erário; sua finalidade e¿ a apuração dos fatos, a identificação dos responsáveis, a quantificação do dano e a obtenção do respectivo ressarcimento (BRASIL, 2017d).3.2        Transparênciadiz respeito a permitir que a sociedade obtenha informações atualizadas sobre operações, estruturas, processos decisórios, resultados e desempenho do setor público. Consiste em disponibilizar para as partes interessadas as informações que sejam de seu interesse e não apenas aquelas impostas por disposições de leis ou regulamentos (BRASIL, 2012; IBGC, 2015).3.1; 3.2        Transparência ativaé a divulgação, por iniciativa dos órgãos e entidades, independentemente de requerimentos, de informações de interesse coletivo ou geral por eles produzidas ou custodiadas, no âmbito de suas competências, em local de fácil acesso ou na internet. Um exemplo de transparência ativa são as seções de acesso às informações dos sites dos órgãos e entidades. Os portais de transparência também são um exemplo disso. A divulgação proativa de informações de interesse público, além de facilitar o acesso das pessoas e de reduzir o custo com a prestação de informações, evita o acúmulo de pedidos de acesso sobre temas semelhantes (BRASIL, 2011b; Portal do Governo Brasileiro, 2020b).3.1        Transparência passivaé a disponibilização de informações públicas em atendimento a demandas específicas de uma pessoa física ou jurídica. Por exemplo, a resposta a pedidos de informação registrados para determinado Ministério, seja por meio do SIC físico do órgão ou pelo Sistema Eletrônico do Serviço de Informação ao Cidadão (e-SIC) (Portal do Governo Brasileiro, 2020b).3.1        Tratamento de riscotem por propósito selecionar e implementar opções para abordar riscos. O tratamento de riscos envolve um processo iterativo de: formular e selecionar opções para tratamento do risco; planejar e implementar o tratamento do risco; avaliar a eficácia deste tratamento; decidir se o risco remanescente é aceitável; se não for aceitável, realizar tratamento adicional (ABNT, 2009; 2018).2.1        Universo de auditoriaconsiste em todas as áreas de risco que podem estar sujeitas a auditoria. Inclui projetos e iniciativas relativos ao plano estratégico da organização e pode ser organizado por unidades de negócios, linhas de produtos ou de serviços, processos, programas, sistemas ou controles (IIA, 2019).3.4        Usuáriopessoa física ou jurídica que se beneficia ou utiliza, efetiva ou potencialmente, de serviço público (BRASIL, 2017b).3.3        Valores fundamentaiscrenças e ideais da organização sobre o que é bom ou ruim, aceitável ou inaceitável, que influenciam o comportamento interno à organização (COSO, 2017).1.2; 2.2        Visãotraduz a situação futura desejada pela organização para si mesma. É a imagem que ela tem a respeito de si e do seu futuro. Representa seu sonho de realidade futura, o qual lhe serve de guia. A visão é estabelecida sobre os fins da organização e corresponde à direção suprema que ela busca alcançar (BRASIL, 2014c).2.2APÊNDICE D - Comparativo entre as práticas das versões 2.0 e 3.0 do ReferencialRBG edição 2.0 (2014)RBG edição 3.0 (2020)L1.1 - Estabelecer e dar transparência ao processo de seleção de membros de conselho de administração ou equivalente e da alta administração.Promover a capacidade da liderançaL1.2 - Assegurar a adequada capacitação dos membros da alta administração.L1.3 - Estabelecer sistema de avaliação de desempenho de membros da alta administração.L1.4 -Garantir que o conjunto de benefícios, caso exista, de membros de conselho de administração ou equivalente e da alta administração seja transparente e adequado para atrair bons profissionais e estimulá-los a se manterem focados nos resultados organizacionais.L2.1 - Adotar código de ética e conduta que defina padrões de comportamento dos membros do conselho de administração ou equivalente e da alta administração.Promover a integridadeL2.2 - Estabelecer mecanismos de controle para evitar que preconceitos, vieses ou conflitos de interesse influenciem as decisões e as ações de membros do conselho de administração ou equivalente e da alta administração.L2.3 - Estabelecer mecanismos para garantir que a alta administração atue de acordo com padrões de comportamento baseados nos valores e princípios constitucionais, legais e organizacionais e no código de ética e conduta adotado.L3.1 - Avaliar, direcionar e monitorar a gestão da organização, especialmente quanto ao alcance de metas organizacionais.Promover a gestão estratégica Monitorar o alcance dos resultados organizacionais Monitorar o desempenho das funções de gestãoL3.2 - Responsabilizar-se pelo estabelecimento de políticas e diretrizes para a gestão da organização e pelo alcance dos resultados previstos.Estabelecer o modelo de governança L3.3 - Assegurar, por meio de política de delegação e reserva de poderes, a capacidade das instâncias internas de governança de avaliar, direcionar e monitorar a organização.L3.4 - Responsabilizar-se pela gestão de riscos e controle interno.L3.5 - Avaliar os resultados das atividades de controle e dos trabalhos de auditoria e, se necessário, determinar que sejam adotadas providências.Assegurar a efetividade da auditoria internaL4.1 - Estabelecer as instâncias internas de governança da organização.Estabelecer o modelo de governança L4.2 - Garantir o balanceamento de poder e a segregação de funções críticas.L4.3 - Estabelecer o sistema de governança da organização e divulgá-lo para as partes interessadas.E1.1 - Estabelecer e divulgar canais de comunicação com as diferentes partes interessadas e assegurar sua efetividade, consideradas as características e possibilidades de acesso de cada público-alvo.Estabelecer o modelo de governança Promover a transparência  Garantir a accountability Avaliar a satisfação das partes interessadasE1.2 - Promover a participação social, com envolvimento dos usuários, da sociedade e das demais partes interessadas na governança da organização.E1.3 - Estabelecer relação objetiva e profissional com a mídia, com outras organizações e com auditores.E1.4 - Assegurar que decisões, estratégias, políticas, programas, planos, ações, serviços e produtos de responsabilidade da organização atendam ao maior número possível de partes interessadas, de modo balanceado, sem permitir a predominância dos interesses de pessoas ou grupos.Estabelecer a estratégia Promover a transparência Garantir a accountability Avaliar a satisfação das partes interessadasE2.1 - Estabelecer modelo de gestão da estratégia que considere aspectos como transparência e envolvimento das partes interessadas.Estabelecer a estratégia E2.2 - Estabelecer a estratégia da organização.E2.3 - Monitorar e avaliar a execução da estratégia, os principais indicadores e o desempenho da organização.Monitorar o alcance dos resultados organizacionais Monitorar o desempenho das funções de gestãoE3.1 - Estabelecer mecanismos de atuação conjunta com vistas a formulação, implementação, monitoramento e avaliação de políticas transversais e descentralizadas.Abordada no Referencial para avaliação de governança em políticas públicas (BRASIL, 2014b).C1.1 - Estabelecer sistema de gestão de riscos e controle interno.Gerir riscosC1.2. Monitorar e avaliar o sistema de gestão de riscos e controle interno, a fim de assegurar que seja eficaz e contribua para a melhoria do desempenho organizacional.C2.1. Estabelecer a função de auditoria internaAssegurar a efetividade da auditoria internaC2.2 - Prover condições para que a auditoria interna seja independente e proficiente.C2.3 - Assegurar que a auditoria interna adicione valor à organização.C3.1 - Dar transparência da organização às partes interessadas, admitindo-se o sigilo, como exceção, nos termos da lei.Promover a transparência C3.2 - Prestar contas da implementação e dos resultados dos sistemas de governança e de gestão, de acordo com a legislação vigente e com o princípio de accountability.Garantir a accountabilityC3.3 - Avaliar a imagem da organização e a satisfação das partes interessadas com seus serviços e produtos.Avaliar a satisfação das partes interessadas C3.4 - Garantir que sejam apurados, de ofício, indícios de irregularidades, promovendo a responsabilização em caso de comprovação.Garantir a accountability