TRIBUNAL REGIONAL ELEITORAL DE RORAIMA
AVENIDA JUSCELINO KUBITSCHECK 543 - Bairro SÃO PEDRO - CEP 69306685 - Boa Vista - RR
RELATÓRIO
RELATÓRIO DE AUDITORIA
Auditoria Integrada no Processo de Gestão de Infraestrutura de TIC, com enfoque na gestão de ativos
Normas Referentes: IIA (2400 e 2420); ISSAI/INTOSAI (400)
Processo: 0002666-21.2019.6.23.8000
Ato originário: PAA-2019
Objetivo:    A auditoria teve como objetivo avaliar:
a existência e a qualidade dos controles internos instituídos no processo para tratar os riscos que impactem o alcance dos objetivos;
o	alcance dos objetivos do processo quanto aos aspectos da eficiência, eficácia, efetividade,economicidade e legalidade;
o	processo de identificação e registro dos ativos de TIC;o processo de descarte dos ativos de TIC; o processo de gerenciamento de licenças dos ativos de TIC, incluindo os controles para a adequação do quantitativo necessário ao serviço.
Período abrangido pela auditoria: 13/12/2019 a 28/05/2021.
Período de realização da auditoria: (Planejamento – de 13/12/2019 a 03/05/2021); (Execução – de 04 a 11/05/2021) e (Relatório – de 14 a 30/06/2021).
Unidade Auditada:
Secretaria/Assessoria: Secretaria de Tecnologia da Informação.
Coordenadoria: Coordenadoria de Infraestrutura e Soluções Coorporativas.
Resumo
Cuida-se de Auditoria no Processo de Gestão de Infraestrutura de TIC, com enfoque na gestão de ativos, do tipo integrada com o TSE e demais regionais eleitorais, conforme Plano de Trabalho acostado no evento 0513977.
A ação estava prevista no Plano Anual de Auditoria referente ao exercício de 2020 (0510751) e vinha sendo executada em compasso com o cronograma estabelecido.
Ocorre que, em face das circunstâncias provocadas pela pandemia do novo coronavírus (Sars-CoV-2), a Auditoria em tela foi suspensa pelo TSE, conforme Ofício-Circular SCI n.º 125/2020 (0551313), sendo o prazo para envio do relatório final adiado para 15/06/2021, nos termos da Ata SAU nº 2/2020 - TSE (0601108).
Os trabalhos foram realizados em conjunto com as Unidades Auditadas, para elaboração e aprovação de documentos e, ainda, para o fornecimento de informações sobre o processo auditado, sendo os testes executados de acordo com o “Programa de Auditoria SAG” (0623294) e a “Planilha - PT 05.3 - Matriz de Testes” (0612380).
Após os testes, foi elaborado o “Relatório de Achados de Auditoria SAG” (0623694), sobre o qual as Unidades Auditadas apresentaram suas considerações, nos termos da “Planilha DISTRIBUIÇÃO DE ATIVOS DE TIC” (0625461), do Despacho 8451 (0625703) e da Informação 2601 (0627244).
Após nova análise, levando-se em conta os novos dados e argumentos trazidos pelas Unidades Auditadas, elaborou-se o presente “Relatório de Auditoria”, com os achados, as conclusões e as propostas de encaminhamento desta Equipe de Auditoria.
Lista de Siglas
ABR	Auditoria Baseada em Risco	
TCU	Tribunal de Contas da União	
IIA	Instituto dos Auditores Internos do Brasil	
TSE	Tribunal Superior Eleitoral	
TIC	Tecnologia da Informação e Comunicação	
STIC	Secretaria de Tecnologia da Informação e Comunicação	
PAA	Plano Anual de Auditoria	
PT	Papel de Trabalho	
TRE/RR	Tribunal Regional Eleitoral de Roraima	
SUMÁRIO
1.	INTRODUÇÃO
2.	VISÃO GERAL DO OBJETO AUDITADO
3.	OBJETIVO DA AUDITORIA
4.	ESCOPO
5.	CRITÉRIOS
6.	METODOLOGIA ABR
7.	AVALIAÇÃO DOS CONTROLES INTERNOS
8.	ACHADOS DE AUDITORIA
9.	CONCLUSÃO
10.	PROPOSTA DE ENCAMINHAMENTO
I.	INTRODUÇÃO
1.	Em cumprimento ao cronograma estabelecido no Plano Anual de Auditoria – 2021 [Plano de Trabalho CA (0581964)], aprovado pela Presidência deste Tribunal [Despacho 18392 (0583308)], foram realizados exames de auditoria, integrada com o TSE, no Processo de Gestão de Infraestrutura de TIC, com enfoque na gestão de ativos.
2.	Com vistas à determinação do escopo desta auditoria, o TSE elaborou o Plano de Trabalho, onde foram definidos os objetivos, a técnica a ser aplicada, o objeto dos exames, os meios e o tempo demandado para a sua concretização (0513977).
3.	Foram realizadas reuniões entre a equipe de auditoria e os gestores responsáveis pelas áreas auditadas [Ata SAFG (0515340) e Ata SAFG (0515991)].
4.	Na reunião de abertura, foram apresentados os membros da equipe de auditoria, os objetivos do trabalho, o escopo e as questões de auditoria
II.	VISÃO GERAL DO OBJETO AUDITADO
5. O objeto auditado consiste no gerenciamento dos ativos de TI ao longo do seu ciclo de vida para assegurar que o seu uso agregue valor por um custo ótimo, garantindo a sua integridade física e operacionalidade e também a confiabilidade e disponibilidade daqueles ativos fundamentais para apoiar a capacidade de serviço, bem comogerenciamento das licenças de software para assegurar a adequação do número de licenças adquiridas, mantidas e utilizadas às necessidades institucionais, além da conformidade dos softwares instalados em relação às licenças disponíveis.
III.	OBJETIVO DA AUDITORIA
6. Este trabalho de auditoria teve por objetivo avaliar:
a existência e a qualidade dos controles internos instituídos no processo para tratar os riscos que impactem o alcance dos objetivos;
o	alcance dos objetivos do processo quanto aos aspectos da eficiência, eficácia, efetividade,economicidade e legalidade;
o	processo de identificação e registro dos ativos de TIC;o processo de descarte dos ativos de TIC; o processo de gerenciamento de licenças dos ativos de TIC, incluindo os controles para a adequação do quantitativo necessário ao serviço.
IV.	ESCOPO
7.	Inicialmente, o objeto da auditoria englobaria os contratos de aquisição e manutenção de ativos de TIC, vigentes e encerrados referentes aos últimos 5 anos, registrados no sistema de acompanhamento de contratos, bem assim o nível de maturidade em relação às etapas do ciclo de vida da gestão de ativos por parte das seções de TIC responsáveis.
8.	Entretanto, em face das restrições ocasionadas pela pandemia do Sars-Cov-2, o reduzido quantitativo de servidores em atividade na Coordenadoria de Auditoria e na Seção de Auditoria de Governança, bem como o contido na “Ata SAU nº 2/2020 - TSE (0601108)”, em que ficou consignado que cada Regional poderá "... organizar a extensão de seus testes de acordo com suas restrições de tempo e de pessoal." (p.3, primeiro parágrafo, in fine), e, ainda, as demais atividades de Auditoria previstas no aludido PAA 2021, foram objeto de avaliação os contratos de aquisição e manutenção de ativos de TIC, vigentes nos anos de 2019 e 2020, registrados no sistema de acompanhamento de contratos e/ou divulgados no portal da transparência do TRE-RR, bem assim o nível de maturidade em relação às etapas do ciclo de vida da gestão de ativos por parte das seções de TIC responsáveis. Em relação a este último ponto, foram englobadas, no mínimo, as etapas de registro e de descarte.
9.	Quanto aos ativos, foram parte do escopo desta auditoria os ativos de software e hardware.
V.	CRITÉRIOS
10. Os critérios utilizados como parâmetros para fundamentar as avaliações apresentadas neste trabalho foram os preceitos normativos e regulamentares, bem como o desempenho da unidade auditada nas atividades executadas.
VI.	METODOLOGIA ABR
11.	Os trabalhos de auditoria foram fundamentados na aplicação de técnicas de Risk Assessment, Auditoria Baseada em Risco (ABR), direcionados aos processos de trabalho e à mitigação dos riscos relacionados à consecução das atividades administrativas do TRE/RR.
12.	Essa metodologia permite ao auditor testar os controles mais importantes, ou focar nas áreas estratégicas, otimizando os recursos humanos e materiais disponíveis.
VII.	AVALIAÇÃO DOS CONTROLES INTERNOS
13.	Conforme recomendam o Tribunal de Contas da União (TCU) e o Instituto dos Auditores Internos do Brasil (IIA), ao se planejar os trabalhos de auditoria em uma entidade ou atividade administrativa, deve-se avaliar a existência e a qualidade dos controles internos instituídos pelos gestores responsáveis.
14.	As etapas da avaliação de controles internos são as seguintes:
15.	A equipe de auditoria elaborou, em conjunto com os gestores das áreas responsáveis, o levantamento e a documentação do processo de trabalho da atividade auditada [Documento SAFG (0521516) e Despacho 2343 (0521725)]. Após o levantamento dos processos e a validação pelo gestor, foram identificados quais os objetivos de cada fase do processo, com seus riscos associados e os controles instituídos pelos gestores para administrar esses riscos [MATRIZ DE CONTROLE (0523382) e MATRIZ DE RISCOS (0523385)].
16.	Perante esse cenário, a equipe planejou e executou os seus testes considerando os riscos mais impactantes e prováveis e os controles internos menos maduros [Planilha - PT 05.3 - Matriz de Testes (0612380) e Programa de Auditoria SAG (0623294)].
17.	O Fluxograma das atividades [Documento SAFG (0521516)] reflete o mapeamento das etapas do processo de gestão de ativos de TIC, no âmbito do TRE/RR.
18.	No documento “Matriz de Risco” (0523385), destacam-se:
Avaliação do possível risco quanto à probabilidade de ocorrência (baixa, média, alta) e ao impacto desses riscos nos objetivos da atividade e do processo (baixo, médio e alto).
Exame dos controles instituídos para tratamento do risco (adequado, razoável e ineficaz).
19.	A combinação da análise dos riscos com os controles internos administrativos resulta na manifestação deste Órgão de Auditoria acerca da capacidade de os controles serem capazes de mitigar os riscos inerentes ao processo de suprimentos.
20.	Cada atividade, de acordo com o nível de risco e o controle existente, recebeu uma cor que sintetiza o grau do controle instituído frente ao risco a ser tratado.
(verde): significa que os riscos existentes não são capazes de afetar os objetivos da etapa, ou que os controles são consistentes para tratar os riscos.
(amarelo): significa que o gestor deve ficar atento quanto a potenciais riscos, ou que seus controles existem, mas precisam ser aprimorados.
(vermelho): significa que os riscos são potencialmente ofensivos aos objetivos e/ou os controles são inexistentes ou falhos.
VIII.	ACHADOS DE AUDITORIA
21.	Os achados representam o resultado dos testes de auditoria aplicados, guardando relação com a “Matriz de Testes” (0612380).
22.	A seguir, apresentam-se as atividades auditadas com os riscos que não possuem controles adequados para mitigá-los, a síntese dos riscos e os objetivos das atividades, o resultado dos testes de auditoria, o impacto nos objetivos do processo, as questões gerais avaliadas do processo, o comentário do auditado e o comentário da equipe de auditoria.
Relação de Achados
23. A1 - Risco de indisponibilidade dos serviços de TIC
24.	Situação encontrada: A maioria dos itens previstos nos Instrumentos de Controle (Planos Anuais de Aquisições de TIC) não foram contratados.
25.	Despacho 5083 (0614022) e Despacho 8451 (0625703).
26.	Situação Ideal/Critérios: Efetuar as aquisições previstas nos Planos Anuais de Aquisições de TIC.
27.	Inobservância dos Planos Anuais de Aquisições de TIC e descompasso entre os ditos Planos e as propostas/execuções orçamentárias.
28.	Efeitos/Consequência do Achado: Risco de indisponibilidade de serviços de TIC, pela falta de aquisição dos ativos previstos nos instrumentos de planejamento e controle.
29.	Manifestação do Auditado: Por meio do Despacho 8451 (0625703) a área auditada justificou as não aquisições em razão da falta de recursos orçamentários ou sua não alocação tempestiva, o que impossibilitou a contratação dos itens planejados. Não mencionou, porém, quais medidas estariam sendo adotadas para evitar ocorrências como esta no futuro.
30.	Conclusão da Equipe de Auditoria: O descompasso entre os planos de aquisições e as propostas/execuções orçamentárias ocasionou a não contratação da maioria dos itens planejados, trazendo riscos à prestação de serviços de TIC.
31.	Proposta de Encaminhamento: Recomenda-se à STIC que: a) aprove o Plano Anual de Aquisições de TIC em momento anterior à elaboração da Proposta Orçamentária do Tribunal; b) faça constar, na proposta orçamentária, os itens previstos no Plano de Aquisições; e c) priorize, na execução de seu orçamento, a aquisição dos ativos planejados, de modo a garantir que os itens adquiridos estejam de acordo com as demandas das unidades do TRE/RR.
32. A2 – Deficiência no controle de garantia/suporte dos ativos
33.	Situação encontrada: Diversos ativos de TIC sem garantia.
34.	Despacho 5083 (0614022) e Despacho 8451 (0625703).
35.	Situação Ideal/Critérios: Controle efetivo dos períodos de garantia dos ativos de TIC.
36.	Ausência de supervisão da atividade.
37.	Efeitos/Consequência do Achado: Utilização de ativos sem garantia, bem como risco de interrupção de serviços.
38.	Manifestação do Auditado: Mediante o Despacho 8451 (0625703), a Unidade Auditada informou que a maioria dos ativos sem garantia estão em processo/projeto de substituição e que “...estão sendo tomadas todas as medidas necessárias para o restabelecimento das garantias necessárias à mitigação dos riscos relacionados a indisponibilidade.”.
39.	Conclusão da Equipe de Auditoria: O instrumento de controle utilizado é ineficiente.
40.	Proposta de Encaminhamento: Recomenda-se à STI: a) adoção de controle sistemático e consistente acerca dos períodos de garantia/suporte dos ativos de TIC; e b) que inicie os processos de renovação de garantia ou substituição de ativos em tempo hábil a conclui-los antes do término das garantias dos bens em utilização.
41. A3 -Ausência de controle para evitar acesso a dados sensíveis nos desfazimentos de ativos de TIC
42.	Situação encontrada: Ausência de registro de que dados sensíveis foram apagados ou descaracterizados.
43.	Despacho 5083 (0614022), Despacho 8451 (0625703) e Processos 0000675-10.2019.6.23.8000 e 0000155-16.2020.6.23.8000.
44.	Situação Ideal/Critérios: Estabelecer rotinas para exclusão ou descaracterização de dados sensíveis antes do desfazimento de ativos de TIC, bem como registrar tal providência nos respectivos processos de alienação.
45.	Ausência de rotinas e instrumentos de controle.
46.	Efeitos/Consequência do Achado: Risco de acesso indevido a dados sensíveis.
47.	Manifestação do Auditado: Por meio do Despacho 8451 (0625703) a Área Auditada informou que “... Todos os discos rígidos foram formatados, etiquetas removidas e discos que não tinham condições de uso destruídos." e reconheceu que "...A execução dessa atividade, embora efetivamente realizada, não foi documentada.".
48.	Conclusão da Equipe de Auditoria: Há risco de aceso indevido a dados sensíveis, por ausência de instrumentos de controle.
49.	Proposta de Encaminhamento: Recomenda-se à STI a adoção de controle sistemático e consistente acerca de procedimentos de exclusão e descaracterização de dados sensíveis, por ocasião do desfazimento de ativos de TIC, registrando tal medida nos processos respectivos.
IX.	CONCLUSÃO
50. Pelo exposto, em face da avaliação dos controles internos e dos exames realizados, conclui-se que no Processo de Gestão de Infraestrutura de TIC os controles adotados pelo TRE/RR conseguem mitigar riscos, possuindo, contudo, deficiências em relação ao(à): a) planejamento e efetivação de aquisições de ativos; b) acompanhamento e controle dos períodos de garantias dos bens; e c) ausência de controle quanto à exclusão ou descaracterização de dados sensíveis por ocasião de desfazimentos de ativos de TIC.
X.	PROPOSTA DE ENCAMINHAMENTO
51.	Assim, submete-se o presente relatório à consideração do Excelentíssimo Senhor Presidente do TRE/RR, para conhecimento e encaminhamento à Secretaria de Tecnologia da Informação e Comunicação, para ciência e adoção das medidas propostas no presente Relatório.
52.	Paralelamente, à Secretaria de Auditoria do TSE, em cumprimento ao “Plano de Trabalho de Auditoria” (0513977), à “Ata SAU nº 2/2020 – TSE” (0601108) e ao “Ofício COAUG-SAU nº 2092/2021” (0627312).
                                                        Boa Vista, 28 de junho de 2021.
Alísio Steiner Soares de Macedo
— Coordenador de Auditoria —
(documento assinado eletronicamente)
Denis Alves da Costa
— Chefe da Seção de Auditoria de Pessoal — (documento assinado eletronicamente)
Maria do Perpetuo Socorro Rosas Trajano
— Chefe da Seção de Auditoria Financeira e de Gestão —
(documento assinado eletronicamente)
Nelson Amaro Junior
— Chefe da Seção de Auditoria de Governança — (documento assinado eletronicamente)

Documento assinado eletronicamente por 

DENIS ALVES DA COSTA

, 

Chefe de Seção

, em 28/06/2021, às

15:26

, conforme art. 1º, III, "b", da Lei 

11.419/2006.

Documento assinado eletronicamente por 

ALÍSIO STEINER SOARES DE MACEDO

, 

Coordenador de

Auditoria

, em 28/06/2021, às 15:27, conforme art. 1º, III, "b", da Lei 11.419/2006.

Documento assinado eletronicamente por 

NELSON AMARO JUNIOR

, 

Chefe de Seção

, em 28/06/2021, às

15:28

, conforme art. 1º, III, "b", da Lei 

11.419/2006.

Documento assinado eletronicamente por 

MARIA DO PERPÉTUO SOCORRO ROSAS TRAJANO

,

Analista Judiciário

, em 28/06/2021, às 15:33, conforme art. 1º, III, "b", da Lei 11.419/2006.

A autenticidade do documento pode ser conferida no site https://sei.tre-rr.jus.br

/sei/controlador_externo.php?acao=documento_conferir&id_orgao_acesso_externo=0 informando o código

verificador 

0627313

 e o código CRC 

AF0CB2D1

.

0002666-21.2019.6.23.8000	0627313v35