TRIBUNAL REGIONAL ELEITORAL DE SERGIPE

CENAF, Lote 7, Variante 2 - Bairro Capucho - CEP 49081-000 - Aracaju - SE - http://www.tre-se.jus.br

RELATÓRIO DE AUDITORIA 25/2019 - SEAUG

 RELATÓRIO      Preliminar            X  Conclusivo              Monitoramento

INTERESSADO(S)	Secretaria de Tecnologia da Informação e Secretaria de Gestão de Pessoas

RESUMO

A presente auditoria teve como objeto verificar a conformidade e atendimento das diretrizes estabelecidas na Resolução CNJ n.º 211/2015, que trata da Estratégia Nacional de Tecnologia da Informação e Comunicação do Poder Judiciário - ENTIC-JUD. Os objetivos específicos foram definidos na forma de Questões de Auditoria, conforme consta no Programa de Auditoria 3 (0680427). Exames de documentos, entrevista através de questionário e correlação das informações obtidas permitiram constatar situações com falhas, situações passíveis de melhorias e outras em fase de desenvolvimento que demandam tempo até completa implementação. Detectou-se ausências de implantação de alguns processos de trabalho, de plano de capacitação, de fixação de quantitativo de força de trabalho, todos relacionados à TI. Constatou-se inobservância de normativos com relação às reuniões do CGOVTI e CGesTI, além da ausência de cópia de backup em local distinto do local primário do órgão. Foram expedidas recomendações às Unidades, a fim de apresentarem plano de ação referente aos achados apontados e foram expedidas, também, propostas de melhorias de alguns pontos, para avaliação da Administração, em sua esfera discricionária. Ao fim, cumpre afirmar que foram observados os esforços envidados pela Administração, destaque para a Secretaria de Tecnologia e Informação, para o atendimento e implementação de recomendações, conforme ações em andamento e Plano de Ação apresentado.

SUMÁRIO

I. INTRODUÇÃO

II.	VISÃO GERAL DO OBJETO AUDITADO III. OBJETIVO DA AUDITORIA

	IV. ESCOPO V. CRITÉRIOS
	VI. ACHADOS DE AUDITORIA

	VII. PROPOSTAS DE MELHORIAS E DEMAIS ASPECTOS RELACIONADOS VIII. CONCLUSÃO

	IX. PROPOSTA DE ENCAMINHAMENTO

I. INTRODUÇÃO

Visando a verificação do cumprimento das diretrizes estabelecidas na ENTIC-JUD – Estratégia Nacional de Tecnologia da Informação e Comunicação do Poder Judiciário, foram efetuados exames de auditoria nos controles de governança, de gestão, de riscos e de resultados de TI.

Compuseram, inicialmente, a equipe de auditoria do Tribunal Regional Eleitoral de Sergipe - TRE/SE os servidores Ivanildo Alves de Medeiros, Jurene Barreto Santos, Cassia Maria Carvalho Polito Alves e Ana Maria Rabelo de Carvalho Dantas, tendo esta última sido substituída por Adail Vilela de Almeida, no curso da auditoria.

Os principais achados encontrados e as respectivas recomendações emitidas por esta Unidade, além das propostas de melhorias, foram consubstanciados no Relatório de Auditoria 20 (0758949).

As Unidades Auditadas se manifestaram quanto ao Relatório de Achados e suas respostas foram consideradas e incluídas neste Relatório Conclusivo de Auditoria.

Todos os exames realizados se pautaram em procedimentos e técnicas de auditoria aplicáveis à Administração Pública e nenhuma restrição foi imposta quanto ao método ou à extensão dos trabalhos realizados.
II. VISÃO GERAL DO OBJETO AUDITADO

A ENTIC-JUD foi instituída, através da Resolução n.º 211/2015 do CNJ com a missão de melhorar a infraestrutura e a governança de TIC no Poder Judiciário, para que o mesmo cumprisse sua função institucional. Foram estabelecidos objetivos estratégicos, a serem alcançados, num intervalo de 4 (quatro anos) contados da publicação da Resolução, através da execução da ENTIC-JUD baseada nas Diretrizes Estratégicas de Nivelamento previstas, cujo acompanhamento é essencial para aferir o nível de cumprimento das mesmas.

III. OBJETIVO DA AUDITORIA

Aferir o atendimento das diretrizes estabelecidas na ENTIC-JUD – Estratégia Nacional de Tecnologia da Informação e Comunicação do Poder Judiciário – Resolução CNJ n.º 211/2015.

IV. ESCOPO

Verificar a atuação das estruturas de decisão de governança e gestão de tecnologia da informação;

Verificar se os planos estratégicos institucional e de TI fornecem suporte apropriado à governança e à gestão de TI;

Verificar se as necessidades relacionadas ao desenvolvimento de pessoas e à força de trabalho da área de TI são gerenciadas;

Verificar se os processos de gestão de TI são gerenciados;

Verificar se os resultados apresentados pela TI são dimensionados.

V. CRITÉRIOS

Os critérios utilizados como parâmetros para fundamentar as avaliações apresentadas neste trabalho foram os preceitos normativos, acórdãos, jurisprudência, os padrões internacionalmente aceitos e estudos técnicos que regulamentam a matéria, a seguir exemplificados: Resolução CNJ n.º 211/2015, ABNT NBR ISO/IEC 38500:2009, Portarias 694/2018 e 251/2018, ambas do TRE-SE e Acórdão 1.603/2008 TCU-Plenário.

VI. ACHADOS DE AUDITORIA

Os achados de auditoria representam o resultado da aplicação dos testes de auditoria previstos no Programa de Auditoria 3 (0680427).

Conforme o Tribunal de Contas da União: "Achado é a discrepância entre a situação existente e o critério. Achados são situações verificadas pelo auditor durante o trabalho de campo que serão usadas para responder às questões de auditoria. O achado contém os seguintes atributos: critério (o que deveria ser), condição (o que é), causa (razão do desvio com relação ao critério) e efeito (consequência da situação encontrada). Quando o critério é comparado com a situação existente, surge o achado de auditoria. (ISSAI 3000/4.3, 2004)" - Manual de Auditoria Operacional do TCU, pág. 30.

Avaliamos, a seguir, os principais achados encontrados após a manifestação das áreas auditadas:

Achado 1 – Reunião do Comitê de Governança de TI sem a presença de Presidente.

Situação encontrada: Reunião ocorrida no dia 18/12/2018 (0690493), com aprovação de deliberações, sem a presença de Presidente do Comitê. A Portaria TRE/SE 1007/2016 designou a Juíza Denize Maria de Barros Figueiredo como Presidente do CGovTI, não prevendo substituto, em caso de ausência ou afastamento. Entretanto, o mandato desta Juíza como membro no TRE-SE foi encerrado em outubro de 2018 e nova designação de Presidente do CGovTI só ocorreu após a reunião citada, em 20/12/2018, mediante Portaria 1020/2018, atribuindo a citada função à Juíza Sandra Regina Câmara Conceição.

Critério(s) de Auditoria:

Resolução CNJ 211/2015, art. 7º, caput e parágrafo único:

(...)

Art. 7° Cada órgão deverá constituir um Comitê de Governança de Tecnologia da Informação e Comunicação que ficará responsável, entre outros, pelo estabelecimento de estratégias, indicadores e metas institucionais, aprovação de planos de ações, bem como para orientação das iniciativas e dos investimentos tecnológicos no âmbito institucional.

Parágrafo único. Recomenda-se que a composição do Comitê de Governança seja multidisciplinar, e com a participação das principais áreas estratégicas do órgão, incluindo Magistrados dos diversos graus de jurisdição e a área de Tecnologia da Informação e Comunicação.

(...)

ABNT NBR ISO/IEC 38500:2009 – Governança corporativa de tecnologia da informação

p.3. Governança corporativa de TI – O sistema pelo qual o uso atual e futuro da TI é dirigido e controlado.

Governança corporativa de TI significa avaliar e direcionar o uso da TI para dar suporte à organização e
monitorar seu uso para realizar os planos. Inclui a estratégia e as políticas de uso da TI dentro da organização.

Portaria TRE-SE 694/2018, alterada pela Portaria TRE/SE 276/2019:

(...)

Art. 4º Os atos de instituição de comitês, comissões e grupos de trabalho deverão dispor sobre:

(...)
II.	composição por número certo de membros, titulares e suplentes, com indicação direta do cargo ou das unidades que devem estar representadas;

(...)

Art. 6º Cada comissão, comitê e grupo de trabalho será presidido ou coordenado por juiz eleitoral ou servidor do Tribunal Regional Eleitoral de Sergipe.

§	1º Caberá ao presidente do comitê ou comissão e ao coordenador do grupo de trabalho, sem prejuízo de outras atividades:

(…)

III.	promover e presidir reuniões periódicas com todos os membros ou com parte deles, de acordo com o desenvolvimento das atividades; (Redação original)

III.	promover e presidir reuniões periódicas com todos os membros titulares (e, em suas ausências ou impedimentos, com os respectivos suplentes) ou com parte deles, de acordo com o desenvolvimento das atividades, de modo que haja divisão equânime das tarefas a serem cumpridas pelo Comitê; (Redação dada pela Portaria TRE/SE 276/2019)

(...)

Portaria TRE/SE 251/2018:

(...)

Art. 9º O CGovTI terá a seguinte composição:

I – Magistrado, que presidirá o comitê;

II – Diretor-Geral;

III	– Secretário de Administração e Orçamento; IV – Secretário de Gestão de Pessoas;

	V – Secretário Judiciário;

	VI – Secretário de Tecnologia da Informação.

	Parágrafo único. O Magistrado de que trata o inciso I será indicado pelo Presidente do Tribunal. (...)

Evidência(s):

Ata da reunião ocorrida no dia 18/12/2018 (0690493);

Portaria TRE/SE 1007/2016;

Término do mandato da Juíza Denize Maria de Barros Figueiredo no TRE/SE

(http://www.in.gov.br/web/guest/materia/-/asset_publisher/Kujrw0TZC2Mb/content/id/47338924/do2-2018-10-26-decretos-de-
25-de-outubro-de-2018-47338714);

Portaria TRE/SE 1020/2018.

Causa(s): Inobservância de determinações normativas.

Consequência(s) do Achado: Tomada de decisões que impactam no planejamento estratégico de TI do órgão, com alteração de metas de indicadores e supressão de indicador, sem a presença de Presidente do Comitê.

Recomendações:

Ao Comitê de Governança de TI (CGovTI):

Realizar reuniões periódicas, com o Presidente do Comitê e todos os membros titulares (e, em suas ausências ou impedimentos, com os respectivos suplentes) ou com parte deles, de acordo com o desenvolvimento e importância das atividades.

À STI:

Submeter à Presidência do Tribunal adequação da Portaria TRE/SE 251/2018 às disposições da Portaria TRE/SE 694/2018, no que se refere à indicação de membros titulares e suplentes, inclusive da Presidência do Comitê.

Resposta(s) do(s) Auditado(s):
CgovTI: Considerando Despacho 13590 (0782566) e Informação 5797 (0786273), a STI esclareceu que a Presidente do Comitê encontrava-se afastada e não havia previsão de membro substituto. Entretanto, informa que foi expedida Portaria TRE-SE 909/2019 (0769657), com designação de novo Presidente do CGovTI, titular e seu respectivo substituto.

STI: Foi apresentado Plano de Ação, por meio da Informação 5091 (0764722), com adequação da Portaria TRE/SE 251/2018, através da expedição das Portarias TRE/SE 905/2019 (0768992) e 909/2019 (0769657).

Análise da Equipe de Auditoria:

CGovTI: Recomendação parcialmente implementada, com designação de titular e suplente para exercício da Presidência do CGovTI. A efetiva participação dos membros, titulares ou substitutos, em reuniões futuras, conforme recomendado, poderá ser objeto de monitoramento futuro.

STI: Recomendação implementada.

Achado 2 – Ausência de reuniões periódicas mensais do Comitê de Gestão de TI.

Situação encontrada: Reuniões ocorridas em 08/02/2019, 24/04/2019 e 11/06/2019. Plano de Ação da STI (0758242) no Processo SEI 0003564-14.2018.6.25.8000 informa que até 09/10/2019, será elaborada agenda de reuniões do Comitê.

Critério(s) de Auditoria:

Portaria TRE-SE 251/2018

(...)

Art. 13 O CGesTI reunir-se-á, ordinariamente, uma vez por mês, e extraordinariamente, sempre que necessário.

(...)

§	3º As deliberações do CGesTI serão documentadas e divulgadas no âmbito do Tribunal. (...)

Recomendação 01 desta Unidade, contida na Informação 2852 (0706062), em auditoria Coordenada pelo CNJ (0003564-14.2018.6.25.8000)

(...)

Recomendação 01:

À	DG e STI: Realizar, periodicamente, reuniões do Comitê de Governança de TI, do Comitê de Gestão de TI e do Comitê de Segurança da Informação, com registro e divulgação das deliberações;

(…)

Evidência(s):

Reuniões ocorridas nos dias 08/02/2019 (0690501), 24/04/2019 (0695130) e 11/06/2019 (http://www.tre-se.jus.br/o-tre/governanca/portal-de-governanca-de-tic/atas-de-reuniao/tre-se-atascomitesgestaoti).

Causa(s): Inobservância de determinações normativas.

Consequência(s) do Achado: Possíveis prejuízos nas atividades de planejamento, coordenação, supervisão e controle, relativas às soluções de TI.

Recomendações:

Ao Comitê de Gestão de TI (CGesTI):

Elaborar agenda e realizar reuniões periódicas mensais, com registro e divulgação das deliberações.

Resposta(s) do(s) Auditado(s):

CGesTI: Foi apresentado Plano de Ação, por meio da Informação 5091 (0764722), constando tabela com agendamento de período estimado para realização das reuniões do CGesTI, para os anos de 2019 e 2020 (0774338).

Análise da Equipe de Auditoria: Recomendação parcialmente implementada, com previsão de estimativa de datas para ocorrência das reuniões, sendo que a efetiva realização das mesmas, com registro e divulgação das deliberações poderá ser objeto de monitoramento futuro.

Achado 3 – Ausência de processos de gerenciamento formalmente instituídos.

Situação encontrada: Processos não formalizados de portfólio de serviços, de liberação e implantação.

Critério(s) de Auditoria:

(Portfólio de serviços) INFORMATION TECHNOLOGY GOVERNANCE INSTITUTE - ITGI.

COBIT - Control Objectives for Information and related Technology. COBIT 5 – Enabling Process. p.
94 APO09.01

Identificar serviços de TI – Analisar necessidades de negócio e o modo pelo qual os serviços de TI suportam os processos de negócio. Atividade 1 – Avaliar os serviços de TI atuais para identificar lacunas entre os serviços existentes e as atividades de negócio suportadas. Atividade 3 – Analisar atividades de processos de negócio para identificar a necessidade de serviços de TI novos ou redesenhados. Atividade 6 Revisar regularmente o portfólio de serviços de TI para identificar serviços obsoletos (tradução livre). APO09.02 Catalogar serviços de TI – Definir e manter um ou mais catálogos de serviços. Publicar e manter os serviços de TI disponíveis nos catálogos de serviços (tradução livre).

(Portfólio de serviços) ITIL Version 3 Service Strategy. p.186 5.3 Gerenciamento de Portfólio de Serviço (tradução livre)

(Liberação e Implantação) ITIL Version 3 Service Strategy.p.152 4.4 Gerenciamento de Liberação e Implantação (tradução livre)

Recomendação 02 desta Unidade, contida na Informação 2852 (0706062), em auditoria Coordenada pelo CNJ (0003564-14.2018.6.25.8000)

(...)

Recomendação 02:

À	STI: Instituir, formalmente os processos: de formulação do Plano Estratégico de Tecnologia da Informação e Comunicação (PETIC) e do Plano Diretor de Tecnologia da Informação e Comunicação (PDTI); de gestão de portfólios de serviços; de eventos; de vulnerabilidades técnicas de TI, de gestão de riscos de TI. Observar a ordem de prioridade dos processos considerados críticos pela Secretaria de Tecnologia da Informação.

(…)

Evidência(s):

Resposta da STI à questão 5 (0702715);

Página do TRE-SE com divulgação dos Manuais de processos de trabalho já instituídos http://www.tre-se.jus.br/o-tre/governanca/gestao-e-planejamento/gestao-de-processos/manuais-de-processo-de-trabalho.

Causa(s): Provável demanda de atividades consideradas mais críticas.

Consequência(s) do Achado: Ausência de padronização e otimização das operações de negócios (atividades).

Recomendações:

À STI:

Elaborar cronograma para instituir formalmente o processo de liberação e implantação e rever o cronograma do Plano de Ação (0758242) apresentado no Processo SEI (0003564-14.2018.6.25.8000) no que se refere ao processo de gestão de portfólios de serviços, observando-se a ordem de prioridade dos processos considerados críticos pela Secretaria de Tecnologia da Informação.

Resposta(s) do(s) Auditado(s):

STI: Foi apresentado Plano de Ação, por meio da Informação 5091 (0764722), constando cronograma para instituição formal dos processos mencionados, conforme consta no processo SEI 0022124-67.2019.6.25.8000, documento (0774739).

Análise da Equipe de Auditoria: Recomendação parcialmente implementada, com definição de cronograma para instituição formal dos processos acima citados, sendo que o efetivo cumprimento da mesma poderá ser objeto de monitoramento em data oportuna.

Achado 4 – Ausência de acordos de níveis de serviço.

Situação encontrada: Acordos de nível de serviço não instituídos. Existe apenas um Acordo de nível de serviço, com relação ao serviço de correio eletrônico.

Critério(s) de Auditoria:

BRASIL. Associação Brasileira de Normas Técnicas - ABNT. ABNT NBR ISO 20000-2:2013 –

Tecnologia da Informação – Gerenciamento de serviços – Parte 2: Guia de Aplicação do Sistema de
Gestão de Serviços.

p. 40-42 6. Processo de entrega de serviços. 6.1 Gerenciamento do nível de serviço. 6.1.3.3 Acordos de Nível de Serviço (ANS) – Convém que o cliente e o provedor do serviço concordem sobre os termos e metas para o serviço a ser entregue, documentando estes termos em um ANS (Acordo de Nível de Serviços). O ANS é um documento que descreve o serviço e suas metas. Um ANS também especifica as responsabilidades do provedor de serviços e do cliente. Convém que o ANS cubra todos os componentes requeridos para entregar o serviço. Convém que as metas, em relação às quais convém que o serviço entregue seja medido, sejam definidas segundo a perspectiva do cliente. Convém que os ANS incluam apenas o subconjunto apropriado de metas, focando os aspectos mais importantes do serviço para o negócio e para o cliente.

Brasil. Tribunal de Contas da União. Acórdão 1.603/2008-TCU-Plenário.
9.1.5. promovam ações voltadas à implantação e/ou aperfeiçoamento de gestão de níveis de serviço de TI, de forma a garantir a qualidade dos serviços prestados internamente, bem como a adequação dos serviços contratados externamente às necessidades da organização

Evidência(s):

Resposta da STI à questão 7 (0702715);

Página do TRE-SE com divulgação dos acordos de níveis de serviço já instituídos http://www.tre-se.jus.br/o-tre/governanca/portal-de-governanca-de-tic/transparencia.

Causa(s): Provável demanda de atividades consideradas mais críticas.

Consequência(s) do Achado: Ausência de definição do nível de prestação de serviço necessário para sustentar adequadamente as operações da instituição, bem como o comprometimento da garantia da qualidade dos serviços prestados relativos às necessidades da organização.

Recomendações:

À DG e à STI:

Elaborar cronograma para definição dos acordos de níveis de serviços, conforme o constante no Catálogo de Serviços atualizado do órgão, obedecendo a capacidade e as limitações da TI, considerando atribuições e quantitativo de pessoal.

Resposta(s) do(s) Auditado(s):

DG: Informação 5699 (0783058) – GAB-DG esclarece que:

“(…) Nesse sentido, restou definido que a ASPLAN-STI elaborará o supracitado plano de ação, o qual será executado ao longo do exercício 2020, respeitando a complexidade e diversidade do Catálogo de Serviços da STI e a capacidade operacional das Unidades envolvidas, quais sejam, a própria ASPLAN-STI, a COINF e a COSIS.

Restou definido, também, que o papel da DG será o de autoridade homologadora, como ocorreu no caso do serviço de correio eletrônico, cujo ANS, devidamente homologado pela DG, está disponível em: http://www.tre-se.jus.br/o-tre/governanca/portal-de-governanca-de-tic/transparencia-1/tre-se-ans-correio-eletronico.”

STI: Foi apresentado Plano de Ação, por meio da Informação 5091 (0764722), esclarecendo que “A STI submeterá ao Comitê de Governança de TI, proposta de Acordos de Nível de Serviço”.

Análise da Equipe de Auditoria: A implementação da recomendação ora realizada é uma demanda que será objeto de monitoramento futuro ou em sede de nova auditoria, considerando a extensão da matéria e demais aspectos e peculiaridades envolvidos para o seu cumprimento.

Achado 5 – Ausência de processo de gestão corporativa de riscos de TI formalmente instituído, nos termos do parágrafo único do artigo 13, da Portaria TRE/SE 276/2018.

Situação encontrada: Embora a STI tenha respondido na questão 8 desta auditoria (0702715) que o processo foi formalmente instituído (EPO 5 – Riscos de SI), observa-se que este aborda apenas os riscos de Segurança da Informação. No Plano de Ação da própria STI (0758242) no SEI 0003564-14.2018.6.25.8000 há informação de que o processo de Gestão de Riscos de TI será formalizado entre 06/07/2020 a 19/11/2020. Não obstante a divergência observada, verifica-se que não há processo de gestão corporativa de riscos de TI formalmente instituído, nos termos do parágrafo único do artigo 13, da Portaria TRE/SE 276/2018.

Critério(s) de Auditoria:

Portaria TRE-SE 276/2018

Art. 13 O Tribunal adotará o modelo de processo de gestão corporativa de riscos estabelecido na norma

ABNT NBR ISO 31000:2009, sem prejuízo da aplicação de outras normas complementares.

Parágrafo Único. A modelagem do processo Gestão Corporativa de Riscos de TIC deverá ser elaborada pelo CGovTI, e publicada em até 180 dias, após a publicação desta Política.

Brasil. Tribunal de Contas da União. Acórdão 3.051/2014-TCU-Plenário.

9.1. recomendar ao Conselho Nacional de Justiça – CNJ, ao Departamento de Coordenação e Controle das Empresas Estatais – Dest, à Secretaria de Logística e Tecnologia da Informação do Ministério do Planejamento, Orçamento e Gestão – SLTI/MP, ao Conselho Nacional do Ministério Público – CNMP, à Secretaria Geral da Presidência do Tribunal de Contas da União – Segepres/TCU, à Diretoria Geral da Câmara dos Deputados e à Diretoria Geral do Senado Federal que:

9.1.5. normatizem a obrigatoriedade de que todas as organizações sob sua jurisdição gerenciem os riscos de TI a que estão sujeitos, por meio de um processo formal;

Recomendação 02 desta Unidade, contida na Informação 2852 (0706062), em auditoria Coordenada pelo CNJ (SEI 0003564-14.2018.6.25.8000)

(...)

Recomendação 02:
À	STI: Instituir, formalmente os processos: de formulação do Plano Estratégico de Tecnologia da Informação e Comunicação (PETIC) e do Plano Diretor de Tecnologia da Informação e Comunicação (PDTI); de gestão de portfólios de serviços; de eventos; de vulnerabilidades técnicas de TI, de gestão de riscos de TI. Observar a ordem de prioridade dos processos considerados críticos pela Secretaria de Tecnologia da Informação.

(…)

Evidência(s):

Página do TRE-SE com divulgação dos manuais de processos de trabalho já instituídos http://www.tre-se.jus.br/o-tre/governanca/gestao-e-planejamento/gestao-de-processos/manuais-de-processo-de-trabalho.

Causa(s): Inobservância de determinação normativa.

Consequência(s) do Achado: Ausência de padronização e otimização das operações de negócios (atividades).

Recomendações:

Ao Comitê de Governança de TI (CGovTI):

Instituir formalmente o processo de Gestão Corporativa de Riscos de TIC, conforme plano de ação apresentado (0758242).

Resposta(s) do(s) Auditado(s): Considerando Despacho 13590 (0782566) e Informação 5797 (0786273), a STI esclareceu que o processo de gestão corporativa de riscos de TI será formalmente instituído, conforme prazo estabelecido no documento (0774739), do processo SEI 0022124-67.2019.6.25.8000.

Análise da Equipe de Auditoria: A instituição formal do processo de gerenciamento corporativo de riscos de TI está prevista para os meses de fevereiro e março de 2020 e por essa razão, a constatação de sua efetiva implementação poderá ser objeto de monitoramento futuro.

Achado 6 – Ausência de cópia de backup em local distinto do local primário do órgão, de modo a prover redundância e atender à continuidade do negócio em caso de desastre.

Situação encontrada: Não há cópia de backup em local distinto do local primário do órgão, de modo a prover redundância e atender

à	continuidade do negócio em caso de desastre.

	Critério(s) de Auditoria:

Resolução CNJ 211/2015

(...)

Art. 24 O nivelamento da infraestrutura de TIC deverá obedecer aos seguintes requisitos mínimos:

(…)

VIII – 1 (uma) solução de backup com capacidade suficiente para garantir a salvaguarda das informações digitais armazenadas, incluindo tecnologias para armazenamento de longo prazo e cópias de backups mais recentes, em local distinto do local primário do órgão, de modo a prover a redundância e atender à continuidade do negócio em caso de desastre;

(...)

Evidência(s):

Resposta da STI à questão 12 (0702715).

Causa(s): Cancelamento da contratação para integração do Data Center do TRE-SE com o Data Center do TRT 20, por razões de restrição orçamentária.

Consequência(s) do Achado: Riscos de perda de dados primordiais ao funcionamento do órgão e riscos à continuidade do negócio, em caso de grande desastre.

Recomendações:

À STI e ao Comitê de Governança de TI (CGovTI):

Avaliar riscos e estabelecer cronograma para implementação de cópia de backup em local distinto do local primário do órgão, nos termos da Resolução CNJ 211/2015.

Resposta(s) do(s) Auditado(s): Conforme Informação 5091/2019 (0764722) e considerando Despacho 13590 (0782566) e Informação 5797 (0786273), a STI esclareceu que “o assunto será tratado na próxima reunião do Comitê de Governança de TI, com vistas ao estabelecimento de acordo com a Justiça Federal para atendimento da necessidade”.

Análise da Equipe de Auditoria: Considerando as respostas dos auditados, no sentido de buscar uma solução e que a implementação da recomendação expedida é uma demanda que pode envolver outros órgãos, esta Unidade de Auditoria avaliará em momento oportuno o atendimento da mesma.

Achado 7 – Ausência de Plano Anual de Capacitação em TI.

Situação encontrada: STI e SGP informaram que “As iniciativas de capacitação, para o ano de 2019, estão alinhadas com as necessidades levantadas durante a implantação da Gestão por Competências na STI. Conferir, a esse respeito, o plano de ação (SEI 0662272 e 0663889) e os Planos de Desenvolvimento Individual das equipes STI/Gab (SEI 0662273), COSIS (SEI 0662275) e COINF (SEI 0662277)”. Consta no processo SEI 0003564-14.2018.6.25.8000 Planejamento PAC 2019 da STI (0723003). Foi identificado plano de ação com as iniciativas de capacitação propostas, no entanto, embora identificado como “Plano Anual de Capacitação” (0723003), tal documento não consta aprovação do DG, além de não ficar demonstrado o acompanhamento da execução do mesmo e se os objetivos e resultados esperados foram alcançados. Não foi demonstrada revisão periódica do plano, nem quais as diretrizes foram consideradas para avaliação e atendimento das demandas solicitadas, além das limitações orçamentárias. As ações de capacitação estão previstas em vários processos, como parte de Plano de Ação da TI, mas não foram consolidadas em um Plano de Capacitação Anual, nos termos do art. 7º da Portaria TRE/SE 521/2018.

Critério(s) de Auditoria:

Resolução CNJ 211/2015

(…)

Art.15. Deverá ser elaborado e implantado Plano Anual de Capacitação para desenvolver as competências gerenciais e técnicas necessárias à operacionalização da governança, da gestão e do uso da Tecnologia da Informação e Comunicação.

Parágrafo único. O plano Anual de Capacitação deverá promover e suportar, de forma contínua, o alinhamento das competências gerenciais e técnicas dos servidores lotados na área de TIC às melhores práticas de governança, de gestão e de atualização tecnológica.

(…)

Instrução Administrativa 14 do TRE-SE, que estabelece as regras do Programa de Capacitação e Desenvolvimento de Pessoas, no âmbito da Justiça Eleitoral do Estado de Sergipe.

Evidência(s):

Resposta da SGP/STI à questão 17 (0702716);

Documento SEI 0743330 (PAC TRE 2019);

Documento SEI Planejamento 0723003 (PAC 2019 da STI).

Causa(s): Inobservância de determinação normativa.

Consequência(s) do Achado: A ausência de consolidação das ações nesse instrumento dificulta o acompanhamento dos treinamentos previstos, identificação dos treinamentos realizados, o período em que ocorreram, os fatores que causaram adiamentos e/ou cancelamentos, fazer comparativo entre o programado e realizado.

Dificulta o acompanhamento, os objetivos e resultados esperados, além da medição do Índice de Execução do Plano Anual de Capacitação (PAC) previsto no PETIC 2015-2020 (ITIC 1).

Recomendações:

À SGP

Elaborar Plano Anual de Capacitação, nos termos do art. 7º da Portaria TRE/SE 521/2018 e de acordo com a IA 14 do TRE-SE.

Resposta(s) do(s) Auditado(s): A SGP, por meio das Informações 5773 (0785584) e 5781 (0785725) esclarece que:

“1. Quanto ao fato de em tal documento não constar aprovação do DG:

Estabelece o inciso IV, do artigo 4º, da Resolução TRE/SE nº 08/18, que dispõe sobre o modelo de Gestão de Pessoas por

Competências no âmbito da Justiça Eleitoral de Sergipe:

"IV - o plano anual de formação e aperfeiçoamento deverá levar em consideração os planos de desenvolvimento individual, priorizando-se as demandas com maior impacto na estratégia institucional;"

A SEDEC, portanto, seguiu a determinação normativa no sentido de elaborar o Plano Anual de Formação e Aperfeiçoamento levando em consideração os Planos de Desenvolvimento Individuais gerados a partir das competências levantadas junto à equipe da STI.

Para as Unidades em que não houve a execução do Projeto de Gestão das Competências, a SEDEC manteve o modelo antigo com o levantamento das necessidades junto às equipes e sua priorização pelo Diretor-Geral, o que se deu em reunião realizada no mês de março do corrente.

2.	Quanto ao acompanhamento da execução e se os objetivos e resultados esperados foram alcançados: O acompanhamento da execução, s.m.j., deu-se por meio do Processo SEI 0005077-80.2019.6.25.8000.

Em relação à aferição do alcance dos objetivos e resultados, informamos que a SEDEC está concluindo estudo para implantação da avaliação das ações de formação e aperfeiçoamento para dar cumprimento ao contido no artigo 13, da Resolução CNJ nº 192/14, abaixo transcrito:

“Art. 13. As ações de formação e aperfeiçoamento deverão ser avaliadas, sempre que possível, pelos órgãos do Poder Judiciário, orientando novas tomadas de decisões e observada a

especificidade da ação formativa, em quatro dimensões: reação, aprendizagem, aplicação e resultado.

§	1º A avaliação de reação tem como objetivo diagnosticar as impressões dos servidores sobre as ações formativas com relação a conteúdo, instrutores, recursos educacionais, ambiente, instalações e outros.

§	2º A avaliação de aprendizagem tem como objetivo examinar se os servidores absorveram os conhecimentos e aperfeiçoaram as habilidades e as atitudes.

§	3º A avaliação de aplicação tem como objetivo identificar se os servidores estão utilizando na atividade laboral os conhecimentos, as habilidades e as atitudes decorrentes da ação formativa.

§	4º A avaliação de resultado tem como objetivo analisar se a ação formativa contribuiu para o alcance da estratégia.”

Não obstante, ressaltamos que, à exceção das avaliações de reação e de aprendizagem, as demais (aplicação e resultado) requerem o transcurso de intervalo de tempo para sua aplicação.

3.	Quanto à não demonstração da revisão periódica do plano, nem de quais as diretrizes foram consideradas para avaliação e atendimento das demandas solicitadas, além das limitações orçamentárias:

Nesse sentido, consideramos, s.m.j., que houve a revisão periódica por meio do Processo SEI 0005077-80.2019.6.25.8000, que esteve, durante o ano, aberto para as Unidades da STI. Dele, como pode ser conferido, constam as manifestações quanto ao atendimento ou não das demandas solicitadas. Com exclusividade, somente o controle da limitação orçamentária coube à SEDEC.

No que diz respeito às diretrizes consideradas para avaliação e atendimento das demandas solicitadas, salienta-se que foram consideradas as diretrizes da Resolução TRE/SE nº 08/18, que dispõe sobre o modelo de Gestão de Pessoas por Competências no âmbito da Justiça Eleitoral de Sergipe; senão vejamos:

Art. 4o As práticas de gestão de pessoas com foco em competências, no âmbito deste Tribunal, serão orientadas pelas seguintes diretrizes:

(...)

IV - o plano anual de formação e aperfeiçoamento devera levar em consideração os planos de desenvolvimento individual, priorizando-se as demandas com maior impacto na estratégia institucional;

(…)

Consideramos que o Plano Anual de Capacitação das Unidades da STI teria passado, com a GpC, a ser resultado da soma dos Planos de Desenvolvimento Individuais, isso que foi evidenciado no documento SEI 0723003. Sendo assim, s.m.j., com a consolidação dos PDI´s continua sendo possível a medição do Índice de Execução do Plano Anual de Capacitação (PAC) previsto no PETIC 2015-2020 (ITIC 1).”

Análise da Equipe de Auditoria: Considerando os esclarecimentos apresentados pela SGP, além das respostas informadas, anteriormente, é possível constatar que, com o início da implantação da Gestão por Competência, o NDO (Núcleo de Desenvolvimento Organizacional) realizou trabalho excepcional a partir do levantamento das necessidades do pessoal de TI (SEI 0004348-54.2019.6.25.8000), incluindo desenvolvimento de competências individuais, gerenciais e socioafetivas, envolvendo governança e gestão de TI, e, com fundamento nas competências identificadas nos Planos de Desenvolvimento Individual destacou os eventos de capacitação que deveriam ser priorizados (0664000). Nem todas as ações foram contempladas, pelos motivos expostos na Informação 2159 – 0687216. A matéria é extensa, com variadas vertentes, objeto de grande demanda e é notório o empenho dos servidores que estão diretamente envolvidos em sua execução. A política de gestão de pessoal de TI, que aqui especificamente é tratada, tem avanços e está sendo implementada. O Plano de Capacitação Anual, como afirmado pela SGP “é o resultado da soma dos Planos de Desenvolvimento Individuais”. Destarte, de forma complementar, afirma-se que ele é a consolidação de todo um trabalho realizado, anteriormente, mas é de suma importância, que sua consolidação concentre as informações necessárias, que permita e facilite o acompanhamento do seu cumprimento e revisão, atendendo o quanto disposto nos instrumentos normativos, inclusive quanto a previsão de estimativa de investimentos (item 2.2.2 da IA 14), por exemplo.

Não obstante esta Unidade de Auditoria constatar a implementação de diversas ações visando a melhoria dos processos de gestão de pessoas, é pertinente que a Unidade Auditada reavalie o Plano Anual de Capacitação, para os exercícios seguintes, compilando as informações e adequando sua apresentação de acordo com os normativos, inclusive quanto a periodicidade, devendo o PAC ser aprovado no início de cada exercício pela Diretoria Geral, conforme item 2.2.5. da IA 14.

Achado 8 – Ausência de definição de quantitativo atualizado de força de trabalho de TI, com base em estudo técnico que indica o nº de usuários internos e externos de recursos de TIC, bem como no referencial mínimo estabelecido no anexo da Resolução CNJ 211/2015.

Situação encontrada: Segundo resposta da SGP/STI (SEI 0702716), não foi previsto o quantitativo, entretanto consta no PDTI 2019, item 6.3 Pessoal de TIC, em ambas versões divulgadas no Portal de Governança de TIC, previsão do quantitativo de cargos necessários de servidores de TIC no quadro permanente do órgão, segundo a ENTIC-JUD. Consulta em 09/08/2019
(http://www.justicaeleitoral.jus.br/arquivos/trese-pdti-2019-v1-1-pdf e http://www.tre-se.jus.br/o-tre/governanca/portal-de-governanca-de-tic/planos-taticos/tre-se-pdti-2019-v1-2-2019-07-09). Em auditoria coordenada pelo CNJ, a SGP informa (0717987) que “No que diz respeito à previsão dos quantitativos ideais da força de trabalho, em breve, será submetida, ao Secretário, informação quanto ao projeto que, em princípio, deveria seguir o cronograma estabelecido pelo TSE” e a STI informa, no mesmo

processo, em seu Plano de Ação (0758242) que o quantitativo foi informado na questão 27 do documento SEI 0507889. No entanto, não há evidência de que o quantitativo previsto, tanto neste último documento como no PDTI, tenha sido realizado com fundamento em estudo técnico, considerando o número de usuários internos e externos de recursos de TI.

Critério(s) de Auditoria:

Resolução CNJ 211/2015

(...)

Art. 13 Cada órgão deverá compor o seu quadro permanente com servidores que exercerão atividades voltadas exclusivamente para a área de Tecnologia da Informação e Comunicação.

§1º O quadro permanente de servidores de que trata o caput deverá ser compatível com a demanda, adotando-se como critérios para fixar o quantitativo necessário o número de usuários internos e externos de recursos de TIC, bem como o referencial mínimo estabelecido no Anexo desta Resolução.

(…)

Recomendação 03 desta Unidade, contida na Informação 2852 (0706062), em auditoria Coordenada pelo CNJ (0003564-14.2018.6.25.8000)

(...)

Recomendação 03:

À	STI e SGP: Definir as competências necessárias, bem como acompanhamento do desempenho e previsão dos quantitativos ideais da força de trabalho, todos para o pessoal de TI;

(…)

Evidência(s):

Resposta da STI/SGP à questão 18 (0702716);

Resposta da SGP (0717987) em auditoria coordenada do CNJ (0003564-14.2018.6.25.8000); Plano de Ação da STI (0758242) em auditoria coordenada do CNJ (0003564-14.2018.6.25.8000);

PDTI (Versões 1 e 2) http://www.justicaeleitoral.jus.br/arquivos/trese-pdti-2019-v1-1-pdf e http://www.tre-se.jus.br/o-tre/governanca/portal-de-governanca-de-tic/planos-taticos/tre-se-pdti-2019-v1-2-2019-07-09.

Causa(s): Inobservância de determinação normativa.

Consequência(s) do Achado: A ausência do levantamento do quantitativo ideal de força de trabalho prejudica a avaliação da necessidade/conveniência de contratação de mão-de-obra, com ou sem dedicação exclusiva pelo órgão.

Contratação subdimensionada ou superdimensionada de mão de obra.

Recomendações:

À STI e SGP:

Fixar quantitativo de força de trabalho de TI, compatível com a demanda, baseado no número de usuários internos e externos de recursos de TIC, bem como no referencial mínimo estabelecido no anexo da Resolução CNJ 211/2015.

Resposta(s) do(s) Auditado(s):

STI: A Informação 5091 (0764722), apresentada pela STI esclarece que “A SGP está conduzindo projeto corporativo, capitaneado pelo TSE, referente ao dimensionamento da força de trabalho. Portanto, a STI aguardará a conclusão dos referidos estudos, até porque, não possui a expertise necessária para tanto”.

SGP: A Informação 5781 (0785725), apresentada pela SGP esclarece que “Como é sabido, está sendo implantado, em todos os Tribunais Eleitorais, o Projeto de Dimensionamento da Força de Trabalho (DFT). O DFT é um projeto nacional, conduzido pela Secretaria de Gestão de Pessoas do Tribunal Superior Eleitoral (TSE), e atenderá às determinações dos órgãos de controle interno e de controle externo. Para tanto, o TSE firmou termo de execução descentralizada com a Universidade de Brasília (UnB) para elaboração de um modelo quantitativo, qualitativo e automatizado de dimensionamento. Esse método tem o intuito de estimar a quantidade ótima ou ideal de trabalhadores para se alcançar determinado objetivo e será uma prática contínua a ser utilizada como subsídio para decisões estratégicas de gestão de pessoas.

Análise da Equipe de Auditoria: Não obstante existir um Projeto de Dimensionamento da Força de Trabalho (DFT) sendo desenvolvido pela Secretaria de Gestão de Pessoas, conduzido pelo Tribunal Superior Eleitoral, e não obstante a SGP esclarecer que serão atendidas as “determinações dos órgãos de controle interno e de controle externo”, a Resolução n.º 211/2015 do CNJ estabelece um referencial mínimo que deve ser considerado, de acordo com o previsto no art. 13. Destarte, levando-se em conta que o projeto encontra-se em fase de implantação, conforme cronograma estabelecido pelo TSE, a efetiva implementação da recomendação ora expedida poderá ser objeto de monitoramento, em momento oportuno.

VII. PROPOSTAS DE MELHORIAS E DEMAIS ASPECTOS RELACIONADOS

Conforme consta no Relatório de Auditoria 20 (0758949), convém reforçar que esta Unidade de Auditoria não possui em seu quadro servidor especialista na área de tecnologia da informação e realizou as avaliações dentro de sua esfera de conhecimento, levando em conta as especificidades e peculiaridades que revestem o assunto objeto da presente auditoria. Neste contexto, esta equipe de auditoria descreveu os achados encontrados e emitiu as respectivas recomendações. Observou-se, ainda, situações que não se configuraram em

achados de auditoria, mas considerando a relevância dos temas, foram destacadas e duas propostas de melhorias foram emitidas, para avaliação da Administração, em sua esfera discricionária, a seguir transcritas.

Proposta de Melhoria 01 – Aprimoramento e periodicidade/continuidade das ações de sensibilização em segurança da informação, na forma que a STI entender mais conveniente, considerando a importância da disseminação dessas orientações junto aos usuários e corpo funcional do órgão.

Não passa despercebido por esta Unidade de Auditoria que foram realizados notórios avanços na área de segurança da informação do Tribunal. A Resolução TRE-SE 04/2019 criou a Seção de Segurança da Informação – SESIN, dentro da Coordenadoria de Infraestrutura, e recentemente foi editada Portaria 769/2019, com o inventário dos ativos de informação do Tribunal e respectivos responsáveis e obrigações.

Observa-se que compete à SESIN – Seção de Segurança da Informação do TRE-SE, “realizar treinamentos e sensibilização em segurança da informação”, conforme art. 84, VI do Regulamento Interno do Tribunal. É de bom senso considerar que ações estão sendo realizadas. Mas, considerando a importância da disseminação dessas orientações junto aos usuários e corpo funcional do órgão, torna-se oportuna emissão de proposta de melhoria para aprimoramento e periodicidade/continuidade das ações de sensibilização em segurança da informação, servindo como exemplo de boa prática ação desenvolvida pela Comissão de Ética e Conduta Profissional do TRE-SE, nas divulgações do Código de Ética dos Servidores, por meio eletrônico.

Proposta de Melhoria 02 – Avaliar a possibilidade de estabelecer cronograma para implementar melhorias, no que se refere aos requisitos mínimos de segurança e disponibilidade do Data Center

Existem normas internacionais e boas práticas adotadas por empresas e órgãos que buscam garantir segurança e disponibilidade com adoção de diversos requisitos na infraestrutura de um Data Center. O ambiente de processamento central (Data Center) no órgão deve ter uma manutenção assegurada, que viabilize e garanta a segurança da informação e a disponibilidade do acesso. Atualmente, tendo como referência o conceito de tiers do "The Uptime Institute" (ANSI/TIA-942-A), o TRE-SE está classificado como Tier I, almejando atingir o Tier II.

A Administração do órgão é atuante e reconhece a importância do assunto, tendo em vista sua projeção de melhoria consubstanciada como objetivo estratégico (OETIC 02) no PETIC. Entretanto, o índice “ITIC2: Índice de atendimento aos requisitos mínimos de segurança e disponibilidade do Data Center”, que estava projetado para atingir o nível “Tier II” no ano de 2019, não foi cumprido pelo órgão no prazo proposto, por motivo de restrições orçamentárias, e este objetivo foi prorrogado para o ano de 2023, segundo resposta da TI à questão 11 (0702715).

Nesse cenário, é pertinente que o órgão avalie a possibilidade de estabelecer cronograma para implementação das melhorias vislumbradas, dentro dos novos prazos previstos.

Não houve informação das unidades auditadas sobre as propostas de melhorias emitidas.

Com relação a alguns pontos abordados nos questionamentos realizados, merecem destaque aspectos observados e avaliados por esta Unidade e, pelo fato de se encontrarem em fase de implementação ou por demandarem maior conhecimento técnico do assunto, poderão ser reavaliados em sede de monitoramento ou como objeto de nova auditoria. Seriam as questões referentes ao Comitê Gestor de Segurança da Informação (Questão 3); ao Plano de Continuidade de Serviços Essenciais de TI, considerando sua aplicação, acompanhamento e revisão (Questão 6); e a aplicação da política formal para a gestão de pessoal de TI, sob a ótica do desenvolvimento de competências, avaliação, incentivo e retenções de gestores e técnicos de TI (Questões 13, 14 e 15).

VIII. CONCLUSÃO

Em face dos exames realizados, concluiu-se pela necessidade de aprimoramento e/ou adequação de algumas atividades.

A STI apresentou apresentou Plano de Ação (Informação 5091-0764722) e esclarecimentos (Informação 5797-0786273), considerando a Unidade demandada, além das atribuições referentes ao Comitê Gestor e Comitê de Governança de TI, com vistas à implementação das recomendações emitidas por esta Unidade de Auditoria.

A SGP apresentou esclarecimentos e justificativas (Informações 5773-0785584 e 5781-0785725), não tendo apresentado Plano de Ação, entendendo que a consolidação, conforme documento (0723003), dos Planos de Desenvolvimento Individuais, possibilita a medição do Índice de Execução do Plano Anual de Capacitação (PAC), previsto do PETIC 2015-2020 (ITIC1). Entende-se ser relevante a reapreciação da matéria pela Unidade auditada, uma vez que foi observada a necessidade de ajustes para efetivo cumprimento da recomendação, detalhada na análise da equipe de auditoria referente ao achado 7.

IX. PROPOSTA DE ENCAMINHAMENTO

Diante do exposto, submete-se o presente Relatório Conclusivo de Auditoria à consideração da Presidência, para ciência e encaminhamento à Diretoria-Geral, Secretaria de Tecnologia da Informação e Secretaria de Gestão de Pessoas.

Documento assinado eletronicamente por ADAIL VILELA DE ALMEIDA, Coordenador, em 02/12/2019, às 13:01, conforme art. 1º, III, "b", da Lei 11.419/2006.

Documento assinado eletronicamente por IVANILDO ALVES DE MEDEIROS, Chefe de Seção, em 02/12/2019, às 13:06, conforme art. 1º, III, "b", da Lei 11.419/2006.
A autenticidade do documento pode ser conferida no site https://apps.tre-se.jus.br/sei/controlador_externo.php?acao=documento_conferir&id_orgao_acesso_externo=0 informando o código verificador 0787467 e o código CRC B3BF39DE.

0007750-46.2019.6.25.8000	0787467v1