TRIBUNAL REGIONAL ELEITORAL DE SERGIPE
CENAF, Lote 7, Variante 2 - Bairro Capucho - CEP 49081-000 - Aracaju - SE - http://www.tre-se.jus.br
RELATÓRIO DE AUDITORIA 7/2020 - SEAUG
RELATÓRIO Preliminar X Conclusivo Monitoramento
RESUMO
A presente auditoria teve como objeto avaliar a maturidade do gerenciamento dos contratos de TI, por meio da verificação do funcionamento tempestivo dos controles. Os objetivos específicos foram definidos na forma de Questões de Auditoria, conforme consta no Programa de Auditoria 4/2019 (0685128). Exames de documentos e correlação das informações obtidas permitiram constatar situações com falhas e situações passíveis de melhorias. Detectou-se a ausência e/ou escassez de previsão de riscos relacionados ao procedimento de prorrogação contratual e à fase de gestão contratual, bem como ausência de atualização da análise de riscos. Revisão ausente ou não formalizada da Análise de Riscos por servidor experiente, não integrante da Equipe de Planejamento da Contratação. Constatou-se a ausência de previsão de ação de contingência, para cada risco identificado, assim como de previsão de período de execução para ações preventivas de riscos. Foram expedidas recomendações às Unidades, a fim de apresentarem plano de ação referente aos achados apontados.

SUMÁRIO
 
I. INTRODUÇÃO
II. VISÃO GERAL DO OBJETO AUDITADO
III. OBJETIVO DA AUDITORIA
IV. ESCOPO
V. CRITÉRIOS
VI. ACHADOS DE AUDITORIA
VII. PROPOSTAS DE MELHORIAS E DEMAIS ASPECTOS RELACIONADOS
VIII. CONCLUSÃO
IX. PROPOSTA DE ENCAMINHAMENTO

I. INTRODUÇÃO
Visando avaliar a maturidade do gerenciamento dos contratos de TI, no âmbito do Tribunal Regional Eleitoral de Sergipe, foram efetuados exames de auditoria por meio da verificação do funcionamento tempestivo dos controles.
Compuseram, inicialmente, a equipe de auditoria do Tribunal Regional Eleitoral de Sergipe - TRE/SE os servidores Ivanildo Alves de Medeiros, Wilson Fernandes de Souza Filho, Jurene Barreto Santos, Cassia Maria Carvalho Polito Alves e Silvânia Martins de Santana, esta última na qualidade de Coordenadora Substituta. No curso da auditoria, Adail Vilela de Almeida assumiu a Coordenação da auditoria, ao tempo em que foram excluídos dos trabalhos os servidores Wilson Fernandes de Souza Filho e Jurene Barreto Santos, por motivo de posse em outro cargo inacumulável e mudança de lotação, respectivamente.
Os principais achados encontrados e as respectivas recomendações emitidas por esta Unidade foram consubstanciados no Relatório Preliminar de Auditoria 2/2020 (0869920)
As Unidades Auditadas se manifestaram quanto ao Relatório Preliminar e suas respostas foram consideradas e incluídas neste Relatório Conclusivo de Auditoria.
Todos os exames realizados se pautaram em procedimentos e técnicas de auditoria aplicáveis à Administração Pública e nenhuma restrição foi imposta quanto ao método ou à extensão dos trabalhos realizados.

II. VISÃO GERAL DO OBJETO AUDITADO
A gestão de riscos nas aquisições e gerenciamento de contratos representa um dos mecanismos existentes para preparação do órgão a fim de lidar com imprevistos e com suas consequências, diminuindo impactos negativos e garantindo maior eficiência na aplicação de recursos públicos. O acompanhamento e a análise crítica da matriz de risco, realizados de forma contínua, são determinantes para a adequação, suficiência e eficácia dos controles internos, tendo em vista a verificação, supervisão, observação crítica ou identificação da situação de risco.

III. OBJETIVO DA AUDITORIA
Avaliar a maturidade do gerenciamento dos contratos de TI, por meio da verificação do funcionamento tempestivo dos controles.

IV. ESCOPO
Avaliar se são realizados o acompanhamento e análise crítica da matriz de risco, tendo em vista que a verificação, supervisão, observação crítica ou identificação da situação de risco, realizadas de forma contínua são determinantes para a adequação, suficiência e eficácia dos controles internos.

V. CRITÉRIOS
Os critérios utilizados como parâmetros para fundamentar as avaliações apresentadas neste trabalho foram os preceitos normativos, acórdãos, jurisprudência, os padrões internacionalmente aceitos e estudos técnicos que regulamentam a matéria, a seguir exemplificados: Resolução CNJ n.º 182/2013, Guia de Boas Práticas em Contratação de Soluções de Tecnologia da Informação - Riscos e Controles para o Planejamento da Contratação - versão 1.0 - TCU, Guia de Boas Práticas de Contratação de Soluções de Tecnologia da Informação – versão 2.0 – Justiça Federal, Instrução Normativa SEGES/MPDG nº 05/2017.
 
VI. ACHADOS DE AUDITORIA
Os achados de auditoria representam o resultado da aplicação dos testes de auditoria previstos no Programa de Auditoria 4/2019 (0685128).
Conforme o Tribunal de Contas da União: "Achado é o resultado da comparação entre a situação encontrada e o critério de auditoria. Contém os seguintes atributos: critério (o que deveria ser), condição/situação (o que é), causa (razão do desvio com relação ao critério) e efeito (consequência da situação encontrada) (GUID 3920/84; NAT, 103)." - Manual de Auditoria Operacional do TCU - Edição de 2020, pág. 97.
Avaliamos, a seguir, os principais achados encontrados após a manifestação das áreas auditadas:

Achado 1 – Ausência e/ou escassez de previsão de riscos relacionados ao procedimento de prorrogação contratual e à fase de gestão contratual. 

Situação encontrada: O processo SEI 0001938-91.2017.6.25.8000 (última alteração contratual – 3º TA) trata da prestação de serviços de informática na área de sustentação de sistemas de informação. No documento Estudos Técnicos Preliminares (SEI 0389494), na Análise de Riscos, constante no item “4”, não foram elencados riscos referentes ao procedimento de prorrogação contratual, apenas à fase de gestão contratual.
O processo SEI 0002273-81.2015.6.25.8000 trata da Contratação de Serviço Telefônico Fixo Comutado (STFC) e serviço de Internet Banda Larga Fixa. No documento Estudos Técnicos Preliminares (SEI 0245268), na matriz de riscos, constante no item “4. Análise de riscos”, apenas o R3 (risco 3) tem relação com a gestão contratual.
Processo SEI 0002306-03.2017.6.25.8000 trata da Contratação de 36 (trinta e seis) enlaces de comunicação para conexão da sede do TRE/SE com os Cartórios Eleitorais e Postos de Atendimento ao eleitor, englobando os serviços de instalação, suporte mensal e possibilidade de mudança de endereço do enlace, quando necessário. No documento Estudos Técnicos Preliminares (0402247), onde consta a análise de riscos, foram elencados 9 (nove) riscos, sendo em grande parte referentes ao procedimento licitatório e/ou planejamento da contratação. O R04 também tem relação com a gestão contratual e os Riscos 06 e 07 guardam relação com a execução do contrato. Entretanto, as ações previstas na matriz de análise de riscos são de responsabilidade da Equipe de Planejamento da Contratação (EPC), isoladamente ou com outras unidades, referentes ao procedimento licitatório e/ou planejamento da contratação, tendo sido elencado apenas um risco, a ser tratado, preventivamente ou a ser mitigado, por fiscais do contrato (R07).

Critério(s) de Auditoria:
•	Resolução CNJ 182/2013: 
(…) Art. 17. O documento Análise de Riscos deverá conter, sempre que possível e necessário, os seguintes elementos:
I – a identificação dos principais riscos que possam vir a comprometer o sucesso da contratação ou que emergirão caso a contratação não seja realizada; (...)
•	Guia de Boas Práticas em Contratação de Soluções de Tecnologia da Informação - Riscos e Controles para o Planejamento da Contratação - versão 1.0 - Tribunal de Contas da União (p.119): 
“(...)
c)Considerações:
1) Na verdade, o tratamento dos riscos deve ocorrer ao longo de todo o processo de contratação e de gestão do contrato. O que se assinala neste item é a necessidade de avaliação dos riscos da contratação e da gestão do contrato, que deve ser usado na análise de viabilidade da contratação. (...)”
•	Guia de Boas Práticas de Contratação de Soluções de Tecnologia da Informação – versão 2.0 – Justiça Federal (p.82):
“(…) Para isso, devem ser identificados os riscos que possam comprometer o sucesso da contratação e da gestão contratual e os riscos de a solução não vir a alcançar os resultados que atendam às necessidades da contratante.” (grifo nosso)
Evidência(s):
•	Estudos Técnicos Preliminares, item 4, Análise de Riscos (0389494);
•	Estudos Técnicos Preliminares, item 4. Análise de riscos (0245268);
•	Estudos Técnicos Preliminares, item 4. Análise de riscos (0402247).
Causa(s): 
Inobservância a preceitos normativos.
Consequência(s) do Achado:
Insuficiência de informações que podem servir de base para análise da viabilidade da contratação.
Redução de eficiência e eficácia na avaliação de riscos e na definição de controles e ações mitigatórias.
Não avaliação de riscos relevantes para contratação.
Repetição de ocorrências ou eventos negativos na contratação, que poderiam ser evitados.
Ocorrência de riscos que surgem no decorrer da contratação, sem tratamentos, que podem prejudicar o alcance dos resultados pretendidos.

Recomendação 01:
À STI e à SAO: Descrever e avaliar, na Análise de Riscos, as possíveis ameaças relativas a todas as fases da contratação que possam comprometer o seu sucesso, em atendimento ao disposto no art. 17 da Resolução CNJ 182/2013 e observância às boas práticas.

Resposta(s) do(s) Auditado(s):
STI: A Secretaria de Tecnologia da Informação (Informação 4441 – 0928641) apresentou resposta e Plano de Ação (0928812), dentro do prazo estabelecido, a seguir transcrito: “Foi dada ciência a todos os envolvidos na elaboração dos Estudos Preliminares das STIC no âmbito da STI, sobretudo os Coordenadores de Infraestrutura e Sistemas de Informação, o Assistente da SESIN e os chefes da SEADA e SEDES. Além disso, a boa prática será normatizada, para que se incorpore definitivamente à rotina das contratações de TIC.”
SAO: A Secretaria de Administração, Orçamento e Finanças (Informação 3820 – 0912471) apresentou resposta, dentro do prazo estabelecido, por meio do documento SEI 0912468, a seguir transcrito: “Preliminarmente, destaque-se que a gestão de riscos nas contratações de TI é realizada pela equipe de planejamento da contratação – EPC, cujo integrante desta Secretaria é o assessor de planejamento e gestão. Com efeito, o servidor em tela foi cientificado da necessidade de prever na gestão de riscos, juntamente com os demais membros da EPC, as possíveis ameaças relativas a todas as fases da contratação, quais sejam, planejamento, seleção do fornecedor e gestão contratual.”
 
Análise da Equipe de Auditoria:
STI e SAO: A Informação 5093 (0945786) traz ao processo projeto do CNJ de publicação de normativo que substituirá a Resolução CNJ 182/2013. A minuta da nova Resolução foi anexada ao SEI sob o documento 0945797, além do Guia de Contratações de TIC do Poder Judiciário (0945801), datado de julho/2020. Depreende-se da referida minuta que a matéria em foco, tratada como critério desta auditoria será atualizada, além de definir padronização de procedimentos a serem seguidos pelos órgãos submetidos ao controle administrativo e financeiro do CNJ, o que se aplica ao TRE-SE. A STI informa que não há previsão de publicação da norma pelo órgão superior, ao tempo em que solicita sobrestamento da elaboração de normativo interno, até o início do ano de 2021, sendo deferido pelo Presidente do TRE-SE, em Despacho 17002 (0947649).
A minuta da Resolução juntada ao processo SEI (0945797), prevê em seu art. 2º que o Guia de Contratações de TIC do Poder Judiciário (0945801) servirá como instrumento de orientação e direcionamento da Resolução, e que conterá processos de trabalho, procedimentos técnicos e administrativos, conceitos, recomendações, boas práticas, atribuições e definições vinculadas à Resolução. O Guia mencionado (0945801) serve como indicativo de que a Resolução não tardará a ser publicada. Ele prevê às pags. 40/41 processo de análise de riscos, com detalhamento de atividades que se coadunam com a recomendação emitida por esta Unidade de Auditoria.
Assim sendo, conforme considerações acima, e levando-se em conta, ainda, que tanto a STI como a SAO cientificaram os servidores da necessidade de cumprimento do quanto disposto na recomendação 1, esta Unidade de Auditoria entende que o atendimento da recomendação poderá ser objeto de avaliação em monitoramento e/ou nova auditoria, caso os mesmos critérios permaneçam recepcionados ao conteúdo da nova Resolução e ao Guia de Contratações de TI.
 
Achado 2 - Revisão ausente ou não formalizada da Análise de Riscos por servidor experiente, não integrante da Equipe de Planejamento da Contratação.
Situação encontrada:
Durante o desenvolvimento dos trabalhos da auditoria foi indagado à STI sobre a realização de revisão da Análise de Riscos por servidor sênior.
Obteve-se como resposta que a Análise de Riscos é encaminhada e revisada por outras unidades (ASPLAN-SAO, SAO, ASPLAN-STI, STI, SEDES) e que há contribuição de servidor da ASPLAN-STI, que por ser profissional experiente e com diversas capacitações na área de planejamento e gestão, em muito tem contribuído para a melhoria da qualidade da tramitação interna à STI destes processos de contratação.
Foram realizados os testes previstos no Programa de Auditoria (0685128), inclusive consulta ao histórico completo dos processos, tendo sido detectadas as seguintes situações:
Não foi constatada a realização de revisão da Análise de Riscos por servidor distinto dos integrantes da Equipe de Planejamento da Contratação no processo 0001938-91.2017.6.25.8000 (Terceiro Aditamento ao Contrato 6/2015) e no processo 0002273-81.2015.6.25.8000 (Contrato 22/2015).
Nos processos 0009888-54.2017.6.25.8000 (Segundo Aditamento ao Contrato 22/2015) e 0002306-03.2017.6.25.8000 (Contrato 13/2017) verificou-se que os Estudos Técnicos Preliminares das contratações, nos quais constam a Análise de Riscos, transitaram pela ASPLAN-STI, unidade distinta da Equipe de Planejamento da Contratação, mas não há formalização de revisão efetuada sobre a referida Análise de Riscos.
Critério(s) de Auditoria:
•	Guia de Boas Práticas em Contratação de Soluções de Tecnologia da Informação - Riscos e Controles para o Planejamento da Contratação - versão 1.0 - Tribunal de Contas da União, páginas 122, 229 e 230:
(...)
1.1) Sugestões de controles internos:
(1) publicar normativo estabelecendo a obrigação da revisão dos artefatos produzidos no planejamento das contratações por servidor sênior, de modo a verificar a consistência da análise de risco, considerando lições aprendidas em outras contratações. Convém que a responsabilidade por esse controle seja da alta administração.
(…)
A revisão por servidor sênior propicia que os artefatos sejam analisados sob perspectiva diferente daquela da equipe de planejamento da contratação, possibilitando a identificação de riscos e desconformidades legais que a equipe que os elaborou tenha ignorado ou que não conhecia, bem como pode ajudar a esclarecer pontos obscuros.
Evidência(s):
•	Histórico completo do processo 0001938-91.2017.6.25.8000 referente ao documento 0389494 – Estudos Técnicos Preliminares de STIC;
•	Histórico completo do processo 0002273-81.2015.6.25.8000 referente aos documentos 0242352 e 0245268 - Estudos Técnicos Preliminares;
•	Histórico completo do processo 0009888-54.2017.6.25.8000 referente aos documentos 0446723 e 0452062 - Estudos Técnicos Preliminares de STIC ASPLAN-STI;
•	Histórico completo do processo 0002306-03.2017.6.25.8000 referente aos documentos 0377620 e 0402247 - Estudos Técnicos Preliminares de STIC ASPLAN-STI.

Causa(s):
Ausência de normatização da atividade de controle correspondente à revisão dos Estudos Técnicos Preliminares.
Consequência(s) do Achado:
Maior probabilidade de erros e omissões nos Estudos Técnicos Preliminares e na Análise de Riscos.
Recomendação 02 à STI, à SAO e à DG: Avaliar a viabilidade de instituir procedimento de revisão dos Estudos Técnicos Preliminares para que seja formalizada nos processos de contratação e realizada por servidores distintos dos integrantes da Equipe de Planejamento da Contratação, experientes e com profundo conhecimento de contratações e de gestão de contratos de TIC. Caso se demonstre viável a revisão, proceder a sua normatização e tornar efetiva sua execução.
Resposta(s) do(s) Auditado(s):
STI: A Secretaria de Tecnologia da Informação (Informação 4441 – 0928641) apresentou resposta e razões para inviabilidade de implantação no Plano de Ação (0928812), a seguir transcrito: “A STI considera inviável, na atual conjuntura, a instituição de procedimento formal de revisão dos Estudos Preliminares da STIC (EPSTIC) por servidores distintos dos integrantes da EPC, experientes e com profundo conhecimento de contratações e de gestão de contratos de TIC, em virtude das seguintes restrições:
a) O quadro de servidores da STI é bastante exíguo. Dessa forma a segregação de funções, embora desejável, torna-se inviável. Em termos práticos, todos os servidores participam de todas as etapas do planejamento das contratações. Sendo assim, a criação da figura de um servidor distinto dos integrantes da EPC, nas circunstâncias atuais (de escassez de mão de obra), seria apenas pro forma. Quando convocado pelo Secretário, o servidor da ASPLAN-STI sempre auxilia na elaboração dos estudos preliminares.
b) O perfil de profissional idealizado pelo Guia de Boas Práticas em Contratação de Soluções de Tecnologia da Informação - Riscos e Controles para o Planejamento da Contratação - versão 1.0 - Tribunal de Contas da União, não existe no âmbito da STI. O servidor da ASPLAN-STI presta apoio administrativo às Coordenadorias. Quem detém o conhecimento técnico do objeto das contratações de TI são os profissionais técnicos das respectivas unidades. Além disso, o servidor da ASPLAN-STI nunca atuou como gestor de qualquer contrato administrativo, seja no âmbito do TRE-SE, seja em outro órgão público.
c) O procedimento de contratação de uma solução de TI, por si só, é extremamente oneroso e burocrático. A inclusão de mais um ponto de verificação, aliado ao quantitativo restrito de profissionais, torna o processo ainda mais sofrível, indo na contramão da realidade atual do Poder Judiciário (vide SEI 0011609-36.2020.6.25.8000 - Selo de Desburocratização).
Vale ressaltar que o TCU, inclusive, faz o seguinte alerta no Guia de Boas Práticas em Contratação de Soluções de Tecnologia da Informação - Riscos e Controles para o Planejamento da Contratação - versão 1.0 - Tribunal de Contas da União (p.53):
Em alguns controles aparece a figura do servidor sênior, que idealmente é um servidor experiente e com profundo conhecimento de contratações e de gestão de contratos, de modo que possa efetuar a revisão dos artefatos produzidos pelas equipes de planejamento das contratações. Para evitar que essa revisão se torne um gargalo, é interessante que haja um conjunto de servidores seniores. É necessário que haja apoio da alta administração para o uso de servidores seniores, pois há a alocação de recursos humanos experientes, que costumam ser escassos, e a etapa de revisão pode gerar atrito junto a equipes de planejamento menos maduras, além de gastar tempo. (grifos nossos)
d) Todos os processos de contratação de soluções de TIC fazem uso de uma "Lista de Verificação", na qual estão contidas as formalidades e controles a serem obedecidos em cada um dos certames licitatórios.”

SAO: A Secretaria de Administração, Orçamento e Finanças (Informação 3820 – 0912471) apresentou resposta por meio do documento SEI 0912468, a seguir transcrito: “Por se tratar de contratação de TI e, considerando, ainda, que o asplan-sao é membro da EPC, entende-se não ser viável a instituição de procedimento de revisão do ETP no âmbito desta Secretaria.”
DG: A Diretoria Geral deu ciência no Despacho 11442 (0902850), entretanto não se manifestou quanto às recomendações emitidas.

Análise da Equipe de Auditoria:
STI, SAO e DG: A STI expôs as dificuldades de ordem prática e razões para a inviabilidade de instituir procedimento de revisão dos Estudos Técnicos Preliminares realizada por servidores distintos dos integrantes da Equipe de Planejamento da Contratação, experientes e com profundo conhecimento de contratações e de gestão de contratos de TIC. Razão preponderante seria a escassez de servidor para desempenho da atividade, além da pouca experiência técnica e específica na área de gestão de contratos. Apresenta, ainda, ponto de vista no sentido de que adicionar mais um ponto de verificação no processo pode elevar sua onerosidade e burocracia; e que já possui listas de verificação adotadas nos processos de contratação de solução de TIC.
A SAO se manifestou no sentido da inviabilidade de implementação da recomendação emitida, entretanto não apresentou razões e/ou justificativa para tal afirmação. E, por fim, a DG não se manifestou.
Cumpre-nos afirmar que a escassez de servidores, principalmente na área de tecnologia da informação, é fator que pode impor restrições à viabilidade de instituir procedimentos de revisão, nos termos da recomendação emitida, entretanto, a alegação de que não possui conhecimento adequado, além do entendimento de que o processo se tornaria mais burocrático não merece prosperar. A capacitação dos profissionais é imprescindível para o desenvolvimento das atividades e a adoção de procedimento de revisão, além de minimizar a ocorrência de possíveis erros, otimiza o processo de contratação de solução de TIC, tornando-o mais eficaz e eficiente, gerando economia para a Administração Pública. 
A SAO, embora não tenha apresentado razões para a inviabilidade do cumprimento da recomendação, pode contribuir para a revisão dos Estudos Técnicos Preliminares, com efetiva participação, considerando que integra a Equipe de Planejamento da Contratação, tendo parcela de responsabilidade sobre o processo, sobretudo no que se refere aos aspectos administrativos da contratação.
É importante ressaltar, ainda, que a alta Administração é responsável por apoiar e fornecer condições para o desenvolvimento e melhoria dos processos, sendo pilar fundamental para adequação e adoção de boas práticas e, entendendo cabíveis, das medidas necessárias ao implemento da recomendação, na forma como fora emitida, ou na forma possível para o órgão. 
Assim sendo, esta Unidade de Auditoria entende que a recomendação seja reavaliada pela Administração (DG), bem como pelas unidades auditadas, observando-se, ainda, conteúdo da nova Resolução e do Guia de Contratações de TI, podendo o mesmo assunto ser objeto de avaliação em monitoramento e/ou nova auditoria.

Recomendação 03 à STI, à SAO e à DG: Avaliar a viabilidade de designar um conjunto de servidores experientes para atuarem na revisão dos Estudos Técnicos Preliminares das Contratações de TIC. Caso se demonstre viável, realizar a referida designação.
Resposta(s) do(s) Auditado(s):
STI: A Secretaria de Tecnologia da Informação (Informação 4441 – 0928641) apresentou resposta e razões para inviabilidade de implantação no Plano de Ação (0928812), dentro do prazo estabelecido, a seguir transcrito: “A STI considera inviável a adoção da medida recomendada conforme informado no item anterior.”
SAO: A Secretaria de Administração, Orçamento e Finanças (Informação 3820 – 0912471) apresentou resposta por meio do documento SEI 0912468, a seguir transcrito: “O asplan-sao, como já dito, é membro da EPC, portanto, participa da elaboração do ETP. Além disso, a contratação tramita pela COMAC/SELIC, onde, na medida do possível, são feitas as devidas observações e críticas, ressalvados os aspectos técnicos da contratação.
Pelo exposto, entende-se inviável a designação de outros servidores, no âmbito desta unidade, para atuarem na revisão dos Estudos Técnicos Preliminares em contratações de TIC.”
DG: A Diretoria Geral deu ciência no Despacho 11442 (0902850), entretanto não se manifestou quanto às recomendações emitidas.
Análise da Equipe de Auditoria: 
Análise da recomendação 2 aplica-se à recomendação 3.

Achado 3 – Ausência de atualização da Análise de Riscos.
Situação encontrada:
Na coleta de informações úteis à aplicação dos testes de auditoria foi questionado à STI sobre a atualização da Análise de Riscos, quando necessária.
Houve manifestação referente ao processo 0002306-03.2017.6.25.8000 de que “não obstante sejam reavaliados os controles existentes, e eventualmente algum novo seja acrescido de acordo com as peculiaridades de cada processo de contratação, até o momento não se apresentou evento motivador ou ocorrência de fato que justificasse alteração na Matriz de Análise de Riscos” (0736260).
Após consultas realizadas nas Análises de Riscos do processo 0002306-03.2017.6.25.8000, documento 0402247 (Contrato 13/2017) e de contratação anterior referente ao mesmo objeto 0013798-89.2017.6.25.8000, documento 0441635 (Quarto Aditamento ao Contrato 16/2012) não se verificou alteração significativa entre as duas Análises de Riscos. Também não foram verificadas atualizações na contratação mais recente.
Registra-se que entre a elaboração das duas Análises de Riscos citadas estavam ocorrendo eventos que desencadeariam a necessidade de Prorrogação excepcional do contrato 16/2012, em condições não vantajosas para a Administração, situação apontada como achado de auditoria no Relatório de Auditoria 6 (0661620) do processo 0018557-62.2018.6.25.8000.
Os eventos relevantes que ocasionaram a prorrogação contratual excepcional não foram objeto de avaliação nas Análises de Riscos efetuadas.
Critério(s) de Auditoria:
•	Boa Prática normatizada na Instrução Normativa Nº 5/2017 do Ministério do Planejamento, Desenvolvimento e Gestão:
Art. 26. O Gerenciamento de Riscos materializa-se no documento Mapa de Riscos.
§ 1º O Mapa de Riscos deve ser atualizado e juntado aos autos do processo de contratação, pelo menos:
I - ao final da elaboração dos Estudos Preliminares;
II - ao final da elaboração do Termo de Referência ou Projeto Básico;
III - após a fase de Seleção do Fornecedor; e
IV - após eventos relevantes, durante a gestão do contrato pelos servidores responsáveis pela fiscalização.
§ 2º Para elaboração do Mapa de Riscos poderá ser observado o modelo constante do Anexo IV. (grifo nosso)
Evidência(s):
•	Análise de Riscos do processo 0002306-03.2017.6.25.8000, documento 0402247 (Contrato 13/2017);
•	Análise de Riscos do processo 0013798-89.2017.6.25.8000, documento 0441635 (Quarto Aditamento ao Contrato 16/2012).
Causa(s):
Ausência de normatização relativa à atualização da Análise de Riscos.
Consequência(s) do Achado: 
Não avaliação de riscos relevantes para contratação.
Repetição de ocorrências ou eventos negativos na contratação, que poderiam ser evitados.
Ocorrência de riscos que surgem no decorrer da contratação, sem tratamentos, que podem prejudicar o alcance dos resultados pretendidos.
Recomendação 04 à STI, à SAO e à DG: Normatizar a atualização da Análise de Riscos pelos gestores dos contratos de TIC, considerando as ocorrências relevantes durante a gestão contratual e evidenciando a matriz atualizada no respectivo processo.

Resposta(s) do(s) Auditado(s):
STI: A Secretaria de Tecnologia da Informação (Informação 4441 – 0928641) apresentou resposta e Plano de Ação (0928812), remetendo ao transcrito na recomendação 1.
SAO: A Secretaria de Administração, Orçamento e Finanças (Informação 3820 – 0912471) apresentou resposta por meio do documento SEI 0912468, a seguir transcrito: “Ressalvado melhor entendimento, referida normatização deve ser realizada quando do mapeamento do processo de contratação, cuja competência é da COPEG.
Outrossim, ressalto que as unidades envolvidas em tal processo encontram-se à disposição para o que for necessário.”
DG: A Diretoria Geral deu ciência no Despacho 11442 (0902850), entretanto não se manifestou quanto às recomendações emitidas.
Análise da Equipe de Auditoria: 
Considerando as informações constantes na análise da recomendação 1, levando-se em conta que o CNJ está na iminência de publicar novo normativo regulamentando a matéria, e, considerando Despacho proferido pelo Presidente do TRE-SE sobrestando o processo de elaboração de normativo interno por este TRE-SE, até o início do ano de 2021, esta Unidade de Auditoria entende que o atendimento da recomendação poderá ser objeto de avaliação em monitoramento e/ou nova auditoria.

Achado 4 – Ausência de previsão de ação de contingência, para cada risco identificado.
Situação encontrada:
O processo SEI 0002273-81.2015.6.25.8000 trata da Contratação de Serviço Telefônico Fixo Comutado (STFC) e serviço de Internet Banda Larga Fixa. No documento Estudos Técnicos Preliminares (SEI 0245268), há previsão de uma ação de contingência, no caso de descontinuidade da prestação de serviço, descrito no item 2.2 entretanto, na matriz de riscos, constante no item “4. Análise de riscos”, não há descrição de procedimentos de contingência, para cada risco identificado.
Critério(s) de Auditoria:
•	Resolução 182/2013 CNJ
“Art. 17. O documento Análise de Riscos deverá conter, sempre que possível e necessário, os seguintes elementos:
(...)
IV – a definição das ações de contingência a serem tomadas caso os eventos correspondentes aos riscos se concretizem; (...)”
•	Guia de Boas Práticas em Contratação de Soluções de Tecnologia da Informação - Riscos e Controles para o Planejamento da Contratação - versão 1.0 - Tribunal de Contas da União (p.121):
“(...) D) O que fazer:
1) Para cada risco identificado:
(...)
d) definir as ações necessárias para mitigar a probabilidade de ocorrência ou o impacto, caso se concretize;(...)”
•	Guia de Boas Práticas de Contratação de Soluções de Tecnologia da Informação – versão 2.0 – Justiça Federal (p.83):
“(…) Para cada risco, também devem ser definidas as respectivas ações de prevenção e contingência, bem como seus responsáveis (...)”
Evidência(s):
•	Estudos Técnicos Preliminares, item 4, Análise de riscos (0245268).
Causa(s):
Inobservância a preceitos normativos.
Consequência(s) do Achado:
Impacto significativo para as atividades devido à ocorrência do evento sem nenhuma ação de contingência rápida prevista.
Adoção de ações desvinculadas do planejamento da contratação, caso os riscos identificados ocorram.
Recomendação 05 à STI e à SAO: Definir ação(ões) de contingência, para cada risco identificado, na matriz de análise de riscos, por ocasião do planejamento das contratações de TIC.

Resposta(s) do(s) Auditado(s):
STI: A Secretaria de Tecnologia da Informação (Informação 4441 – 0928641) apresentou resposta e Plano de Ação (0928812), remetendo ao transcrito na recomendação 1.
SAO: A Secretaria de Administração, Orçamento e Finanças (Informação 3820 – 0912471) apresentou resposta por meio do documento SEI 0912468, a seguir transcrito: “Cientificado o asplan-sao – integrante administrativo em contratações de TI (membro da EPC).”
Análise da Equipe de Auditoria: 
Levando-se em conta que tanto a STI como a SAO cientificaram os servidores da necessidade de cumprimento do quanto disposto na recomendação, esta Unidade de Auditoria entende que o atendimento da recomendação poderá ser objeto de avaliação em monitoramento e/ou nova auditoria, caso os mesmos critérios permaneçam recepcionados ao conteúdo da nova Resolução e ao Guia de Contratações de TI.

Achado 5 - Ausência de previsão de período de execução para ações preventivas de riscos. 
Situação encontrada:
No processo SEI 0002273-81.2015.6.25.8000, no documento Estudos Técnicos Preliminares (0245268), apenas no R04 existe a previsão de acompanhamento diário do responsável, com relação ao trâmite do procedimento. No processo SEI 0002306-03.2017.6.25.8000, no documento Estudos Técnicos Preliminares (0402247), apenas no R08 existe a mesma previsão citada. Quanto aos demais processos selecionados como amostra nesta auditoria, não há previsão de prazo de execução.
Critério(s) de Auditoria:
•	Guia de Boas Práticas em Contratação de Soluções de Tecnologia da Informação - Riscos e Controles para o Planejamento da Contratação - versão 1.0 - Tribunal de Contas da União (p.121):
“D) O que fazer:
1) Para cada risco identificado:
(...)
f) definir os períodos de execução das ações de mitigação (...)”
Evidência(s):
•	Estudos Técnicos Preliminares, item 4. Análise de riscos (0245268);
•	Estudos Técnicos Preliminares, item 4. Análise de riscos (0402247).
Causa(s):
Ausência de normatização acerca da previsão de período para realização de ações mitigadoras.
Consequência(s) do Achado:
Intempestividade nas ações preventivas aos riscos, por parte dos responsáveis.
Recomendação 06 à STI, à SAO e à DG: Normatizar a definição dos períodos de execução das ações de mitigação, previstas para cada risco identificado, quando da elaboração dos Estudos Técnicos Preliminares das Contratações de TIC.

Resposta(s) do(s) Auditado(s): 
STI: A Secretaria de Tecnologia da Informação (Informação 4441 – 0928641) apresentou resposta e Plano de Ação (0928812), remetendo ao transcrito na recomendação 1.
SAO: A Secretaria de Administração, Orçamento e Finanças (Informação 3820 – 0912471) apresentou resposta por meio do documento SEI 0912468, a seguir transcrito: “Cientificado o asplan-sao – integrante administrativo em contratações de TI (membro da EPC).”
DG: A Diretoria Geral deu ciência no Despacho 11442 (0902850), entretanto não se manifestou quanto às recomendações emitidas.
Análise da Equipe de Auditoria: 
Considerando as informações constantes na análise da recomendação 1, levando-se em conta que o CNJ está na iminência de publicar novo normativo regulamentando a matéria, e, considerando Despacho proferido pelo Presidente do TRE-SE sobrestando o processo de elaboração de normativo interno por este TRE-SE, até o início do ano de 2021, esta Unidade de Auditoria entende que o atendimento da recomendação poderá ser objeto de avaliação em monitoramento e/ou nova auditoria.

VII. PROPOSTAS DE MELHORIAS E DEMAIS ASPECTOS RELACIONADOS
Conforme consta no Relatório de Auditoria 2 (0869920), foi observada ocorrência de evento não classificado como achado de auditoria, mas passível de registro e avaliação das unidades auditadas.
Em relação ao processo 0016710-88.2019.6.25.8000, contratação do serviço de comunicação utilizando linhas analógicas convencionais como meio de transmissão de voz - Serviço Telefônico Fixo Comutado - STFC, houve dificuldade de acesso, sendo possível sua consulta apenas após seu encaminhamento à unidade de auditoria. A partir desse fato, realizou-se uma avaliação de seus aspectos de publicidade e identificou-se que o processo foi gerado público (lançamento em 29/07/19 às 10:18 do histórico completo do processo) e que todos os documentos nele gerados também foram públicos, exceto o documento 0791419, que foi gerado como restrito (lançamento em 05/12/19 às 11:56 do histórico completo do processo).
Ocorreu que o registro de um documento restrito ocasionou, automaticamente, o status de restrito ao processo (lançamento em 05/12/19 às 11:56 do histórico completo do processo), situação descrita no Manual do SEI, página 24, 2.8 Restrição de Acesso: “Ao inserir um documento restrito em um processo público, o processo assumirá, automaticamente, o comportamento do nível de acesso deste documento”.
Diante desses aspectos, considerando a totalidade de documentos inseridos no processo, conclui-se que o acesso ao mesmo foi prejudicado pelo registro indevido de um único documento como restrito, pelo que não se caracteriza essa situação como achado de auditoria, mas cabe o registro e a apresentação às unidades auditadas para avaliação da pertinência de se instituir algum controle ou ação mitigatória para evitar que processos de contratações públicas tenham sua publicidade prejudicada por classificações indevidas de documentos neles inseridos.
A Secretaria de Tecnologia da Informação manifestou-se em relação a esse registro, pontuando que “orientará todos os envolvidos nas contratações de TIC a não incluírem documentos de acesso restrito em processos administrativos de acesso público.”(Informação 4441 - 0928641)

VIII. CONCLUSÃO
A publicação de normativo que substituirá a Resolução CNJ 182/2013 foi anexada ao SEI sob o documento 0945797, em complemento à resposta fornecida pela Secretaria de Tecnologia da Informação (0928641), além do Guia de Contratações de TIC do Poder Judiciário (0945801), datado de julho/2020. Conforme exposição retro, referida minuta trata da matéria atinente a esta auditoria. Embora a STI informe que não há previsão de publicação da norma pelo órgão superior, solicitou o sobrestamento da elaboração de normativo interno, até o início do ano de 2021, sendo deferido pelo Presidente do TRE-SE, em Despacho 17002 (0947649). Considerando que o normativo está na iminência de ser atualizado, além de definir padronização de procedimentos a serem seguidos pelos órgãos submetidos ao controle administrativo e financeiro do CNJ, o que se aplica ao TRE-SE, conclui-se que é prudente aguardar a publicação do mesmo, a fim de evitar retrabalho das unidades auditadas.
A Secretaria de Administração, Orçamento e Finanças apresentou resposta correspondente aos achados por meio da Informação 3820 (0912471) e documento (0912468) e a DG não se manifestou quanto ao Relatório de Auditoria 2 (0869920).
Ressalta-se a importância da reapreciação das recomendações 2 e 3 pelas Unidades auditadas, uma vez que foi observada a inviabilidade do efetivo cumprimento pelas mesmas, conforme respostas referentes ao achado 2 e análise desta equipe de auditoria.
Em face dos exames realizados, concluiu-se pela necessidade de aprimoramento e/ou adequação de algumas atividades, entretanto, as recomendações emitidas serão oportunamente objeto de monitoramento e/ou nova auditoria, após a publicação de novo normativo pelo CNJ.

IX. PROPOSTA DE ENCAMINHAMENTO
Diante do exposto, submete-se o presente Relatório Conclusivo de Auditoria à consideração da Presidência, para ciência e encaminhamento à Diretoria-Geral, Secretaria de Tecnologia da Informação e Secretaria de Administração, Orçamento e Finanças.	

	Documento assinado eletronicamente por ADAIL VILELA DE ALMEIDA, Coordenador, em 14/12/2020, às 12:54, conforme art. 1º, III, "b", da Lei 11.419/2006.	

	Documento assinado eletronicamente por IVANILDO ALVES DE MEDEIROS, Chefe de Seção, em 14/12/2020, às 12:56, conforme art. 1º, III, "b", da Lei 11.419/2006.	

	Documento assinado eletronicamente por CASSIA MARIA CARVALHO POLITO ALVES, Técnico Judiciário, em 14/12/2020, às 12:57, conforme art. 1º, III, "b", da Lei 11.419/2006.	

	A autenticidade do documento pode ser conferida no site 
https://apps.tre-se.jus.br/sei/controlador_externo.php?acao=documento_conferir&id_orgao_acesso_externo=0 
informando o código verificador 0966143 e o código CRC 6959953E.	

0008749-96.2019.6.25.8000	0966143v1	

Criado por 093334690590, versão 23 por 000628402194 em 14/12/2020 12:52:19.