TRIBUNAL REGIONAL ELEITORAL DE SERGIPE

CENAF, Lote 7, Variante 2 - Bairro Capucho - CEP 49081-000 - Aracaju - SE - http://www.tre-se.jus.br

RELATÓRIO DE AUDITORIA 5/2021 - SEAUG

RELATÓRIO	Preliminar	X  Conclusivo	Monitoramento		
	Presidência, Diretoria Geral, Secretaria de Tecnologia da Informação e Secretaria de		
INTERESSADO(S)			
	Administração, Orçamento e Finanças.			

RESUMO

A auditoria ora relatada teve como objeto avaliar o processo de gestão de infraestrutura de TIC, com enfoque na gestão de ativos. Os testes executados tiveram a finalidade de avaliar os controles existentes e em funcionamento no TRE/SE relacionados ao objeto deste trabalho. Os resultados obtidos identificaram a necessidade de: 1. aperfeiçoamento na identificação e registros de ativos de TIC, para buscar a adoção das melhores práticas normatizadas e assim viabilizar o controle amplo dos dados concernentes a esses ativos, bem como o alinhamento com os registros contábeis financeiros; 2. implementação de controle contábil financeiro para os softwares de desenvolvimento interno; 3. aperfeiçoamento de controles para viabilizar em toda contratação de ativos de TIC a avaliação e previsão de condições que evitem a interrupção da contratação/aquisição; 4. aperfeiçoamento de controles para identificar e registrar os responsáveis técnicos por ativos de TIC; 5. implementação de controles que verifiquem as licenças de software adquiridas e efetivamente instaladas; 6. adoção de melhores práticas normatizadas de gerenciamento de ativos de TIC referentes à verificações e reconciliações físicas; 7. normatização de critérios para definir um ativo de TIC em útil e não útil; 8. normatização de procedimentos técnicos e critérios de segurança para desfazimento de ativos de TIC; 9. evidenciação nos processos de desfazimento dos critérios específicos de segurança adotados para os ativos de TIC; 10. manifestação sobre os ativos de TIC relacionados para desfazimento abrangendo todas as unidades da STI responsáveis pelo gerenciamento de ativos de TIC; 11. aperfeiçoamento de controles para evitar que listas de ativos de TIC indicados para desfazimento sejam substituídas sem a validação da unidade responsável. Os achados indicados e as propostas de melhoria consubstanciadas nas recomendações emitidas foram objeto de avaliação pelas unidades auditadas, tendo elas apresentado plano de ação.

SUMÁRIO

I. INTRODUÇÃO

II.	VISÃO GERAL DO OBJETO AUDITADO III. OBJETIVO DA AUDITORIA
	IV. ESCOPO V. CRITÉRIOS

Relatório de Auditoria 5 (1027473)	SEI 0026721-79.2019.6.25.8000 / pg. 1

VI. ACHADOS DE AUDITORIA

VII. CONCLUSÃO

VIII. PROPOSTA DE ENCAMINHAMENTO

I. INTRODUÇÃO

A auditoria no processo de gestão de infraestrutura de TIC, com enfoque na gestão de ativos foi realizada em cumprimento ao Plano de Auditoria Integrada de Longo Prazo (Palp) 2018-2021, aprovado pela Portaria TSE nº 1.006/2018, que previu exames de auditoria, no âmbito da Justiça Eleitoral, para esse objeto.

Destaca-se que foram utilizados procedimentos e papéis de trabalho padronizados pelo TSE, adequados ao objeto auditado, em conjunto com o Grupo de Trabalho de Auditoria Integrada (GTA).

O planejamento da auditoria foi materializado no Programa de Auditoria (0832047), tendo sido precedido da realização de atividades como levantamento de Informações sobre o processo auditado, o Mapeamento do Processo de Gestão de Ativos de TIC e a elaboração das Matrizes de Riscos e Controles.

No Programa de Auditoria constou a equipe, composta por: Ivanildo Alves de Medeiros, Jurene Barreto Santos, Cassia Maria de Carvalho Polito Alves e Israel Macedo Carvalho. A supervisão dos trabalhos ficou a cargo do Coordenador de Auditoria Interna Adail Vilela de Almeida ou o substituto automático.

Os testes realizados na fase de execução foram aplicados seguindo os procedimentos previstos no Programa de Auditoria definidos pelo Grupo de Trabalho de Auditoria Integrada (GTA) e TSE.

Os principais achados identificados e as respectivas recomendações emitidas por esta Unidade foram consubstanciados no Relatório Preliminar de Auditoria 3/2021 (1014729).

As Unidades Auditadas se manifestaram quanto ao Relatório Preliminar e suas respostas foram consideradas e incluídas neste Relatório Conclusivo de Auditoria.

Todos os exames realizados se pautaram em procedimentos e técnicas de auditoria aplicáveis à Administração Pública e nenhuma restrição foi imposta quanto ao método ou à extensão dos trabalhos realizados.

II. VISÃO GERAL DO OBJETO AUDITADO

A gestão dos ativos de TIC ao longo do seu ciclo de vida busca assegurar que o seu uso agregue valor por um custo ótimo, garantindo a sua integridade física e operacionalidade e também a confiabilidade e disponibilidade daqueles ativos fundamentais para apoiar a capacidade de serviço.

O processo de gestão de ativos de TIC abrange também o gerenciamento das licenças de software para assegurar a adequação do número de licenças adquiridas, mantidas e utilizadas às necessidades institucionais, além da conformidade dos softwares instalados em relação às licenças disponíveis.

Como definição de ativos de TIC, apresentamos os seguintes conceitos:

“item, algo ou entidade que tem valor real ou potencial para uma organização” - ABNT NBR ISO 55000:2014 – Gestão de ativos – Visão geral, princípios e terminologia. (3.2.1 ativo).

“qualquer bem, tangível ou intangível, que tenha valor para a organização” - Resolução TSE nº 23.501/2016 – PSI na JE. (art. 2º, IV).

São exemplos de ativos de TIC:

a) Ativos primários:

- processos e atividades do negócio;

Relatório de Auditoria 5 (1027473)	SEI 0026721-79.2019.6.25.8000 / pg. 2

- informação.

b)	Ativos de suporte (sobre os quais os elementos primários do escopo se apoiam), de todos os tipos:

-	hardware;

-	software;

-	rede;

-	recursos humanos;

-	instalações físicas;

-	estrutura da organização.

O ciclo de vida dos ativos de TIC possui as seguintes etapas: Concepção (Planejamento), Aquisição, Registro, Implantação e Configuração, Atualização e Suporte, Monitoramento e Descarte.

Segundo o Cobit 5, o gerenciamento de ativos de TIC está alicerçado nas seguintes práticas: Identifique e registre o ativo; Gerenciar ativos críticos; Gerenciar o ciclo de vida do ativo; Otimize os custos de ativos e Gerenciar licenças.

III. OBJETIVO DA AUDITORIA

Os objetivos deste trabalho consistiram em avaliar:

a)	a existência e a qualidade dos controles internos instituídos no processo para tratar os riscos que impactem o alcance dos objetivos;

b)	o alcance dos objetivos do processo quanto aos aspectos da eficiência, eficácia, efetividade, economicidade e legalidade;

c)	o processo de identificação e registro dos ativos de TIC;

d)	o processo de desfazimento dos ativos de TIC;

e)	o processo de gerenciamento de licenças dos ativos de TIC, incluindo os controles para a adequação do quantitativo de licenças às necessidades do serviço; e

f)	a existência de normativo regulamentando a gestão de ativos de TIC e sua efetividade.

IV. ESCOPO

A avaliação foi delimitada para comportar os seguintes aspectos: hardwares e softwares; contratos de aquisição e manutenção de ativos de TIC, vigentes e encerrados, referentes aos últimos 5 anos; as etapas do ciclo de vida dos ativos de TIC referentes ao registro e ao descarte.

V. CRITÉRIOS

Os critérios utilizados como parâmetros para fundamentar as avaliações apresentadas neste trabalho foram os seguintes preceitos normativos:

Portaria TRE/SE 769/2019 - Define a responsabilidade pelos ativos de informação no TRE/SE;

Portaria TRE/SE 916/2019 - Estabelece as diretrizes para a gestão de vulnerabilidades nos ativos de informação no TRE/SE;

Resolução TRE/SE 10/2019 - Dispõe sobre a Política de Segurança da Informação (PSI) da Justiça Eleitoral de Sergipe;

COBIT 5;

ABNT 55000;

Relatório de Auditoria 5 (1027473)	SEI 0026721-79.2019.6.25.8000 / pg. 3

ITIL;

Resolução CNJ 370/2021 - Estabelece a Estratégia Nacional de Tecnologia da Informação e Comunicação do Poder Judiciário (ENTIC-JUD);

Norma Brasileira de Contabilidade, NBC TSP 08, DE 22 DE setembro de 2017 - NBC TSP 08 – Ativo Intangível - Ativo intangível gerado internamente 49 – 65;

Orientação SOF/TSE Nº 12/2019;

Resolução CNJ 182/2013;

Instrução Administrativa 5/10 do TRE/SE.

VI. ACHADOS DE AUDITORIA

Os achados de auditoria representam o resultado da aplicação dos testes de auditoria previstos no Programa de Auditoria (0832047).

Conforme o Tribunal de Contas da União: "Achado é o resultado da comparação entre a situação encontrada e o critério de auditoria. Contém os seguintes atributos: critério (o que deveria ser), condição/situação (o que é), causa (razão do desvio com relação ao critério) e efeito (consequência da situação encontrada) (GUID 3920/84; NAT, 103)." - Manual de Auditoria Operacional do TCU - Edição de 2020, pág. 97.

Avaliamos, a seguir, os principais achados encontrados após a manifestação das áreas auditadas:

Achado 1 – Ausência de registros e controles referentes a dados de ativos de TIC (Hardwares e Softwares).

Situação encontrada:

Inicialmente a equipe de auditoria indagou a STI: Qual o(s) sistema(s) e/ou controle(s) alternativo(s) (ex.: planilhas) adotado pela STI para a gestão dos ativos (hardware e software) de TIC? (0832051)

A STI apresentou as seguintes informações (0978621):

“Para gestão de ativos de microinformática, incluindo hardware e software, são utilizados os sistemas OCS Inventory, ASI Web, SEI, OTRS e planilhas de controle de bens (0978437, 0978439, 0978446, 0978447, 0978448, 0978449, 0978452 e 0978453)

Para gestão da infraestrutura de redes são utilizados os sistemas ASI Web, Zabbix e SEI.”

A partir das respostas obtidas, procedeu-se a conferência das planilhas de controle de bens (0978437, 0978439, 0978446, 0978447, 0978448, 0978449, 0978452 e 0978453) fornecidas pela STI, tendo sido verificado que as referidas planilhas não continham o registro da maioria dos dados previstos nos testes. Destaca-se que somente foram constatados poucos dados contratuais na planilha 0978439 referentes aos processos SEI de contratação: 0019288-58.2018.6.25.8000, 0021329-95.2018.6.25.8000 e 0021087-39.2018.6.25.8000.

Ressalta-se que os registros avaliados nos testes de auditoria realizados compreenderam os seguintes dados:

1.	Do ativo de TIC - tipo do ativo, marca e modelo;

2.	Contratuais - nº do contrato, fiscais, objeto, valor, vencimento, garantia e empresa;

3.	Responsáveis - responsável técnico, administrativo e demandante e respectivos contatos;

4.	Classificações: quanto à criticidade (alta, média, baixa), quanto ao status (ativo, em manutenção, aposentado);

5.	Identificação.

Para verificar os dados registrados nos sistemas utilizados pela STI para registros de ativos de TIC, a equipe de auditoria fez uma solicitação adicional (1002450). A unidade auditada

Relatório de Auditoria 5 (1027473)	SEI 0026721-79.2019.6.25.8000 / pg. 4

não foi capaz de fornecê-los (1003227), conforme transcrição abaixo:

“A COINF não realiza este procedimento da forma como é requerido na auditoria. Este procedimento é realizado conforme descrito na INFORMAÇÃO 162/2021 - STI (0978621).

Ato contínuo, ressai da leitura da COMUNICAÇÃO INTERNA 191/2021 (1002450) que, para o atendimento pleno do objeto da auditoria, se faz necessário o desenvolvimento de projeto visando implementação do processo de Gerenciamento de Configuração e Ativos de Serviço, bem como de customização do sistema OTRS, módulo de gestão de ativos - CMBD, ou aquisição de novo sistema para gerenciamento de ativo e configuração, além de prestação de serviços para a realização do cadastro, integração com os sistemas ASEWEB, OCS Inventory, SEI, Git e Subversion e sustentação dos ativos no referido sistema.

Vide exemplos de utilização do módulo CMDB do sistema OTRS, ainda em fase de estudo e organizado por classe:”

Portanto, infere-se que diversos dados (previstos nos testes) referentes aos ativos de TIC (Hardwares e Softwares) não são registrados e controlados pela STI.

Critério(s) de Auditoria:

COBIT 5 Prática de gerenciamento - BAI09.01 Identifique e registre o ativo - Atividades

Identifique todos os ativos pertencentes a um registro de ativos que registra o status atual. Mantenha o alinhamento com os processos de gerenciamento de mudanças e gerenciamento de configurações, o sistema de gerenciamento de configurações e os registros contábeis financeiros.

Identifique requisitos legais, regulamentares ou contratuais que precisam ser atendidos ao gerenciar o ativo.

RESOLUÇÃO CNJ 370, DE 28 DE JANEIRO DE 2021.

(	...) Art. 23. A estrutura organizacional, o quadro permanente de servidores, a gestão de ativos e os processos de gestão de trabalho da área de TIC de cada órgão deverão estar adequados às melhores práticas para as atividades consideradas como estratégicas. Deve-se observar sempre as diretrizes tanto na definição da estrutura organizacional de TIC, como nos papéis, responsabilidades e revisão bienal, compatibilizando a estrutura com as demandas estabelecidas. (grifo nosso)

(…)	Art. 34. Os itens de infraestrutura tecnológica deverão atender as especificações, temporalidade de uso e obsolescência a serem regulados em instrumentos aplicáveis e específicos.

(…)	§ 2o A gestão dos ativos de infraestrutura tecnológica deverá ser realizada por meio da definição dos processos, visando o registro e monitoramento da localização de cada ativo.

Evidência(s):

Planilhas de controle de bens (0978437, 0978439, 0978446, 0978447, 0978448, 0978449, 0978452 e 0978453).

Manifestações da STI (0978621 e 1003227).

Causa(s):

Ausência de recursos tecnológicos e humanos citados pela STI (1003227).

Consequência(s) do Achado:

Indisponibilidade de informações sobre o gerenciamento dos ativos de TIC (Hardwares e Softwares), dificultando: diagnosticar problemas; adoção de ações preventivas e corretivas; obtenção de histórico sobre determinado ativo; obtenção de informações para subsidiar novas contratações; estabelecer prioridades para ativos de alta criticidade.

Prejuízo à tomada de decisões dos gestores que necessitarem de dados dos ativos de TIC.

Relatório de Auditoria 5 (1027473)	SEI 0026721-79.2019.6.25.8000 / pg. 5

Recomendação(ões):

Recomendação 01:

À	STI: Envidar esforços para adotar as práticas de gerenciamento de ativos de TIC do COBIT 5 referentes à identificação e registro.

Resposta(s) do(s) Auditado(s):

As seguintes ações a serem implementadas foram indicadas pela STI no Plano de Ação (1027223):

"1. Realizar contratação de serviços de sustentação da infraestrutura de Nível 3 e incluir atividades que possibilitem a implementação de controles conforme recomendação: implantação e/ou customização e/ou integração de ferramentas necessárias à gestão estruturada de configuração e de ativos de serviço de TIC.

2.	Contratar projeto visando estruturar a operação da gestão de configuração e de ativos compreendendo:

a)	estruturação e relacionamento de mais de 8.593 ativos de TIC (sem considerar os ativos de eleição: UE, cartão de memória de resultado e de carga, baterias de urnas e etc) com a gestão de serviços desenvolvida pela Central de Serviços de TI (CSTI) de forma a conciliar as recomendações de boas práticas da ITIL (cujo foco é o serviço) e do COBIT 5 (cujo foco é a gestão) com os diversos tipos de ativos, diversas classificações de uso, diversos sistemas necessários e etc;

b)	elaboração das instruções de trabalho (IT) e/ou mapeamento ou criação de processos de trabalho para as equipes técnicas;

c)	definição de sistemas tecnológicos, com possibilidade de emissão de relatórios adequados, necessários à gestão de configuração e de ativos serviços, monitoramento de uso dos ativos, monitoramento de disponibilidade, entre outros requisitos;

d)	Levantamento de custos da solução.

Observações:

1)	É importante destacar que o processo de “Gerenciamento de Configuração e Ativos de Serviço” é de alto nível e não detalha o como fazer/implementar os controles necessários para o cumprimento das recomendações da auditoria que são baseados no COBIT 5.

2)	A COINF não dispões de recursos humanos para realizar ETP e TR ou desenvolver o projeto sem a contratação definida no item 1.

3)	Por fim, a COINF considera indispensável a capacitação em COBIT 5 para seus gestores visando aperfeiçoamento.

3.	Submeter ao comitê de governança o projeto descrito no item 2 para aprovação e priorização superior das ações consideradas como estratégicas.

4.	Iniciar a implementação das ações priorizadas pelo comitê de governança considerando a premissa: o Tribunal dispõe de todos os recursos tecnológicos e humanos para implementação das ações."

Análise da Equipe de Auditoria:

Não foram apresentados pela unidade auditada elementos capazes de alterar os apontamentos referentes ao achado de auditoria.

As ações descritas pela STI demonstram que a unidade se compromete a atender os objetivos da recomendação emitida.

A implementação da recomendação será avaliada em monitoramento futuro.

Relatório de Auditoria 5 (1027473)	SEI 0026721-79.2019.6.25.8000 / pg. 6

Achado 2 – Não há alinhamento entre sistema de gestão de ativos de TIC e os registros contábeis financeiros.

Situação encontrada:

Com o objetivo de avaliar o alinhamento entre os sistemas de gestão de ativos de TIC, foram feitas as seguintes indagações à STI:

Qual a periodicidade de realização do controle de integridade da especificação entre os registros do(s) sistema(s) e/ou controle(s) alternativo(s) para a gestão dos ativos de TIC (hardware, software e software de desenvolvimento interno pelo Tribunal) e o sistema AsiWeb? (0832051)

Qual o procedimento adotado pela STI para correção de discrepância(s) entre os registros do(s) sistema(s) e/ou controle(s) alternativo(s) para a gestão dos ativos de TIC (hardware, software e software de desenvolvimento interno pelo Tribunal) e o sistema AsiWeb? (0832051)

Para ambas perguntas, a STI apresentou a seguinte resposta:

“A STI não realiza este procedimento.” (0978621)

Depreende-se que o controle referente ao alinhamento entre sistema de gestão de ativos de TIC e registros contábeis financeiros não é efetuado.

Critério(s) de Auditoria:

COBIT 5 Prática de gerenciamento - BAI09.01 Identifique e registre o ativo - Atividades

Mantenha o alinhamento com os processos de gerenciamento de mudanças e gerenciamento de configurações, o sistema de gerenciamento de configurações e os registros contábeis financeiros.

RESOLUÇÃO CNJ 370, DE 28 DE JANEIRO DE 2021.

(…)	Art. 15. Para a consecução dos objetivos estabelecidos na Estratégia Nacional de Tecnologia da Informação e Comunicação do Poder Judiciário (ENTICJUD), os órgãos elaborarão o seguinte instrumento de planejamento:

§	1o Plano de Transformação Digital que conterá, no mínimo, as ações de:

	(…) III – interoperabilidade de sistemas; e

(…)	Art. 23. A estrutura organizacional, o quadro permanente de servidores, a gestão de ativos e os processos de gestão de trabalho da área de TIC de cada órgão deverão estar adequados às melhores práticas para as atividades consideradas como estratégicas. Deve-se observar sempre as diretrizes tanto na definição da estrutura organizacional de TIC, como nos papéis, responsabilidades e revisão bienal, compatibilizando a estrutura com as demandas estabelecidas. (grifo nosso)

Evidência(s):

Afirmação da STI informando que não realiza o procedimento de controle (0978621).

Causa(s):

Inobservância de melhores práticas.

Consequência(s) do Achado:

Favorecimento de divergências entre as bases de dados dos registros de ativo de TIC.

Indisponibilidade de informações sobre o gerenciamento dos ativos de TIC (Hardwares e Softwares), dificultando: diagnosticar problemas; adoção de ações preventivas e corretivas; obtenção de histórico sobre determinado ativo; obtenção de informações para subsidiar novas contratações; estabelecer prioridades para ativos de alta criticidade.

Prejuízo à tomada de decisões dos gestores que necessitarem de dados dos ativos de TIC.

Recomendação(ões):

Relatório de Auditoria 5 (1027473)	SEI 0026721-79.2019.6.25.8000 / pg. 7

Recomendação 02:

À	STI: Envidar esforços para implementar o alinhamento entre sistema de gestão de ativos de TIC e os registros contábeis financeiros.

Resposta(s) do(s) Auditado(s):

As seguintes ações a serem implementadas foram indicadas pela STI no Plano de Ação (1027223):

"Vide o definido para a recomendação do item 1."

Análise da Equipe de Auditoria:

Não foram apresentados pela unidade auditada elementos capazes de alterar os apontamentos referentes ao achado de auditoria.

As ações descritas pela STI demonstram que a unidade se compromete a atender os objetivos da recomendação emitida.

A implementação da recomendação será avaliada em monitoramento futuro.

Achado 3 – Não implementação de controle contábil financeiro para os softwares de desenvolvimento interno.

Situação encontrada:

Visando verificar a aplicação de controle contábil financeiro sobre os softwares de desenvolvimento interno, indagou-se à Secretaria de Administração, Orçamento e Finanças:

Existe avaliação formal para verificar a pertinência de registro patrimonial dos softwares desenvolvidos internamente pelo Tribunal, conforme Manual de Contabilidade Aplicada ao Setor Público? Caso positivo encaminhar evidências. (0832052)

A seguinte resposta foi apresentada:

INFORMAÇÃO 1143/2020 – SEPAT (0833679)

“Não há avaliação formal para verificar a pertinência de registro patrimonial dos softwares desenvolvidos internamente pelo Tribunal. No momento, eles sequer são apropriados no Sistema de Patrimônio ASI Web.

Contudo, com a superveniência da Orientação SOF/TSE nº 12/2019 (5/11/2019), o TSE disciplinou a padronização dos procedimentos de reconhecimento, mensuração, evidenciação e amortização de ativo intangível que são direitos que tenham por objeto bens incorpóreos destinados à manutenção da atividade pública ou exercidos com essa finalidade. Dentre eles, softwares.

Dessa forma, a SEPAT, com o auxílio da STI, identificará todos os softwares desenvolvidos localmente e adotará as medidas para os respectivos registros patrimoniais, na forma do item 5 da citada Orientação.”

INFORMAÇÃO 67/2021 – SEPAT (0975177)

“Em resposta ao Despacho 230/2021-SAO (0974875), informamos que ratificamos os termos da Informação 1143/2020 - SEPAT (0833679).”

A manifestação da SEPAT evidencia que não foi implementado controle contábil financeiro sobre os softwares de desenvolvimento interno.

Critério(s) de Auditoria:

COBIT 5 Prática de gerenciamento - BAI09.01 Identifique e registre o ativo -Atividades

Mantenha o alinhamento com os processos de gerenciamento de mudanças e gerenciamento de configurações, o sistema de gerenciamento de configurações e os

Relatório de Auditoria 5 (1027473)	SEI 0026721-79.2019.6.25.8000 / pg. 8

registros contábeis financeiros.

Assegure a contabilidade de todos os ativos.

RESOLUÇÃO CNJ 370, DE 28 DE JANEIRO DE 2021.

(…)	Art. 23. A estrutura organizacional, o quadro permanente de servidores, a gestão de ativos e os processos de gestão de trabalho da área de TIC de cada órgão deverão estar adequados às melhores práticas para as atividades consideradas como estratégicas. Deve-se observar sempre as diretrizes tanto na definição da estrutura organizacional de TIC, como nos papéis, responsabilidades e revisão bienal, compatibilizando a estrutura com as demandas estabelecidas. (grifo nosso)

NORMA BRASILEIRA DE CONTABILIDADE, NBC TSP 08, DE 22 DE SETEMBRO DE 2017 - NBC TSP 08 – ATIVO INTANGÍVEL - Ativo intangível gerado internamente 49 – 65.

ORIENTAÇÃO SOF/TSE Nº 12/2019 - Padronizar, no âmbito da Justiça Eleitoral, os procedimentos de reconhecimento, mensuração, evidenciação e amortização do ativo intangível.

Evidência(s):

Manifestações da SAO/SEPAT informando a não implementação do controle (0833679 e 0975177).

Causa(s):

Inobservância de normas.

Consequência(s) do Achado:

Favorecimento de divergências entre as bases de dados dos registros de ativo de TIC.

Prejuízo à tomada de decisões dos gestores que necessitarem de dados contábeis financeiros dos softwares de desenvolvimento interno.

Possibilidade de reconhecimento subavaliado dos intangíveis.

Recomendação(ões):

Recomendação 03:

À	SAO e STI: Realizar avaliação formal para verificar a pertinência do registro contábil financeiro referente aos softwares desenvolvidos internamente pelo Tribunal.

Resposta(s) do(s) Auditado(s):

As seguintes ações em implementação foram indicadas pela STI no Plano de Ação (1027223):

"1. Atualizar o catálogo de soluções de software desenvolvidas internamente.

2.	Avaliar e incluir novos atributos para o catálogo de soluções de software de desenvolvimento interno.

3.	Contagem ou atualização de tamanho funcional de softwares de desenvolvimento interno.

4.	Encaminhamento de informações à SAO, para fins de registro contábil financeiro. Demais ações, são atinentes à SAO."

As ações apresentadas abaixo a serem implementadas foram indicadas pela SAO no Plano de Ação (1025658):

"Compete à Secretaria de Tecnologia da Informação - STI fornecer todos os dados referentes aos softwares desenvolvidos internamente pelo Tribunal, incluindo seu valor e vida útil remanescente para que possam ser devidamente lançados no Sistema de

Relatório de Auditoria 5 (1027473)	SEI 0026721-79.2019.6.25.8000 / pg. 9

Patrimônio ASI WEB.

Compete à Secretaria de Administração, Orçamento e Finanças - SAO, por meio da Seção de Gestão de Patrimônio efetuar os lançamentos dos software no Sistema de Patrimônio ASI WEB e com o auxílio da Seção de Contabilidade Gerencial o registro contábil no SIAFI."

Análise da Equipe de Auditoria:

Não foram apresentados pelas unidades auditadas elementos capazes de alterar os apontamentos referentes ao achado de auditoria.

As ações descritas pela STI e SAO demonstram que as unidades se comprometem a atender os objetivos da recomendação emitida, devendo a SAO, ao exercer a competência por ela indicada, formalizar a avaliação que a precede, conforme a Recomendação.

A implementação da recomendação será avaliada em monitoramento futuro.

Achado 4 – Ausência de disposições contratuais para evitar a interrupção do contrato/aquisição ou da totalidade dos itens contratados.

Situação encontrada:

Foi selecionada uma amostra de 10 itens de um total de 147 processos de contratação provenientes de lista fornecida pela STI.

Entre 10 contratações avaliadas, 4 apresentaram desvios, ou seja, 40 por cento. A seguir, descreve-se os desvios detectados.

Nas   contratações   oriundas   dos   processos 0021329-95.2018.6.25.8000	e 0010718-	

15.2020.6.25.8000, respectivamente os Estudos Técnicos preliminares (0594781 e 0868101) e os Projeto Básico e Termo de Referência (0595159 e 0886628) não preveem condições para evitar a interrupção do contrato/aquisição.

O	processo de contratação 0015693-80.2020.6.25.8000, em seus Estudos Técnicos preliminares (0930992) prevê garantia para os itens 1.1.2.3.2 e 1.1.2.3.3, mas não indica condições que evitem a interrupção do contrato/aquisição para o item 1.1.2.3.1.

A contratação formalizada no processo 0007555-66.2016.6.25.8000 possui Estudos Técnicos preliminares (0306910) que preveem garantia para o item 1.1.2.3.1, especificamente no item Garantia Técnica – 1.1.2.3.1.2.4, mas para o item 1.1.2.3.2 não apresenta condições que evitem a interrupção do contrato/aquisição.

Logo, restou evidenciada ausência de disposições contratuais para evitar a interrupção do contrato/aquisição ou da totalidade dos itens contratados.

Critério(s) de Auditoria:

COBIT 5 Prática de gerenciamento - BAI09.01 Identifique e registre o ativo - Atividades

Verifique se os ativos estão adequados ao objetivo (ou seja, em uma condição útil).

RESOLUÇÃO CNJ 370, DE 28 DE JANEIRO DE 2021.

(…)	Art. 23. A estrutura organizacional, o quadro permanente de servidores, a gestão de ativos e os processos de gestão de trabalho da área de TIC de cada órgão deverão estar adequados às melhores práticas para as atividades consideradas como estratégicas. Deve-se observar sempre as diretrizes tanto na definição da estrutura organizacional de TIC, como nos papéis, responsabilidades e revisão bienal, compatibilizando a estrutura com as demandas estabelecidas. (grifo nosso)

Resolução CNJ 182/2013:

Relatório de Auditoria 5 (1027473)	SEI 0026721-79.2019.6.25.8000 / pg. 10

Art. 4º São atribuições do Integrante Técnico especificar, em conformidade com os requisitos estabelecidos no art. 3º, sempre que possível e necessário, os seguintes requisitos tecnológicos, entre outros pertinentes:

(…)	III – de garantia e manutenção, que definem a forma como será conduzida a manutenção e a comunicação entre as partes envolvidas na contratação;

Evidência(s):				
Processos	SEI 0021329-95.2018.6.25.8000,	0010718-15.2020.6.25.8000,	0015693-	
80.2020.6.25.8000 e 0007555-66.2016.6.25.8000.			

Estudos Técnicos Preliminares (0594781, 0868101, 0930992 e 0306910).

Termo de Referência (0886628).

Projeto Básico (0595159).

Causa(s):

Inobservância de melhores práticas.

Consequência(s) do Achado:

Aumento do risco de indisponibilidade do ativo de TIC contratado.

Recomendação(ões):

Recomendação 04:

À	STI: Aperfeiçoar os controles para viabilizar em toda contratação de ativos de TIC a avaliação e previsão de condições que evitem a interrupção da contratação/aquisição.

Resposta(s) do(s) Auditado(s):

As seguintes ações a serem implementadas foram indicadas pela STI no Plano de Ação (1027223):

"Incluir tal requisito na lista de verificação das contratações de TIC (cheklist) que é inserido nos processos de contratação bem como solicitar criação deste formulário junto a SEORG, pois, ainda utilizamos o formulário tipo “Informação” para tal finalidade."

Análise da Equipe de Auditoria:

Não foram apresentados pela unidade auditada elementos capazes de alterar os apontamentos referentes ao achado de auditoria.

As ações descritas pela STI demonstram que a unidade se compromete a atender os objetivos da recomendação emitida.

A implementação da recomendação será avaliada em monitoramento futuro.

Achado 5 – Ausência de designação de responsável técnico ocasionada pela não elaboração de Estudos Técnicos Preliminares

Situação encontrada:

A contratação de projetores multimídia, formalizada nos processos 0005990-96.2018.6.25.8000 e 0012841-54.2018.6.25.8000, não foi planejada segundo as disposições da Resolução CNJ 182/2013, consequentemente não ocorreu a designação de responsável técnico.

Da mesma forma a aquisição de equipamentos de segurança patrimonial, processo 0009282-60.2016.6.25.8000, não foi planejada segundo as disposições da Resolução CNJ 182/2013, consequentemente não ocorreu a designação de responsável técnico.

Diante das situações relatadas, observou-se a ausência de designação de responsável técnico ocasionada pela não elaboração de Estudos Técnicos Preliminares (Resolução CNJ 182/2013).

Relatório de Auditoria 5 (1027473)	SEI 0026721-79.2019.6.25.8000 / pg. 11

Critério(s) de Auditoria:

COBIT 5 Prática de gerenciamento - BAI09.01 Identifique e registre o ativo - Atividades

Identifique requisitos legais, regulamentares ou contratuais que precisam ser atendidos ao gerenciar o ativo.

Resolução CNJ 182/2013:

Art. 4º São atribuições do Integrante Técnico especificar, em conformidade com os requisitos estabelecidos no art. 3º, sempre que possível e necessário, os seguintes requisitos tecnológicos, entre outros pertinentes:

I – de arquitetura tecnológica, composta de hardware, software, padrões de interoperabilidade e de acessibilidade, linguagens de programação e interfaces;

II	– do projeto de implantação da Solução de Tecnologia da Informação e Comunicação que definem, inclusive, a disponibilização da solução em ambiente de produção;

III	– de garantia e manutenção, que definem a forma como será conduzida a manutenção e a comunicação entre as partes envolvidas na contratação;

IV – de capacitação, que definem o ambiente tecnológico dos treinamentos, os perfis dos instrutores e o conteúdo técnico;

V – de experiência profissional da equipe que projetará, implantará e manterá a Solução de Tecnologia da Informação e Comunicação, que definem a natureza da experiência profissional exigida e as respectivas formas de comprovação;

VI – de formação da equipe que projetará, implantará e manterá a Solução de Tecnologia da Informação e Comunicação, tais como cursos acadêmicos, técnicos e as respectivas formas de comprovação;

VII – de metodologia de trabalho; e

VIII – de segurança sob o ponto de vista técnico.

Parágrafo único. O Integrante Técnico deverá apresentar justificativa quando não for possível definir os requisitos exigidos neste artigo.

Evidência(s):				
Processos	SEI 0005990-96.2018.6.25.8000,	0012841-54.2018.6.25.8000	e 0009282-	
60.2016.6.25.8000.			

Causa(s):

Deficiências de controle.

Consequência(s) do Achado:

Contratação desprovida de avaliação de requisitos tecnológicos, aumentando os riscos associados a esses requisitos.

Recomendação(ões):

Recomendação 05:

À	SAO: Adotar controle para confirmar junto à STI se aquisições de ativos de TIC, como equipamentos eletrônicos, não provenientes daquela unidade, caracterizam-se como soluções de TIC e estão sujeitas a regras específicas de contratação normatizadas pelo CNJ.

Recomendação 06:

À	STI: Aperfeiçoar controles para identificar e registrar os responsáveis técnicos por ativos de TIC.

Resposta(s) do(s) Auditado(s):

Relatório de Auditoria 5 (1027473)	SEI 0026721-79.2019.6.25.8000 / pg. 12

A ação apresentada abaixo, na situação de implementada, foi indicada pela SAO no Plano de Ação (1025658):

"As solicitações das contratações serão encaminhadas para a Secretaria de Tecnologia da Informação informar se os bens a serem adquiridos caracterizam-se como soluções de TIC e estão sujeitas a regras específicas de contratação normatizadas pelo CNJ.

Inclusive esta medida já vem sendo adotada, a exemplo do Processo 0020918-81.2020.6.25.8000, onde foi encaminhado para a COINF informar se os itens 7, 8 e 9 são considerandos bens de informática e automação (documentos 0945346 e 0945737)."

As seguintes ações a serem implementadas foram indicadas pela STI no Plano de Ação (1027223):

"Vide o definido para a recomendação do item 1."

Análise da Equipe de Auditoria:

Não foram apresentados pelas unidades auditadas elementos capazes de alterar os apontamentos referentes ao achado de auditoria.

As ações descritas pela STI e SAO demonstram que as unidades se comprometem a atender os objetivos das recomendações emitidas.

A implementação das recomendações será avaliada em monitoramento futuro.

Achado 6 – Ausência de controle para verificar licenças de software adquiridas e efetivamente instaladas.

Situação encontrada:

Inicialmente a equipe de auditoria fez as seguintes indagações à STI (0832051):

Qual a periodicidade de realização do controle de verificação entre o(s) registro(s) do quantitativo de licença(s) de software instalada(s) e as licenças efetivamente contratadas(s)?

Qual o procedimento adotado pela STI para correção de discrepância(s) entre o(s) registro(s) do quantitativo de licença(s) de software instalada(s) e as licenças efetivamente contratadas(s)?

A STI apresentou a Informação 162/2021 (0978621), contendo a seguinte resposta para ambas as indagações: “A STI não realiza este procedimento.”

Em outro momento a auditoria solicitou à STI (1002450): Documentação que comprove o controle de instalação dos softwares adquiridos mediante as contratações relacionadas na planilha 2 anexa, evidenciando em quantas e em quais máquinas estão instalados.

Essa demanda não pode ser atendida pela STI, que fez os seguintes comentários (1003227):

“A COINF não realiza este procedimento da forma como é requerido na auditoria. Este procedimento é realizado conforme descrito na INFORMAÇÃO 162/2021 - STI (0978621).

No sentir desta Coordenadoria, para implementação adequada deste controle se faz necessário o desenvolvimento de projeto visando implementação do processo de Gerenciamento de Configuração e Ativos de Serviço, bem como de customização do sistema OTRS, módulo de gestão de ativos, ou aquisição de novo sistema para gerenciamento de ativo e configuração, além de prestação de serviços para a realização do cadastro e sustentação dos ativos no referido sistema.

Por fim, é importante destacar que, embora o processo de Gerenciamento de Configuração e Ativos de Serviço tenha sido mapeado (http://apps.tre-se.jus.br/hotsites/bizagi/gerenciamento-configuracao), ainda não foi executado em razão do quadro reduzido de servidores desta Coordenadoria e do contingenciamento orçamentário dos últimos anos, uma vez que sua implementação requer investimento para melhoria da infraestrutura computacional bem como a contratação de empresa para prestação de serviços de sustentação de infraestrutura.”

Relatório de Auditoria 5 (1027473)	SEI 0026721-79.2019.6.25.8000 / pg. 13

Com base nas informações acima contidas, infere-se que há ausência de controle para verificar as licenças de software adquiridas e efetivamente instaladas.

Critério(s) de Auditoria:

COBIT 5 Prática de gerenciamento – BAI09.05 Gerenciar licenças

Gerenciar licenças de software para manter o número ideal de licenças e oferecer suporte aos requisitos de negócios. Certifique-se de que o número de licenças possuídas seja suficiente para cobrir o software instalado em uso.

Mantenha um registro de todas as licenças de software adquiridas e contratos de licença associados.

RESOLUÇÃO CNJ 370, DE 28 DE JANEIRO DE 2021.

(	...) Art. 23. A estrutura organizacional, o quadro permanente de servidores, a gestão de ativos e os processos de gestão de trabalho da área de TIC de cada órgão deverão estar adequados às melhores práticas para as atividades consideradas como estratégicas. Deve-se observar sempre as diretrizes tanto na definição da estrutura organizacional de TIC, como nos papéis, responsabilidades e revisão bienal, compatibilizando a estrutura com as demandas estabelecidas.(grifo nosso)

(…)	Art. 34. Os itens de infraestrutura tecnológica deverão atender as especificações, temporalidade de uso e obsolescência a serem regulados em instrumentos aplicáveis e específicos.

(…)	§ 2o A gestão dos ativos de infraestrutura tecnológica deverá ser realizada por meio da definição dos processos, visando o registro e monitoramento da localização de cada ativo.

Evidência(s):

Manifestações da STI (0978621 e 1003227).

Causa(s):

Ausência de recursos tecnológicos e humanos citados pela STI (1003227).

Consequência(s) do Achado:

Indisponibilidade de informações sobre o gerenciamento dos ativos de TIC (Softwares), dificultando: diagnosticar problemas; adoção de ações preventivas e corretivas; obtenção de histórico sobre determinado ativo; dificuldade na obtenção de informações para subsidiar novas contratações.

Prejuízo à tomada de decisões dos gestores que necessitarem de dados dos ativos de TIC, principalmente para compra de software.

Recomendação(ões):

Recomendação 07:

À	STI: Envidar esforços para implementar controles que verifiquem as licenças de software adquiridas e efetivamente instaladas.

Resposta(s) do(s) Auditado(s):

As seguintes ações a serem implementadas foram indicadas pela STI no Plano de Ação (1027223):

"Vide o definido para a recomendação do item 1."

Análise da Equipe de Auditoria:

Não foram apresentados pela unidade auditada elementos capazes de alterar os apontamentos referentes ao achado de auditoria.

Relatório de Auditoria 5 (1027473)	SEI 0026721-79.2019.6.25.8000 / pg. 14

As ações descritas pela STI demonstram que a unidade se compromete a atender os objetivos da recomendação emitida.

A implementação da recomendação será avaliada em monitoramento futuro.

Achado 7 – Ausência de controle de conferência física dos ativos de TIC, distinta do inventário.

Situação encontrada:

Indagou-se a STI (0832051): Além do inventário, existe controle de conferência física para comprovar que o hardware encontra-se no local informado no sistema de registro de ativos de TIC? Em caso positivo, apresentar evidência de verificação periódica e adoção de providências cabíveis.

A STI respondeu (0978621) que não realiza este procedimento. A confrontação entre os dados registrados no sistema “ASI Web” e o hardware existente é realizada pela SAO.

A indagação teve o propósito de verificar se área de TIC do TRE/SE aplica o controle previsto na seguinte norma:

COBIT 5 Prática de gerenciamento – BAI09.01 - Identificar e registrar o ativo

Verifique a existência de todos os ativos de propriedade executando verificações e reconciliações físicas e lógicas regulares de inventário, incluindo o uso de ferramentas de descoberta de software.

Percebe-se que a STI não realiza verificações e conciliações físicas previstas entre as práticas normatizadas pelo COBIT.

Critério(s) de Auditoria:

COBIT 5 Prática de gerenciamento – BAI09.01 - Identificar e registrar o ativo.

Verifique a existência de todos os ativos de propriedade executando verificações e reconciliações físicas e lógicas regulares de inventário, incluindo o uso de ferramentas de descoberta de software.

RESOLUÇÃO CNJ 370, DE 28 DE JANEIRO DE 2021.

(	...) Art. 23. A estrutura organizacional, o quadro permanente de servidores, a gestão de ativos e os processos de gestão de trabalho da área de TIC de cada órgão deverão estar adequados às melhores práticas para as atividades consideradas como estratégicas. Deve-se observar sempre as diretrizes tanto na definição da estrutura organizacional de TIC, como nos papéis, responsabilidades e revisão bienal, compatibilizando a estrutura com as demandas estabelecidas.(grifo nosso)

(…)	Art. 34. Os itens de infraestrutura tecnológica deverão atender as especificações, temporalidade de uso e obsolescência a serem regulados em instrumentos aplicáveis e específicos.

(…)	§ 2o A gestão dos ativos de infraestrutura tecnológica deverá ser realizada por meio da definição dos processos, visando o registro e monitoramento da localização de cada ativo.

Evidência(s):

Manifestações da STI (0978621 e 1003227).

Causa(s):

Ausência de recursos tecnológicos e humanos citados pela STI (1003227).

Consequência(s) do Achado:

Indisponibilidade de informações sobre o gerenciamento dos ativos de TIC (hardware), dificultando: diagnosticar problemas; adoção de ações preventivas e corretivas; obtenção de histórico sobre determinado ativo; dificuldade na obtenção de informações para subsidiar novas contratações.

Relatório de Auditoria 5 (1027473)	SEI 0026721-79.2019.6.25.8000 / pg. 15

Prejuízo à tomada de decisões dos gestores que necessitarem de dados dos ativos de TIC.

Recomendação(ões):

Recomendação 08:

À	STI: Envidar esforços para adotar as práticas de gerenciamento de ativos de TIC do COBIT 5 referentes à verificações e reconciliações físicas.

Resposta(s) do(s) Auditado(s):

As seguintes ações a serem implementadas foram indicadas pela STI no Plano de Ação (1027223):

"Vide o definido para a recomendação do item 1."

Análise da Equipe de Auditoria:

Não foram apresentados pela unidade auditada elementos capazes de alterar os apontamentos referentes ao achado de auditoria.

As ações descritas pela STI demonstram que a unidade se compromete a atender os objetivos da recomendação emitida.

A implementação da recomendação será avaliada em monitoramento futuro.

Achado 8 – Ausência de critérios definidos para classificar um ativo de TIC em não útil (Hardwares e Softwares).

Situação encontrada:

Foram feitas as seguintes indagações à STI (0832051):

Existem critérios predefinidos para a configuração da ausência de interesse de continuidade da contratação de ativos de TIC? Caso positivo, apresentar evidência.

Existem procedimentos técnicos definidos para o desfazimento de ativos de TIC?

A STI apresentou respectivamente as seguintes respostas (0978621):

“Normalmente, o que se procura identificar todos os anos, é o interesse das unidades em adquirir ativos de TIC, sobretudo no momento da elaboração da Proposta Orçamentária (0840887).

Posteriormente, essas demandas são consolidadas no Plano de Contratação de Soluções de TIC (PCSTIC), após uma nova rodada de consultas (0025636-92.2018.6.25.8000).

Dessa forma, a ausência de interesse na continuidade de uma contratação de ativo de TIC configura-se pela inexistência dessa demanda no orçamento e no PCSTIC.”

“Não há normativo definindo os procedimentos técnicos de desfazimento de ativos de TIC.

Na prática, antes do desfazimento de um ativo de TIC, é realizada uma inspeção técnica, para identificação de peças que possam ser reaproveitadas em outros equipamentos, bem como a limpeza (formatação) dos discos rígidos como medida de segurança.”

Observa-se que a unidade auditada reconhece a ausência de procedimentos técnicos definidos para o desfazimento de ativos de TIC e sinaliza que não há critérios predefinidos para a configuração da ausência de interesse de continuidade da contratação de ativos de TIC.

O desfazimento de ativos de TIC segue as disposições contidas na Instrução Administrativa 5/2010, estando sujeitos a uma análise anual, conforme transcrito a seguir:

Instrução Administrativa 5: 3.1.1.1. As Unidades que lidam com bens móveis exclusivos (como os setores de informática, de saúde, de manutenção ou conservação) serão responsáveis pela análise anual dos seus bens, comunicando os inativos à SEPAT.

Relatório de Auditoria 5 (1027473)	SEI 0026721-79.2019.6.25.8000 / pg. 16

Entretanto, os critérios para classificar um ativo de TIC como apto ou não para o desfazimento não estão normatizados.

A ausência de interesse de continuidade da contratação de ativos de TIC, guarda relação com a classificação prevista no item 3.1.6 da IA 5/2010:

“- Ocioso: quando, embora em perfeitas condições de uso, não estiver sendo aproveitado;

-	Recuperável: quando sua recuperação for possível e orçar em até cinqüenta por cento de seu valor de mercado;

-	Antieconômico: quando sua manutenção for onerosa, ou seu rendimento precário, em virtude de uso prolongado, desgaste prematuro ou obsoletismo;

-	Irrecuperável: quando não mais puder ser utilizado para o fim a que se destina devido à perda de suas características ou em razão da inviabilidade econômica de sua recuperação.”

Embora haja classificações da condição de utilidade dos bens, definidas na citada IA, e no orçamento e PCSTIC ocorra a indicação ou não de continuidade de contratação, não há definição de critérios normatizados para fundamentar a classificação de um ativo de TIC em útil ou não útil.

Diante do exposto, verifica-se que não há normativo definindo os critérios que classificam um ativo de TIC como não útil para os objetivos do TRE/SE.

Critério(s) de Auditoria:

BAI09.03 GERENCIAR O CICLO DE VIDA DO ATIVO–ATIVIDADES

Descarte os ativos quando eles não tiverem um objetivo útil devido à aposentadoria de todos os serviços relacionados, tecnologia obsoleta ou falta de usuários.

Planeje, autorize e implemente atividades relacionadas à aposentadoria, mantendo registros apropriados para atender às necessidades regulatórias e de negócios em andamento.

RESOLUÇÃO CNJ 370, DE 28 DE JANEIRO DE 2021.

(	...) Art. 23. A estrutura organizacional, o quadro permanente de servidores, a gestão de ativos e os processos de gestão de trabalho da área de TIC de cada órgão deverão estar adequados às melhores práticas para as atividades consideradas como estratégicas. Deve-se observar sempre as diretrizes tanto na definição da estrutura organizacional de TIC, como nos papéis, responsabilidades e revisão bienal, compatibilizando a estrutura com as demandas estabelecidas.(grifo nosso)

Evidência(s):

Manifestação da STI (0978621).

Causa(s):

Inobservância a melhores práticas.

Consequência(s) do Achado:

Potencializa o Risco de indicar para desfazimento um ativo de TIC útil ao TRE/SE.

Recomendação(ões):

Recomendação 09:

À	STI: Normatizar os critérios que definem um ativo de TIC em útil e não útil para o TRE/SE.

Resposta(s) do(s) Auditado(s):

A seguinte ação a ser implementada foi indicada pela STI no Plano de Ação (1027223):

"Elaborar normativo ou instrução de trabalho (IT) para tal finalidade."

Relatório de Auditoria 5 (1027473)	SEI 0026721-79.2019.6.25.8000 / pg. 17

Análise da Equipe de Auditoria:

Não foram apresentados pela unidade auditada elementos capazes de alterar os apontamentos referentes ao achado de auditoria.

A ação descrita pela STI demonstra que a unidade se compromete a atender os objetivos da recomendação emitida.

A implementação da recomendação será avaliada em monitoramento futuro.

Achado 9 – Não evidenciação de critérios específicos de segurança adotados para o

desfazimento dos ativos de TIC.

Situação encontrada:

Em indagação realizada à STI (0832051):

Existem procedimentos técnicos definidos para o desfazimento de ativos de TIC?

Obteve-se a manifestação (0978621) descrita a seguir:

“Não há normativo definindo os procedimentos técnicos de desfazimento de ativos de TIC.

Na prática, antes do desfazimento de um ativo de TIC, é realizada uma inspeção técnica, para identificação de peças que possam ser reaproveitadas em outros equipamentos, bem como a limpeza (formatação) dos discos rígidos como medida de segurança.”

Verificações realizadas no processo de desfazimento de bens do Tribunal (0014046-55.2017.6.25.8000) não identificaram a evidenciação de critérios específicos de segurança adotados para os ativos de TIC relacionados para o desfazimento.

Sendo assim, fica caracterizada a não evidenciação de critérios específicos de segurança adotados para o desfazimento dos ativos de TIC.

Critério(s) de Auditoria:

BAI09.03 GERENCIAR O CICLO DE VIDA DO ATIVO–ATIVIDADES

Descarte ativos com segurança, considerando, por exemplo, a exclusão permanente de quaisquer dados gravados em dispositivos de mídia e possíveis danos ao meio ambiente.

RESOLUÇÃO CNJ 370, DE 28 DE JANEIRO DE 2021.

(…)	Art. 23. A estrutura organizacional, o quadro permanente de servidores, a gestão de ativos e os processos de gestão de trabalho da área de TIC de cada órgão deverão estar adequados às melhores práticas para as atividades consideradas como estratégicas. Deve-se observar sempre as diretrizes tanto na definição da estrutura organizacional de TIC, como nos papéis, responsabilidades e revisão bienal, compatibilizando a estrutura com as demandas estabelecidas. (grifo nosso)

Evidência(s):

Manifestação da STI (0978621).

Processo SEI de desfazimento 0014046-55.2017.6.25.8000.

Causa(s):

Ausência de normatização de critérios de segurança e procedimentos técnicos de desfazimento.

Consequência(s) do Achado:

Aumento do risco de promover a saída de ativo de TIC contendo dados relevantes para segurança e imagem do TRE/SE.

Recomendação(ões):

Relatório de Auditoria 5 (1027473)	SEI 0026721-79.2019.6.25.8000 / pg. 18

Recomendação 10:

À	STI: Normatizar procedimentos técnicos e critérios de segurança para desfazimento de ativos de TIC.

Recomendação 11:

À	STI: Evidenciar nos processos de desfazimento os critérios específicos de segurança adotados para os ativos de TIC.

Resposta(s) do(s) Auditado(s):

As seguintes ações a serem implementadas foram indicadas pela STI no Plano de Ação (1027223):

"Elaborar normativo ou instrução de trabalho (IT) para tal finalidade bem como mapear o processo."

"Elaboração de lista de verificação da TI (cheklist) que deverá ser incluída nos processos de desfazimento, bem como será informado os chamados técnicos registrados para tal finalidade."

Análise da Equipe de Auditoria:

Não foram apresentados pela unidade auditada elementos capazes de alterar os apontamentos referentes ao achado de auditoria.

As ações descritas pela STI demonstram que a unidade se compromete a atender os objetivos das recomendações emitidas.

A implementação das recomendações será avaliada em monitoramento futuro.

Achado 10 – Manifestação sobre os ativos de TIC relacionados para desfazimento não abrange todas as unidades da STI responsáveis pelo gerenciamento de ativos de TIC. Situação encontrada:

A Instrução Administrativa 5/10 do TRE/SE que trata do desfazimento de bens prevê:

3.1.1.1. As Unidades que lidam com bens móveis exclusivos (como os setores de informática, de saúde, de manutenção ou conservação) serão responsáveis pela análise anual dos seus bens, comunicando os inativos à SEPAT. (grifo nosso)

No processo de desfazimento (0014046-55.2017.6.25.8000), consta CI da SEPAT (0444426) solicitando a relação dos bens inativos às Unidades discriminadas no item 3.1.1.1 (como os setores de informática, de saúde, de manutenção ou conservação), tendo sida dirigida apenas setorialmente à SEAPU, no entanto, outras unidades da STI são gerenciadoras de ativos de TIC e sequer restou evidente nos autos que foram consultadas, a exemplo da SESOP.

Sendo assim, não houve o cumprimento integral do prescrito no item 3.1.1.1 da IA 5/2010, pois somente uma unidade da STI que gerencia ativos de TIC se manifestou.

Critério(s) de Auditoria:

Instrução Administrativa 5/10 do TRE/SE

3.1.1.1. As Unidades que lidam com bens móveis exclusivos (como os setores de informática, de saúde, de manutenção ou conservação) serão responsáveis pela análise anual dos seus bens, comunicando os inativos à SEPAT. (grifo nosso)

Evidência(s):

Processo de desfazimento 0014046-55.2017.6.25.8000.

CI da SEPAT (0444426).

Informação 564/2018 – SEAPU (0485720).

Relatório de Auditoria 5 (1027473)	SEI 0026721-79.2019.6.25.8000 / pg. 19

Causa(s):

Inobservância de normas.

Consequência(s) do Achado:

Aumenta o risco de que ativos de TIC não úteis não sejam relacionados para desfazimento.

Recomendação(ões):

Recomendação 12:

À	STI: Realizar a análise anual dos bens, prevista no item 3.1.1.1 da IA 5/10, contemplando todas as unidades gerenciadoras de ativo de TIC e comunicando os inativos à SEPAT;

Recomendação 13:

À	SAO: Ao solicitar informações à STI sobre ativos de TIC inativos para fins de desfazimento, encaminhar solicitação à Secretaria de Tecnologia da Informação.

Resposta(s) do(s) Auditado(s):

A seguinte ação a ser implementada foi indicada pela STI no Plano de Ação (1027223):

"Considerando que ainda não dispomos de um sistema para gestão de configuração e de ativos de TIC funcional e que nos permita uma extração ágil de relatórios analíticos para tal finalidade, adotaremos o procedimento de criação/elaboração de processo específico e anual no sistema SEI, conforme escopo a saber:

SEAPU: microcomputadores, impressoras, e software.

SESOP: equipamentos servidores e firewall.

Observação: Em razão do grande volume de ativos de TIC, do quadro reduzido de servidores da COINF, da falta de sistema funcional de gestão de configuração e de ativos, bem como a necessidade de estruturação dos dados, entende-se que a execução adequada desta atividade somente será possível após a implementação do definido para a recomendação do item 1."

A ação apresentada abaixo a ser implementada foi indicada pela SAO no Plano de Ação (1025658):

"Nos próximos processos de desfazimento as solicitações sobre ativos de TIC serão encaminhadas para a Secretaria de Tecnologia da Informação."

Análise da Equipe de Auditoria:

Não foram apresentados pelas unidades auditadas elementos capazes de alterar os apontamentos referentes ao achado de auditoria.

As ações descritas pela STI e SAO demonstram que as unidades se comprometem a atender os objetivos da recomendação emitida.

A implementação das recomendações será avaliada em monitoramento futuro.

Achado 11 – Substituição de lista de ativos de TIC indicados para desfazimento sem validação da unidade responsável.

Situação encontrada:

O Presidente da Comissão de desfazimento substituiu a relação de ativos de TIC inativos (0486221) e não declinou o motivo da substituição, informou apenas que manteve contato com a chefe da referida Seção.

Não se observa nos autos nenhuma validação da nova lista anexada.

Considerando que pelo item 3.1.1.1 da IA 5/2010 os bens de informática devem passar pela análise exclusiva deste setor para indicação dos bens inativos, a lista substituída deveria ter

Relatório de Auditoria 5 (1027473)	SEI 0026721-79.2019.6.25.8000 / pg. 20

sido ratificada pela SEAPU após substituição.

Critério(s) de Auditoria:

Instrução Administrativa 5/10 do TRE/SE

3.1.1.1. As Unidades que lidam com bens móveis exclusivos (como os setores de informática, de saúde, de manutenção ou conservação) serão responsáveis pela análise anual dos seus bens, comunicando os inativos à SEPAT. (grifo nosso)

Evidência(s):

Processo de desfazimento 0014046-55.2017.6.25.8000. Informação 588/2018 – SEAPU (0486221). Causa(s):

Inobservância de normas.

Consequência(s) do Achado:

Aumenta o risco de que ativos de TIC sejam relacionados indevidamente para desfazimento.

Recomendação(ões):

Recomendação 14:

À	STI e SAO: Aperfeiçoar os controles para evitar que listas de ativos de TIC indicados para desfazimento sejam substituídas sem a validação da unidade responsável.

Resposta(s) do(s) Auditado(s):

A seguinte ação a ser implementada foi indicada pela STI no Plano de Ação (1027223):

"Havendo alteração das listas de ativos de TIC inicialmente encaminhadas pelas unidades responsáveis no decorrer do processo, será realizada convalidação formal das unidades técnicas."

A ação apresentada abaixo a ser implementada foi indicada pela SAO no Plano de Ação (1025658):

"Nos próximos processos de desfazimento, havendo alteração das listas de ativos de TIC inicialmente encaminhadas pelas unidades responsáveis no decorrer do processo, estas serão enviadas para convalidação formal das referidas unidades."

Análise da Equipe de Auditoria:

Não foram apresentados pelas unidades auditadas elementos capazes de alterar os apontamentos referentes ao achado de auditoria.

As ações descritas pela STI e SAO demonstram que as unidades se comprometem a atender os objetivos da recomendação emitida.

A implementação da recomendação será avaliada em monitoramento futuro.

VII. CONCLUSÃO

Exceto pelos efeitos da pandemia do coronavírus que provocaram a suspensão, pelo TSE, desta auditoria, pelo período de 16/04/2020 a 06/01/2021, nenhuma outra limitação que dificultasse ou impedisse a realização dos trabalhos foi imposta.

Os achados detectados nesta auditoria resultaram na identificação da necessidade de aperfeiçoamento de controles na gestão de ativos de TIC, e para atingir essa finalidade a unidade de auditoria interna emitiu recomendações.

As unidades auditadas, ao tomarem conhecimento dos achados e recomendações, apresentaram planos de ação com o objetivo de cumprir as recomendações emitidas e

Relatório de Auditoria 5 (1027473)	SEI 0026721-79.2019.6.25.8000 / pg. 21

assim aperfeiçoar a gestão de ativos de TIC.

Em suma, as recomendações emitidas objetivaram aprimorar controles referentes a identificação, registro e descarte dos ativos de TIC, consistindo em se buscar:

1. a adoção das melhores práticas normatizadas;

2. ampliação dos dados controlados referentes aos ativos;

3. alinhamento com os registros contábeis financeiros;

4. implementação de controle contábil financeiro para os softwares de desenvolvimento interno;

5. aperfeiçoamento de controles para viabilizar em toda contratação de ativos de TIC a avaliação e previsão de condições que evitem a interrupção da contratação/aquisição;

6. aperfeiçoamento de controles para identificar e registrar os responsáveis técnicos por ativos de TIC;

7. implementação de controles que verifiquem as licenças de software adquiridas e efetivamente instaladas;

8. adoção de melhores práticas normatizadas de gerenciamento de ativos de TIC referentes à verificações e reconciliações físicas;

9. normatização de critérios para definir um ativo de TIC em útil e não útil;

10. normatização de procedimentos técnicos e critérios de segurança para desfazimento de ativos de TIC;

11. evidenciação nos processos de desfazimento dos critérios específicos de segurança adotados para os ativos de TIC;

12. manifestação sobre os ativos de TIC relacionados para desfazimento abrangendo todas as unidades da STI responsáveis pelo gerenciamento de ativos de TIC;

13. aperfeiçoamento de controles para evitar que listas de ativos de TIC indicados para desfazimento sejam substituídas sem a validação da unidade responsável.

Desta forma, será programada, em exercício posterior, a realização de monitoramento que avaliará se as ações adotadas pelos gestores atenderam aos objetivos das recomendações.

VIII. PROPOSTA DE ENCAMINHAMENTO

Diante do exposto, submete-se o presente Relatório Conclusivo de Auditoria à consideração da Presidência, para ciência e encaminhamento à Diretoria-Geral, Secretaria de Tecnologia da Informação e Secretaria de Administração, Orçamento e Finanças; e ao Tribunal Superior Eleitoral, para consolidação.

Documento assinado eletronicamente por ADAIL VILELA DE ALMEIDA, Coordenador, em 07/06/2021, às 12:57, conforme art. 1º, III, "b", da Lei 11.419/2006.

Documento assinado eletronicamente por IVANILDO ALVES DE MEDEIROS, Chefe de Seção, em 07/06/2021, às 13:05, conforme art. 1º, III, "b", da Lei 11.419/2006.

Documento assinado eletronicamente por ISRAEL MACEDO CARVALHO, Analista Judiciário, em 07/06/2021, às 13:41, conforme art. 1º, III, "b", da Lei 11.419/2006.

Documento assinado eletronicamente por CASSIA MARIA CARVALHO POLITO ALVES, Técnico Judiciário, em 08/06/2021, às 07:12, conforme art. 1º, III, "b", da Lei 11.419/2006.

Relatório de Auditoria 5 (1027473)	SEI 0026721-79.2019.6.25.8000 / pg. 22

A autenticidade do documento pode ser conferida no site

https://apps.tre-se.jus.br/sei/controlador_externo.php?

acao=documento_conferir&id_orgao_acesso_externo=0

informando o código verificador 1027473 e o código CRC CEB7CB36.

0026721-79.2019.6.25.8000	1027473v1

Relatório de Auditoria 5 (1027473)	SEI 0026721-79.2019.6.25.8000 / pg. 23