TCU: Auditoria de TI no Setor Público

O Tribunal de Contas da União (TCU) exerce um papel fundamental na fiscalização da administração pública federal, e a área de Tecnologia da Informação (TI) tem se tornado cada vez mais central nesse contexto. A auditoria de TI no setor público não se limita apenas à avaliação de sistemas e infraestrutura, mas abrange a governança, a gestão de riscos, a segurança da informação e o alinhamento estratégico da TI aos objetivos institucionais. Para profissionais do setor público, como defensores, procuradores, promotores, juízes e auditores, compreender os princípios, normas e práticas da auditoria de TI do TCU é essencial para garantir a legalidade, a eficiência e a transparência na utilização dos recursos públicos.

A crescente dependência da administração pública em relação à tecnologia, especialmente após a pandemia e a aceleração da transformação digital, exige uma fiscalização rigorosa e especializada. O TCU, por meio de suas auditorias de TI, busca garantir que os investimentos em tecnologia gerem valor para a sociedade, minimizando riscos de falhas, fraudes e ineficiências. Este artigo detalha os principais aspectos da auditoria de TI realizada pelo TCU, abordando a fundamentação legal, a jurisprudência relevante, as normativas aplicáveis e orientações práticas para os profissionais do setor público.

Fundamentação Legal e Normativa

A atuação do TCU na auditoria de TI está embasada em um sólido arcabouço legal e normativo. A Constituição Federal de 1988, em seu art. 70, estabelece o controle externo a cargo do Congresso Nacional, exercido com o auxílio do TCU, abrangendo a fiscalização contábil, financeira, orçamentária, operacional e patrimonial da União. O art. 71 detalha as competências do TCU, incluindo a apreciação das contas, o julgamento de contas dos administradores e a realização de inspeções e auditorias.

A Lei Orgânica do TCU (Lei nº 8.443/1992) regulamenta a atuação do Tribunal, detalhando os procedimentos de auditoria e as sanções aplicáveis. No âmbito específico da TI, o TCU tem emitido diversas normativas para orientar a gestão e a auditoria. A Resolução TCU nº 315/2020, por exemplo, dispõe sobre a elaboração e a expedição de deliberações pelo TCU, estabelecendo diretrizes para a formulação de recomendações e determinações em auditorias, incluindo as de TI.

Além disso, a legislação pertinente à governança pública, como o Decreto nº 9.203/2017, que institui a política de governança da administração pública federal, e a Lei nº 14.129/2021, que dispõe sobre os princípios, regras e instrumentos para o Governo Digital, são fundamentais para a atuação do TCU. A Lei Geral de Proteção de Dados (LGPD - Lei nº 13.709/2018) também assumiu um papel central nas auditorias de TI, exigindo a verificação da conformidade dos órgãos públicos com as regras de privacidade e segurança de dados.

Diretrizes e Referenciais de Auditoria

O TCU utiliza referenciais internacionais e nacionais para guiar suas auditorias de TI. O COBIT (Control Objectives for Information and Related Technologies), o ITIL (Information Technology Infrastructure Library) e as normas ISO (como a ISO/IEC 27001 para segurança da informação) são frequentemente utilizados como parâmetros de boas práticas. O próprio TCU publica referenciais de governança de TI, como o "Referencial de Governança de TI do TCU", que orienta os auditores e os gestores públicos sobre os princípios e práticas recomendadas.

A auditoria de TI abrange diversas áreas, incluindo:

• Governança de TI: Avaliação da estrutura de decisão, alinhamento estratégico, gestão de riscos e gestão de recursos.
• Gestão de Projetos e Contratos de TI: Fiscalização do ciclo de vida de projetos de TI, desde a concepção até a entrega, e a gestão de contratos com fornecedores.
• Segurança da Informação: Avaliação das medidas de proteção de dados, controle de acesso, gestão de incidentes e conformidade com a LGPD.
• Sistemas de Informação: Análise da funcionalidade, integridade, disponibilidade e desempenho dos sistemas críticos para a administração pública.

Jurisprudência e Entendimentos do TCU

A jurisprudência do TCU em auditoria de TI é vasta e fornece diretrizes importantes para a gestão pública. Acórdãos relevantes frequentemente abordam questões como a falta de planejamento estratégico de TI, falhas na gestão de contratos, deficiências na segurança da informação e a ausência de governança de dados.

Um exemplo notável é o Acórdão nº 2.471/2008-Plenário, que consolidou entendimentos sobre a terceirização de serviços de TI, estabelecendo que a administração pública não pode delegar a gestão estratégica de TI a empresas privadas e deve manter o controle sobre o planejamento e a fiscalização dos serviços. Esse acórdão tem sido reiterado e atualizado ao longo dos anos, influenciando fortemente a forma como os órgãos públicos contratam serviços de TI.

Outro marco importante é o Acórdão nº 1.233/2012-Plenário, que tratou da necessidade de planejamento e governança de TI, determinando que os órgãos federais devem elaborar e implementar Planos Diretores de Tecnologia da Informação (PDTI) e estabelecer comitês de TI para auxiliar na tomada de decisões estratégicas.

Recentemente, a jurisprudência do TCU tem se voltado com maior intensidade para a segurança da informação e a proteção de dados. Acórdãos recentes têm determinado a adoção de medidas rigorosas para garantir a conformidade com a LGPD e a implementação de políticas de segurança da informação mais robustas, especialmente em sistemas que tratam dados sensíveis da população. A falta de adequação à LGPD tem sido objeto de determinações e recomendações, com o TCU exigindo planos de ação claros e prazos para a regularização.

Orientações Práticas para Profissionais do Setor Público

Para profissionais do setor público, atuar em conformidade com as diretrizes do TCU e se preparar para eventuais auditorias de TI requer uma abordagem proativa e estruturada:

1. Estabelecer Governança Robusta: A governança de TI não é apenas um requisito formal, mas a base para o sucesso da gestão tecnológica. É fundamental criar comitês de TI com participação da alta administração, desenvolver e revisar periodicamente o Plano Diretor de Tecnologia da Informação (PDTI) e alinhar as iniciativas de TI aos objetivos estratégicos do órgão.
2. Gestão de Riscos Contínua: A gestão de riscos deve ser integrada ao ciclo de vida da TI. Identificar, avaliar e mitigar riscos relacionados a segurança da informação, falhas em sistemas e projetos atrasados é crucial. A elaboração de um plano de gestão de riscos de TI, com monitoramento constante, é uma prática recomendada pelo TCU.
3. Atenção à Contratação de Serviços de TI: A terceirização de serviços de TI é uma área de alto risco e foco constante do TCU. É imprescindível realizar planejamento adequado, elaborar projetos básicos detalhados, definir critérios objetivos de aceitação e manter a gestão estratégica e a fiscalização sob controle do órgão público, evitando a "quarteirização" irregular.
4. Priorizar a Segurança da Informação e a LGPD: A proteção de dados e a segurança da informação devem ser tratadas como prioridades estratégicas. É necessário implementar políticas de segurança, realizar auditorias internas regulares, treinar servidores e garantir a conformidade com a LGPD, documentando todas as medidas adotadas.
5. Acompanhamento da Jurisprudência: Manter-se atualizado sobre os acórdãos e normativas do TCU é fundamental. A leitura regular dos informativos de jurisprudência do TCU e a participação em capacitações sobre o tema ajudam a antecipar tendências e ajustar as práticas internas antes de uma auditoria.

O Papel do Auditor e do Gestor

O auditor de TI do TCU não busca apenas encontrar falhas, mas promover a melhoria da gestão pública. O gestor público, por sua vez, deve encarar a auditoria como uma oportunidade de aprimoramento. A transparência na comunicação com a equipe de auditoria, a disponibilização tempestiva de informações e a demonstração de ações corretivas e preventivas são atitudes que facilitam o processo e demonstram compromisso com a boa governança.

A Evolução da Auditoria de TI no TCU

A auditoria de TI no TCU está em constante evolução, acompanhando o rápido desenvolvimento tecnológico. A utilização de ferramentas de análise de dados (Data Analytics) e inteligência artificial (IA) tem se tornado cada vez mais comum nas auditorias, permitindo a análise de grandes volumes de informações e a identificação de padrões e anomalias com maior eficiência.

O TCU também tem expandido o escopo de suas auditorias para incluir temas emergentes, como a adoção de computação em nuvem (Cloud Computing) pela administração pública, a utilização de algoritmos em decisões automatizadas e a segurança de sistemas de inteligência artificial. A fiscalização da implementação de políticas públicas digitais, como o Gov.br, e a avaliação do impacto da tecnologia na prestação de serviços ao cidadão são áreas de crescente interesse.

Conclusão

A auditoria de TI no setor público, conduzida pelo TCU, é um instrumento essencial para garantir que a tecnologia seja utilizada de forma eficiente, segura e alinhada ao interesse público. O arcabouço legal, as normativas e a jurisprudência do Tribunal fornecem diretrizes claras para a governança e a gestão de TI. Para os profissionais do setor público, compreender essas regras e adotar boas práticas não é apenas uma obrigação legal, mas um compromisso com a modernização da administração pública, a mitigação de riscos e a entrega de serviços de qualidade à sociedade. A proatividade na adoção de governança, gestão de riscos e segurança da informação é a melhor estratégia para se preparar para as auditorias e contribuir para um setor público mais eficiente e transparente.

Aviso: Este artigo tem caráter informativo e didático. Deve ser verificado e adaptado a cada caso concreto por profissional habilitado. Acesse minuta.tech para mais recursos.