Resolução Administrativa nº 121/2021
Aprova o Manual de Auditoria em Tecnologia da Informação do Tribunal de Contas dos Municípios do Estado de Goiás (TCMGO).
RESOLUÇÃO ADMINISTRATIVA - RA Nº 121/2021 - TÉCNICO ADMINISTRATIVA
Aprova o Manual de Auditoria em Tecnologia da Informação do Tribunal de Contas dos Municípios do Estado de Goiás (TCMGO).
O TRIBUNAL DE CONTAS DOS MUNICÍPIOS DO ESTADO DE GOIÁS (TCMGO), no uso das atribuições legais e regimentais, especialmente as dispostas no art. 80 da Constituição Estadual, no art. 3º da Lei Estadual nº 15.958 , de 18 de janeiro de 2007 ( Lei Orgânica do TCMGO), e na alínea "b" do inciso II do art. 247 do Regimento Interno, e;
Considerando que o Marco de Medição do Desempenho dos Tribunais de Contas (MMD-TC), integrante do Programa de Qualidade e Agilidade dos Tribunais de Contas da Associação dos Membros dos Tribunais de Contas do Brasil (ATRICON), avalia a Auditoria de Tecnologia da Informação; e
Considerando o teor do Parecer JUR nº 209/2021, constante dos autos nº 04422/2021, por meio do qual a Assessoria Jurídica da Presidência entendeu não haver óbice ao prosseguimento do feito, RESOLVE:
Art. 1º Aprovar o Manual de Auditoria em Tecnologia da Informação (Manual de Auditoria em TI) do Tribunal de Contas dos Municípios do Estado de Goiás (TCMGO).
Art. 2º Incumbe ao Superintendente de Informática designar força-tarefa de auditores da especialidade informática para a missão permanente de auditoria de tecnologia da informação.
Art. 3º Incumbe aos auditores integrantes da força-tarefa mencionada no art. 2º desta Resolução manter atualizado o Manual de Auditoria em TI, sempre que necessário, observado o procedimento regimental para alterações normativas deste Tribunal de Contas.
Art. 4º Esta Resolução Administrativa entra em vigor na data de sua publicação.
TRIBUNAL DE CONTAS DOS MUNICÍPIOS DO ESTADO DE GOIÁS, 18 de Agosto de 2021.
Presidente: Joaquim Alves de Castro Neto
Relator: Daniel Augusto Goulart.
Presentes os conselheiros: Cons. Daniel Augusto Goulart, Cons. Fabricio Macedo Motta, Cons. Francisco José Ramos, Cons. Joaquim Alves de Castro Neto, Cons. Sérgio Antônio Cardoso de Queiroz, Cons. Valcenôr Braz de Queiroz, Cons. Sub. Flavio Monteiro de Andrada Luna, Cons. Sub. Irany de Carvalho Júnior, Cons. Sub. Maurício Oliveira Azevedo, Cons. Sub. Vasco Cícero Azevedo Jambo e o representante do Ministério Público de Contas, Procurador José Gustavo Athayde.
Votação:
Votaram(ou) com o Cons.Daniel Augusto Goulart: Cons. Fabricio Macedo Motta, Cons. Francisco José Ramos, Cons. Joaquim Alves de Castro Neto, Cons. Sérgio Antônio Cardoso de Queiroz, Cons. Sub.Flavio Monteiro de Andrada Luna, Cons. Valcenôr Braz de Queiroz.
: MANUAL DE AUDITORIA EM TECNOLOGIA DA INFORMAÇÃO
Resolução Administrativa nº 00121/2021
Goiânia
2021
É permitida a reprodução total ou parcial desta publicação, sem alteração do conteúdo, desde que citada a fonte.
Disponível também em:
Comissão de Elaboração:
Thiago Fagury de Sá
Paulo Henrique Carneiro Alves
Henriques Moreira Turíbio
Dados Internacionais de Catalogação na Publicação (CIP)
Elaborada pela Divisão de Documentação e Biblioteca
Fernanda Corrêa Caldas
Bibliotecária
CRB1 - 1187
Tribunal de Contas dos Municípios do Estado de Goiás
Rua 68, nº 727, Centro - CEP 74.055-100
Goiânia - GO
Fone: (62) 3216.6234 - FAX: (62) 3223.9011
www.tcm.go.gov.br
Estado de Goiás
TRIBUNAL DE CONTAS DOS MUNICÍPIOS
Manual de Auditoria em Tecnologia da Informação
Resolução Administrativa nº (publicada em... )
Conselheiro Joaquim Alves de Castro Neto Presidente Conselheiro Daniel Augusto Goulart Vice-Presidente
Conselheiros:
Fabrício Macedo Motta
Francisco José Ramos
Valcenôr Braz de Queiroz
Sérgio Antônio Cardoso de Queiroz
Conselheiros-Substitutos:
Flávio Monteiro de Andrada Luna
Irany de Carvalho Júnior
Maurício Oliveira Azevedo
Vasco Cícero Azevedo Jambo
Procuradores de Contas:
Régis Gonçalves Leite - Procurador-Geral
Henrique Pandim Barbosa Machado
José Américo da Costa Júnior
José Gustavo Athayde
SUMÁRIO
MANUAL DE AUDITORIA EM TECNOLOGIA DA INFORMAÇÃO 3
1. INTRODUÇÃO 2
2. TERMOS E DEFINIÇÕES 2
Tecnologia da Informação (TI) 2
Recursos 3
Segurança da Informação 3
Risco 3
Continuidade de negócios 3
Auditoria de TI 3
3. JUSTIFICATIVA 4
4. EIXOS DE AUDITORIA EM TI 6
4.1 Auditoria de Aplicações e Dados 6
4.2 Auditoria de Governança de TI 9
4.3 Auditoria de Segurança da Informação 10
4.4 Auditoria de Contratação de TI 13
4.5 Auditoria de Políticas e Programas de Governo na Área de TI 15
5. PROCESSO DE TRABALHO 17
5.1 Fase de Planejamento 17
5.2 Fase de Execução 24
5.3 Fase de desenvolvimento do Relatório 27
5.4 Fase de Monitoramento 30
5.5 Ferramentas de apoio ao Processo de Trabalho 31
6. REFERÊNCIAS 33
1. INTRODUÇÃO
1. Este manual tem como objetivo delimitar procedimentos básicos para as atividades de Auditoria em Tecnologia da Informação (Auditoria em TI) do Tribunal de Contas dos Municípios do Estado de Goiás (TCMGO).
2. Serve como base a este documento o trabalho realizado pelo Tribunal de Contas do Estado de Rondônia, por intermédio da Resolução nº 245/2017, que aprova o Manual de Auditoria de TI, a ISSAI 100 (Princípios Fundamentais de Auditoria do Setor Público), as normas ABNT NBR ISO referentes a TI, o COBIT 5, o Manual de Auditoria Operacional, os guias e a jurisprudência do Tribunal de Contas da União, além dos trabalhos realizados sobre o tema pelos Tribunais de Contas dos Estados do Ceará, Pernambuco, Rio Grande do Sul e pelo Tribunal de Contas do Município de São Paulo.
2. TERMOS E DEFINIÇÕES
3. Para os fins deste manual são compreendidos os termos e definições citados a seguir.
Tecnologia da Informação (TI)
4. " Os recursos necessários para adquirir, processar, armazenar e disseminar informações. Este termo também inclui Tecnologia da Comunicação - TC - e o termo composto de Tecnologia da Informação e Comunicação - TIC." (ABNT NBR ISO/IEC 38500:2009).
Recursos
5. " Pessoas, procedimentos, software, informações, equipamentos, consumíveis, infraestrutura, capital e fundos de operação e tempo" (ABNT NBR ISO/IEC 38500:2009).
Segurança da Informação
6. " Preservação da confidencialidade, da integridade e da disponibilidade da informação; adicionalmente, outras propriedades, tais como autenticidade, responsabilidade, não repúdio e confiabilidade, podem também estar envolvidas" (ABNT NBR ISO/IEC 27002:2013).
Risco
7. " Combinação da probabilidade de um evento e de suas consequências" (ABNT NBR ISO/IEC 27002:2013).
Continuidade de negócios
8. " Capacidade da organização em continuar a entrega de produtos ou serviços em um nível aceitável previamente definido após incidentes de interrupção". (ABNT NBR ISO 22301:2013).
Auditoria de TI
9. " Processo que busca evidências para certificar-se de que os recursos de Tecnologia da Informação:
a) possibilitem alcançar os objetivos do negócio;
b) sejam usados com eficiência e em conformidade com as leis e normas aplicáveis; e
c) sejam adequadamente protegidos para prover informação confiável sempre que requerida às pessoas autorizadas." (PACHECO, 2011).
3. JUSTIFICATIVA
10. No escopo da atuação do TCMGO, a Auditoria em TI demonstra-se cada dia mais imprescindível.
11. Primeiro, destaca-se a importância do tema atrelada ao MMD-TC (Marco de Medição de Desempenho dos Tribunais de Contas), em que se observa, no domínio "F" (Fiscalização e Auditoria da Gestão Fiscal, Controle Interno, Tecnologia da Informação, Transparência e Ouvidoria), a dimensão QATC 24.2 - "Fiscalização da tecnologia da informação dos jurisdicionados" (MMD - TC, 2019).
12. Esse indicador possui como foco a avaliação da governança de Tecnologia da Informação, englobando aspectos relativos à segurança física e lógica do ambiente de TI, à regularidade da contratação de bens e serviços de TI em relação à legislação aplicável, processos de TI, entre outros.
13. A auditoria em TI é, para o MMD - TC, "instrumento de avaliação da conformidade, qualidade, eficácia, eficiência e efetividade da área de TI e dos procedimentos e práticas a ela relacionados. De igual modo, a ISSAI 5310 aprofunda esse tema na parte referente à segurança dos sistemas de informação (MMD - TC, 2015)".
14. Segundo, é preciso avaliar a macrossituação em que os jurisdicionados deste Tribunal de Contas estão inseridos: a de ampla dependência de recursos de tecnologia da informação para a consecução dos seus objetivos finalísticos, o que demanda cuidados especiais quanto à conformidade normativa e aos procedimentos de aquisição, manipulação e armazenamento, uma vez que representa um ativo valioso.
15. Ademais, o tráfego e a troca intensa de dados entre as entidades públicas implicam maior vulnerabilidade e desafios multidimensionais relativos à continuidade de negócios e à segurança da informação.
16. Sob o aspecto estritamente institucional, sistemas de informação ganham continuamente maior importância e complexidade, exigindo maiores esforços para operação, manutenção e desenvolvimento, causando impacto nas despesas dos jurisdicionados que, ano após ano, elevam as parcelas de seus orçamentos destinadas a prover recursos de TI.
17. É clara a dependência das entidades sobre tais sistemas de informação. Assim, pequenas falhas podem gerar grandes impactos sobre a continuidade de negócios, ocasionando transtornos de enormes proporções à população.
18. A mudança do eixo organizacional e o avanço tecnológico implicam a necessidade de controles mais sofisticados e afetam diretamente a forma como os órgãos de fiscalização e de controle devem exercer suas atividades.
19. Quanto ao controle externo, mais especificamente, as dimensões tradicionais de auditoria não têm mais atendido às necessidades da administração pública brasileira e nem aos anseios da população. Os Tribunais de Contas, seus membros e auditores necessitam conviver com novos conceitos e métodos de trabalho, derivados de sistemas tecnológicos e de comunicação, de onde, muitas vezes, vêm informações de caráter complexo, interdependente, que demandam grande abstração e profundidade analítica para que sirvam de evidência ou suporte à decisão.
20. A auditoria de conformidade ou operacional demanda considerações sobre os controles gerais de Tecnologia da Informação e, a depender dos objetivos almejados, uma avaliação da consistência dos dados utilizados e da governança. Deste modo, este Manual oferta ao TCMGO condições de enfrentar o desafio de auditar jurisdicionados sistematicamente mais atrelados à tecnologia, com estruturas administrativas normativamente mais sofisticadas, porém, ao mesmo tempo, mais expostos aos riscos advindos da tecnologia da informação.
21. Em consideração ao cenário narrado, é possível estruturar este manual em cinco eixos de Auditoria em TI: Auditoria de Aplicações e Dados; Auditoria de Governança de TI; Auditoria de Segurança da Informação; Auditoria de Contratação de TI; e Auditoria de Políticas e Programas de Governo na área de TI.
22. Essa delimitação não traz prejuízo à interdisciplinaridade e sombreamento entre os eixos temáticos, uma vez que, além de complementares, são tipicamente ligados pelas estruturas de governança das instituições.
4. EIXOS DE AUDITORIA EM TI
4.1 Auditoria de Aplicações e Dados
a) Considerações gerais
23. Realizada por profissionais capacitados, visa aferir a capacidade dos sistemas de informação, sob todos os níveis, de processar e tratar informações de maneira confiável, preservando a integridade dos dados para entregar informações que mantenham correspondência e relevância ante a realidade fática. Ademais, verifica-se a fiabilidade dos dados armazenados eletronicamente, em conformidade normativa com o negócio, cobrindo-se todo o ciclo de vida do tratamento da informação: entrada, processamento, saída e armazenamento dos dados.
24. Verificam-se, neste eixo, as aplicações e a forma como essas tratam os dados e se suportam adequadamente os ativos de negócio a que se propõem e se alcançam os objetivos esperados, mantendo a integridade e a rastreabilidade dos dados, em consonância com os requisitos normativos vigentes e utilizando eficientemente os recursos disponíveis, com satisfatório nível de riscos.
25. São técnicas aplicadas para auditar aplicações: a observação direta, as entrevistas, a análise documental e o envio eletrônico de dados via plataforma COLARE 1 . Em casos específicos, poderão ser realizados testes de sistema e análise do código-fonte das aplicações. Para auditar os dados, por outro lado, poderão ser utilizadas ferramentas DML 2 compatíveis com o SGBD 3 empregado, softwares farejadores para interceptação da comunicação entre o sistema gerenciador de banco de dados e a aplicação, ou softwares especializados nesta finalidade. Adicionalmente, cruzamento de dados com outras fontes poderão ser realizados, bem como acesso direto às fontes de dados em formato de arquivo.
b) Aspectos essenciais
26. Os aspectos essenciais da auditoria de aplicações e dados referem-se à integridade, autenticidade, disponibilidade e confidencialidade (quando aplicável) dos dados processados e relacionados à atuação do ente jurisdicionado. Concomitantemente, avaliam-se as funcionalidades de um sistema diante dos requisitos de negócio, marcos regulatórios e normas (requisitos de conformidade).
27. Desta definição, portanto, delimitam-se as seguintes abordagens:
I - Integridade do processamento das informações e dos dados armazenados;
II - Disponibilidade das aplicações e dos dados;
III - Confidencialidade dos dados, quando aplicável;
IV - Autenticidade dos dados processados e armazenados;
V - Aderência às normas (conformidade);
VI - Controles gerais internos referentes ao eixo temático;
VII - Entrada, processamento e saída de dados; e
VIII - Adequação ao propósito, satisfação dos usuários e usabilidade da aplicação auditada.
c) Referenciais adotados
I - Constituição da República Federativa do Brasil de 1988, art. 37, caput (princípio da eficiência);
II - Legislação e normativos referentes ao propósito suportado pelo sistema auditado (exemplo: sistemas de envios de contas devem transmitir ao TCMGO conforme instrução normativa do tribunal);
III - ABNT NBR ISO/IEC 27002:2013 (Tecnologia da informação - Técnicas de segurança - Código de prática para controles de segurança da informação), objetivos de controle:
8.2.3 - Tratamento dos ativos;
14.1.3 - Protegendo as transações nos aplicativos de serviços;
14.2.1 - Política de desenvolvimento seguro;
14.2.5 - Princípios para projetar sistemas seguros;
14.2.7 - Desenvolvimento terceirizado;
14.2.9 - Teste de aceitação de sistemas;
18.1.3 - Proteção de registros.
IV - ABNT ISO/TR 16982:2014 (Ergonomia da interação humano-sistema - Métodos de usabilidade que apoiam o projeto centrado no usuário); e
V - Guias e publicações do TCMGO sobre o tema.
4.2 Auditoria de Governança de TI
a) Considerações gerais
28. A governança corporativa de TI, de acordo com o COBIT 5 (Control Objectives for Information and Related Technologies - referencial de boas práticas criado pela ISACA para a governança de tecnologia de informação), "é uma visão da governança que garante que a informação e a tecnologia relacionada apoiem e possibilitem a estratégia da organização e a consecução dos objetivos corporativos. Também inclui a governança funcional de TI, ou seja, garantindo que as capacidades de TI sejam fornecidas com eficiência e eficácia".
29. Assim, o objetivo da auditoria da governança de TI é avaliar o nível de governança de TI do ente auditado e a influência desta governança na entrega e propositura de um arcabouço de tecnologia da informação que atenda às necessidades e aos objetivos do jurisdicionado. Verificam-se, pois, a oportunidade e a adequação da estratégia, os planos e as políticas de TI, com foco em sustentar as metas e as estratégias institucionais de forma transparente, eficiente e sustentável.
b) Aspectos essenciais
30. Este eixo temático visa abordar essencialmente os seguintes aspectos da governança de TI:
I - A definição e manutenção de um modelo de governança de TI;
II - O nível de eficácia da governança de TI para entregar benefícios à organização;
III - O alinhamento entre as ações de TI e a estratégia do jurisdicionado;
IV - A capacidade de otimizar os riscos;
V - A capacidade de otimizar recursos;
VI - A conformidade normativa diante dos regulamentos e leis aplicáveis a TI;
VII - A definição de papéis e responsabilidades;
VIII - A comunicação transparente às partes interessadas;
IX - A mensuração de desempenho e a observação da melhoria contínua;
X - O estabelecimento de um plano diretor de tecnologia da informação; e
XI - A existência de orçamento dedicado, apropriadamente planejado e realizável para as iniciativas de tecnologia da informação.
c) Referenciais adotados
I - Constituição da República Federativa do Brasil de 1988, art. 37, caput (princípio da eficiência);
II - COBIT 5 - Modelo Corporativo para Governança e Gestão de TI da Organização (Control Objectives for Information and Related Technology);
III - ABNT NBR ISO/IEC 38500:2018 - Governança da TI para a organização; e
IV - Guias e publicações do TCMGO acerca do tema.
4.3 Auditoria de Segurança da Informação
a) Considerações gerais
31. Informações são ativos valiosos e sensíveis para qualquer organização, incluindo entidades públicas. Não é diferente para os jurisdicionados do TCMGO. Informações são o meio pelo qual a administração pública toma decisões, contrata, arrecada, executa, exerce suas funções e modifica a vida do cidadão. Assim, preservá-las é essencial para os gestores, em atendimento aos princípios da continuidade e de eficiência do serviço público.
32. Salienta-se que, segundo a ABNT NBR ISO/IEC 27002:2013, "a segurança da informação é alcançada pela implementação de um conjunto adequado de controles, incluindo políticas, processos, procedimentos, estrutura organizacional e funções de software e hardware".
33. Isso significa que "muitos sistemas de informação não têm sido projetados para serem seguros, uma vez que a segurança que pode ser alcançada através de meios técnicos é limitada e não está apoiada por procedimentos e gerenciamentos apropriados" (ISO 27002:2013).
34. A meta desta vertente da auditoria em TI é, portanto, verificar se as estruturas de controle e gestão do jurisdicionado são capazes de prover a segurança da informação, por intermédio do estabelecimento, implementação, operação, análise crítica, manutenção e melhoria do sistema de gestão de segurança da informação (SGSI).
35. Isso inclui o estabelecimento de uma política de segurança da informação, de planos de continuidade, definição de cadeias de responsabilidade e a gestão de riscos de segurança da informação visando à proteção dos valiosos ativos de informação públicos.
b) Aspectos essenciais
36. Este eixo temático visa abordar essencialmente os seguintes aspectos da segurança da informação:
I - A preservação da integridade, disponibilidade, confidencialidade (quando aplicável) e autenticidade das informações;
II - O apropriado estabelecimento, implementação, operação, análise crítica, manutenção e melhoria do sistema de gestão de segurança da informação (SGSI);
III - A definição da política de segurança da informação;
IV - Estabelecimento da cadeia de responsabilidades e de comunicações com as partes interessadas;
V - Definição de controles de segurança da informação referentes a recursos humanos, com foco em retenção de conhecimento, bem como controle sobre vazamento de dados;
VI - Inventário dos ativos de informação, com classificação e definição de responsáveis;
VII - Procedimentos para controle de acesso aos ativos de informação e aos serviços de tecnologia (inclusive telecomunicações e serviços de mensageria), com definição de áreas fisicamente protegidas, quando necessário;
VIII - Gestão de incidentes e planos de continuidade de negócio que contemplem cenários de recuperação de desastre e políticas sistemáticas de backup;
IX - Gestão de riscos e vulnerabilidades de segurança da informação; e
X - Controle de segurança da informação sobre as aplicações de software internas ou providas por terceiros;
c) Referenciais adotados
I - Constituição da República Federativa do Brasil de 1988, art. 37, caput (princípio da eficiência);
II - COBIT 5 - Modelo Corporativo para Governança e Gestão de TI da Organização (Control Objectives for Information and Related Technology) - APO 13 - Gerenciar Segurança;
III - ABNT NBR ISO/IEC 27002:2013 - Código de prática para controles de segurança da informação;
IV - ABNT NBR ISO/IEC 27005:2011 - Gestão de riscos de segurança da informação;
V - ABNT NBR ISO 22301:2013 - Sistema de gestão de continuidade de negócios - Requisitos; e
VI - Guias e publicações do TCMGO acerca do tema.
4.4 Auditoria de Contratação de TI
a) Considerações gerais
37. É improvável que qualquer ente público seja capaz de subsistir sem contratações de TI. Da mesma forma, é notória a dificuldade técnica e de capacitação dos agentes públicos em contratar adequadamente, mesmo tanto tempo após a edição da Lei nº 8.666 , de 21 de junho de 1993, ou mesmo diante da nova Lei de Licitações e Contratos Administrativos (Lei nº 14.133 , de 1º de abril de 2021). Tratando-se do objeto bens e serviços de TI, o problema aprofunda-se: ativos podem possuir razoável intangibilidade, inovações surgem e modificam paradigmas em poucos meses, tecnologias ficam obsoletas e inservíveis em pouco tempo, múltiplas soluções necessitam de projeto e avaliação consistente quanto à compatibilidade em um mesmo ambiente.
38. Para mitigar esses riscos, cabe ao gestor público aplicar controles diversos, quais sejam: o planejamento consciente da contratação de TI, a divisão do objeto de acordo com critérios técnicos, o pagamento por resultados, mediante uso de métricas aferíveis e de mercado, a avaliação da qualidade, o controle efetivo da gestão contratual e a aplicação de recursos humanos capacitados para gestão da contratação, entre outros.
39. Dessa forma, faz-se necessária delimitar essa linha de auditoria, de contratação de TI, para validar a existência desses controles ou orientar a sua implementação, com o objetivo de certificar a eficácia, a conformidade e a eficiência dos procedimentos de aquisição de bens e serviços de tecnologia e comunicações.
40. Cabe ressaltar o caráter complementar da auditoria de contratações de TI ante ao trabalho já regimentalmente desempenhado pela Secretaria de Licitações e Contratos, que detém a competência para análise de licitações e contratos em face do quadro legal e jurisprudencial vigente.
41. Nas hipóteses em que o objeto da contratação referir-se à tecnologia da informação e comunicações, contudo, os processos contidos na amostragem pré-definida serão encaminhados à auditoria de TI, que verificará as bases de tecnologia, tais como a pertinência e o projeto adequado da solução, o alinhamento da contratação à estratégia de tecnologia do jurisdicionado, métricas/aferição do resultado e adequada gestão da contratação (capacitação técnica).
b) Aspectos essenciais
42. Principais abordagens deste eixo temático:
I - Análise de viabilidade e riscos da contratação de TI;
II - Alinhamento da contratação de TI com o planejamento estratégico e de TI;
III - Compatibilidade da contratação com a missão institucional do jurisdicionado;
IV - Adequado planejamento da contratação do bem ou serviço de tecnologia e/ou comunicações;
V - Gestão apropriada da contratação de TI por agentes devidamente capacitados para tal;
VI - Seleção de fornecedores idôneos e aferição de exequibilidade de propostas;
VII - Avaliação da adequação da modalidade, tipo e meios de aferição do resultado ante ao objeto contratado e à natureza da contratação; e
VIII - Fiscalização dos contratos por agentes capacitados em TI.
c) Referenciais adotados
I - Lei Federal nº 8.666 , de 21 de junho de 1993/1993 - Lei de Licitações;
II - Lei Federal nº 14.133 , de 1º de abril de 2021 (Lei de Licitações e Contratos Administrativos);
III - Lei Federal nº 10.520 , de 17 de julho de 2002 - Pregão;
IV - Regulamentação local de referência para Pregões ou o Decreto nº 10.024 , de 20 de setembro de 2019;
V - Regulamentação local de referência para Sistema de Registro de Preços ou o Decreto nº 7.892 de 2013, de 23 de janeiro de 2013;
VI - Notas Técnicas e acórdãos do Tribunal de Contas da União referentes a contratações de TI;
VII - Manuais e Guias da Secretaria de Fiscalização em Tecnologia da Informação do Tribunal de Contas da União;
VIII - Constituição da República Federativa do Brasil de 1988;
IX - Modelo de contratação IN SGD/ME nº 1, de 2019 do Governo Federal, ou normativa que o substitua;
X - COBIT 5 - Modelo Corporativo para Governança e Gestão de TI da Organização (Control Objectives for Information and Related Technol ogy); e
XI - Guias e publicações do TCMGO acerca do tema.
4.5 Auditoria de Políticas e Programas de Governo na Área de TI
a) Considerações gerais
43. Já são uma realidade: cidades digitais, hotspots públicos, centros sociais de capacitação em tecnologias disruptivas e investimentos em enlaces ópticos urbanos, ferramentas de governo eletrônico e serviços na palma da mão.
44. Iniciativas desta natureza motivam a consolidação nos órgãos de controle de uma auditoria em políticas ou programas de governo na área de TI, para que se possa examinar, de forma independente e objetiva, a eficácia, a eficiência, a economicidade e a efetividade de tais ações e empreitadas relacionadas à tecnologia da informação e comunicações.
45. Este eixo temático consubstancia-se principalmente por meio de auditorias operacionais. Devido à complexidade e dinamicidade da tecnologia da informação, há maior flexibilidade na escolha de objetos de auditoria, métodos de trabalho e forma de comunicação dos resultados. Do mesmo modo, cabe o emprego de maior seleção de métodos de avaliação e investigação, inclusive com intersecção de diferentes áreas do conhecimento.
46. Tais características exigem do auditor certa especialização em tecnologia, com notada flexibilidade e capacidade analítica.
b) Aspectos essenciais
47. Este eixo temático deve conter as seguintes abordagens:
I - Estudo sobre alcance das metas e resultados;
II - Entendimento sobre o funcionamento do programa ou política de TI, seus processos e procedimentos;
III - Avaliação de impacto das ações;
IV - Análise do custo-benefício e do custo-efetividade das ações;
V - Verificação do emprego de melhores práticas na execução das ações; e
VI - Certificação de que o programa ou política de TI é avaliado de forma aceitável por seus responsáveis.
b) Referenciais adotados
I - COBIT 5 - Modelo Corporativo para Governança e Gestão de TI da Organização (Control Objectives for Information and Related Technology);
II - Constituição da República Federativa do Brasil de 1988;
III - Resoluções Administrativas Nº 113 /2019 e 074 /2019 (Auditoria Operacional no âmbito do TCMGO);
IV - Manual de Auditoria Operacional do TCU (2010); e
V - Guias e publicações do TCMGO acerca do tema.
5. PROCESSO DE TRABALHO
Considerações gerais
48. O processo de trabalho da Auditoria de TI deve ser padronizado e executado sistematicamente de modo a produzir resultados comparáveis historicamente e estabelecer um ciclo de melhoria contínua.
49. Para tanto, deve ser tipicamente executado em quatro fases: Planejamento, Execução, Relatório e Monitoramento, sem prejuízo de atividades auxiliares que atravessem todo o processo, como a seleção de controles e a gestão de riscos, bem como atividades obrigatórias de comunicação e consulta aos gestores.
5.1 Fase de Planejamento
50. Em consonância ao previsto na ISSAI 100 (Princípios Fundamentais de Auditoria do Setor Público), a fase de planejamento de uma auditoria visa delimitar o objetivo e o escopo auditados, técnicas e procedimentos a serem adotados e estimar os recursos, pessoas, custos e prazo necessários à sua realização.
O planejamento proposto consiste das seguintes atividades:
a) análise preliminar do objeto de auditoria;
b) definição do objetivo, escopo e critérios da auditoria;
c) elaboração da matriz de planejamento e procedimentos; e
d) elaboração do projeto de auditoria.
a) Análise preliminar do objeto de auditoria
51. Permite identificar especificidades do objeto de auditoria para conferir maior assertividade ao planejamento. Consiste no levantamento de informações relevantes sobre o objeto auditado para se adquirir o conhecimento necessário à formulação das questões que serão examinadas pela auditoria.
52. O levantamento de informações pode ser estruturado de diversas formas. Recomenda-se, contudo, que seja avaliado o objeto quanto ao seu funcionamento além de considerar processos gerenciais, bases de dados existentes, ambiente de controle e restrições enfrentadas.
53. As informações coletadas podem ser interpretadas com diversas técnicas, visando estabelecer diagnósticos relacionados ao objeto selecionado e produzir um planejamento consistente. Destacam-se ferramentas como a matriz SWOT, análise de Ishikawa, dentre outras.
b) Definição do objetivo, escopo e critérios da auditoria
54. Feita a análise preliminar do objeto de auditoria, deve-se definir o objetivo da auditoria por meio da especificação do problema e das questões de auditoria que serão investigadas.
55. As questões direcionam os trabalhos de auditoria, as metodologias e as técnicas a serem adotadas e os resultados que se pretende alcançar. Ao formular as questões busca-se estabelecer com clareza o foco de investigação, as dimensões e os limites que deverão ser observados durante a execução dos trabalhos. Haverá implicações nas decisões quanto aos tipos de dados que serão coletados, à forma de coleta que será empregada, às análises que serão efetuadas e às conclusões que serão obtidas.
56. Na elaboração das questões de auditoria, devem ser levados em conta os seguintes aspectos:
a) clareza e especificidade;
b) uso de termos que possam ser definidos e mensurados;
c) viabilidade investigativa (possibilidade de ser respondida); e
d) articulação e coerência (o conjunto das questões elaboradas deve ser capaz de esclarecer o problema de auditoria previamente identificado).
57. As questões formuladas devem ser classificadas e devidamente cadastradas em um banco de questões de auditoria.
58. Os critérios de auditoria, por sua vez, são padrões de desempenho utilizados para medir a economicidade, eficiência, eficácia e efetividade do objeto de auditoria. Representam o estado ideal ou desejável daquilo que se examina e oferecem o contexto para se avaliar as evidências e compreender os achados, conclusões e recomendações da auditoria.
59. Ao definir critérios de auditoria, a equipe deve assegurar que eles sejam razoáveis, exequíveis e relevantes para os objetivos da auditoria.
60. Critérios podem ser mais facilmente definidos sempre que os objetivos estabelecidos pelo legislador ou pelo Poder Executivo sejam claros, precisos e relevantes. Leis, normas, indicadores chave de desempenho, referências históricas, entre outros, são fontes importantes de critérios de auditoria, que devem ser listados e documentados no planejamento.
c) Elaboração da matriz de planejamento e procedimentos
61. Trata-se de instrumento para organizar as informações relevantes do planejamento de uma auditoria. Permite a compreensão do objetivo do trabalho, dos passos a serem seguidos e da estratégia metodológica a ser adotada. Orienta os integrantes da equipe de auditoria nas fases de execução e de elaboração do relatório. O banco de questões de auditoria pode ser uma fonte para sua elaboração. A seguir, demonstra-se a confecção da matriz de planejamento:
Matriz de Planejamento Objetivo: [Descrição sucinta e clara do objetivo da auditoria]
nº Questões de Auditoria Informações requeridas Fontes de informações Possíveis Achados
Q1 [ Descrever em forma de perguntas os aspectos a serem investigados para alcançar o objetivo da auditoria ] [ Identificar as informações necessárias para satisfazer a questão de auditoria ] [ Identificar as fontes a serem utilizadas para se alcançar a informação - ex: bases de dados, requisições de documentos, visitas técnicas, entrevistas, etc. ] [ Esclarecer de forma objetiva que conclusões ou resultados podem ser alcançados, usando a notação A1, A2, An, para correspondência mais fácil com a Matriz de Achados ]
Q...
Qn
62. Analogamente, segue a matriz de procedimentos:
Matriz de Procedimentos
nº Procedimentos Objetos Achados
Q1 P11 [Descrever os itens de verificação ou check-list para atender à questão de auditoria] A1
P12 ...
P1n
c.1) Instruções de preenchimento das matrizes:
I - nº : Informar o número da questão no formato "Q" mais a sequência da questão. Exemplo: questão número 1 - Q1, questão número 2 - Q2 e assim sucessivamente;
II - Questões de Auditoria: descrever em forma de perguntas os diferentes aspectos que compõem o escopo da auditoria e que devem ser investigados visando satisfazer o objetivo;
III - Informações requeridas: identificar as informações necessárias para responder a questão de auditoria;
IV - Fontes de informações: para cada item anterior, identificar as fontes de onde se pretende obter as informações;
V - Possíveis Achados: identificar que conclusões ou achados podem ser encontrados;
VI - Procedimentos e Objetos: descrever os itens de verificação ou check-list que atendam à questão de auditoria. Usar notação P11, P12, ..., P1n, onde o primeiro algarismo corresponde à questão de auditoria e os próximos ao número do procedimento de forma sequencial e crescente, reiniciando a cada questão;
VII - Achados: Informar o número do achado no formato "A" mais a sequência do achado de auditoria. Por exemplo: achado número 1 - A1; achado número 2 - A2 e assim sucessivamente.
c.2) Exemplos de preenchimento:
Matriz de Planejamento Objetivo: Assegurar que há gestão de segurança da informação no jurisdicionado
nº Questões de Auditoria Informações requeridas Fontes de informações Possíveis Achados
Q1 Há alguma gestão de desastres e continuidade das operações de TI? Plano de continuidade de negócios e política de backups. Documentos ou forma eletrônica que os substituam, por exemplo de wikis e blogs. Não há gestão de desastres e continuidade das operações de TI.
Q2 Há previsão de ensaios e testes de continuidade? Verificar se foram documentados, em períodos regulares, testes de ensaio ou recuperação de desastre Registros nos diretórios de rede ou local compatível. Não há testes de ensaio ou continuidade.
Q...
Matriz de Procedimentos
nº Procedimentos Objetos Achados
Q1 P11 Solicitar, por meio de requisição formal de documentos e/ou informações, evidências da documentação de um plano de continuidade de negócios e seus artefatos derivados. A1
P12 ...
P1n
5.2 Fase de Execução
63. A fase de execução deve consistir na coleta de evidências adequadas e suficientes para dar suporte aos achados e às conclusões da auditoria de TI. Durante a execução, tipicamente serão realizadas atividades de campo, coleta de dados, e respectiva análise, e desenvolvimento da matriz de achados.
64. Neste ponto, aplicar-se-ão os procedimentos descritos na coluna "Objetos" da matriz de procedimentos sobre o ambiente da unidade jurisdicionada, visando à obtenção de informações suficientes que sejam utilizáveis como evidências de auditoria.
65. À medida que os procedimentos são aplicados, as informações obtidas devem ser organizadas e classificadas numa tarefa denominada "acumulação de evidências". Tal atividade permitirá a identificação e documentação dos achados, identificados em coluna própria na matriz de planejamento.
66. Segue-se ao desenvolvimento da matriz de achados, cujo preenchimento deve ser iniciado durante os trabalhos de campo, à medida que os achados são constatados. Os esclarecimentos que se fizerem necessários devem ser colhidos ainda durante as atividades, para evitar retrabalhos e eventuais novas solicitações de informações.
67. As propostas de conclusões, recomendações e determinações, também são registradas na matriz de achados. Esta é um dos principais subsídios à elaboração do relatório de auditoria, uma vez que reúne os aspectos centrais que formarão o relatório de auditoria. A matriz deve permitir um entendimento homogêneo dos achados e seus elementos constitutivos, tanto pelos integrantes da equipe de auditoria, quanto pelos demais interessados.
68. Segue modelo da matriz:
Matriz de Achados Objetivo: [Estruturar as recomendações ou achados]
Nº Situação encontrada Critérios Evidências Causas Efeito Encaminha-mentos
[Indicar o achado de auditoria (An) correspondente nas Matrizes Planej. e Procedimentos] [Indicar a situação existente, verificada durante fase de execução da auditoria] [Descrever o que deveria ser ou haver, indicar os padrões esperados de desempenho, ou a legislação, norma, etc.] [Descrição objetiva das informações obtidas durante a auditoria no intuito de documentar os achados e sustentar as conclusões da equipe de auditoria] [Indicar o que motivou a ocorrência do achado] [Informar, de forma sucinta e clara, as consequências reais ou potenciais do achado] [Propor práticas e deliberações que tratem os problemas diagnosticados. Sugere-se cuidado na quantidade de deliberações, bem como priorização das soluções dos maiores problemas. Encaminhamentos também podem conter o registro de boas práticas dos jurisdicionados]
A1
An
a) Instruções de preenchimento da matriz de achados:
I - nº : informar o número no formato "A" mais a sequência do achado. Exemplo: achado número 1 - A1, achado número 2 - A2, e assim sucessivamente;
II - Situação encontrada: descrever a situação encontrada, identificada e documentada durante a fase de execução da auditoria;
III - Critério: listar os critérios que justificam o que foi apontado. Podem ser padrões de desempenho esperados, normas técnicas, legislação, entendimento doutrinário etc,
IV - Evidências: descrever documentos e/ou provas obtidas pela auditoria que dão guarida às conclusões da equipe;
V - Causas: descrever o que foi feito, ou deixou de ser feito, para resultar na situação encontrada;
VI - Efeito: descrever as consequências que decorrem da existência do achado;
VII - Encaminhamentos: propostas da equipe para encaminhamento para o achado encontrado. Podem ser recomendações, determinações, práticas. Em casos de achados com teor positivo, os encaminhamentos podem ser registros da situação num banco de boas práticas para aplicação futura.
5.3 Fase de desenvolvimento do Relatório
69. Em sequência, a fase de execução deve prosseguir com a elaboração do relatório. A elaboração do relatório de auditoria deve ser conduzida como processo contínuo, baseada na matriz de achados.
70. O relatório de auditoria divide-se em elementos pré-textuais, texto e elementos pós-textuais. Os elementos pré-textuais são: folha de rosto, resumo, lista de siglas, lista de figuras, lista de tabelas e sumário. Os elementos pós-textuais são: apêndices; referências e glossário (TCU, 2010). Para o texto, a estrutura sugerida é:
1. Introdução Identificação do objeto de auditoria Antecedentes Objetivos e escopo da auditoria Critérios Metodologia 2. Visão geral 3. Primeiro capítulo principal Objetivo do capítulo Contextualização específica para o capítulo Descrição do conteúdo do capítulo 3.1 Subtítulo Parágrafo inicial de impacto, com descrição concisa do achado Critério Análise das evidências Causas Efeitos e riscos decorrentes da manutenção da situação encontrada Boas práticas Conclusão Propostas Benefícios esperados 4. Análise dos comentários dos gestores 5. Conclusão 6. Proposta de encaminhamento
Quadro 1 - Estrutura do relatório de auditoria
Fonte: (TCU, 2010)
71. A introdução (item 1) deve situar o tema da auditoria. Seus elementos indispensáveis são (TCU, 2010):
a) a identificação do objeto de auditoria, em caráter simplificado, já que maiores detalhes são apresentados na visão geral;
b) os antecedentes, que se referem às razões, às decisões e às fiscalizações anteriores que levaram à condução da auditoria proposta;
c) os objetivos e o escopo da auditoria, em que devem ser apresentados os objetivos gerais e específicos e os limites do trabalho, especificando os sistemas ou aspectos que foram auditados, juntamente com a justificativa de se ter adotado a abordagem descrita;
d) os critérios, que devem conter padrões gerais utilizados para emitir opinião sobre o desempenho do objeto de auditoria; e
e) a metodologia, que compreende os métodos empregados na coleta e na análise dos dados.
72. A visão geral (item 2), por sua vez, cuida de descrever as características do objeto de auditoria que levam à compreensão do relatório, situando-as frente aos objetivos da auditoria, quando necessário. Sua composição é naturalmente mais livre, podendo conter os objetivos, responsáveis, histórico, beneficiários, principais produtos, relevância, indicadores de desempenho, metas, aspectos orçamentários, processo de tomada de decisão e sistemas de controle, dentre outros elementos.
73. O relatório deve seguir com os capítulos principais (item 3), cujo teor é de exposição precisa sobre os achados de auditoria. Convém que sua organização, os subtítulos e os achados dentro de cada um dos capítulos sejam feitos em forma decrescente de relevância.
74. Há questões de auditoria sobre as quais nem sempre se identificam causas ou haja propostas, ou há situações em que as evidências exigem discussões maiores, com sustentações específicas. Isso pode alterar a ordem ou estrutura padrão aqui proposta, já que é livre a inserção de infográficos, tabelas, capturas de tela, fotografias, ilustrações. O que se demanda, neste caso, é a apresentação de forma racional, lógica, com articulação que permita a compreensão da situação encontrada e leve ao entendimento do leitor sobre a situação relatada.
75. Os subtítulos (item 3.1) devem conter as conclusões referentes ao ponto tratado. A conclusão refere-se a um julgamento ou opinião expressa pela equipe de auditoria sobre o objeto da auditoria. Cabe, neste ponto, apresentar brevemente a "proposta de encaminhamento", sem aprofundá-la, contudo. Por conseguinte, devem-se estimar os benefícios, caso as propostas da equipe de auditoria sejam adotadas.
76. Iniciando o desfecho do relatório, segue-se à análise dos comentários dos gestores (item 4). Ao auditado deve sempre ser franqueada a oportunidade de examinar o relatório preliminar antes de torná-lo público, por intermédio de diligência da Unidade Técnica, ressalvados os casos em que o sigilo for necessário ou se o procedimento prejudicar o resultado final. Os comentários que forem apresentados dentro do prazo estabelecido devem ser considerados e analisados pela equipe de auditoria, que avaliará a necessidade de rever pontos do relatório ou apresentará argumentos para manter posições discordantes dos gestores.
77. Prosseguindo com a parte final do trabalho, a conclusão (item 5) deve trazer as respostas às questões de auditoria, atendendo aos objetivos de forma direta e racional. As conclusões do relatório devem destacar os pontos mais importantes da auditoria e as principais propostas de deliberações, por meio de afirmações concisas. Cabem, igualmente, apontamentos sobre as dificuldades enfrentadas pelos gestores, destacar as iniciativas positivas por eles empreendidas, no sentido de superar as dificuldades, e os pontos fortes do objeto de auditoria, as principais oportunidades de melhoria de desempenho e os possíveis benefícios esperados, quantificando-os, sempre que possível, em termos de economia de recursos ou de outra natureza de melhoria.
78. O relatório é concluído com a proposta de encaminhamento (item 6), que demonstra a visão da equipe de auditoria do que é necessário para sanar alguma deficiência identificada. No caso de deliberações, essas devem guardar correspondência com os achados. A razoabilidade é o norte de cada deliberação ou encaminhamento, de modo a garantir-lhe oportunidade, adequação e exequibilidade. Alguns encaminhamentos podem ter efeito positivo, como, por exemplo, o registro de uma prática no banco de boas práticas do TCMGO, para que a equipe de auditoria utilize como modelo em procedimentos ou recomendações futuras.
5.4 Fase de Monitoramento
79. Tem por objetivo verificar o cumprimento das recomendações e deliberações do TCMGO e de seus resultados, com o objetivo de verificar as medidas adotadas e avaliar seus efeitos.
80. Além de ser instrumento de garantia da eficácia da auditoria de TI, pretende-se, com o monitoramento, aumentar o índice de sucesso no tratamento dos problemas levantados na atividade de controle, seja pela implementação do que foi deliberado ou pela aplicação de outros controles ou medidas substitutivas propostas pelos gestores do ente auditado.
81. O monitoramento permite às partes envolvidas acompanhar o desempenho do objeto auditado e identificar oportunidades de melhoria e dificuldades enfrentadas pelos gestores na solução dos problemas. Ele deve ser executado sobre o plano de ação apresentado pelo gestor da unidade auditada, quando notificado sobre as recomendações e as deliberações do TCMGO.
82. A sistemática de monitoramento deve incluir um planejamento com cronograma de monitoramento, reuniões regulares, comunicação ao gestor sobre o acompanhamento periódico, novas auditorias (quando necessário) e construção de relatórios sobre os objetos monitorados. Tal sistemática deve ser estabelecida em prazos curtos de tempo, para que não perca a pertinência e oportunidade.
5.5 Ferramentas de apoio ao Processo de Trabalho
a) Sistema COLARE
83. Constitui a principal ferramenta de recepção de dados do TCMGO; tem ponto central na Auditoria de TI. Toda solicitação de informações, coleta remota e eletrônica de evidências deverá ser feita por meio dela, de forma a garantir a autenticidade, integridade, tempestividade e análise mais célere dos dados. A equipe de auditoria poderá propor, para cada objeto auditado, layouts específicos, ou, quando julgar pertinente, aplicar os layouts padrão de cada um dos eixos temáticos da auditoria em TI.
b) Banco de questões de auditoria
84. Consiste em ferramenta tipo Wiki que visa documentar e manter o extenso rol de questões de auditoria aptas a serem utilizadas nas matrizes de planejamento e procedimentos. Cada questão registrada pode conter metadados que permitam melhor entendimento sobre o contexto, necessidade e sua aplicabilidade. Também devem ser registradas no banco as auditorias em que determinada questão foi utilizada, para maior rastreabilidade.
c) Banco de boas práticas
85. Consiste em banco de dados simples, na mesma tecnologia padrão do TCMGO, que documenta boas práticas aplicadas pelos jurisdicionados, identificadas durante as auditorias. No registro da boa prática em TI deve haver comentário sucinto da equipe de auditoria sobre o achado/objeto auditado ao qual a prática se refere, como ela contribui com a boa gestão de tecnologia da informação na administração pública e como transforma a realidade em que se insere. O objetivo do registro é permitir consulta futura para aplicação em novas recomendações ou deliberações, monitoramento, dentre outras finalidades.
d) Portais institucionais e mídias sociais
86. As ferramentas de mídias sociais, portais institucionais externos (site e hotsites específicos) e interno (intranet) serão o principal meio de comunicação dos trabalhos de auditoria em TI, servindo ao propósito de crítica, avaliação interna, transparência e controle social.
6. REFERÊNCIAS
[1] BRASIL. Constituição da República Federativa do Brasil de 1988.
[2] INTOSAI. ISSAI - 100 - Princípios Fundamentais de Auditoria do Setor Público - traduzida pelo Tribunal de Contas da União - TCU (2017).
[3] GOIÁS. Resolução Administrativa Nº 74 /2019 - Tribunal de Contas dos Municípios do Estado de Goiás - Aprova a utilização do Manual de Auditoria Operacional do Tribunal de Contas da União (TCU) nas auditorias operacionais realizadas pelo TCMGO.
[4] GOIÁS. Resolução Administrativa Nº 113 /2019 Tribunal de Contas dos Municípios do Estado de Goiás - Disciplina a realização de Auditoria Operacional - AOp - no âmbito do TCMGO.
[5] BRASIL. Lei Federal nº 8.666 /1993 - Institui normas para licitações e contratos da Administração Pública.
[6] BRASIL. Lei Federal nº 10.520 /2002 - Institui modalidade de licitação denominada pregão para aquisição de bens e serviços comuns.
[7] BRASIL. Decreto nº 5.450 /2005 - Regulamenta o pregão, na forma eletrônica, para aquisição de bens e serviços comuns, e dá outras providências.
[8] BRASIL. Decreto nº 7.892 /2013 - Regulamenta o Sistema de Registro de Preços.
[9] BRASIL. Instrução Normativa nº 01 SGD/ME, de 2019 - Modelo de contratação de soluções e serviços de tecnologia da informação do Governo Federal.
[10] ISACA. COBIT 5 - Modelo Corporativo para Governança e Gestão de TI da Organização (Control Objectives for Information and Related Technology).
[11] ABNT NBR ISO/IEC 27002:2013 - Código de prática para controles de segurança da informação.
[12] ABNT NBR ISO/IEC 27005:2011 - Gestão de riscos de segurança da informação.
[13] ABNT NBR ISO 22301:2013 - Sistema de gestão de continuidade de negócios - Requisitos.
[14] ABNT ISO/TR 16982:2014 (Ergonomia da interação humano-sistema - Métodos de usabilidade que apoiam o projeto centrado no usuário).
[15] ABNT NBR ISO/IEC 38500:2018 - Governança da TI para a organização.
[16] BRASIL. Tribunal de Contas da União. Manual de auditoria operacional / Tribunal de Contas da União. - 3.ed. - Brasília: TCU, Secretaria de Fiscalização e Avaliação de Programas de Governo (Seprog), 2010.
[17] BRASIL. Tribunal de Contas da União. Auditoria governamental / Tribunal de Contas da União; Conteudistas: Antonio Alves de Carvalho Neto, Carlos Alberto Sampaio de Freitas, Ismar Barbosa Cruz, Luiz Akutsu; Coordenador: Antonio Alves de Carvalho Neto. - Brasília: TCU, Instituto Serzedello Corrêa, 2011.
[18] PACHECO, André Luiz Furtado. Curso de Auditoria de TI. Escola Nacional de Governo. 2011.
[19] RONDÔNIA. Resolução nº 245/2017 - Tribunal de Contas do Estado - Aprova o Manual de Auditoria de TI.
1 COLARE - "Acrônimo de `construtor de layouts e regras`, essa ferramenta permite que a área técnica interessada possa construir os layouts de forma amigável, utilizando-se das funcionalidades disponibilizadas no sistema, sem necessitar da equipe técnica de TI". Disponível em https://www.tcm.go.gov.br/enviodedados/#homeSection1. Acesso em 21/02/2020.
2 DML - Data Manipulation Language - Linguagem de manipulação de dados. Disponível em https://fabiobmed.com.br/2013/03/20/sql-instrucoes-dml-data-manipulation-language-insert-update-e-delete/. Acesso em 20/02/2020.
3 Um Sistema de Gerenciamento de Banco de Dados (SGBD) - do inglês Data Base Management System (DBMS) - é o conjunto de programas de computador (softwares) responsáveis pelo gerenciamento de uma base de dados. Seu principal objetivo é retirar da aplicação cliente a responsabilidade de gerenciar o acesso, a manipulação e a organização dos dados. O SGBD disponibiliza uma interface para que seus clientes possam incluir, alterar ou consultar dados previamente armazenados. Em bancos de dados relacionais a interface é constituída pelas APIs (Application Programming Interface) ou drivers do SGBD, que executam comandos na linguagem SQL (Structured Query Language)." Disponível em https://dicasdeprogramacao.com.br/o-que-e-um-sgbd/. Acesso em 21/02/2020.
Download do documento
Atos que alteram, regulamentam ou revogam esta Resolução Administrativa:
Nenhum Ato.
Atos que são alterados, regulamentados ou revogados por esta Resolução Administrativa:
Nenhum Ato.