Apresentação da palestra de Cláudio Castello Branco sobre Governança de TI e Auditoria Interna durante o V Fórum Brasileiro de Controle Interno e Auditoria da Administração Pública

1. Governança de TI e Auditoria Interna Secretaria de Fiscalização de Tecnologia da Informação /Tribunal de Contas da União

2. Cláudio Castello Branco, CGAP Daniel Jezini, CISA Renato Braga, CISA, CIA, CGAP Governança de TI e Auditoria Interna Brasília, 29 de setembro de 2011 Secretaria de Fiscalização de Tecnologia da Informação Tribunal de Contas da União

9. Deliberações do TCU sobre contratações de serviços de TI Fonte: Pesquisa textual na base do Sistema Juris (TCU)

11. Acórdão 1.603/2008-TCU-Plenário (Min. Guilherme Palmeira) TC 008.380/2007-1

13. Acórdão 1.603/2008-TCU-Plenário Deficiências em Governança de TI 51% NÃO alocam gastos de TI de acordo com planejamento 51% NÃO seguem metodologia de desenvolvimento de sistemas 57% NÃO têm carreira específica para TI 59% NÃO têm planejamento estratégico em vigor 64% NÃO têm política de segurança da informação 75% NÃO fazem análise de riscos de TI 80% NÃO fazem classificação da informação 88% NÃO têm plano de continuidade de negócios

14. Acórdão 2.471/2008-TCU-Plenário (Min. Benjamin Zymler) TC 019.230/2007-2

20. Deliberações do TCU sobre contratações de serviços de TI Criação da SEFTI Fonte: Pesquisa textual na base do Sistema Juris (TCU)

21. Acórdãos estruturantes OGS 1.603/2008 371/2008 353/2008 786/2006 2.094/2004 E outros que estão por vir... 2.308/2010 2.079/2009 2.471/2008 1.827/2008

22. Órgãos Governantes Superiores (OGS) “ Têm a responsabilidade por normatizar e fiscalizar o uso e a gestão de TI em seus respectivos segmentos da Administração Pública Federal” (Voto do Acórdão 1.145/2011-TCU-Plenário)

26. Acórdão 2.308/2010-TCU-Plenário: Temas que merecem atenção 53% NÃO têm processo de software ao menos gerenciado 63% NÃO aprovam e publicam PDTI interna ou externamente 65% NÃO possuem política corporativa de segurança da informação 74% NÃO inventariam todos os ativos de informação 75% NÃO gerenciam os incidentes de segurança da informação 83% NÃO analisam os riscos aos quais a informação está submetida 89% NÃO classificam a informação para o negócio 97% NÃO possuem plano de continuidade de negócio em vigor Resultados (Dimensão Processos)

29. Acórdão 2.308/2010-TCU-Plenário: Melhorias observadas Conclusão: Os indicativos de melhoria em planejamento e em quadro de pessoal sinalizam possibilidade de avanço em outras dimensões no futuro.

30. 2010 - iGovTI Instituições x estágios do iGovTI

31. Risco de TI em função de iGovTI e Orçamento de TI

32. Risco de TI em função de iGovTI , Orçamento de TI e sistemas críticos

33. Risco de TI em função de iGovTI, na visão da Sefti

34. Riscos de TI: IGovTI - Segurança da Informação 1/3

35. Riscos de TI: IGovTI - Segurança da Informação 88%

36. Papel da liderança na Governança de TI Análise de correlação entre as dimensões avaliadas Dimensão Liderança Estratégias e Planos Gestão de Pessoas Liderança --- --- --- Estratégias e Planos 0,48 --- --- Gestão de Pessoas 0,32 0,23 --- Processos 0,60 0,46 0,29

37. Papel da liderança na Governança de TI

40. Alta Administração Orientações (2308/2010) Situação de GovTI Orientações Objetivos Indicadores Metas Gestores TCU Situação de GestãoTI Informações consolidadas (4) (3) (5) (1) (2) (6)

41. E essa dinâmica deve gerar mudanças... Governança de TI Implementação/aprimoramento do modelo de governança Desgovernança de TI Alta Administração (responsabilidade)

44. Deveríamos cuidar melhor da tecnologia da informação na Administração Pública Federal? E quando não cuidamos...

45. O que pode ocorrer com os 97% que NÃO possuem plano de continuidade de negócio em vigor? Acórdão 172/2008-2ª Câmara e Acórdão 1.330/2008-Plenário

48. O que pode ocorrer com os 53% que NÃO têm processo de software ao menos gerenciado (nível 2 da NBR 15.504)? TC-031.963/2008-0

52. O que pode ocorrer com os 63% que NÃO aprovam e publicam PDTI interna ou externamente? Acórdão 2.023/2005-Plenário

54. O que pode ocorrer com os 65% que NÃO possuem política corporativa de segurança da informação ? Acórdão 71/2007-Plenário

67. Governar a TI é ação da Alta Administração, e não da área de TI.

69. Secretaria de Fiscalização de Tecnologia da Informação Tribunal de Contas da União Governança de TI e Auditoria Interna Brasília, 29 de setembro de 2011 [email_address]