Anexo 01

GESTÃO DA TECNOLOGIA DA INFORMAÇÃO (TI) no Banco do Nordeste em 2018

Em atendimento à determinação contida no Acórdão TCU 798/2003, foi adicionado neste ANEXO o
Quadro 1 a seguir.

O Quadro 1 abaixo foi elaborado seguindo modelo disponibilizado pelo TCU e em obediência à Portaria TCU 175/2013. O trabalho é o resultado de uma pesquisa realizada com várias áreas do Banco do Nordeste e está organizado de forma a se obter um conjunto de informações que permita, de uma maneira geral, analisar a estrutura de governança corporativa e de TI do Banco. Para tanto, o quadro está subdividido em 9 (nove) blocos de questões nas quais foram marcadas os itens que melhor correspondem à realidade do Banco.

Foram utilizadas as seguintes instruções no preenchimento do Quadro:

No bloco de questões de 1 a 6, foi assinalado com um “X” em tantas opções quantos são itens em que o Banco se enquadra.

Na questão 7, foi utilizada a seguinte escala para responder:

(1)  nunca: significa que a afirmativa é integralmente NÃO aplicada ao contexto desta Instituição. (2)  às vezes: significa que a afirmativa vez ou outra é aplicada ao contexto desta Instituição.
(3)  usualmente: significa que a afirmativa é aplicada ao contexto da UJ com frequência.
(4)  sempre: significa que a afirmativa é integralmente aplicada ao contexto desta Instituição. Por fim, no bloco de questões 8 e 9, foi assinalada apenas uma opção.
Quadro 1 – Gestão da Tecnologia da Informação no Banco do Nordeste

1. Em relação à estrutura de governança corporativa e de TI, a Alta Administração da Instituição:	
X	Aprovou e publicou plano estratégico institucional, que está em vigor.	
	X	monitora os indicadores e metas presentes no plano estratégico institucional.	
	Responsabiliza-se pela avaliação e pelo estabelecimento das políticas de governança, gestão e uso corporativos de
TI.	
	
X	aprovou e publicou a definição e distribuição de papéis e responsabilidades nas decisões mais relevantes
quanto à gestão e ao uso corporativos de TI.	
	
X	aprovou e publicou as diretrizes para a formulação sistemática de planos para gestão e uso corporativos de
TI, com foco na obtenção de resultados de negócio institucional.	
	X	aprovou e publicou as diretrizes para gestão dos riscos aos quais o negócio está exposto.	
	X	aprovou e publicou as diretrizes para gestão da segurança da informação corporativa.	
		aprovou e publicou as diretrizes de avaliação do desempenho dos serviços de TI junto às unidades usuárias
em termos de resultado de negócio institucional.	
	
X	aprovou e publicou as diretrizes para avaliação da conformidade da gestão e do uso de TI aos requisitos
legais, regulatórios, contratuais, e às diretrizes e políticas externas à instituição.	

X	Designou formalmente um comitê de TI para auxiliá-la nas decisões relativas à gestão e ao uso corporativos de
TI.	
X	Designou representantes de todas as áreas relevantes para o negócio institucional para compor o Comitê de TI.	
X	Monitora regularmente o funcionamento do Comitê de TI.	
2. Em relação ao desempenho institucional da gestão e de uso corporativos de TI, a Alta Administração da instituição:	
X	Estabeleceu objetivos de gestão e de uso corporativos de TI.	
X	Estabeleceu indicadores de desempenho para cada objetivo de gestão e de uso corporativos de TI.	

	Estabeleceu metas de desempenho da gestão e do uso corporativos de TI, para 2018.	
X	Estabeleceu os mecanismos de controle do cumprimento das metas de gestão e de uso corporativos de TI.	
X	Estabeleceu os mecanismos de gestão dos riscos relacionados aos objetivos de gestão e de uso corporativos de TI.	
X	Aprovou, para 2018, plano de auditoria(s) interna(s) para avaliar os riscos considerados críticos para o negócio e a
eficácia dos respectivos controles.	
X	Os indicadores e metas de TI são monitorados.	
X	Acompanha os indicadores de resultado estratégicos dos principais sistemas de informação e toma decisões a
respeito quando as metas de resultado não são atingidas.	
	Nenhuma das opções anteriores descreve a situação desta instituição.	
3. Entre os temas relacionados a seguir, assinale aquele(s) em que foi realizada auditoria formal em 201 8, por
iniciativa da própria instituição:	
X	Auditoria de governança de TI.	
X	Auditoria de sistemas de informação.	
X	Auditoria de segurança da informação.	
X	Auditoria de contratos de TI.	
X	Auditoria de dados.	
X	Outra(s). Qual(is)? Identificar e Alocar Custos de TI	
	Não foi realizada auditoria de TI de iniciativa da própria instituição em 2018.	
4. Em relação ao PDTI (Plano Diretor de Tecnologia da Informação e Comunicação) ou instrumento congênere:	
	A instituição não aprovou e nem publicou PDTI interna ou externamente.	
X	A instituição aprovou e publicou PDTI interna ou externamente.	
X	A elaboração do PDTI conta com a participação das áreas de negócio.	
X	A elaboração do PDTI inclui a avaliação dos resultados de PDTIs anteriores.	
X	O PDTI é elaborado com apoio do Comitê de TI.	
X	O PDTI desdobra diretrizes estabelecida(s) em plano(s) estratégico(s) (p.ex. PEI, PETI etc.).	
X	O PDTI é formalizado e publicado pelo dirigente máximo da instituição.	
X	O PDTI vincula as ações (atividades e projetos) de TI a indicadores e metas de negócio.	
	O PDTI vincula as ações de TI a indicadores e metas de serviços ao cidadão.	
X	O PDTI relaciona as ações de TI priorizadas e as vincula ao orçamento de TI.	

X	O PDTI é publicado na internet para livre acesso dos cidadãos. Se sim, informe a URL completa do PDTI:
http://www.bnb.gov.br/planejamento-estrategico-de-ti	
5. Em relação à gestão de informação e conhecimento para o negócio:	
X	Os principais processos de negócio da instituição foram identificados e mapeados.	
X	Há sistemas de informação que dão suporte aos principais processos de negócio da instituição.	

X	Há pelo menos um gestor, nas principais áreas de negócio, formalmente designado para cada sistema de informação
que dá suporte ao respectivo processo de negócio.	
6. Em relação à gestão da segurança da informação, a instituição implementou formalmente (aprovou e publicou)
os seguintes processos corporativos:	
X	Inventário dos ativos de informação (dados, hardware, software e instalações).	
X	Classificação da informação para o negócio, nos termos da Lei 12.527/2011 (p.ex. divulgação ostensiva ou
classificação sigilosa).	
X	Análise dos riscos aos quais a informação crítica para o negócio está submetida, considerando os objetivos de
disponibilidade, integridade, confidencialidade e autenticidade.	
X	Gestão dos incidentes de segurança da informação.	
7. Em relação às contratações de serviços de TI:
Escala uitlizada: (1) nunca (2) às vezes (3) usualmente (4) sempre	
( 4 ) são feitos estudos técnicos preliminares para avaliar a viabilidade da contratação.	
( 4 ) nos autos são explicitadas as necessidades de negócio que se pretende atender com a contratação.	
( 4 ) são adotadas métricas objetivas para mensuração de resultados do contrato.	
( 4 ) os pagamentos são feitos em função da mensuração objetiva dos resultados entregues e aceitos.	
(4) no caso de desenvolvimento de sistemas contratados, os artefatos recebidos são avaliados conforme padrões
estabelecidos em contrato.	
( 4 ) no caso de desenvolvimento de sistemas contratados, há processo de software definido que dê suporte aos termos
contratuais (protocolo e artefatos).	
8. Em relação à Carta de Serviços ao Cidadão (Decreto 6.932/2009): (assinale apenas uma das opções abaixo)	
X	O Decreto não é aplicável a esta instituição e a Carta de Serviços ao Cidadão não será publicada.	

X

	Embora o Decreto não seja aplicável a esta instituição, a Carta de Serviços ao Cidadão será publicada.	
	A instituição a publicará em 2018, sem incluir serviços mediados por TI (e-Gov).	
	A instituição a publicará em 2018 e incluirá serviços mediados por TI (e-Gov).	
	A instituição já a publicou, mas não incluiu serviços mediados por TI (e-Gov).	
	A instituição já a publicou e incluiu serviços mediados por TI (e-Gov).	
9. Dos serviços que o Banco do Nordeste disponibiliza ao cidadão, qual o percentual provido também por e-Gov?	
X	Entre 1 e 40%.	
	Entre 41 e 60%.	
	Acima de 60%.	
	Não oferece serviços de governo eletrônico (e-Gov).	
Comentários	

Fonte: Superintendência de Tecnologia da Informação – Banco do Nordeste (2018)

Análise Crítica

Com relação a alguns requisitos não assinalados no Quadro 4, as considerações abaixo se fazem necessárias.

	Aprovou e publicou as diretrizes de avaliação do desempenho dos serviços de TI junto às unidades usuárias em termos de resultado de negócio institucional

Embora não estando explícitas as diretrizes de avaliação do desempenho dos serviços de TI junto às unidades usuárias, o Plano Estratégico de TI-PETI contempla os indicadores de desempenho.

Ou seja, o desempenho da Área de TI é mensurado por indicadores e metas corporativos, vinculados ao Plano Estratégico do BNB. Além disso, está sendo executado um Modelo de Gestão por Indicadores de TI, automatizando a coleta e divulgação dos indicadores, buscando dar maior visibilidade ao desempenho da TI às unidades de negócio da instituição.

    O PDTI vincula as ações de TI a indicadores e metas de serviços ao cidadão.

Apesar do Mapa Estratégico do Plano Estratégico de TI (PETI) estar relacionado ao Mapa Estratégico do Banco do Nordeste, que contém resultados relacionados aos seus negócios e clientes, ainda não possuímos indicadores capazes de mensurar diretamente as vantagens e ganhos para os cidadãos advindos dos serviços e produtos do Banco.

    O Decreto não é aplicável a esta instituição e a Carta de Serviços ao Cidadão não será publicada.

Considerando que:

a)  Apenas “órgão/entidade que presta serviços diretamente ao público” está obrigado a
disponibilizar a Carta de Serviço (Decreto 6.932/2009, art. 11);
b)  O Banco do Brasil, que tem composição acionária similar ao Banco do Nordeste,
posicionou-se no sentido de que, “segundo análise da nossa área jurídica, porém, o Banco do Brasil, por sua composição acionaria, não se enquadraria na referida norma” – Carlos Antonio DECEZARO / Ouvidoria Externa – Banco do Brasil;
c)  A própria CGU faz a ressalva de que esta obrigação específica não se aplica a todos os órgãos e entidades, mas apenas àqueles que prestam serviços diretamente ao cidadão (cf.

Guia de Publicação Ativa nos Sítios Eletrônicos dos Órgãos e Entidades do Poder Executivo
Federal, pág. 11);
d)  O Banco do Nordeste, como Sociedade de Economia Mista da Administração Pública Federal Indireta, explora atividade econômica de intermediação financeira, na qualidade de banco múltiplo, e, como tal, sujeita-se às regras do Sistema Financeiro Nacional (SFN);
e)  O cujo regulador do SFN é o Banco Central do Brasil (BCB), com a função de assegurar que as infraestruturas e os arranjos de pagamentos operados no Brasil sejam administrados consistentemente com os objetivos de interesse público, mantendo a estabilidade financeira e reduzindo o risco sistêmico;

Entendemos que:

a)  O Banco do Nordeste não está sob obrigatoriedade de elaborar a Carta de Serviço;
b)  Cabe ao BCB publicar a Carta de Serviços ao Cidadão, em função de prestar serviço diretamente aos cidadãos, no que se refere ao funcionamento do SFN.