Title: Contratações de TI / Riscos e Controles em Contratações de TIC
Tags: Contratações_de_TI Resumo
On every note of this deck, unless a note says otherwise:
tldr: - Contexto e evolução no Brasil: a gestão de riscos no setor público brasileiro ganhou força após a EC nº 19/1998 (princípio da eficiência) e se consolidou com marcos como a IN Conjunta MP/CGU nº 1/2016, o Decreto nº 9.203/2017 (governança) e iniciativas do TCU (IGG, roteiros de auditoria e política interna de riscos).
- O que é risco (ideia central): risco é o efeito da incerteza nos objetivos (ISO 31000); pode ter impactos negativos e positivos (PMBOK); em normas federais, é a possibilidade de evento impactar objetivos, medido por probabilidade x impacto.
- Em contratações de TIC: o Gerenciamento de Riscos (GR) é processo contínuo que atravessa todas as fases (planejamento → seleção do fornecedor → gestão do contrato), focado em riscos que comprometem o sucesso da contratação.
- Etapas do processo de riscos: definir objetivos e seguir identificação → análise → avaliação → tratamento → comunicação/reporte → monitoramento e melhoria contínua (com contexto bem estabelecido).
- Tratamento de riscos: opções típicas incluem evitar, mitigar/reduzir, transferir, compartilhar e aceitar/tolerar; decisões dependem de apetite a risco e do equilíbrio custo do controle x benefício (com contingência quando o risco for aceito).
- Papéis e responsabilidades (IN 94):
- Planejamento: equipe elabora e registra o Mapa de Gerenciamento de Riscos (MGR).
- Seleção: integrante administrativo (com apoio técnico e requisitante) atualiza o MGR.
- Gestão do contrato: equipe de fiscalização, coordenada pelo gestor, reavalia riscos antigos e trata riscos novos, com atualização contínua.
- MGR (Mapa de Gerenciamento de Riscos): é um documento vivo; deve ser juntado ao processo ao fim do TR, ao fim da seleção, anualmente na gestão, e após eventos relevantes.
- Ferramentas comuns: brainstorming, SWOT/FOFA, Ishikawa, 5W2H, checklists e matrizes de priorização/criticidade (probabilidade x impacto).
- Tipos de riscos em TIC:
- Riscos de processo (eficiência/economicidade do procedimento, fiscalização etc.)
- Riscos de produto (solução não atender a necessidade/efetividade).
- Controles internos como resposta a risco: controles são medidas que modificam o risco; podem ser preventivos, detectivos (e ações corretivas após eventos). Boas práticas incluem segregação de funções, checklists, padronização e capacitação.
- Riscos recorrentes na execução (ENAP) e mitigação típica: falhas de fiscalização; falta de compromisso das áreas clientes; inefetividade da solução; demanda por tarefas fora do contrato; indicação indevida de profissionais; subordinação informal — mitigados com processos formais, ferramentas de controle, indicadores/SLAs, comunicação e reforço/capacitação da equipe.
- Governança e Lei nº 14.133/2021: a alta administração deve implementar estruturas de governança, gestão de riscos e controles internos; a análise de riscos deve preceder contratações e pode exigir matriz de alocação de riscos (distribuindo responsabilidades entre as partes).
- Auditoria e responsabilização: auditorias verificam maturidade, controles, rastreabilidade e qualidade (SLAs); medição inadequada e pagamentos sem evidência geram risco de dano ao erário e responsabilização de fiscais/gestores e também da alta administração quando há designação de pessoal não capacitado/sobrecarregado.
link: https://documentacao.online/estudos/pvol.html
title: Riscos e Controles em Contratações de TIC

front: (Inédita – Prof. ) A análise de riscos nas contratações de TIC é um processo obrigatório apenas para licitações, sendo dispensável nos casos de contratação direta por dispensa ou inexigibilidade.
response: Errado
comment: A análise de riscos é obrigatória tanto na fase preparatória do processo licitatório quanto na instrução do processo de contratação direta.
Other fields (not shown on cards):
back: Errado - A análise de riscos é obrigatória tanto na fase preparatória do processo licitatório quanto na instrução do processo de contratação direta.

front: (Inédita – Prof. ) O gerenciamento de riscos de TI deve ocorrer de forma contínua ao longo de todo o processo, abrangendo as fases de planeamento, seleção do fornecedor e gestão do contrato
response: Correto
comment: As atividades de gestão de riscos devem ser realizadas durante todas as fases do processo de contratação.
Other fields (not shown on cards):
back: Correto - As atividades de gestão de riscos devem ser realizadas durante todas as fases do processo de contratação.

front: (Inédita – Prof. ) No âmbito federal, a responsabilidade pela elaboração do Mapa de Gerenciamento de Riscos durante a fase de planeamento recai sobre a Equipe de Planejamento da Contratação.
response: Correto
comment: A legislação atribui à equipe multidisciplinar de planeamento a competência para realizar a identificação e o tratamento inicial dos riscos. Essa responsabilidade garante que os aspetos técnicos, requisitantes e administrativos sejam considerados, aumentando as chances de sucesso do certame.
Other fields (not shown on cards):
back: Correto - A legislação atribui à equipe multidisciplinar de planeamento a competência para realizar a identificação e o tratamento inicial dos riscos. Essa responsabilidade garante que os aspetos técnicos, requisitantes e administrativos sejam considerados, aumentando as chances de sucesso do certame.

front: (Inédita – Prof. ) As opções de tratamento de riscos, como evitar, reduzir, transferir ou aceitar, podem ser utilizadas de forma combinada e não se excluem mutuamente.
response: Correto
comment: O processo de tratamento permite que o gestor escolha mais de uma resposta para lidar com um mesmo risco, visando a maior eficácia possível. Por exemplo, pode-se reduzir a probabilidade de um erro técnico e, simultaneamente, transferir o impacto financeiro de uma falha através de uma cláusula de seguro no contrato.
Other fields (not shown on cards):
back: Correto - O processo de tratamento permite que o gestor escolha mais de uma resposta para lidar com um mesmo risco, visando a maior eficácia possível. Por exemplo, pode-se reduzir a probabilidade de um erro técnico e, simultaneamente, transferir o impacto financeiro de uma falha através de uma cláusula de seguro no contrato.

front: (Inédita – Prof. ) Conforme a IN SGD/ME 94/2022, na fase de seleção do fornecedor, o Mapa de Gerenciamento de Riscos deve ser atualizado obrigatoriamente pelo Integrante Requisitante.
response: Errado
comment: A norma estabelece que, durante a seleção do fornecedor, a atualização do mapa compete ao Integrante Administrativo, que deve contar com o apoio dos integrantes técnico e requisitante. Esta divisão ocorre porque o foco dessa fase são os riscos do processo licitatório em si, área de domínio do servidor administrativo
Other fields (not shown on cards):
back: Errado - A norma estabelece que, durante a seleção do fornecedor, a atualização do mapa compete ao Integrante Administrativo, que deve contar com o apoio dos integrantes técnico e requisitante. Esta divisão ocorre porque o foco dessa fase são os riscos do processo licitatório em si, área de domínio do servidor administrativo

front: (Inédita – Prof. ) Conforme a IN SGD/ME 94/2022, a atualização do Mapa de Gerenciamento de Riscos durante a execução do contrato deve ocorrer, pelo menos, uma vez por ano.
response: Correto
comment: O gerenciamento de riscos é um processo contínuo que não se encerra com a assinatura do contrato. A revisão anual obrigatória permite identificar novos riscos que surgem com as mudanças tecnológicas ou de mercado, garantindo que o plano de fiscalização permaneça atualizado e robusto. Vejamos o que prevê a IN. § 4º O Mapa de Gerenciamento de Riscos deve ser juntado aos autos do processo administrativo, pelo menos: I - ao final da elaboração do Termo de Referência; II - ao final da fase de Seleção do Fornecedor; III - uma vez ao ano, durante a gestão do contrato; e IV - após eventos relevantes.
Other fields (not shown on cards):
back: Correto - O gerenciamento de riscos é um processo contínuo que não se encerra com a assinatura do contrato. A revisão anual obrigatória permite identificar novos riscos que surgem com as mudanças tecnológicas ou de mercado, garantindo que o plano de fiscalização permaneça atualizado e robusto. Vejamos o que prevê a IN. § 4º O Mapa de Gerenciamento de Riscos deve ser juntado aos autos do processo administrativo, pelo menos: I - ao final da elaboração do Termo de Referência; II - ao final da fase de Seleção do Fornecedor; III - uma vez ao ano, durante a gestão do contrato; e IV - após eventos relevantes.

front: (Inédita – Prof. ) Para contratações com dedicação exclusiva de mão de obra, é obrigatório contemplar no gerenciamento de riscos o descumprimento de obrigações trabalhistas e previdenciárias.
response: Correto
comment: A inclusão deste risco específico visa proteger a Administração Pública de responsabilidades subsidiárias perante a justiça do trabalho. O tratamento desses riscos geralmente envolve ações de fiscalização administrativa rigorosa sobre a documentação de pagamento de encargos sociais pela contratada.
Other fields (not shown on cards):
back: Correto - A inclusão deste risco específico visa proteger a Administração Pública de responsabilidades subsidiárias perante a justiça do trabalho. O tratamento desses riscos geralmente envolve ações de fiscalização administrativa rigorosa sobre a documentação de pagamento de encargos sociais pela contratada.

front: (Inédita – Prof. ) As ações de contingência são medidas tomadas preventivamente para evitar que o risco se materialize.
response: Errado
comment: As ações de tratamento são as preventivas, enquanto as ações de contingência são executadas somente após a materialização do risco. A contingência serve para minimizar os danos de um evento que a Administração não conseguiu evitar, garantindo a continuidade mínima dos serviços de TI
Other fields (not shown on cards):
back: Errado - As ações de tratamento são as preventivas, enquanto as ações de contingência são executadas somente após a materialização do risco. A contingência serve para minimizar os danos de um evento que a Administração não conseguiu evitar, garantindo a continuidade mínima dos serviços de TI

front: (Inédita – Prof. ) O gerenciamento de riscos deve ser obrigatoriamente harmonizado com a Política de Gestão de Riscos própria do órgão ou entidade.
response: Correto
comment: A integração com a política institucional garante que os processos de contratação sigam os mesmos padrões éticos e níveis de apetite ao risco definidos pela alta gestão. Esse alinhamento deve ser registrado formalmente no próprio Mapa de Gerenciamento de Riscos para fins de governança e auditoria.
Other fields (not shown on cards):
back: Correto - A integração com a política institucional garante que os processos de contratação sigam os mesmos padrões éticos e níveis de apetite ao risco definidos pela alta gestão. Esse alinhamento deve ser registrado formalmente no próprio Mapa de Gerenciamento de Riscos para fins de governança e auditoria.

front: (Inédita – Prof. ) A identificação de riscos deve limitar-se exclusivamente às falhas tecnológicas da solução, ignorando riscos administrativos do processo de licitação.
response: Errado
comment: O processo de gestão de riscos deve ser abrangente, incluindo riscos do processo licitatório, da gestão contratual e do alcance dos resultados de negócio. Focar apenas na tecnologia é uma falha grave, pois erros administrativos podem levar ao fracasso do certame antes mesmo da entrega da solução
Other fields (not shown on cards):
back: Errado - O processo de gestão de riscos deve ser abrangente, incluindo riscos do processo licitatório, da gestão contratual e do alcance dos resultados de negócio. Focar apenas na tecnologia é uma falha grave, pois erros administrativos podem levar ao fracasso do certame antes mesmo da entrega da solução

front: (Inédita – Prof. ) O Estudo Técnico Preliminar (ETP) é considerado um instrumento que auxilia naturalmente no gerenciamento de riscos ao antecipar problemas e oportunidades.
response: Correto
comment: Ao realizar o ETP, a equipe de planeamento investiga o mercado e dimensiona as necessidades, o que permite prever cenários desfavoráveis. Esta atividade preparatória reduz a incerteza e fornece subsídios fundamentais para a elaboração de um mapa de riscos mais preciso e fundamentado.
Other fields (not shown on cards):
back: Correto - Ao realizar o ETP, a equipe de planeamento investiga o mercado e dimensiona as necessidades, o que permite prever cenários desfavoráveis. Esta atividade preparatória reduz a incerteza e fornece subsídios fundamentais para a elaboração de um mapa de riscos mais preciso e fundamentado.

front: (Inédita – Prof. ) Riscos de mercado, como a possibilidade de licitação deserta por preços defasados, não podem ser objeto de tratamento pela equipe de planeamento.
response: Errado
comment: Riscos de mercado devem ser ativamente geridos através de uma pesquisa de preços criteriosa e análise das condições de competitividade. Se houver risco de licitação deserta, a Administração pode tratar o problema reavaliando requisitos excessivos que encarecem a solução ou atualizando a estimativa de custos.
Other fields (not shown on cards):
back: Errado - Riscos de mercado devem ser ativamente geridos através de uma pesquisa de preços criteriosa e análise das condições de competitividade. Se houver risco de licitação deserta, a Administração pode tratar o problema reavaliando requisitos excessivos que encarecem a solução ou atualizando a estimativa de custos.

front: (Inédita – Prof. ) A definição de responsáveis pelas ações de tratamento e contingência é um elemento facultativo no Mapa de Gerenciamento de Riscos.
response: Errado
comment: A indicação clara de quais servidores ou unidades administrativas devem agir perante o risco é um componente obrigatório. Sem a definição de responsabilidade, as ações de tratamento tendem a não ser executadas, tornando o gerenciamento de riscos um documento meramente formal e ineficaz.
Other fields (not shown on cards):
back: Errado - A indicação clara de quais servidores ou unidades administrativas devem agir perante o risco é um componente obrigatório. Sem a definição de responsabilidade, as ações de tratamento tendem a não ser executadas, tornando o gerenciamento de riscos um documento meramente formal e ineficaz.

front: (Inédita – Prof. ) O Mapa de Gerenciamento de Riscos deve ser assinado exclusivamente pelo Gestor do Contrato em todas as fases do processo.
response: Errado
comment: Nas fases de planeamento e seleção, o documento é assinado pela Equipe de Planejamento da Contratação. O Gestor do Contrato e a equipe de fiscalização assumem a responsabilidade e a assinatura do mapa apenas durante a fase de gestão e execução contratual.
Other fields (not shown on cards):
back: Errado - Nas fases de planeamento e seleção, o documento é assinado pela Equipe de Planejamento da Contratação. O Gestor do Contrato e a equipe de fiscalização assumem a responsabilidade e a assinatura do mapa apenas durante a fase de gestão e execução contratual.

front: (Inédita – Prof. ) Eventos que comprometam a efetividade da contratação, impedindo o alcance dos resultados pretendidos com a TIC, devem ser identificados como riscos.
response: Correto
comment: A gestão de riscos não foca apenas em "erros", mas na garantia de que a solução entregará o valor esperado ao negócio. Riscos de a solução ser tecnologicamente correta mas funcionalmente inútil para o usuário final são críticos e devem ser priorizados no planeamento.
Other fields (not shown on cards):
back: Correto - A gestão de riscos não foca apenas em "erros", mas na garantia de que a solução entregará o valor esperado ao negócio. Riscos de a solução ser tecnologicamente correta mas funcionalmente inútil para o usuário final são críticos e devem ser priorizados no planeamento.

front: (Inédita – Prof. ) Na gestão de riscos das contratações de TI, é recomendável a utilização de mapas de riscos genéricos e padronizados para todos os contratos, independentemente da especificidade do objeto, visando a celeridade administrativa.
response: Errado
comment: Na verdade, a utilização de modelos genéricos é uma falha que não considera as especificidades de cada processo individual de contratação. É imperativo que os Mapas de Riscos incluam componentes relacionados ao objeto contratado específico para evitar uma abordagem superficial. Uma gestão de riscos eficaz permite priorizar contratos mais sensíveis em vez de dedicar atenção igual a itens de menor risco.
Other fields (not shown on cards):
back: Errado - Na verdade, a utilização de modelos genéricos é uma falha que não considera as especificidades de cada processo individual de contratação. É imperativo que os Mapas de Riscos incluam componentes relacionados ao objeto contratado específico para evitar uma abordagem superficial. Uma gestão de riscos eficaz permite priorizar contratos mais sensíveis em vez de dedicar atenção igual a itens de menor risco.

front: (Inédita – Prof. ) A métrica de Unidade de Serviço Técnico (UST) ou Unidade de Medida de Serviços (UMS) é considerada inadequada para a remuneração de serviços de TI que não geram resultados ou produtos aferíveis pelo ente contratante.
response: Correto
comment: O uso destas métricas em serviços intangíveis resulta em pagamentos não rastreáveis e aumenta o risco de remuneração por serviços não prestados. A falta de rastreabilidade é uma das falhas mais graves na gestão contratual de TI. Portanto, serviços que não geram produtos concretos não devem ser medidos por essas unidades sob pena de antieconomicidade.
Other fields (not shown on cards):
back: Correto - O uso destas métricas em serviços intangíveis resulta em pagamentos não rastreáveis e aumenta o risco de remuneração por serviços não prestados. A falta de rastreabilidade é uma das falhas mais graves na gestão contratual de TI. Portanto, serviços que não geram produtos concretos não devem ser medidos por essas unidades sob pena de antieconomicidade.

front: (Inédita – Prof. ) O controle da classificação e da mensuração das ordens de serviço de TI pode ser delegado à empresa contratada, desde que esta possua certificação técnica reconhecida pelo mercado.
response: Errado
comment: A legislação e as recomendações do TCU estabelecem que o controlo da medição é de responsabilidade exclusiva e indelegável do ente contratante. Delegar esta função à contratada cria um conflito de interesses, em que a empresa aprova a sua própria produção. O descumprimento deste preceito afronta o artigo 67 da Lei 8.666/1993 ou normas equivalentes na nova lei.
Other fields (not shown on cards):
back: Errado - A legislação e as recomendações do TCU estabelecem que o controlo da medição é de responsabilidade exclusiva e indelegável do ente contratante. Delegar esta função à contratada cria um conflito de interesses, em que a empresa aprova a sua própria produção. O descumprimento deste preceito afronta o artigo 67 da Lei 8.666/1993 ou normas equivalentes na nova lei.

front: (Inédita – Prof. ) A designação de servidores para a fiscalização de contratos de TI deve compreender os papéis de gestor, fiscal técnico, fiscal administrativo e fiscal requisitante e fiscal setorial.
response: Correto
comment: Pessoal, este modelo visa garantir a segregação de funções e a especialização da fiscalização em diferentes frentes do contrato. A legislação exige que os fiscais tenham ciência expressa das suas atribuições antes da designação formal. Em muitos casos auditados, a ausência desta estrutura foi apontada como uma irregularidade a ser corrigida.
Other fields (not shown on cards):
back: Correto - Pessoal, este modelo visa garantir a segregação de funções e a especialização da fiscalização em diferentes frentes do contrato. A legislação exige que os fiscais tenham ciência expressa das suas atribuições antes da designação formal. Em muitos casos auditados, a ausência desta estrutura foi apontada como uma irregularidade a ser corrigida.

front: (Inédita – Prof. ) A ocorrência do chamado "paradoxo do lucro-incompetência" em contratos de suporte de TI refere-se ao cenário em que o faturamento da empresa contratada aumenta proporcionalmente ao número de incidentes e falhas ocorridos na rede.
response: Correto
comment: Pessoal, este fenômeno ocorre quando o modelo de remuneração é baseado exclusivamente na quantidade de chamados resolvidos. Tal modelo desestimula a eficiência, pois a contratada lucra com a instabilidade do ambiente de TI da Administração. Para mitigar este risco, sugere-se a adoção de Acordos de Nível de Serviço (SLAs) que incentivem a redução de ocorrências.
Other fields (not shown on cards):
back: Correto - Pessoal, este fenômeno ocorre quando o modelo de remuneração é baseado exclusivamente na quantidade de chamados resolvidos. Tal modelo desestimula a eficiência, pois a contratada lucra com a instabilidade do ambiente de TI da Administração. Para mitigar este risco, sugere-se a adoção de Acordos de Nível de Serviço (SLAs) que incentivem a redução de ocorrências.

front: (Inédita – Prof. ) É facultado aos fiscais de contrato de TI realizar a aferição sistemática da qualidade dos serviços (SLAs), sendo esta uma atividade de caráter puramente discricionário do gestor público.
response: Errado
comment: A aferição sistemática da qualidade não é uma faculdade, mas uma obrigação legal dos responsáveis pela fiscalização. Esta avaliação é necessária para fundamentar o recebimento definitivo dos serviços e o respetivo pagamento. A falha ou ausência desta monitorização sistemática foi um dos problemas mais comuns detectados nas auditorias.
Other fields (not shown on cards):
back: Errado - A aferição sistemática da qualidade não é uma faculdade, mas uma obrigação legal dos responsáveis pela fiscalização. Esta avaliação é necessária para fundamentar o recebimento definitivo dos serviços e o respetivo pagamento. A falha ou ausência desta monitorização sistemática foi um dos problemas mais comuns detectados nas auditorias.

front: (Inédita – Prof. ) No âmbito da Lei nº 14.133/2021, as sanções administrativas nos Termos de Referência de TI devem limitar-se à reprodução integral das hipóteses previstas na lei, sem necessidade de detalhamento específico para o objeto.
response: Errado
comment: Pessoal, atenção! A definição das sanções deve considerar as especificidades de cada contratação individualmente. A mera cópia da lei é insuficiente e pode levar a incertezas e atrasos na aplicação de penalidades. É necessário tipificar cada sanção de acordo com as intercorrências possíveis do objeto contratado.
Other fields (not shown on cards):
back: Errado - Pessoal, atenção! A definição das sanções deve considerar as especificidades de cada contratação individualmente. A mera cópia da lei é insuficiente e pode levar a incertezas e atrasos na aplicação de penalidades. É necessário tipificar cada sanção de acordo com as intercorrências possíveis do objeto contratado.

front: (Inédita – Prof. ) A realização de uma reunião inicial com a empresa contratada, registada em ata, é um instrumento formal obrigatório que visa alinhar expectativas e esclarecer obrigações contratuais.
response: Correto
comment: Pessoal, esta etapa é fundamental para o início da execução e permite que o órgão apresente os mecanismos de fiscalização e estratégias de gestão. A ausência de atas de reunião inicial foi apontada como uma lacuna que dificulta a comunicação e a responsabilização da empresa. Além da reunião, documentos como o Termo de Compromisso são requisitos essenciais de integridade.
Other fields (not shown on cards):
back: Correto - Pessoal, esta etapa é fundamental para o início da execução e permite que o órgão apresente os mecanismos de fiscalização e estratégias de gestão. A ausência de atas de reunião inicial foi apontada como uma lacuna que dificulta a comunicação e a responsabilização da empresa. Além da reunião, documentos como o Termo de Compromisso são requisitos essenciais de integridade.

front: (Inédita – Prof. ) A carga de trabalho excessiva é considerada compatível com as boas práticas de governança se o servidor possuir formação técnica na área.
response: Errado
comment: Pessoal, totalmente incorreto. Na verdade, um grande volume de contratos é incompatível com o exercício zeloso das atribuições de fiscalização e com as boas práticas de governança. A sobrecarga compromete a efetiva ação fiscalizadora e aumenta o risco de não deteção de irregularidades contratuais. A autoridade competente assume riscos jurídicos ao designar servidores nestas condições de saturação.
Other fields (not shown on cards):
back: Errado - Pessoal, totalmente incorreto. Na verdade, um grande volume de contratos é incompatível com o exercício zeloso das atribuições de fiscalização e com as boas práticas de governança. A sobrecarga compromete a efetiva ação fiscalizadora e aumenta o risco de não deteção de irregularidades contratuais. A autoridade competente assume riscos jurídicos ao designar servidores nestas condições de saturação.

front: (Inédita – Prof. ) O Histórico de Gestão do Contrato deve conter o registo de todas as ocorrências positivas e negativas da execução, servindo para conferir transparência e subsidiar planeamentos futuros.
response: Correto
comment: Pessoal, a manutenção do Histórico de Gestão do Contrato garante que o conhecimento sobre o contrato permaneça à disposição das instâncias de controlo mesmo com a troca de servidores. Além disso, diminui o risco de conflitos com a contratada ao documentar factos relevantes de forma tempestiva. O TCU e a AGU recomendam a padronização deste documento para todos os órgãos vinculados.
Other fields (not shown on cards):
back: Correto - Pessoal, a manutenção do Histórico de Gestão do Contrato garante que o conhecimento sobre o contrato permaneça à disposição das instâncias de controlo mesmo com a troca de servidores. Além disso, diminui o risco de conflitos com a contratada ao documentar factos relevantes de forma tempestiva. O TCU e a AGU recomendam a padronização deste documento para todos os órgãos vinculados.