Governança de contratação de nuvem sem avaliação de risco de saída
Um tribunal de contas recebe representação sobre a migração de sistemas críticos de um órgão para nuvem pública. O contrato, de R$ 27 milhões por 36 meses, foi assinado com dispensa de licitação fundamentada em inexigibilidade por fornecedor exclusivo. O órgão afirma que a solução é padrão de mercado e que a migração ocorreu em 90 dias. A equipe apurou que: o estudo técnico preliminar tem quatro páginas e não compara alternativas; não há avaliação de risco de dependência tecnológica nem plano de saída; dados pessoais de cidadãos são processados no exterior sem cláusula específica de transferência; o gestor do contrato acumula a função de fiscal técnico e de fiscal administrativo; e o pagamento é feito por medição mensal de disponibilidade autorreferida pelo fornecedor. O comitê de governança digital do órgão não se reuniu nos últimos 14 meses.
1. A inexigibilidade é sustentável? Analise os elementos que a equipe deve verificar antes de concluir pela irregularidade.
Read the worked answer
A inexigibilidade exige demonstração de que a competição é inviável, não apenas inconveniente. O caso apresenta indícios fortes de fragilidade: estudo técnico preliminar de quatro páginas sem comparação de alternativas não demonstra inviabilidade; a alegação de exclusividade precisa ser confrontada com o mercado, inclusive com soluções equivalentes de outros provedores e com alternativas de nuvem privada ou híbrida.
A equipe deve verificar se houve pesquisa de preços e de fornecedores, se o objeto foi descrito de forma que restrinja a competição por características desnecessárias, e se a justificativa de exclusividade se baseia em documento do próprio fornecedor ou em análise independente. Também deve checar se a contratação de nuvem pública exige, no caso concreto, avaliação de risco de segurança da informação e de transferência internacional de dados, o que não substitui nem confirma a inexigibilidade, mas integra o dever de planejamento.
A conclusão deve separar três planos: legalidade do enquadramento, qualidade do planejamento e execução contratual. A ausência de plano de saída e de avaliação de dependência tecnológica não torna automaticamente ilegal a inexigibilidade, mas evidencia falha de governança e de gestão de riscos que deve gerar determinação e recomendação, além de apuração de responsabilidade se houver dano.
2. Que fragilidades de controle interno a equipe deve consolidar como achado, e como priorizá-las?
Read the worked answer
As fragilidades se agrupam em quatro eixos. Primeiro, planejamento: estudo técnico preliminar sem alternativas e sem análise de riscos de dependência e de saída. Segundo, proteção de dados: processamento no exterior sem cláusula específica, o que exige verificação das hipóteses legais de transferência e das garantias contratuais. Terceiro, segregação de funções: o mesmo servidor acumula fiscalização técnica e administrativa, reduzindo a capacidade de contraditório interno. Quarto, mensuração: pagamento por disponibilidade autorreferida sem validação independente permite que o fornecedor determine o próprio pagamento. Some-se a isso a inoperância do comitê de governança digital por 14 meses, que retira a instância de supervisão.
A priorização deve combinar materialidade (R$ 27 milhões e criticidade dos sistemas), risco (dados pessoais e dependência de fornecedor) e probabilidade de ocorrência. O pagamento autorreferido e a ausência de plano de saída têm prioridade alta porque afetam diretamente o erário e a continuidade do serviço. A segregação de funções e a inoperância do comitê são falhas de controle que habilitam as demais e devem ser tratadas como causa, não apenas como sintoma. O relatório deve ligar cada achado a um critério, a uma evidência e a um efeito concreto, evitando recomendações genéricas como 'fortalecer a governança' sem destinatário e prazo.