TCU Auditor Federal de Controle Externo - TI cheat sheet

Auditoria de conformidade verifica aderência a leis, normas e regulamentos; auditoria operacional avalia economicidade, eficiência, eficácia e efetividade da gestão.

Matriz de risco combina probabilidade e impacto; risco inerente existe antes dos controles, risco de controle decorre de falhas nos controles, risco de detecção é o não identificado pela auditoria.

Fases do processo: planejamento (define objetivo, escopo, questões e matriz de risco), execução (evidências e testes), relatório (achados e recomendações) e monitoramento.

Achado de auditoria contém quatro elementos: situação encontrada (critério versus condição), critério, causa e efeito; recomendação deve ser dirigida à causa.

Evidência deve ser suficiente, apropriada, relevante e confiável; evidência externa e documental é mais confiável que testemunhal; triangulação reforça a conclusão.

Técnicas de auditoria incluem inspeção documental, observação, entrevista, circularização (confirmação com terceiros), recálculo, reexecução e análise de dados.

Amostragem estatística permite extrapolar conclusões com margem de erro; amostragem por julgamento não permite projeção formal para o universo.

Materialidade define limiar de relevância; a soma de achados imateriais pode ser material em conjunto e deve ser considerada no relatório.

Governança pública é a capacidade de direção, controle e accountability; seus princípios incluem transparência, integridade, responsabilização, prestação de contas e foco no cidadão.

O Referencial Básico de Governança (TCU) organiza-se em mecanismos de liderança, estratégia e controle, cada um com componentes como ética, planejamento e gestão de riscos.

Três linhas de defesa: 1ª linha são os controles operacionais da gestão; 2ª linha são funções de supervisão e conformidade; 3ª linha é a auditoria interna independente.

Gestão de riscos segue o ciclo: identificar, avaliar (probabilidade × impacto), tratar (evitar, reduzir, transferir, aceitar), monitorar e comunicar.

Controles internos (COSO) têm cinco componentes: ambiente de controle, avaliação de riscos, atividades de controle, informação e comunicação, e monitoramento.

Accountability exige dever de prestar contas e responsabilização por resultados; distingue-se de transparência, que é a divulgação de informações.

Accountability vertical é exercida pela sociedade e pelo controle social; accountability horizontal é exercida por órgãos de controle e fiscalização.

Indicadores de governança devem ser mensuráveis, comparáveis e vinculados a objetivos estratégicos; o planejamento estratégico conecta objetivos, indicadores e metas.

Tomada de contas anual: o dirigente máximo de cada unidade jurisdicionada presta contas ao TCU por meio do relatório de gestão e peças complementares.

Tomada de contas especial (TCE) é instaurada por omissão no dever de prestar contas, desfalque, desvio ou irregularidade que cause dano ao erário.

Prestação de contas de convênio deve observar prazos e a correta aplicação dos recursos; a não comprovação da aplicação gera instauração de TCE.

Ciclo de gestão financeira: empenho (reserva da dotação), liquidação (verificação do direito do credor) e pagamento (quitação da obrigação).

Restos a pagar: processados são despesas empenhadas e liquidadas não pagas; não processados são empenhadas e não liquidadas até 31 de dezembro.

Receita pública percorre previsão, lançamento, arrecadação e recolhimento; estágios não cumpridos afetam a fidedignidade das demonstrações.

Demonstrações contábeis incluem balanços orçamentário, financeiro e patrimonial, demonstração das variações patrimoniais e fluxo de caixa.

Contas irregulares podem gerar multa, imputação de débito e declaração de inidoneidade em casos de fraude a licitação; contas regulares com ressalva indicam falhas formais sem dano.

Lei 14.133/2021: modalidades são pregão, concorrência, concurso, leilão e diálogo competitivo; dispensa e inexigibilidade são hipóteses de contratação direta.

Pregão é obrigatório para bens e serviços comuns; pode ser eletrônico ou presencial, com critérios de julgamento como menor preço ou maior desconto.

Critérios de julgamento: menor preço, maior desconto, melhor técnica ou conteúdo artístico, técnica e preço, maior lance (leilão) e maior retorno econômico (contrato de eficiência).

Fases do processo licitatório: preparatória, divulgação do edital, apresentação de propostas, julgamento, habilitação, recursal e homologação; a adjudicação precede a contratação.

Contratação direta por dispensa ocorre em hipóteses taxativas (art. 75), como valores abaixo dos limites ou situações emergenciais; inexigibilidade decorre de inviabilidade de competição (art. 74).

Contrato deve conter objeto, preço, prazos, condições de pagamento, garantias e sanções; alterações quantitativas observam limites de 25% (até 50% para reforma).

Fiscalização contratual é exercida por gestor e fiscal; o fiscal acompanha a execução e o gestor responde pela gestão administrativa do contrato.

Sanções administrativas incluem advertência, multa, impedimento de licitar (até 3 anos) e declaração de inidoneidade (3 a 6 anos), conforme gravidade.

Segurança da informação baseia-se na tríade confidencialidade, integridade e disponibilidade (CID); autenticidade e não repúdio complementam a proteção.

Criptografia simétrica usa uma única chave (rápida, exige canal seguro para troca); assimétrica usa par de chaves pública e privada; híbrida combina ambas.

Hash criptográfico (ex.: SHA-256) é função unidirecional de tamanho fixo usada para integridade; assinatura digital aplica a chave privada ao hash.

Autenticação multifator combina fatores de conhecimento, posse e biometria; senha isolada é fator único e insuficiente para sistemas críticos.

Controle de acesso segue princípios de menor privilégio e necessidade de conhecer; RBAC atribui permissões a papéis e não diretamente a usuários.

Gestão de incidentes segue ciclo de preparação, detecção, contenção, erradicação, recuperação e lições aprendidas; SIEM correlaciona logs para detecção.

Gestão de riscos de TI avalia ameaças, vulnerabilidades e impacto; plano de continuidade (PCN) difere de recuperação de desastres (DR) pelo foco na continuidade do negócio.

Governança de TI (COBIT) separa governança (avaliar, dirigir, monitorar) de gestão (planejar, construir, executar, monitorar); ITIL trata do ciclo de serviços.

Auditoria de conformidade verifica aderência a leis e normas; auditoria operacional avalia economicidade, eficiência, eficácia e efetividade da gestão.

Matriz de risco combina probabilidade e impacto; risco inerente antecede os controles, risco de controle decorre de falhas nos controles e risco de detecção é o não identificado pela auditoria.

Fases do processo: planejamento (objetivo, escopo, questões e matriz de risco), execução (evidências e testes), relatório (achados e recomendações) e monitoramento.

Achado de auditoria contém situação encontrada, critério, causa e efeito; a recomendação deve ser dirigida à causa do desvio.

Evidência deve ser suficiente, apropriada, relevante e confiável; evidência documental e externa é mais confiável que a testemunhal.

Técnicas incluem inspeção documental, observação, entrevista, circularização, recálculo, reexecução e análise de dados.

Amostragem estatística permite extrapolar conclusões com margem de erro; amostragem por julgamento não permite projeção formal ao universo.

Materialidade define o limiar de relevância; achados imateriais isolados podem ser materiais em conjunto e devem constar do relatório.

Governança pública é a capacidade de direção, controle e accountability; princípios incluem transparência, integridade, responsabilização e foco no cidadão.

O Referencial Básico de Governança (TCU) organiza-se em mecanismos de liderança, estratégia e controle, com componentes como ética, planejamento e gestão de riscos.

Três linhas de defesa: 1ª linha são controles operacionais da gestão; 2ª linha são funções de supervisão e conformidade; 3ª linha é a auditoria interna independente.

Gestão de riscos segue identificar, avaliar (probabilidade × impacto), tratar (evitar, reduzir, transferir, aceitar), monitorar e comunicar.

Controles internos (COSO) têm cinco componentes: ambiente de controle, avaliação de riscos, atividades de controle, informação e comunicação, e monitoramento.

Accountability exige prestar contas e responsabilização por resultados; distingue-se de transparência, que é a divulgação de informações.

Accountability vertical é exercida pela sociedade e pelo controle social; accountability horizontal é exercida por órgãos de controle e fiscalização.

Indicadores de governança devem ser mensuráveis, comparáveis e vinculados a objetivos estratégicos; o planejamento conecta objetivos, indicadores e metas.

Tomada de contas anual: o dirigente máximo de cada unidade jurisdicionada presta contas ao TCU por meio do relatório de gestão e peças complementares.

Tomada de contas especial (TCE) é instaurada por omissão no dever de prestar contas, desfalque, desvio ou irregularidade que cause dano ao erário.

Prestação de contas de convênio deve observar prazos e a correta aplicação dos recursos; a não comprovação gera instauração de TCE.

Ciclo da despesa: empenho (reserva da dotação), liquidação (verificação do direito do credor) e pagamento (quitação da obrigação).

Restos a pagar processados são despesas empenhadas e liquidadas não pagas; não processados são empenhadas e não liquidadas até 31 de dezembro.

Receita pública percorre previsão, lançamento, arrecadação e recolhimento; estágios não cumpridos afetam a fidedignidade das demonstrações.

Demonstrações contábeis incluem balanços orçamentário, financeiro e patrimonial, demonstração das variações patrimoniais e fluxo de caixa.

Contas irregulares podem gerar multa, imputação de débito e declaração de inidoneidade; contas regulares com ressalva indicam falhas formais sem dano.

Lei 14.133/2021: modalidades são pregão, concorrência, concurso, leilão e diálogo competitivo; dispensa e inexigibilidade são hipóteses de contratação direta.

Pregão é obrigatório para bens e serviços comuns; pode ser eletrônico ou presencial, com critérios como menor preço ou maior desconto.

Critérios de julgamento: menor preço, maior desconto, melhor técnica ou conteúdo artístico, técnica e preço, maior lance (leilão) e maior retorno econômico (contrato de eficiência).

Fases do processo licitatório: preparatória, divulgação do edital, apresentação de propostas, julgamento, habilitação, recursal e homologação; a adjudicação precede a contratação.

Contratação direta por dispensa ocorre em hipóteses taxativas (art. 75), como valores abaixo dos limites ou emergência; inexigibilidade decorre de inviabilidade de competição (art. 74).

Contrato deve conter objeto, preço, prazos, condições de pagamento, garantias e sanções; alterações quantitativas observam limites de 25% (até 50% para reforma).

Fiscalização contratual é exercida por gestor e fiscal; o fiscal acompanha a execução e o gestor responde pela gestão administrativa do contrato.

Sanções administrativas incluem advertência, multa, impedimento de licitar (até 3 anos) e declaração de inidoneidade (3 a 6 anos), conforme gravidade.

Segurança da informação baseia-se na tríade confidencialidade, integridade e disponibilidade (CID); autenticidade e não repúdio complementam a proteção.

Criptografia simétrica usa uma única chave e é rápida, mas exige canal seguro para troca; assimétrica usa par de chaves pública e privada; híbrida combina ambas.

Hash criptográfico (ex.: SHA-256) é função unidirecional de tamanho fixo usada para integridade; assinatura digital aplica a chave privada ao hash.

Autenticação multifator combina fatores de conhecimento, posse e biometria; senha isolada é fator único e insuficiente para sistemas críticos.

Controle de acesso segue menor privilégio e necessidade de conhecer; RBAC atribui permissões a papéis e não diretamente a usuários.

Gestão de incidentes segue preparação, detecção, contenção, erradicação, recuperação e lições aprendidas; SIEM correlaciona logs para detecção.

Plano de continuidade de negócios (PCN) foca na continuidade das operações; recuperação de desastres (DR) foca na restauração de infraestrutura e sistemas.

Governança de TI (COBIT) separa governança (avaliar, dirigir, monitorar) de gestão (planejar, construir, executar, monitorar); ITIL trata do ciclo de serviços.