Um índice ajuda a encontrar perguntas; evidência ajuda a respondê-las
O IEG-M do Tribunal de Contas do Estado de São Paulo oferece uma leitura comparável de sete dimensões da gestão municipal, entre elas planejamento e governança em tecnologia da informação. As respostas vêm das administrações municipais. O TCESP informa que valida essas informações por amostragem. O índice serve para diagnosticar capacidades, acompanhar resultados e apoiar a seleção de temas para a fiscalização. Ele não certifica, por si só, que cada política existe, está implantada e funciona em todos os órgãos e sistemas.
Essa diferença muda a forma de usar o resultado. Uma resposta positiva sobre política de segurança pode indicar uma prática declarada. Para demonstrar que ela opera, é preciso localizar a aprovação, identificar quem responde por ela, verificar se alcança os sistemas relevantes e testar controles como concessão e retirada de acessos, segregação de funções, registro de operações e restauração de cópias de segurança.
O IEG-M, portanto, é uma ferramenta diagnóstica. Auditoria e fiscalização têm outro propósito: examinar um objeto delimitado com critérios, evidências e procedimentos próprios, para sustentar achados e conclusões. Podem usar amostras, cruzamentos de dados, inspeção e testes. A amostragem também aparece na validação do IEG-M, mas isso não torna o índice uma auditoria completa. O próprio TCESP descreve os exames de contas como seletivos e orientados por critérios, e usa análise de risco para escolher itens que serão verificados em campo.
Do requisito à prova
No SIAFIC, o Decreto Federal nº 10.540/2020 estabelece requisitos concretos. Entre eles estão a segregação de funções, os registros das operações dos usuários, a proteção contra acesso direto não autorizado à base e cópias de segurança que permitam recuperação após incidente ou falha. O decreto define o que precisa ser assegurado; não obriga a Prefeitura a adotar ISO/IEC 27001 nem um produto tecnológico específico.
As normas ISO/IEC e o NIST ajudam a organizar a resposta. A ISO/IEC 27001 estrutura um sistema de gestão da segurança da informação baseado em riscos. A ISO/IEC 27002 orienta a escolha de controles, enquanto a ISO/IEC 27005 trata da gestão de riscos de segurança. O NIST CSF 2.0 organiza resultados de governança, identificação, proteção, detecção, resposta e recuperação. São referências para transformar obrigações e riscos em responsabilidades, controles e rotinas. A certificação ISO é uma decisão separada da implementação de um sistema de gestão.
Uma verificação útil mantém distintos quatro níveis: o município declarou uma prática; aprovou uma regra; implantou o controle; e demonstrou que ele funciona. Por exemplo, uma política de backup só ganha força operacional quando os registros mostram cópias protegidas e periódicas, e um teste de restauração comprova que os dados podem ser recuperados no prazo necessário. A mesma lógica vale para acessos: política, matriz de responsabilidades, configuração no sistema e revisão documentada respondem a perguntas diferentes.
O estudo de cruzamento entre SIAFIC, ISO/IEC 27000, NIST e IEG-M mostra que uma ação bem desenhada pode atender a mais de um objetivo. Uma matriz de acessos pode apoiar a segregação prevista no decreto, materializar controles de segurança e fornecer evidência para a governança de TI. Isso é convergência de práticas; não é prova automática de conformidade. A evidência precisa ser examinada no contexto, no sistema e no período a que a conclusão se refere.
Confiança para executar projetos
Investidores, financiadores e parceiros que avaliam um projeto municipal precisam entender quem decide, como o dinheiro será acompanhado, como riscos serão tratados e o que acontece se um sistema ou serviço falhar. Uma Prefeitura que mantém contratos, dados, responsabilidades, controles e resultados documentados reduz incertezas durante a análise e a execução. Isso não garante investimento nem substitui a viabilidade econômica, jurídica e ambiental do projeto. Ajuda, porém, a demonstrar que o município consegue governar compromissos, prestar contas e corrigir desvios.
Essa capacidade ganha peso em projetos estratégicos que atravessam gestões ou dependem de vários órgãos, como concessões, parcerias, transformação digital e infraestrutura. Sem inventário de sistemas, plano de continuidade, trilhas de auditoria e gestão de riscos, a diligência tende a encontrar lacunas difíceis de resolver depois da contratação. Com responsabilidades claras e evidências atualizadas, o parceiro pode avaliar melhor os riscos e acompanhar as entregas com critérios previamente definidos.
O trabalho começa antes da busca por recursos: mapear os ativos e processos críticos, atribuir responsáveis, relacionar riscos a controles, registrar evidências e testar a recuperação dos serviços. O IEG-M pode apontar onde investigar primeiro. A fiscalização pode aprofundar questões selecionadas. Cabe à gestão manter os controles em funcionamento e os registros prontos para demonstrá-lo. Essa rotina dá ao município uma base mais confiável para decidir, contratar e sustentar projetos de longo prazo.
Fontes e limites
- Decreto Federal nº 10.540/2020.
- Manual IEG-M 2025 do TCESP.
- TCESP: validação por amostragem das informações do IEG-M.
- Resolução do TCESP sobre exames de contas.
- ISO/IEC 27001, ISO/IEC 27002 e ISO/IEC 27005.
- NIST Cybersecurity Framework 2.0.
A afirmação sobre validação por amostragem refere-se ao IEG-M do TCESP, conforme publicação institucional. Os procedimentos de uma fiscalização específica dependem de seu objeto e planejamento. A relação entre gestão verificável e confiança de investidores é uma análise de governança: não se afirma que a existência de controles, por si só, assegure aporte ou participação.