Uma empresa com ações em bolsa nos Estados Unidos não pode apenas dizer que seus controles financeiros funcionam. A Lei Sarbanes-Oxley, de 2002, exige que a administração avalie e declare a eficácia dos controles internos sobre a informação financeira (seção 404(a)) e, para as maiores companhias, que um auditor independente ateste essa avaliação (seção 404(b)). O mercado não aceita a palavra da diretoria. Aceita a palavra da diretoria conferida por alguém de fora.
Uma prefeitura brasileira tem, desde 2023, uma obrigação muito parecida: o SIAFIC, o sistema único e integrado de orçamento, finanças e contabilidade do Decreto Federal nº 10.540/2020. O que ela não tem é a segunda metade da equação. Ela declara ao Tribunal de Contas, e o Tribunal confere uma parte.
Este artigo faz duas coisas. Mostra que o SIAFIC é, na prática, a versão pública do COSO, o modelo de controle interno que sustenta a governança corporativa. E faz uma provocação: se o critério usado para pontuar o IEGM fosse o de uma auditoria, e não o de um diagnóstico, quanto da nota se sustentaria?
O que é o COSO, em uma frase
O COSO, comitê formado por entidades de contabilidade e auditoria dos Estados Unidos, publicou em 2013 o modelo de referência de controle interno mais usado no mundo. Ele tem cinco componentes (ambiente de controle, avaliação de riscos, atividades de controle, informação e comunicação, e monitoramento) e 17 princípios. A regra que importa: um sistema de controle interno só é efetivo se cada princípio estiver "presente, em funcionamento e operando de forma integrada". Não basta existir no papel.
No Brasil, a Instrução Normativa Conjunta MP/CGU nº 1, de 10/05/2016, adotou os mesmos cinco componentes para o Poder Executivo federal (art. 11) e deixou claro de quem é a responsabilidade: da alta administração (art. 12). Os controles internos são a "primeira linha de defesa"; a auditoria interna é a terceira, e os dois "não devem ser confundidos" (arts. 3º e 7º).
O paralelo: cada componente do COSO tem um artigo no SIAFIC
| Componente do COSO 2013 | Princípio de referência | O que o SIAFIC exige | Onde o IEGM pergunta |
|---|---|---|---|
| Ambiente de controle | Estruturas, autoridades e responsabilidades definidas pela administração (princípio 3); responsabilização (princípio 5) | O Executivo define as regras contábeis e as políticas de acesso e segurança (art. 1º, §3º); autonomia dos Poderes por perfil de acesso (art. 1º, §4º) | Contador efetivo (i-Fiscal 2.0); controle interno instituído e autônomo (i-Plan 14.0 e 14.4.4); política de segurança (i-Gov TI 3.0) |
| Avaliação de riscos | Identificar e analisar riscos (princípio 7); considerar fraude (princípio 8) | Base protegida contra acesso direto e manipulação (art. 14), o que pressupõe conhecer o risco | Riscos de TIC pela ISO 27000 e ISO 31000 (i-Gov TI 3.2 e 3.3) |
| Atividades de controle | Controles gerais sobre a tecnologia (princípio 11); políticas e procedimentos (princípio 12) | Segregação de funções e login por CPF, sem usuário genérico (art. 11); registro de cada inclusão, exclusão e alteração (art. 12); logs (art. 14, §2º); backup preferencialmente diário (art. 15); correção por novo lançamento (art. 5º) | Permissões segregadas com identificação (i-Fiscal 1.5.1); controle de acesso por sistema (i-Gov TI 8.4); política de backup (3.5) |
| Informação e comunicação | Informação relevante e de qualidade (princípio 13); comunicação externa (princípio 15) | Integridade, confiabilidade, auditabilidade e disponibilidade (art. 9º, II); plano de contas nacional (art. 1º, §1º, VIII); tempo real até o dia útil seguinte (art. 2º, IX, e art. 7º) | Receita e despesa em tempo real (i-Fiscal 19.0 e 20.0); integração com a contabilidade (i-Gov TI 8.2) |
| Monitoramento | Avaliações contínuas ou independentes (princípio 16); comunicar deficiências (princípio 17) | Registros de operação consultáveis por usuários autorizados (art. 12) | Relatórios do controle interno e acompanhamento de providências (i-Plan 14.4.5 a 14.4.5.1.1) |
A correspondência entre componentes do COSO e artigos do decreto é leitura da Ana Smart. O decreto não cita o COSO.
O paralelo vai além da tabela. Na empresa, o conselho cobra da diretoria e o auditor externo atesta. Na prefeitura, o prefeito responde, o controle interno verifica e o Tribunal de Contas faz o papel do auditor externo. A arquitetura é a mesma. A diferença está no que o "auditor externo" faz com a declaração.
Diagnosticar não é auditar
Hoje, o IEGM funciona como diagnóstico.
TCESP, notícia de 06/02/2023. As informações do IEG-M "são fornecidas pelas administrações municipais e validadas, por amostragem, pelas equipes de Fiscalização do TCESP".
Um diagnóstico pergunta, soma e compara. Uma auditoria parte de um critério, exige evidência e conclui. As Normas Brasileiras de Auditoria do Setor Público, editadas pelo Instituto Rui Barbosa a partir das normas internacionais da Intosai, descrevem a diferença.
IRB, NBASP 100, Princípios Fundamentais de Auditoria do Setor Público. A asseguração razoável é "alta, mas não absoluta", com conclusão positiva sobre a conformidade em todos os aspectos relevantes. A asseguração limitada conclui apenas que nada chamou a atenção do auditor. A evidência deve ser "suficiente (quantidade) para persuadir uma pessoa bem informada" e apropriada: relevante, válida e confiável. É materialmente relevante o que "é suscetível de influenciar as decisões dos usuários previstos".
| Diagnóstico (IEGM hoje) | Auditoria (critério proposto) | |
|---|---|---|
| Quem mede | O próprio município, por questionário | O auditor, a partir de critério definido |
| O que vale como resposta | A declaração | A declaração sustentada por evidência suficiente e apropriada |
| Verificação | Amostral, por seleção do Tribunal | Por risco e materialidade, com testes planejados para cada afirmação relevante |
| Coerência entre respostas | Não testada pela pontuação | Primeiro teste a ser feito |
| Resultado | Nota e faixa | Conclusão com nível de asseguração, achados e recomendações |
| Equivalente corporativo | Autoavaliação da diretoria | Autoavaliação mais atestação independente (SOX 404(b)) |
O método, aplicado ao IEGM
Uma auditoria do IEGM sob critério de evidência seguiria cinco passos:
- Critério. O enunciado do quesito e a norma por trás dele (por exemplo, o art. 15 do decreto para backup).
- Evidência exigida por resposta. Para cada "Sim", o que prova: ato publicado, documento vigente no exercício, configuração do sistema, registro de operação, teste executado.
- Teste de coerência. As respostas se contradizem entre si? Esse teste é barato, automático e já elimina parte das declarações.
- Teste de controle, por amostra. Lista de usuários ativos (há genéricos?), amostra de logs (as alterações têm CPF, data e hora?), restauração de backup (a base volta?), conferência do balanço consolidado.
- Conclusão. O ponto só é mantido quando a evidência sustenta a resposta. O que não se sustenta vira achado.
A provocação: quanto se perderia
Não há auditoria do IEGM para mostrar. Mas há o que a Ana Smart já encontrou nas próprias respostas e nos documentos públicos dos 644 municípios paulistas, exercício 2024. Os números abaixo são simulação: aplicam um critério de auditoria às evidências que conseguimos localizar entre setembro e outubro de 2026.
1. O plano de tecnologia que não aparece
O bloco do PDTIC no i-Gov TI vale 120 dos 1.000 pontos da dimensão: o plano (quesito 2.0, 40 pontos), o link (2.1, 20), o conteúdo (2.2, 40) e a data de atualização (2.3, 20).
Ana Smart, Estudo Tecnologia, base documental de 08/10/2026. 236 municípios declararam ao TCESP possuir PDTIC vigente. Em 115 deles, a Ana Smart localizou e leu um plano próprio com vigência cobrindo 2024. Nos outros 121 (51,3%), não: 76 têm plano com vigência posterior ou não declarada, 25 têm documento que não pôde ser lido, 12 têm plano encerrado antes de 2024, 6 não tiveram plano localizado após busca manual e 2 apresentaram documento que não é PDTI.
Sob critério de auditoria, esses 121 municípios perderiam até 120 pontos no i-Gov TI. A consequência para quem está no topo é aritmética: a faixa A exige 90% da nota máxima, ou 900 pontos. Quem perde 120 pontos fica com no máximo 880. Dos 38 municípios paulistas com i-Gov TI A, 16 (42,1%) deixariam a faixa A. Entre os 86 com B+, 35 perderiam os mesmos 120 pontos e poderiam cair para B.
Mesmo no cenário mais brando, que aceita qualquer documento confirmado e só retira o ponto de quem não apresentou plano algum, 45 municípios perderiam o bloco, e 5 dos 38 com nota A sairiam da faixa.
E o link? Na varredura de 13/09/2026, 48 dos 236 links de PDTIC informados ao Tribunal estavam inacessíveis (20,3%). Vinte e um desses municípios tinham i-Gov TI A ou B+. O questionário pergunta o link; não testa o link.
2. Respostas que se contradizem
O quesito i-Gov TI 8.1 pergunta quais sistemas a prefeitura possui. Os quesitos 8.2 a 8.4 perguntam quais estão integrados à contabilidade, sob gestão direta e com controle de acesso.
Ana Smart, Estudo Tecnologia, IEG-M 2025, exercício 2024. 192 municípios (29,8%) fazem ao menos uma declaração sobre um sistema que, no quesito anterior, disseram não possuir. Somam 601 declarações. Em 73 municípios, um sistema inexistente aparece integrado à contabilidade; em 133, um sistema inexistente aparece com controle de acesso. A área com mais casos é precatórios (55 municípios).
E no i-Fiscal: dos 16 municípios que respondem que os dados de transparência fiscal não são divulgados na página eletrônica (quesito 18.0), 12 respondem que divulgam receitas ou despesas em tempo real (19.0 e 20.0). Pode haver explicação, como um portal separado. Numa auditoria, é a primeira pergunta.
3. Documentos públicos que não abrem
Quarenta quesitos do IEG-M pedem o link de um documento publicado. A instrução de preenchimento do TCESP manda escrever "XYZ" quando o documento não está na internet, e isso já custa o ponto do quesito. Onze municípios declararam PDTIC vigente e escreveram XYZ no link, ou seja, declararam formalmente que o plano não está publicado.
Ana Smart, auditoria técnica de links, 13 e 14/09/2026. Em 39 quesitos de publicação fora do i-Gov TI, foram declaradas 9.439 URLs únicas. 1.142 (12,1%) responderam erro 404 ou 410.
4. O que o SIAFIC coloca em jogo
No i-Gov TI, os quesitos ligados ao SIAFIC que dependem de um documento ou de um controle funcionando somam 340 pontos: política de segurança (3.0, 50 pontos), termo de responsabilidade (3.1, 20), assinatura eletrônica no termo (3.1.1, 40), riscos pela ISO 31000 (3.3, 30), plano de continuidade (3.4, 30), política de backup (3.5, 30), inventário de ativos (3.6, 20), softwares de gestão (8.0, 40) e integração da dívida ativa e dos precatórios com a contabilidade (8.2.1, 50, e 8.2.2, 30). Com o bloco do PDTIC, são 460 dos 1.000 pontos. Hoje, todos valem pela declaração.
Não temos como medir quanto desses 460 pontos se sustentaria, porque a evidência de controle em funcionamento (logs, usuários, restauração) não é pública. Mas sabemos que, mesmo na declaração, só 136 dos 644 municípios passam nos cinco sinais mínimos do SIAFIC observáveis no IEGM.
Limite. A simulação usa evidências localizadas em 2026. Não encontrar um documento não prova que ele não existia quando a resposta foi enviada, e uma contradição entre respostas pode ter explicação. O IEGM continua sendo o instrumento oficial; a simulação mostra o que mudaria com outro critério, não que as notas estejam erradas.
Por que isso importa: a nota que dá falso conforto
O dado mais incômodo não é a perda de pontos. É o que a nota atual esconde. Entre os 124 municípios paulistas com i-Gov TI A ou B+, 77 (62,1%) seguem com IEGM geral em C ou C+. A nota de governança de tecnologia mede declaração e documento. Não mede funcionamento.
Na empresa, a diferença entre declarar e provar tem nome: é o que separa um relatório da diretoria de um parecer de auditoria. É também o que separa uma empresa que capta a custo baixo de uma que paga prêmio de risco.
E se a prefeitura se auditasse antes do Tribunal? Quanto investimento atrairia?
Nenhuma fonte publicada mede quantos reais um município atrai por adotar critério de auditoria. Por isso a Ana Smart fez uma simulação, com premissas declaradas, a partir de um projeto real e dos dados dos 644 municípios paulistas.
A simulação
O projeto. Uma PPP de iluminação pública com os parâmetros do modelo que o BNDES estruturou para Joinville (fevereiro de 2023): R$ 3.232,69 de investimento por ponto, 22 anos de contrato e custo de capital real de 8,42%. Aplicada a um município paulista médio típico (45.813 habitantes e RCL de R$ 245,9 milhões, as medianas dos 212 municípios médios), são cerca de 4.581 pontos e R$ 17,2 milhões de investimento.
A premissa. O investidor cobra um prêmio pelo que não consegue verificar: zero no município que prova o que declara, 1,5 ponto percentual no que declara de forma coerente e 3 pontos no que tem lacunas ou contradições. A ordem de grandeza tem duas âncoras: o próprio modelo do BNDES embute 1,78% de risco de crédito no custo da dívida, e o risco país brasileiro caiu cerca de 74 pontos-base com a melhora da credibilidade fiscal em 2023, segundo o FGV IBRE.
O que acontece:
| Prova o que declara | Declara de forma coerente | Declara com lacunas ou contradições | |
|---|---|---|---|
| Contraprestação anual da mesma PPP | R$ 2,38 milhões | R$ 2,60 milhões | R$ 2,82 milhões |
| Custo a mais em 22 anos | R$ 4,7 milhões | R$ 9,6 milhões | |
| Valor para o investidor, ao preço de mercado | Remunera o capital | Perde 10,6% do investimento | Perde 19,5% do investimento |
| Investimento privado que o limite legal de 5% da RCL sustenta | R$ 88,6 milhões | R$ 81,3 milhões | R$ 74,9 milhões |
Ao mesmo preço, o projeto que fecha no município auditável destrói de 10% a 20% do capital no município que só declara. Na prática, isso vira licitação deserta, proposta única ou contraprestação mais cara.
Em São Paulo inteiro. Classificando os 644 municípios pelo que suas respostas e documentos permitem verificar hoje (38 com prova, 236 coerentes, 370 com lacunas ou contradições), o limite legal de 5% da RCL sustenta R$ 64,2 bilhões em investimento privado. Se todos provassem o que declaram, o mesmo limite sustentaria R$ 72,0 bilhões: R$ 7,8 bilhões a mais, sem gastar um real além do que a lei já permite.
Onde o investidor procura. Dos 253 municípios paulistas com mais de 20 mil habitantes, 80 passam nos cinco sinais mínimos do SIAFIC, 27 também têm plano de tecnologia vigente comprovado e 22 não têm contradições nas respostas. É a lista curta de quem precisa escolher.
Limite. O prêmio de risco é premissa, não medida publicada; os arquétipos aproximam uma auditoria a partir de dados autodeclarados; os R$ 7,8 bilhões são teto de capacidade, não previsão. Premissas, cálculos e sensibilidade estão no documento da simulação.
Por onde o dinheiro entra
A simulação trata de PPP. Os outros caminhos também passam pela qualidade da informação que o SIAFIC produz:
Crédito com garantia da União. A Capacidade de Pagamento (Capag) do Tesouro Nacional avalia endividamento, poupança corrente e liquidez dos municípios que pedem empréstimos garantidos pela União, e usa como fonte principal os dados enviados ao Siconfi. Esses dados saem do SIAFIC.
Prefeitura de Belo Horizonte, 15/09/2025, ao receber o primeiro lugar no Prêmio de Qualidade da Informação Contábil e Fiscal do Tesouro. "A obtenção de nota geral A ou B na Capag é fundamental para que o ente receba garantia do Tesouro Nacional."
Crédito e parcerias com o setor privado.
Banco Mundial, orientação sobre parcerias municipais e subnacionais. "Sound financial management is often critical to the creditworthiness of subnational entities": uma gestão financeira sólida costuma ser decisiva para a capacidade de crédito dos governos locais. E "creditworthiness depends on a credible, capital investment program", ou seja, a capacidade de crédito depende de um programa de investimentos crível.
OCDE, nota da sessão "Financing green projects in regions and cities", 14/11/2018. O investimento privado é difícil de atrair "in particular at the subnational level, given capacity constraints and lack of creditworthiness of subnational governments", isto é, sobretudo no nível subnacional, por limitações de capacidade e falta de capacidade de crédito dos governos locais.
Diligência de parceiros. Em uma concessão ou PPP, o parceiro privado examina contratos, dados, responsabilidades e riscos antes de assinar. Cada lacuna encontrada vira prazo, garantia adicional ou preço.
Leitura. A auditoria não traz o investimento. Ela retira o desconto que o investidor aplica sobre o que não consegue verificar. Num município que prova o que declara, a conversa com o Tesouro, o banco de fomento e o parceiro privado começa da evidência, e não da desconfiança. O ganho pode ser calculado, mas projeto a projeto, com linha de base, custo de capital e cronograma. Para essa conta, o caminho é a ficha de viabilidade de cada projeto, e não uma promessa genérica.
DIRECITY GOV: a inteligência que sustenta e multiplica a capacidade de governar
O SIAFIC registra o dinheiro. O COSO organiza o controle. Falta a camada que liga uma coisa à outra e transforma a declaração em evidência: quem decidiu, qual política vale, em que sistema ela está configurada, quem responde por ela, quando foi testada e onde está a prova.
É essa camada que o DIRECITY GOV ocupa. A plataforma busca automaticamente dados em fontes oficiais (IEGM, SIAFIC, ATRICON, LGPD, ISO, ODS, plano de governo), confronta as respostas entre si para achar as contradições antes do Tribunal, liga cada quesito à norma e à evidência que o sustenta, e conduz o plano de ação com meta, prazo, responsável e status. É uma tecnologia que não aparece para o gestor: ele vê o que precisa decidir, não a complexidade do que está por trás.
Sustenta, porque mantém o controle funcionando entre um questionário e outro, e entre uma gestão e outra. Multiplica, porque uma mesma evidência serve ao IEGM, ao SIAFIC, à LGPD, ao Tesouro e ao parceiro privado, e porque cada projeto sai com viabilidade calculada e risco mapeado. É a diferença entre uma prefeitura que responde ao Tribunal e uma prefeitura pronta para ser auditada.
O DIRECITY GOV não é o SIAFIC, não audita o município e não substitui o controle interno, o Tribunal de Contas, a decisão do gestor nem o parecer da procuradoria. Ele prepara a prefeitura para que qualquer um deles encontre a prova onde ela deve estar.
Leia também: Sua cidade realmente está cumprindo o SIAFIC? | SIAFIC, dependência tecnológica e governança | Estudo SIAFIC e IEGM | Simulador: como está o seu município | IEGM: o guia completo
Fontes
- Decreto Federal nº 10.540/2020
- COSO, componentes e princípios do Internal Control: Integrated Framework (2013), conforme o Fraud Risk Management Guide, Executive Summary, COSO e ACFE, 2016
- Instrução Normativa Conjunta MP/CGU nº 1, de 10/05/2016
- IRB, NBASP 100, Princípios Fundamentais de Auditoria do Setor Público
- TCESP, notícia de 06/02/2023 sobre o IEG-M e a validação por amostragem
- TCESP, Questionário Principal do IEG-M 2025, exercício 2024, com os pesos de cada quesito
- Tesouro Transparente, Capacidade de Pagamento (Capag)
- Prefeitura de Belo Horizonte, Prêmio de Qualidade da Informação Contábil e Fiscal, 15/09/2025
- OCDE, Session Note: Financing Green Projects in Regions and Cities, 14/11/2018
- Banco Mundial, parcerias municipais e subnacionais
- BNDES, PPP de Iluminação Pública de Joinville, Relatório Econômico-Financeiro Final, fevereiro de 2023
- FGV IBRE, Boletim Macro, junho de 2023
- Lei nº 11.079/2004, art. 28
- Ana Smart Solutions, Simulação: quanto vale, para o investidor, um município que prova o que declara (19/10/2026)
- Ana Smart Solutions, Estudo Tecnologia (IEG-M 2025, exercício 2024; base documental de 08/10/2026; auditoria de links de 13 e 14/09/2026; inconsistências entre os quesitos 8.1 a 8.4) e Estudo SIAFIC e IEGM (19/10/2026)
Anexo técnico: Simulação completa de investimento e risco de governança
Confira a memória de cálculo completa, as premissas ancoradas na PPP de Joinville (BNDES) e a análise de sensibilidade para os 644 municípios paulistas: