Toda prefeitura brasileira tem um sistema de contabilidade. Quase nenhuma o desenvolveu. O SIAFIC, o sistema único que a lei exige desde 2023, é na imensa maioria dos municípios um contrato com uma empresa. Isso não é ilegal nem errado. O Decreto Federal nº 10.540/2020 permite ao Executivo contratar ou desenvolver o sistema.
O que o decreto não permite é terceirizar a responsabilidade.
O que a lei deixa com a prefeitura
Decreto nº 10.540/2020, art. 1º, §3º. Cabe ao Poder Executivo contratar ou desenvolver o SIAFIC, mantê-lo e atualizá-lo, e definir as regras contábeis e as políticas de acesso e segurança da informação.
O artigo 14 completa: o acesso direto ao banco de dados é restrito a administradores identificados por CPF e vinculados a termo de responsabilidade; a manipulação da base é vedada; cada operação fica em log; e os administradores respondem individualmente.
Em outras palavras: a empresa pode operar o sistema, mas quem decide quem acessa, quem administra o banco e o que fica registrado é a prefeitura. Quando a prefeitura não decide, alguém decide por ela.
O tamanho da dependência
TCE-PI, levantamento sobre o SIAFIC municipal, 25/08/2025, 208 prefeituras. "Em 97,94% dos casos (95 municípios), o sistema utilizado foi contratado de terceiros." Em 53,62% dos municípios, a própria fornecedora também administra o sistema. "Quatro empresas respondem por mais de 60% dos contratos analisados."
USP, na aula da Escola Paulista de Contas Públicas do TCESP, 23/05/2025. Em pesquisa de 2024 com 150 municípios, o tempo médio de uso do mesmo SIAFIC terceirizado, sem troca, ficou entre 11 e 14 anos.
Nota: no TCE-PI, as respostas são declaratórias e o denominador dos 53,62% não é explicitado. Na USP, amostra pequena e não probabilística, dado dito em aula.
Em São Paulo, o IEGM traz uma pergunta que vai ao ponto. O quesito i-Gov TI 8.3 pergunta quais bases de dados estão sob gestão direta da prefeitura, "sem que empresa terceira possa mudar o dado sem conhecimento do ente".
Ana Smart, Estudo SIAFIC e IEGM, 19/10/2026, IEG-M 2025, exercício 2024. 42 dos 637 municípios paulistas com software de gestão não marcam a contabilidade entre as bases sob gestão direta. Seis deles estão entre os 41 maiores municípios do estado.
E a capacidade de fiscalizar o contrato é pequena: 155 municípios paulistas (24,1%) declaram não ter setor de TI, e entre os que têm, 79 não contam com nenhum servidor concursado na área.
O alerta do Tesouro
Tesouro Nacional, mesma aula do TCESP. Leandro Souto alertou que empresas que vendem software só para câmaras têm interesse econômico em dizer que o SIAFIC "não é obrigatório", "não é software" ou "não precisa ser o mesmo", e orientou os municípios a buscar fontes oficiais: Tribunal de Contas, Tesouro e academia.
Quando a informação sobre a obrigação vem do fornecedor, a dependência já deixou de ser técnica e virou dependência de interpretação.
Ter equipe própria não resolve sozinho
O catálogo de boas práticas do IEGM do TCESP tem um caso que mostra isso. Presidente Venceslau montou equipe de TI de servidores concursados, paga pelas receitas dos sistemas que ela mesma desenvolve, e tem i-Gov TI A.
TCESP, vídeo do catálogo de boas práticas, Presidente Venceslau. Ressalva do Tribunal: a prefeitura "mantém contratos com empresas fornecedoras de software, como contabilidade e tributação, o que indica dependência externa remanescente".
Nas respostas ao IEG-M do exercício 2024, o município marca como bases sob gestão direta apenas sistemas próprios, como cemitérios e frotas, e não marca a contabilidade. Mesmo o município exemplar tem o núcleo do dinheiro público fora do seu controle direto.
Do outro lado, Pedreira, que segundo o TCESP "não tinha estrutura ou conhecimento de informática suficiente", contratou serviços digitais por pregão eletrônico, com planejamento no PPA, na LDO e na LOA, e também tem i-Gov TI A. Contratar não é o problema. Contratar sem governar é.
Dependência é tecnológica; governança é a resposta
Governança, aqui, é o conjunto de decisões que só a prefeitura pode tomar e que precisam ficar registradas:
| Decisão da prefeitura | Evidência que a sustenta |
|---|---|
| Quem acessa o quê | Política de acesso aprovada, matriz de perfis, revisão periódica, nenhum usuário genérico |
| Quem administra o banco | Administradores nomeados por CPF, termo de responsabilidade, log de toda intervenção direta |
| Como o dado é protegido | Política de segurança e de backup, cópias executadas, restauração testada |
| Em que estágio está cada integração | Matriz dos estruturantes: papel, arquivo, arquivo com importação, integração plena |
| O que o contrato garante | Cláusulas de base única, trilha de auditoria, testes de conformidade, participação contábil no edital |
| O que acontece na saída | Leitura da Ana Smart: cláusula de entrega da base completa, em formato aberto e documentado, ao fim do contrato |
O IEGM mostra onde a governança falta. Em São Paulo, só 289 municípios (44,9%) declaram política de segurança da informação instituída, e só 244 têm também política de backup. O sistema tem controle de acesso; a prefeitura não tem a política que diz como usá-lo.
Três camadas, não uma
Uma política aprovada não prova que o sistema está protegido. Há três camadas de evidência: o ato (a política existe), a execução (os perfis estão configurados, as cópias rodam) e a eficácia (os acessos são revistos, a restauração funciona). O IEGM observa só a primeira. O decreto exige as três. O NIST Cybersecurity Framework 2.0, referência internacional de segurança, separa governar, proteger e recuperar pela mesma razão: a tecnologia executa o controle, mas são pessoas e decisões que definem quem responde por ele.
Por onde começar
- Nomear quem responde pelo SIAFIC na prefeitura, com a contabilidade, a TI e o controle interno.
- Pedir ao fornecedor a lista de usuários ativos, de administradores do banco e das intervenções diretas do último ano.
- Instituir a política de segurança e a de backup, e fazer um teste de restauração.
- Mapear o estágio de integração de cada estruturante.
- Levar tudo isso ao PDTI, com meta, prazo, responsável e orçamento, e às cláusulas da próxima contratação.
Leia também: Sua cidade realmente está cumprindo o SIAFIC? | Estudo SIAFIC e IEGM | Política de segurança não recupera sistemas | Simulador: como está o seu município | IEGM: o guia completo
Fontes
- Decreto Federal nº 10.540/2020, arts. 1º, 11, 12, 14 e 15
- TCE-PI, Relatório de levantamento sobre o SIAFIC municipal, 25/08/2025
- TCESP, Escola Paulista de Contas Públicas, aula de 23/05/2025
- TCESP, Catálogo de Boas Práticas IEG-M
- NIST Cybersecurity Framework 2.0
- Ana Smart Solutions, Estudo SIAFIC e IEGM (19/10/2026) e Estudo Boas Práticas IEGM (02 a 08/10/2026)