ACÓRDÃO Nº 2916/2025 - TCU - Plenário

ACÓRDÃO Nº 2916/2025 - TCU - Plenário
1. Processo nº TC 023.242/2024-8.
2. Grupo II - Classe de Assunto: V - Relatório de Auditoria.
3. Interessados/Responsáveis:
3.1. Interessados: Assessoria Especial de Controle Interno do Ministério da
Gestão e da Inovação Em Serviços Públicos; Secretaria de Gestão e Inovação
(00.489.828/0073-20); Secretaria-executiva do Ministério da Gestão e da Inovação Em
Serviços Públicos.
4. Órgão/Entidade: Ministério da Gestão e da Inovação Em Serviços
Públicos.
5. Relator: Ministro Benjamin Zymler.
6. Representante do Ministério Público: não atuou.
7. Unidade Técnica: Unidade de Auditoria Especializada em Contratações
(AudContratações).
8. Representação legal: Ana Luiza Queiroz Melo Jacoby Fernandes (51623/OAB-
DF), Augusto Cesar Nogueira de Souza (55713/OAB-DF) e outros, representando
Associação das Empresas de Tecnologia Para Contratacoes Governamentais (ATCG).
9. Acórdão:
VISTOS, relatados e discutidos estes autos de relatório de auditoria sobre o
uso das plataformas eletrônicas privadas pelos entes subnacionais nas licitações custeadas
com recursos federais descentralizados, com o objetivo verificar a conformidade dos
respectivos requisitos de contratação e de sistemas de tecnologia da informação (TI),
ACORDAM os Ministros do Tribunal de Contas da União, reunidos em sessão
extraordinária do Plenário, ante as razões oferecidas pelo relator, em:
9.1. determinar à Casa Civil da Presidência da República, mediante orientação
à Pasta Ministerial que entender adequada, que, no prazo de 180 (cento e oitenta) dias,
no exercício da competência conferida ao Poder Executivo Federal pelo art. 175, § 1º, da
Lei 14.133/2021 (alterado pelo art. 1º da Lei 15.266/2025), guardada a devida análise de
impacto regulatório, com fundamento no art. 250, inciso II, do Regimento Interno do TCU,
c/c o art. 7º, § 3º, da Resolução-TCU 315/2020:
9.1.1. tome providências para regulamentar, preferencialmente em articulação
com o Comitê Gestor da Rede Nacional de Contratações Públicas (CGPNCP), o disposto no
§ 1º do art. 175 da Lei 14.133/2021, definindo requisitos de parametrização operacional
que assegurem a integração ao PNCP por plataformas eletrônicas públicas e privadas de
licitação, levando em consideração, no mínimo, os seguintes aspectos:
9.1.1.1. a exigência de adoção de Política de Segurança da Informação, a
exemplo do conteúdo do modelo publicado pelo Ministério da Gestão e da Inovação em
Serviços Públicos;
9.1.1.2. a exigência de implementação de controles de segurança cibernética
compatíveis com o risco associado à política pública executada, a exemplo das diretrizes
expedidas pela Secretaria de Governo Digital no âmbito do Programa de Privacidade e
Segurança da Informação;
9.1.1.3. definição do órgão ou entidade responsável pelo
credenciamento/certificação das plataformas eletrônicas privadas de licitação e pela
fiscalização do efetivo cumprimento das disposições regulamentares que vierem a ser
expedidas;
9.1.1.4. a exigência de que, no que se refere a regras cujos critérios de
julgamento forem o menor preço ou maior desconto, sejam dotadas de funcionalidades
que salvaguardem riscos contra a impessoalidade, isonomia, transparência e
competitividade do certame, guardada a legítima regulamentação de cada ente
federativo, a exemplo de:
9.1.1.4.1. imposição de travas sistêmicas que impeçam a configuração de
prazos inferiores aos mínimos estabelecidos para: (i) registro da proposta inicial; (ii) envio
de impugnações ou pedidos de esclarecimento; (iii) apresentação de proposta ajustada e
de documentos complementares; e (iv) manifestações de intenção de recorrer - conforme
os arts. 55 e 164 da Lei 14.133/2021;
9.1.1.4.2. proibição de parametrizações que permitam a realização de etapas
críticas - como abertura de lances, classificação, diligências, julgamento, habilitação e
manifestação de recurso - fora do horário comercial ou em dias não úteis;
9.1.1.4.3. obrigatoriedade de abertura automática da sessão pública no horário
previsto no edital;
9.1.1.4.4. obrigatoriedade de envio automático de notificações aos licitantes
no início da sessão pública, contendo as informações relativas às configurações da sessão
- como a quantidade de itens passíveis de disputa simultânea e os respectivos períodos
de abertura;
9.1.1.4.5. proibição de coleta de dados identificadores (como nome, razão
social, e-mail, telefone ou assinatura digital) por ocasião do cadastro inicial da
proposta;
9.1.1.4.6. eliminação da funcionalidade que exija ou permita, no momento do
cadastro inicial da proposta, o envio antecipado de documentos da proposta ou de
habilitação (exceto nos casos de inversão excepcional das fases de julgamento e
habilitação), em conformidade com o art. 63, inciso II, da Lei 14.133/2021;
9.1.1.4.7. restrição à exclusão de lances, permitindo apenas um cancelamento
em prazo com limite de tempo razoável estabelecido após o registro;
9.1.1.4.8. exigência de que propostas ajustadas e documentos complementares
sejam enviados exclusivamente por meio do sistema eletrônico;
9.1.1.4.9. mecanismos que assegurem ao licitante a possibilidade de
manifestação de intenção de recorrer em dois momentos distintos: após o julgamento
das propostas e após a habilitação ou inabilitação, em observância ao contraditório;
9.1.1.4.10. exigência de que a plataforma privada contratada para realizar
licitação disponibilize ao público em geral, em formato de dados abertos, os documentos
e informações da sessão pública, com garantia de preservação e acesso por prazo não
inferior a cinco anos a partir da realização do certame, sendo vedada qualquer exigência
de justificativa, cadastramento prévio ou fornecimento de dados pessoais (como nome ou
e-mail) para consulta desses dados, em atenção ao art. 13 da Lei 14.133/20211 e ao art.
8º da Lei 12.527/2011;
9.1.1.4.11. exigência de que a plataforma eletrônica privada assegure que
qualquer cidadão possa apresentar impugnações ou pedir esclarecimentos ao edital, sem
a imposição de autenticação por login e senha, admitida apenas a solicitação de
nome/razão social e e-mail, restrita à finalidade de envio da resposta, em atenção ao art.
164 da Lei 14.133/2021;
9.1.1.4.12. obrigatoriedade de as propostas serem apresentadas de forma
simultânea com os documentos de habilitação, nas hipóteses de inversão de etapas;
9.1.1.4.13. estabelecer mecanismos que assegurem o encerramento do
anonimato dos licitantes e a divulgação da ordem de classificação somente após a
conclusão da etapa de lances de todos os itens da licitação, admitindo-se, ainda, que a
divulgação ocorra apenas posteriormente a esse momento procedimental quando tal
medida se mostrar necessária à mitigação de riscos de conluio ou de alinhamento prévio
entre competidores, voltados à manipulação ou alteração artificial do resultado do
certame;
9.1.2. oriente os demais órgãos do Poder Executivo concedentes de
transferências voluntárias que alertem os entes subnacionais, em cada convênio ou
contrato de repasse específico, que eventual licitação realizada com plataforma privada
que contenha regras e procedimentos que possam comprometer a legalidade,
transparência, auditabilidade, integridade ou isonomia do processo, pode levar a
apontamento de irregularidade nas respectivas prestações de contas, a exemplo de:
9.1.2.1. utilização de plataformas privadas que cobrem taxas excessivas dos
licitantes pela participação na licitação, quando capazes de frustrar a competitividade e a
isonomia do processo competitivo, extrapolando os custos de armazenamento de dados,
trafegabilidade, suporte, segurança digital, customizações, remuneração do mantenedor
da plataforma e encargos operativos associados;
9.1.2.2. desatendimento dos requisitos estabelecidos no subitem 9.1 desta
decisão;
9.2. recomendar à Casa Civil da Presidência da República, com fundamento no
art. 11, inciso I, da Resolução-TCU 315/2020, que oriente a Pasta Ministerial competente,
ao elaborar a regulamentação do art. 175, § 1º, da Lei 14.133/2021, para que, em
articulação com o Comitê Gestor da Rede Nacional de Contratações Públicas (CGPNCP),
estabeleça normas específicas sobre os requisitos de integração e operacionalidade das
plataformas eletrônicas públicas e privadas de licitação, incorporando, quando pertinente,
os requisitos técnicos abaixo elencados como parte integrante do regulamento:
9.2.1. a segurança de dados e informações - infraestrutura:
9.2.2.1. protocolo Secure Sockets Layer (SSL27) de ponta a ponta - infra e
aplicação;
9.2.2.2. Firewall28 para bloqueio de boots e ataques indesejados; e
9.2.1.3. obrigatoriedade de um segundo fator de autenticação (2FA) para login
em servidores onde estão hospedadas as aplicações;
9.2.2. o gerenciamento e controle de autorização de acessos:
9.2.1. o uso senhas fortes por parte dos usuários (tanto por parte da
Administração quanto do licitante);
9.2.2.2. a definição de níveis de acessos - controle de acesso hierárquico ao
sistema;
9.2.2.3. a aplicação de procedimentos de verificação e armazenamento de
log;
9.2.2.4. o registro de eventos de administrador e operador;
9.2.2.5. o uso de gerenciamento de identidade e acesso (IAM), para controlar
o acesso, incluindo-se a autenticação de usuários, autorização de acesso e gerenciamento
de privilégios; e
9.2.2.6. que todas as alterações de dados sejam feitas exclusivamente dentro
da plataforma (via código), por meio de login e log.
9.2.3. o gerenciamento de disponibilidade, continuidade e capacidade da
aplicação:
9.2.2.3.1. a utilização de ambiente computacional que garante alta
disponibilidade (24x7) (Ex. AWS, CGP);
9.2.3.2. a não identificação dos fornecedores durante fase de disputa e na
proposta cadastrada (dados de identificação criptografados);
9.2.3.3. o gerenciamento de chaves implementada ao longo de todo ciclo de
vida do processo;
9.2.3.4. o processo de descriptografia definido e implementado;
9.2.3.5. a apresentação de relatório de PenTeste com detalhamento de
impacto e criticidade - frequência de no mínimo 1 (uma) vez ao ano, por empresa
reconhecida em Segurança da Informação;
9.2.3.6. a implementação de política de backup e recuperação de banco de
dados;
9.2.3.7. a comprovação de procedimentos de backup full e incremental; e
9.2.3.8. a utilização de sistemas de monitoramento em tempo real dos
servidores.
9.2.4. o gerenciamento de ambiente de desenvolvimento, teste e aceitação da
aplicação:
9.2.4.1. a análise de requisitos com elaboração de protótipos;
9.2.4.2. a validação jurídica dos requisitos a serem implementados;
9.2.4.3. a implementação de codificação segura;
9.2.4.4. a implementação de testes funcionais;
9.2.4.5. a implementação de roteiros de teste;
9.2.4.6. a segregação de ambientes de desenvolvimento, teste e produção;
9.2.4.7. o processo de melhoria contínua implementada nas demandas do
atendimento; e
9.2.4.8. a abertura de código para auditoria e inspeção realizado por empresas
credenciadas.
9.2.5. a gestão de serviços e suporte de atendimento:
9.2.5.1. a disponibilização de múltiplos canais de atendimento, tais como:
telefone, e-mail, Whatsapp e chat;
9.2.5.2. a disponibilização de informação de atendimento documentada e com
rastreabilidade;
9.2.5.3. a disponibilização da informação de atendimento para a parte
interessada;
9.2.5.4. a mensuração de indicadores de volume de atendimento por canal;
9.2.5.5. a implantação de medidas para prevenção e redução de espera no
atendimento;
9.2.5.6. a implementação de critérios mínimos de atendimento;
9.2.5.7. a classificação de chamados com identificação de incidentes e
problemas;
9.2.5.8. o controle de chamados pendentes, resolvidos e fechados;
9.2.5.9. a implementação de escalonamento de chamados de acordo com perfil; e
9.2.5.10. a medição e avaliação de desempenho do processo de suporte ao
atendimento.
9.3. encaminhar cópia desta decisão, acompanhada do relatório e do voto que
a fundamentam, bem como do relatório de auditoria, à peça 74:
9.3.1. aos tribunais de contas estaduais e aos tribunais de contas dos
municípios, bem como à Associação dos Membros dos Tribunais de Contas do Brasil
(Atricon), para as providências que entenderem adequadas, informando-os acerca dos
seguintes indícios de irregularidades identificados no curso da presente fiscalização:
9.3.1.1. ausência de elaboração de ETP por municípios para fundamentar a
contratação da plataforma eletrônica privada de licitação, demonstrando a vantajosidade,
à luz do interesse público, da escolha do sistema privado em detrimento das opções
gratuitas ofertadas pela Administração Pública, e delimitando os requisitos mínimos que
a plataforma deve atender para garantir a observância das regras e princípios que regem
as licitações, em violação aos arts. 5º, 18, §§ 1º e 2º, e 72, inciso I, da Lei
14.133/2021;
9.3.1.2. ausência de formalização de procedimento licitatório ou processo de
contratação direta pelos municípios para escolha da plataforma eletrônica privada de
licitação, em violação ao art. 37, inciso XXI, da Constituição Federal, bem como aos
normativos e princípios que regem as contratações pública;
9.3.1.3. celebração por municípios de termos de adesão com as plataformas
eletrônicas privadas, sem a submissão da pessoa jurídica de direito privado que opera a
plataforma ao regime jurídico administrativo e sem a inclusão das cláusulas necessárias
previstas no art. 92 da Lei 14.133/2021;
9.3.1.4. contratação por municípios de plataformas eletrônicas privadas que
não implantaram um Programa Institucional de Privacidade de Dados, conforme o
previsto no art. 50 da Lei 13.709/2018;
9.3.1.5. contratação de plataformas privadas por municípios que cobram taxas
excessivas de licitantes para participação da licitação ou dos vencedores do certame, em
frustração da competitividade e na ausência de lei regulamentadora sobre a possibilidade
de cobrança de taxas ou emolumentos pelos licitantes, seja pela Administração Pública,
seja pelos sistemas eletrônicos privados de licitação, para custear eventuais despesas com
tecnologia da informação utilizadas na realização dos certames;
9.3.1.6. ausência de disponibilização, em formato de dados abertos, dos
documentos e informações da sessão pública por meio da plataforma privada, ou
disponibilização condicionada à justificativa, cadastro prévio ou fornecimento de dados
pessoais (nome, e-mail), em desacordo com o art. 13 da Lei 14.133/2021 e com o art. 8º
da Lei 12.527/2011; e
9.3.1.7. ausência de mecanismo, na plataforma privada de licitação, que
assegure a qualquer cidadão a possibilidade de apresentar impugnações ou solicitar
esclarecimentos ao edital sem exigência de autenticação por login e senha, em violação
ao art. 164 da Lei 14.133/2021;
9.3.2. ao Comitê Gestor da Rede Nacional de Contratações Públicas (CGPNCP),
na pessoa de cada um dos seus membros, nos termos do art. 174, § 1º, incisos I a III,
da Lei 14.133/2021;
9.3.3. à Secretaria de Gestão e Inovação do Ministério da Gestão e da
Inovação em Serviços Públicos (Seges/MGI);
9.4. determinar à Unidade de Auditoria Especializada em Contratações que
monitore o teor da presente decisão.
10. Ata n° 50/2025 - Plenário.
11. Data da Sessão: 8/12/2025 - Extraordinária.
12. Código eletrônico para localização na página do TCU na Internet: AC-2916-
50/25-P.
13. Especificação do quórum:
13.1. Ministros presentes: Vital do Rêgo (Presidente), Walton Alencar
Rodrigues, Benjamin Zymler (Relator), Augusto Nardes, Aroldo Cedraz, Bruno Dantas,
Jorge Oliveira, Antonio Anastasia e Jhonatan de Jesus.
13.2. Ministro-Substituto presente: Marcos Bemquerer Costa.