ACÓRDÃO Nº 457/2026 - TCU - Plenário

ACÓRDÃO Nº 457/2026 - TCU - Plenário
1. Processo nº TC 018.269/2024-9.
2. Grupo I - Classe de Assunto: V - Relatório de Auditoria.
3. Interessados/Responsáveis: não há.
4. Unidades Jurisdicionadas: Instituto Brasileiro de Geografia e Estatística
(IBGE), Banco Nacional de Desenvolvimento Econômico e Social (BNDES), Agência Nacional
de Telecomunicações (Anatel), Ministério do Meio Ambiente e Mudança do Clima (MMA);
Instituto Nacional do Seguro Social (INSS); Secretaria de Governo Digital (SGD) do
Ministério da Gestão e da Inovação em Serviços Públicos (MGI).
5. Relator: Ministro João Augusto Ribeiro Nardes.
6. Representante do Ministério Público: não atuou.
7. Unidade Técnica: Unidade de Auditoria Especializada em Tecnologia da
Informação (AudTI).
8. Representação legal: Leonardo Thadeu de Oliveira (109115/OAB-RJ), entre
outros, representando o Banco Nacional de Desenvolvimento Econômico e Social.
9. Acórdão:
VISTOS, relatados e discutidos estes autos de auditoria operacional destinada
a avaliar a maturidade da governança de dados em cinco organizações públicas federais
- IBGE, BNDES, Anatel, Ministério do Meio Ambiente e Mudança do Clima (MMA) e INSS
- bem como a examinar a adequação do modelo de aferição de maturidade utilizado pela
Secretaria de Governo Digital (SGD/MGI) no âmbito do iGovSisp 2023,
ACORDAM os Ministros do Tribunal de Contas da União, reunidos em Sessão
de Plenário, por unanimidade, ante as razões expostas pelo Relator, em:
9.1. recomendar. com fundamento no art. 11 da Resolução TCU 315/2020, aos
órgãos a seguir enumerados que, levando em consideração as boas práticas contidas no
framework DAMA-DMBOK2, desenvolva ou revise seu programa de dados, alinhado aos
seus objetivos de negócio e estratégicos, com a finalidade de orientar os esforços em
governança e gestão de dados, contemplando avaliação e mecanismos de tratamento de
riscos decorrentes das fragilidades identificadas na auditoria, em especial as listadas
abaixo:
9.1.1. Instituto Brasileiro de Geografia e Estatística (IBGE):
9.1.1.1. inexistência de comitê ou conselho de governança de dados;
9.1.1.2. definição parcial de papéis e responsabilidades para governança de
dados;
9.1.1.3. inexistência de unidade/escritório de governança de dados
institucionalizado separadamente da área de TI;
9.1.1.4. adoção parcial de ações para fomentar a cultura de dados;
9.1.1.5. falta de processo de gestão de maturidade em governança de
dados;
9.1.1.6. conformidade parcial com a LGPD;
9.1.1.7. não realização de auditoria e monitoramentos para garantir o
cumprimento de políticas de governança de dados e requisitos legais;
9.1.1.8. adoção parcial de processo para gestão de incidentes de governança
de dados;
9.1.2. Banco Nacional de Desenvolvimento Econômico e Social (BNDES):
9.1.2.1. inexistência de comitê ou conselho de governança de dados;
9.1.2.2. ações limitadas de capacitação ou treinamento em governança de
dados;
9.1.2.3. adoção parcial de processo de gestão do ciclo de vida dos dados;
9.1.2.4. inexistência de métricas e indicadores para monitorar e avaliar a
qualidade de dados;
9.1.2.5. inexistência de procedimentos para tratar problemas de qualidade de
dados;
9.1.2.6. adoção parcial de processo de gestão de maturidade em governança
de dados;
9.1.2.7. não realização de auditoria e monitoramentos para garantir o
cumprimento de políticas de governança de dados e requisitos legais;
9.1.2.8. adoção parcial de processo para gestão de incidentes de governança
de dados;
9.1.3. Ministério do Meio Ambiente e Mudança do Clima (MMA):
9.1.3.1. inexistência de política de governança de dados;
9.1.3.2. inexistência de normas e diretrizes para gestão de dados;
9.1.3.3. inexistência de comitê ou conselho de governança de dados;
9.1.3.4. indefinição de papéis e responsabilidades para governança de
dados;
9.1.3.5. inexistência de unidade/escritório de governança de dados
institucionalizado separadamente da área de TI;
9.1.3.6. não realização de ações de capacitação ou treinamento em
governança de dados;
9.1.3.7. não realização de ações para fomentar a cultura de dados;
9.1.3.8. inexistência de catálogo de dados e de informações sobre
metadados;
9.1.3.9. glossário limitado de termos do negócio;
9.1.3.10. adoção parcial de processo de gestão do ciclo de vida dos dados;
9.1.3.11. inexistência de métricas e indicadores para monitorar e avaliar a
qualidade de dados;
9.1.3.12. inexistência de procedimentos para tratar problemas de qualidade de
dados;
9.1.3.13. adoção de poucos padrões e protocolos para facilitar a integração e
interoperabilidade de dados;
9.1.3.14. não utilização de ferramentas ou plataformas que suportam a
integração de dados de diferentes fontes;
9.1.3.15. inexistência de solução centralizada para armazenar e gerenciar
dados de diferentes fontes;
9.1.3.16. inexistência de processo de gestão de maturidade em governança de dados;
9.1.3.17. não realização de auditoria e monitoramentos para garantir o
cumprimento de políticas de governança de dados e requisitos legais;
9.1.3.18. inexistência de processo para gestão de incidentes de governança de
dados;
9.1.4. Agência Nacional de Telecomunicações (Anatel):
9.1.4.1. lacunas na implementação de normas e diretrizes para gestão de
dados;
9.1.4.2. inexistência de comitê ou conselho de governança de dados;
9.1.4.3. definição insuficiente de papéis e responsabilidades para governança
de dados;
9.1.4.4. inexistência de unidade/escritório de governança de dados
institucionalizado separadamente da área de TI;
9.1.4.5. realização limitada de ações de capacitação ou treinamento em
governança de dados;
9.1.4.6. realização limitada de ações para fomentar a cultura de dados;
9.1.4.7. informações limitadas sobre metadados;
9.1.4.8. lacunas no processo de gestão do ciclo de vida dos dados;
9.1.4.9. inexistência de processo de gestão de maturidade em governança de
dados;
9.1.4.10. inexistência de processo para gestão de incidentes de governança de
dados;
9.1.5. Instituto Nacional do Seguro Social (INSS):
9.1.5.1. inexistência de política de governança de dados;
9.1.5.2. implementação insuficiente de normas e diretrizes para gestão de
dados;
9.1.5.3. inexistência de comitê ou conselho de governança de dados;
9.1.5.4. indefinição de papéis e responsabilidades para governança de
dados;
9.1.5.5. inexistência de unidade/escritório de governança de dados
institucionalizado separadamente da área de TI;
9.1.5.6. realização limitada de ações de capacitação ou treinamento em
governança de dados;
9.1.5.7. não realização de ações para fomentar a cultura de dados;
9.1.5.8. catálogo de dados limitado;
9.1.5.9. glossário limitado de termos do negócio;
9.1.5.10. informações limitadas sobre metadados;
9.1.5.11. existência limitada de métricas e indicadores para monitorar e avaliar
a qualidade de dados;
9.1.5.12. existência de poucos procedimentos para tratar problemas de
qualidade de dados;
9.1.5.13. adoção de poucos padrões e protocolos para facilitar a integração e
interoperabilidade de dados;
9.1.5.14. utilização de poucas ferramentas ou plataformas que suportam a
integração de dados de diferentes fontes;
9.1.5.15. solução centralizada limitada para armazenar e gerenciar dados de
diferentes fontes;
9.1.5.16. processo limitado de gestão de maturidade em governança de
dados;
9.1.5.17. lacunas na conformidade com as leis e regulamentações aplicáveis à
proteção de dados;
9.1.5.18. não realização de auditoria e monitoramentos para garantir o
cumprimento de políticas de governança de dados e requisitos legais;
9.1.5.19. processo limitado para gestão de incidentes de governança de
dados;
9.2. com fundamento no art. 11 da Resolução - TCU 315/2020, recomendar à
Secretaria de Governo Digital (SGD) do Ministério da Gestão e da Inovação em Serviços
Públicos (MGI) que reavalie seu método de avaliação da maturidade de GovDados,
considerando a adoção das seguintes melhorias em seu modelo:
9.2.1. reformulação das perguntas do questionário, a fim de buscar maior
detalhamento sobre a implementação das práticas e a demonstração de seus resultados
e impactos;
9.2.2. solicitação de evidências para respostas de alto nível de maturidade e
sua disponibilização centralizada, considerando, de forma a aumentar a transparência e a
responsabilidade das organizações sobre suas declarações, a exigência de que tais
documentos comprobatórios, especialmente as que não estiverem sob restrição de
acesso, sejam anexadas ao sistema de resposta do iGovSisp e, posteriormente,
disponibilizadas publicamente pela própria unidade em uma seção específica de seu
portal ou em um repositório de acesso público associado aos resultados do
levantamento;
9.2.3. adoção de opções de respostas objetivas, baseadas em níveis de adoção
de práticas, como no questionário do iESGo do TCU e no questionário da auditoria, que
são mais objetivas do que as escalas de níveis de resposta por níveis de maturidade em
cada questão;
9.2.4. elaboração de um glossário com níveis de resposta e exemplos para
cada um, visando minimizar a subjetividade e assegurar um entendimento comum dos
critérios de avaliação;
9.3. encaminhar cópia do presente acórdão:
9.3.1. à Secretaria de Governo Digital (SGD) do Ministério da Gestão e da
Inovação em Serviços Públicos (MGI);
9.3.2. à Fundação Instituto Brasileiro de Geografia e Estatística (IBGE);
9.3.3. ao Banco Nacional de Desenvolvimento Econômico e Social (BNDES);
9.3.4. à Agência Nacional de Telecomunicações (Anatel);
9.3.5. ao Ministério do Meio Ambiente e Mudança do Clima (MMA);
9.3.6. ao Instituto Nacional do Seguro Social (INSS).
9.4. autorizar à AudTI a constituir processo específico para monitorar as
determinações ora proferidas; e
9.5. arquivar o presente processo, com base no art. 169, inciso V, do
Regimento Interno do TCU.
10. Ata n° 6/2026 - Plenário.
11. Data da Sessão: 4/3/2026 - Ordinária.
12. Código eletrônico para localização na página do TCU na Internet: AC-0457-
06/26-P.
13. Especificação do quórum:
13.1. Ministros presentes: Vital do Rêgo (Presidente), Walton Alencar
Rodrigues, Benjamin Zymler, Augusto Nardes (Relator), Antonio Anastasia e Jhonatan de
Jesus.
13.2. Ministros-Substitutos convocados: Marcos Bemquerer Costa e Weder de
Oliveira.