PORTARIA SSC/MGI Nº 9.097, DE 6 DE NOVEMBRO DE 2026

PORTARIA SSC/MGI Nº 9.097, DE 6 DE NOVEMBRO DE 2026
Estabelece diretrizes, competências e procedimentos
de gestão de riscos no âmbito da Diretoria de
Tecnologia da Informação da Secretaria de Serviços
Compartilhados do Ministério da Gestão e da
Inovação em Serviços Públicos.
A SECRETÁRIA DE SERVIÇOS COMPARTILHADOS DO MINISTÉRIO DA GESTÃO E
DA INOVAÇÃO EM SERVIÇOS PÚBLICOS, no uso das atribuições que lhe confere o art. 57,
incisos I, alíena "k", do Anexo I ao Decreto nº 12.904, de 27 de março de 2026, e tendo
em vista o disposto na Instrução Normativa Conjunta MP/CGU nº 1, de 10 de maio de
2016, na Instrução Normativa SGD/ME nº 94, de 23 de dezembro de 2022, e nas
Resoluções CITARC/MGI nº 4, de 31 de outubro de 2024, nº 5, de 13 de fevereiro de 2025,
nº 7, de 10 de abril de 2025, e nº 11, de 6 de agosto de 2026, resolve:
Objeto e âmbito de aplicação
Art. 1º Esta Portaria estabelece diretrizes, competências e procedimentos de
gestão de riscos no âmbito da Diretoria de Tecnologia da Informação da Secretaria de
Serviços Compartilhados do Ministério da Gestão e da Inovação em Serviços Públicos.
§ 1º A gestão de riscos no âmbito da Diretoria de Tecnologia da Informação
observará:
I - a Política de Gestão de Riscos e Controles Internos do Ministério da Gestão
e da Inovação em Serviços Públicos, instituída pela Resolução CITARC/MGI nº 7, de 10 de
abril de 2025;
II - o Guia de Gestão de Riscos do Ministério da Gestão e da Inovação em
Serviços Públicos, aprovado pela Resolução CITARC/MGI nº 4, de 31 de outubro de 2024;
III - as orientações da Assessoria Especial de Controle Interno do Ministério da
Gestão e da Inovação em Serviços Públicos; e
IV - as deliberações do Comitê de Integridade, Transparência, Acesso à
Informação, Riscos e Controle do Ministério da Gestão e da Inovação em Serviços Públicos
- CITARC, instituído pela Portaria MGI nº 5.112, de 24 de junho de 2026.
§ 2º Para fins do disposto nesta Portaria, consideram-se objetos de gestão de
riscos no âmbito da Diretoria de Tecnologia da Informação:
I - a Diretoria de Tecnologia da Informação como um todo ou suas unidades
específicas, inclusive quanto à imagem e à reputação institucionais;
II - os processos, as atividades, os projetos, as iniciativas, as ações e as entregas
sob a responsabilidade ou com a interveniência da Diretoria de Tecnologia da
Informação;
III - os serviços e os sistemas de tecnologia da informação;
IV - as soluções e a infraestrutura de tecnologia da informação;
V - os dados e as informações sob a gestão da Diretoria de Tecnologia da
Informação; e
VI - as contratações e os contratos de soluções de tecnologia da informação e
comunicação - TIC.
Diretrizes
Art. 2º São diretrizes da gestão de riscos no âmbito da Diretoria de Tecnologia da Informação:
I - integração ao Planejamento Estratégico Institucional, ao Plano Diretor de
Tecnologia da Informação, à cadeia de valor, ao plano de gestão de continuidade de
negócios, à governança, aos processos, aos projetos, aos serviços, às contratações e às
entregas da Diretoria de Tecnologia da Informação;
II - aplicação da metodologia do Guia de Gestão de Riscos do Ministério da
Gestão e da Inovação em Serviços Públicos;
III - priorização dos objetos e dos riscos com maior potencial de impacto sobre
objetivos, serviços críticos, continuidade, conformidade, integridade, segurança,
orçamento, qualidade ou imagem institucional;
IV - definição de controles proporcionais ao nível de risco, observados a relação
custo-benefício e o uso eficiente, sustentável e integrado dos recursos disponíveis;
V - registro e monitoramento dos riscos nos sistemas de que trata o art. 12;
VI - comunicação tempestiva dos riscos relevantes às instâncias competentes,
de modo a subsidiar a tomada de decisão em todos os níveis gerenciais;
VII - atenção à segurança e ao uso adequado das informações sobre riscos e
controles internos, em observância à legislação pertinente; e
VIII - promoção da cultura de gestão de riscos, controles internos,
conformidade, integridade e melhoria contínua na Diretoria de Tecnologia da
Informação.
Parágrafo único. A Diretoria de Tecnologia da Informação poderá utilizar, de
forma complementar à metodologia do Guia de Gestão de Riscos do Ministério da Gestão
e da Inovação em Serviços Públicos, referenciais, modelos e boas práticas específicos para
subsidiar a análise de riscos de tecnologia da informação e de segurança da informação, no
que couber.
Art. 3º A priorização dos objetos de gestão de riscos considerará, no mínimo:
I - vinculação ao Planejamento Estratégico Institucional ou ao Plano Diretor de
Tecnologia da Informação;
II - criticidade para os processos, os projetos, os serviços ou as entregas da
Diretoria de Tecnologia da Informação;
III - impacto sobre as unidades do Ministério da Gestão e da Inovação em
Serviços Públicos, os órgãos atendidos, as pessoas usuárias ou as demais partes
interessadas;
IV - materialidade orçamentária ou contratual;
V - exposição a riscos à integridade, de conformidade, de segurança da
informação, de privacidade ou de proteção de dados pessoais;
VI - existência de recomendações, determinações, achados ou apontamentos de
órgãos de controle interno ou externo relativos ao objeto; e
VII - recorrência de incidentes, falhas, atrasos ou fragilidades, quando
relevantes.
Parágrafo único. As iniciativas estratégicas registradas no Planejamento
Estratégico Institucional sob a responsabilidade da Diretoria de Tecnologia da Informação
serão submetidas à gestão de riscos independentemente da priorização de que trata o
caput.
Competências
Art. 4º À autoridade titular da Diretoria de Tecnologia da Informação
incumbe:
I - patrocinar e garantir o apoio institucional à gestão de riscos, em especial
quanto aos recursos necessários, ao relacionamento entre as partes interessadas e ao
desenvolvimento contínuo das pessoas servidoras da Diretoria de Tecnologia da
Informação;
II - definir ou validar o método de priorização dos riscos e dos objetos de
gestão de riscos que serão submetidos ao processo de gestão de riscos, em convergência
com os métodos definidos pelo CITARC;
III - deliberar sobre os riscos e as respectivas respostas que lhe forem
submetidos pelas unidades responsáveis;
IV - aprovar:
a) os planos de controle e os prazos de implementação relativos aos riscos de
que trata o art. 10, § 4º;
b) os indicadores de desempenho do processo de gestão de riscos da Diretoria
de Tecnologia da Informação, definidos com o apoio da Assessoria Especial de Controle
Interno; e
c) orientações e instrumentos complementares a esta Portaria; e
V - encaminhar às instâncias competentes os riscos que demandem
providências externas à Diretoria de Tecnologia da Informação.
Art. 5º Compete à Coordenação-Geral de Inteligência e Governança Digital da
Diretoria de Tecnologia da Informação:
I - coordenar estrategicamente a gestão de riscos no âmbito da Diretoria de
Tecnologia da Informação;
II - promover a integração da gestão de riscos ao planejamento, à governança,
ao Plano Diretor de Tecnologia da Informação, ao portfólio de projetos, aos processos, aos
serviços, às contratações e às entregas da Diretoria de Tecnologia da Informação;
III - propor à autoridade titular da Diretoria de Tecnologia da Informação
orientações, modelos e instrumentos complementares a esta Portaria;
IV - consolidar informações gerenciais para subsidiar a tomada de decisão e o
reporte à Assessoria Especial de Controle Interno; e
V - propor à Assessoria Especial de Controle Interno aprimoramentos à Política
de Gestão de Riscos e Controles Internos do Ministério da Gestão e da Inovação em
Serviços Públicos, inclusive normas complementares e soluções tecnológicas.
Art. 6º À Coordenação de Arquitetura Organizacional da Coordenação-Geral de
Inteligência e Governança Digital compete:
I - coordenar e orientar, em nível técnico-operacional, a execução da gestão de
riscos no âmbito da Diretoria de Tecnologia da Informação;
II - apoiar as unidades da Diretoria de Tecnologia da Informação na aplicação da
metodologia do Guia de Gestão de Riscos do Ministério da Gestão e da Inovação em
Serviços Públicos;
III - apoiar o registro, a atualização e o monitoramento dos riscos nos sistemas
de que trata o art. 12;
IV - acompanhar a execução dos planos de controle;
V - propor indicadores, relatórios, modelos e melhorias; e
VI - apoiar as ações de capacitação e de disseminação da cultura de gestão de
riscos.
Art. 7º Às Coordenações-Gerais da Diretoria de Tecnologia da Informação
compete:
I - indicar os objetos de gestão de riscos sob sua responsabilidade;
II - identificar, avaliar, tratar e monitorar os riscos dos objetos sob sua
responsabilidade;
III - propor à autoridade titular da Diretoria de Tecnologia da Informação os
planos de controle e os respectivos prazos de implementação relativos aos riscos de que
trata o art. 10, § 4º;
IV - implementar os planos de controle aprovados pela autoridade titular da
Diretoria de Tecnologia da Informação; e
V - assegurar o registro e a atualização das informações sobre os riscos dos
objetos sob sua responsabilidade nos sistemas de que trata o art. 12.
Parágrafo único. Caberá à autoridade titular de cada Coordenação-Geral da
Diretoria de Tecnologia da Informação a função de gestor de risco dos objetos de que trata
o art. 1º, § 2º, sob a competência da respectiva unidade.
Art. 8º Ao gestor de risco incumbe:
I - assegurar que os riscos dos objetos sob sua responsabilidade sejam
gerenciados de acordo com esta Portaria e com a Política de Gestão de Riscos e Controles
Internos do Ministério da Gestão e da Inovação em Serviços Públicos;
II - orientar, acompanhar e validar as ações de identificação, avaliação e
tratamento dos riscos;
III - definir a resposta ao risco, nos limites de sua alçada, observados o nível de
risco, o apetite a risco, a tolerância ao risco e a relação custo-benefício, ou, quando a
resposta exceder essa alçada, submetê-la à deliberação da autoridade titular da Diretoria
de Tecnologia da Informação, sem prejuízo do disposto no art. 10, § 4º;
IV - monitorar os riscos ao longo do tempo e acompanhar a implementação dos
controles, de modo a assegurar que as respostas adotadas mantenham os riscos em níveis
aceitáveis e que os controles permaneçam eficazes;
V - comunicar mudanças relevantes de contexto à Coordenação-Geral de
Inteligência e Governança Digital e promover a consulta às partes interessadas, quando
necessário; e
VI - assegurar a disponibilidade das informações sobre os riscos sob sua
responsabilidade em todos os níveis do Ministério da Gestão e da Inovação em Serviços
Públicos, inclusive para a Assessoria Especial de Controle Interno, observados os perfis de
acesso, a legislação aplicável e a segurança da informação.
Processo de gestão de riscos
Art. 9º O processo de gestão de riscos no âmbito da Diretoria de Tecnologia da
Informação observará as etapas previstas no Guia de Gestão de Riscos do Ministério da
Gestão e da Inovação em Serviços Públicos:
I - estabelecimento do contexto;
II - identificação de riscos;
III - análise de riscos;
IV - avaliação de riscos;
V - tratamento de riscos;
VI - monitoramento e análise crítica;
VII - comunicação e consulta; e
VIII - registro e relato.
§ 1º As etapas previstas nos incisos VI a VIII do caput ocorrerão de forma
contínua e integrada às demais etapas.
§ 2º A aplicação das etapas de que trata o caput:
I - considerará a natureza, a complexidade, a criticidade e a materialidade do
objeto de gestão de riscos; e
II - poderá ocorrer por meio de oficinas, reuniões técnicas ou outros
instrumentos colaborativos, com a participação do gestor de risco, de agentes públicos que
conheçam o objeto analisado e, quando necessário, de especialistas ou de unidades
intervenientes.
§ 3º Para cada objeto da gestão de riscos, as etapas de que tratam os incisos
I a IV do caput, a definição das respostas aos riscos e, quando couber, a elaboração dos
planos de controle, no âmbito da etapa de que trata o inciso V do caput, serão concluídas
no prazo máximo de seis meses, contado da data de início do gerenciamento de riscos do
objeto, ressalvados os casos justificados no sistema de que trata o art. 12.
§ 4º Os prazos para implementação das ações previstas no plano de controle
serão definidos no próprio plano, consideradas a complexidade, a disponibilidade de
recursos e as deliberações aplicáveis
Art. 10. O tratamento de riscos será definido conforme o nível de risco, o
apetite a risco, a tolerância ao risco e os tipos de resposta previstos no Guia de Gestão de
Riscos do Ministério da Gestão e da Inovação em Serviços Públicos.
§ 1º Os riscos serão classificados, conforme a matriz de níveis de risco prevista
no Guia de Gestão de Riscos do Ministério da Gestão e da Inovação em Serviços Públicos,
nos seguintes níveis:
I - pequeno;
II - moderado;
III - alto; e
IV - crítico.
§2º São tipos de resposta ao risco:
I - aceitar: assumir o risco, sem adoção de medidas adicionais;
II - evitar: descontinuar a atividade que gera o risco;
III - mitigar: adotar medidas para reduzir a probabilidade de ocorrência do risco,
o seu impacto ou ambos; e
IV - compartilhar ou transferir: atribuir a terceiros parte do risco.
§3º Os riscos pequenos e moderados poderão ser aceitos pelo gestor de risco,
mediante decisão fundamentada registrada no sistema de que trata o art. 12, exceto nas
hipóteses previstas no § 4º e no § 5º.
§ 4º Serão submetidos à deliberação da autoridade titular da Diretoria de
Tecnologia da Informação os planos de controle, registrados no sistema de que trata o art.
12, que contenham as ações correspondentes à resposta adotada entre as previstas nos
incisos II a IV do § 2º, relativos:
I - aos riscos altos e críticos; e
II - aos riscos que, independentemente do nível, demandem decisão sobre
recursos orçamentários, contratuais, humanos ou tecnológicos que exceda a alçada do
gestor de risco.
§5º Os riscos à integridade, em qualquer nível, serão objeto de resposta diversa
da aceitação e comunicados às instâncias competentes, observadas as orientações da
Assessoria Especial de Controle Interno.
§6º Os riscos aceitos permanecerão sujeitos ao monitoramento e à análise
crítica.
§7º A adoção de resposta diversa daquela indicada no Guia de Gestão de Riscos
do Ministério da Gestão e da Inovação em Serviços Públicos para o respectivo nível de
risco será justificada no sistema de que trata o art. 12, observado o disposto no § 4º e no
§ 5º.
Art. 11. O plano de controle conterá, no mínimo:
I - o risco tratado e o respectivo nível;
II - a resposta adotada;
III - a ação ou o controle proposto e a forma de implementação;
IV - a unidade e o agente responsáveis;
V - o prazo previsto para conclusão;
VI - a situação de execução; e
VII - a forma de acompanhamento e, quando cabível, as evidências de
implementação.
Registro, comunicação e monitoramento
Art. 12. Os riscos serão registrados e acompanhados:
I - no Sistema de Gestão da Estratégia - SisGE, quando vinculados a iniciativas
estratégicas registradas no Planejamento Estratégico Institucional do Ministério da Gestão
e da Inovação em Serviços Públicos; e
II - no Sistema Ágatha, quando vinculados aos demais objetos de gestão de riscos.
Parágrafo único. O uso de planilhas, de documentos auxiliares ou de painéis
não substitui o registro nos sistemas de que trata o caput.
Art. 13. A comunicação ocorrerá de forma contínua e integrada ao processo de
gestão de riscos e contemplará, quando cabível:
I - os resultados do gerenciamento de riscos;
II - o andamento e a eficácia das ações de tratamento;
III - os níveis de risco identificados;
IV - as mudanças de contexto; e
V - outras informações relevantes para a tomada de decisão.
Art. 14. O monitoramento dos riscos relativos aos objetos sob responsabilidade
da Diretoria de Tecnologia da Informação terá por finalidade acompanhar a efetividade do
gerenciamento de riscos, a eficácia dos controles e a manutenção dos riscos em níveis
aceitáveis, observado o apetite a risco previsto no Guia de Gestão de Riscos do Ministério
da Gestão e da Inovação em Serviços Públicos, e será realizado por meio de:
I - indicadores de desempenho da gestão de riscos e dos controles internos da gestão;
II - relatórios gerenciais e, quando cabível, de exceção; e
III - análise crítica periódica do processo de gestão de riscos e de seus
resultados, abrangidos os riscos, os controles internos da gestão e as alterações nos
contextos interno e externo.
Parágrafo único. O monitoramento será realizado preferencialmente por meio
dos sistemas de que trata o art. 12.
Art. 15. Sem prejuízo do monitoramento contínuo, os objetos de gestão de
riscos serão reavaliados, conforme o maior nível de risco residual apurado na avaliação
anterior, no intervalo máximo de:
I - um ano, quando o maior nível de risco residual for alto ou crítico ou houver
risco à integridade;
II - dois anos, quando o maior nível de risco residual for moderado; e
III - três anos, quando o maior nível de risco residual for pequeno.
§ 1º Na primeira avaliação do objeto, o intervalo de reavaliação será definido
conforme o maior nível de risco residual nela apurado.
§ 2º A reavaliação abrangerá os controles existentes e os níveis de risco
inerente e residual, a fim de verificar a eficácia dos controles e subsidiar a revisão dos
planos de controle.
§ 3º A reavaliação poderá ocorrer antes do término dos intervalos previstos no
caput, em caso de mudança relevante de contexto, incidente, recomendação ou
determinação de órgão de controle, alteração normativa, contratual, tecnológica,
orçamentária ou outra circunstância que possa alterar o nível de risco.
§ 4º A Coordenação-Geral de Inteligência e Governança Digital consolidará, a
cada exercício, as informações sobre as reavaliações nele previstas, para fins de
acompanhamento, observado o disposto no § 3º.
Disposições finais
Art. 16. O gerenciamento de riscos nas contratações de soluções TIC observará
o disposto na Instrução Normativa SGD/ME nº 94, de 23 de dezembro de 2022, e esta
Portaria será aplicada de forma complementar, no que couber.
Art. 17. Fica revogada a Portaria DTI/ME nº 11.596, de 27 de setembro de 2021.
Art. 18. Esta Portaria entra em vigor na data de sua publicação.
ISABELA GOMES GEBRIM