Tribunal de Contas Secção Regional da Madeira PARECER SOBRE A CONTA DA ASSEMBLEIA LEGISLATIVA REGIONAL DA MADEIRA - PDF
Tribunal de Contas Secção Regional da Madeira PARECER SOBRE A CONTA DA ASSEMBLEIA LEGISLATIVA REGIONAL DA MADEIRA
Download "Tribunal de Contas Secção Regional da Madeira PARECER SOBRE A CONTA DA ASSEMBLEIA LEGISLATIVA REGIONAL DA MADEIRA"
Jonathan Ribas Rosa
1 PARECER SOBRE A CONTA DA ASSEMBLEIA LEGISLATIVA REGIONAL DA MADEIRA ANO ECONÓMICO DE 2003
3 PARECER N.º 2/2004 SRMTC PARECER DO TRIBUNAL DE CONTAS SOBRE A CONTA DA ASSEMBLEIA LEGISLATIVA REGIONAL DA MADEIRA RELATIVA AO ANO DE 2003
5 ÍNDICE FICHA TÉCNICA... 2 RELAÇÃO DE SIGLAS INTRODUÇÃO FUNDAMENTO, ÂMBITO E OBJECTIVOS ENQUADRAMENTO NORMATIVO IDENTIFICAÇÃO DOS RESPONSÁVEIS METODOLOGIA E TÉCNICAS DE CONTROLO CONDICIONANTES E GRAU DE COLABORAÇÃO DOS RESPONSÁVEIS PRINCÍPIO DO CONTRADITÓRIO OBSERVAÇÕES ANÁLISE DA ACTIVIDADE FINANCEIRA Execução orçamental da receita e da despesa Evolução das receitas e das despesas relativamente ao ano anterior SISTEMA DE GESTÃO E DE CONTROLO Organização administrativa e financeira da ALRM Organização informática da ALRM Adequabilidade do sistema informático e dos procedimentos em vigor FIABILIDADE DA CONTA Contabilidade patrimonial Contabilidade orçamental LEGALIDADE E REGULARIDADE DAS OPERAÇÕES SUBJACENTES Operações da receita Aquisição de bens correntes Aquisição de serviços Aquisição de bens de capital RECOMENDAÇÕES FORMULADAS EM ANTERIORES AUDITORIAS DEMONSTRAÇÃO NUMÉRICA (ART.º 53.º N.º 2 DA LOPTC) OBSERVAÇÕES DE AUDITORIA EMOLUMENTOS PARECER ANEXOS I Descrição dos módulos aplicacionais do sistema SAP R/ II - Fluxograma do procedimento de aquisição de bens e serviços III Procedimento de aquisição previsto no projecto de manual de procedimentos IV - Contabilização das despesas relativas aos serviços prestados por um jornalista/repórter V - Importâncias dispendidas ao abrigo do Contrato de prestação de serviços de apoio pós produtivo ao software SAP R/ VI Contraditório - Resposta do CA da ALRM VII Nota de emolumentos e outros encargos
6 Parecer sobre a Conta da Assembleia Legislativa Regional da Madeira - Ano económico de 2003 FICHA TÉCNICA SUPERVISÃO Rui Águas Trindade Auditor-Coordenador COORDENAÇÃO Miguel Pestana Auditor-Chefe EQUIPA DE AUDITORIA Rui Miguel Rodrigues Andreia Freitas Rodolfo Sousa Téc. Verificador Superior Téc. Verificador Superior Especialista de Informática RELAÇÃO DE SIGLAS SIGLA ALRM AP CA CO DF DL DLR DRR DR FI HR LOPTC MM PGA POCP RAM SAP R/3 SRMTC SRPF TC DESIGNAÇÃO Assembleia Legislativa Regional da Madeira Autorização de Pagamento Conselho de Administração Módulo aplicacional de Controlo de Gestão Departamento Financeiro Decreto-Lei Decreto Legislativo Regional Decreto Regulamentar Regional Diário da República Módulo aplicacional de Contabilidade Financeira Módulo aplicacional de Recursos Humanos Lei de Organização e Processo do Tribunal de Contas Módulo aplicacional de Gestão de Materiais Plano Global da Auditoria Plano Oficial de Contabilidade Pública Região Autónoma da Madeira Software de Gestão R/3, desenvolvido e comercializado pela empresa SAP do Tribunal de Contas Secretaria Regional do Plano e Finanças Tribunal de Contas 2
7 1. INTRODUÇÃO 1.1. Fundamento, âmbito e objectivos O presente Parecer consubstancia o resultado da verificação externa à conta de gerência de 2003 da Assembleia Legislativa Regional da Madeira, doravante designada por ALRM, a qual consta do Programa Anual de Fiscalização da do Tribunal de Contas (SRMTC), para o ano 2004, aprovado pelo Plenário Geral do Tribunal de Contas, em sessão de 18 de Dezembro de 2003, através da Resolução n.º 2/2003-PG 1. Esta acção teve como objectivo principal verificar a exactidão das peças contabilísticas finais, os respectivos registos das receitas e das despesas, bem como a correspondente regularidade e legalidade, com vista a suportar a emissão do Parecer cometido ao Tribunal de Contas (TC), nos termos da alínea b) do n.º 1 do art.º 5.º da Lei n.º 98/97, de 26 de Agosto, e como objectivo secundário, apreciar o sistema de controlo interno da ALRM em ambiente informático, incluindo a identificação dos factores de risco, na óptica da sua utilização e gestão. Nos termos do n.º 3 do art.º 5.º da Lei n.º 98/97 compete ao plenário da ALRM a aprovação da Conta de Gerência em análise, cabendo-lhe deliberar sobre a remessa, ao Ministério Público, do Parecer do TC, para o efeito de eventual efectivação de responsabilidades financeiras, nos termos do n.º 1 do art.º 57.º e da alínea b) do n.º 1 do art.º 58.º da mesma Lei Enquadramento normativo A ALRM é um dos órgãos de governo próprio da Região Autónoma da Madeira (RAM), criado nos termos do art.º 231.º da Constituição da República Portuguesa, e sendo, pelo n.º 2 do art.º 1.º do Decreto Legislativo Regional (DLR) n.º 24/89/M, de 7 de Setembro 2, dotada de autonomia administrativa e financeira e de património próprio. Nos termos daquele DLR, a gestão financeira e patrimonial cabe ao Conselho de Administração (CA), cujas competências e atribuições estão definidas nos seus art. os 13.º e 16.º, devendo ser exercidas sob a superintendência do Presidente da ALRM, conforme decorre do disposto no n.º 2 do art.º 7.º do mesmo diploma. Em conformidade com o n.º 2 do art.º 49.º do citado DLR n.º 24/89/M, o orçamento anual é aprovado pelo Plenário da ALRM, aplicando-se à sua execução as normas específicas elencadas nos seus art. os 50.º e 53.º a 56.º. Considerando que a ALRM adoptou em 2003 a contabilidade patrimonial, passou a aplicarse-lhe o disposto no DL n.º 232/97, de 3 de Setembro (que aprova o POCP Plano Oficial de Contabilidade Pública) e, relativamente à apresentação das contas ao TC 3, o previsto nas instruções aprovadas pela Resolução n.º 1/93, publicada no DR n.º 17, I Série - B, de 21 de Janeiro. 1 Publicado no DR, II Série, de 7 de Janeiro de Com as alterações que foram introduzidas pelos DLR n.º 2/93/M, de 20 de Fevereiro, e n.º 10-A/2000/M, de 26 de Abril. 3 O relatório e a conta da ALRM são remetidos ao Tribunal de Contas até 31 de Março do ano seguinte àquele a que digam respeito, nos termos do n.º 2 do art.º 31.º da Lei n.º 6/91, de 20 de Fevereiro (LEORAM), com as alterações introduzidas pela Lei n.º 53/93, de 30 de Julho. 3
8 Parecer sobre a Conta da Assembleia Legislativa Regional da Madeira - Ano económico de Identificação dos responsáveis De acordo com o disposto na alínea a) do art.º 28.º do supra mencionado DLR n.º 24/89/M, com as alterações que lhe foram introduzidas pelo DLR n.º 10-A/2000/M, de 26 de Abril, é da competência do Departamento Financeiro (DF) elaborar a conta da ALRM, de acordo com as orientações expressas pelo CA, ao qual compete, nos termos da alínea c) do art.º 14.º proceder à sua aprovação, submetê-la ao Presidente da Assembleia e remetê-la para Parecer do TC. A verificação incidiu sobre a gerência de 1 de Janeiro a 31 de Dezembro de 2003, da responsabilidade dos membros do CA: (Valores em euros) Vencimento Nome Cargo líquido anual José Manuel Soares Gomes de Oliveira Presidente ,29 José Óscar de Sousa Fernandes Vogal ,90 António Carlos Teixeira de Abreu Paulo Vogal , Metodologia e técnicas de controlo Tendo em conta o constrangimento temporal em que foi realizada, a verificação externa envolveu duas fases distintas. Numa primeira fase, executada antes da prestação de contas pela ALRM, procedeu-se: À avaliação do sistema de controlo interno em ambiente informático, consubstanciada na realização de entrevistas e de testes de procedimento e conformidade aos circuitos de receita e despesa decorrentes da implementação de uma nova aplicação informática de suporte à gestão administrativa e financeira, denominada de SAP R/3, que incluiu um exame aos controlos inerentes à aplicação, bem como a identificação dos riscos a ela associados; À análise da organização informática da ALRM, tendo em vista a avaliação dos controlos organizacionais globais, das políticas de segurança, dos controlos de acesso lógico e físico, dos controlos ambientais e do plano de contingências e continuidade dos serviços; Ao exame dos registos contabilísticos e da documentação comprovativa das receitas e das despesas seleccionadas, com recurso aos métodos de amostragem não estatística: amostragem sobre valores estratificados e amostragem sistemática, também denominada de amostragem por intervalos. Numa segunda fase, após a prestação de contas procedeu-se à liquidação da conta de gerência e dos demais documentos que a acompanhavam e ao esclarecimento das dúvidas surgidas Condicionantes e grau de colaboração dos responsáveis Durante a execução dos trabalhos, surgiram algumas dificuldades relacionadas com a disponibilização de suportes documentais às operações examinadas, explicadas pelo facto do POCP ter sido adoptado em 2003 e de a implementação da nova ferramenta de gestão o software SAP R/3 ainda não estar totalmente concluída. 4
9 É de registar o espírito de colaboração dos responsáveis e demais funcionários contactados, patenteado na disponibilidade manifestada e nos esforços desenvolvidos para disponibilizarem os elementos solicitados Princípio do contraditório Dando cumprimento ao princípio do contraditório, previsto no art.º 13.º da Lei n.º 98/97, os membros do CA, identificados no ponto 1.3., foram individualmente instados a pronunciarem-se sobre o teor do relato da verificação externa da conta. A resposta, subscrita conjuntamente por todos os responsáveis, foi tida em consideração ao longo do texto e consta, na íntegra, do Anexo VI, nela sendo referido que o Conselho de Administração já tomou as providências tidas por convenientes e urgentes para a resolução das insuficiências e problemas detectados no sentido de colmatar essas anomalias e contribuir para o eficaz funcionamento do sistema contabilístico. 2. OBSERVAÇÕES 2.1. Análise da actividade financeira A análise financeira incidiu apenas sobre a informação orçamental constante dos documentos de prestação de contas da ALRM, por não ter sido possível confirmar se as restantes demonstrações financeiras de natureza patrimonial (Balanço e Demonstração de Resultados) estavam devidamente sustentadas nos correspondentes valores dos Balancetes do Razão Geral, analíticos e sintéticos, antes e depois dos lançamentos de regularização e de apuramento de resultados, que não foram remetidos Execução orçamental da receita e da despesa O Orçamento e Conta de 2003 apresentaram uma estrutura diferente da dos anos anteriores, por ter sido adoptado um novo classificador económico das receitas e despesas públicas, em conformidade com o DL n.º 26/2002, de 14 de Fevereiro. As alterações ao orçamento inicial aprovado através da Resolução da ALRM n.º 6/2003/M, de 24 de Janeiro 4, foram devidamente autorizadas 5 e contabilizadas. A receita efectiva foi cerca de milhares de euros, representando as transferências do Orçamento da RAM 95,23% daquele montante, e as receitas próprias os restantes 4,77% (Quadro 1). A taxa de execução orçamental das receitas, à semelhança do que tem ocorrido nos anos anteriores, foi elevada (98,05%). A taxa de execução das receitas próprias foi de 94,80% e a das transferências do orçamento da RAM de 98,22%. No tocante à estrutura das receitas próprias (Gráfico 1), o saldo da gerência anterior tem um peso preponderante de 95,35%, seguindo-se-lhe as vendas de bens que representam 2,32%. 4 Cfr. Despacho n.º 2/2002/M e Resoluções n. os 53/CODA/2003, 67/CODA/2003, 81/CODA/2003, 94/CODA/ /CODA/2003, 113/CODA/ /CODA/2003 e 135/CODA/ Pese embora os reforços de verbas em contrapartida de verbas afectas ao agrupamento de despesas com o pessoal, efectuados através das Resoluções n.º 67/CODA/2003, n.º 81/CODA/2003, n.º 94/CODA/2003 e n.º 113/CODA/2003, não tenham sido sujeitos a autorização prévia do Secretário Regional do Plano e Finanças, tal como preceitua a al. a) do n.º 2 do art.º 3.º do DL n.º 71/95, de 15 de Abril, e o ponto 17, al. a), da Circular n.º 4/Orç/2003, de 17 de Março, relativa à execução do Orçamento da Região para
10 Parecer sobre a Conta da Assembleia Legislativa Regional da Madeira - Ano económico de 2003 QUADRO 1 Execução Orçamental e Estrutura das Receitas, segundo a sua natureza Descrição Orçamento Final Realizado (Unidade: euros) Execução % Estrutura % RECEITA PRÓPRIA ,80 4,77 Saldo da gerência anterior (a) ,48 4,55 Venda de bens ,17 0,11 Juros sociedades financeiras ,24 0,04 Reposições não abatidas nos pagamentos ,40 0,07 Outras receitas ,00 0,00 0,00 TRANFERÊNCIAS DO ORÇAMENTO DA RAM ,22 95,23 TOTAL ,05 100,00 (a) Não inclui o saldo de Receitas de Estado e de Operações de Tesouraria Fonte: Mapa de Fluxos de Caixa da ALRM Gráfico 1 - Estrutura da Receita Própria Cobrada 0,94% 2,32% 1,39% Saldo da gerência anterior Venda de bens Juros 95,35% Reposições não abatidas nos pagamentos As despesas realizadas atingiram um montante próximo de milhares de euros, correspondente a 93,72% do valor orçamentado (Quadro 2). As despesas correntes registaram uma taxa de execução orçamental de 97,40% e as despesas de capital de 51,66%. Nos termos do Relatório de Actividades da ALRM referente ao ano económico de 2003, a razão para a reduzida taxa de execução das despesas de capital reside, sobretudo, no facto de a ALRM ter procedido à contenção de despesas, na sequência da não satisfação pela SRPF de três duodécimos relativos a esta rubrica de despesa, no montante de 225 mil euros, e ainda no atraso verificado na facturação e pagamento dos trabalhos a mais e dos erros e omissões da empreitada de recuperação e ampliação das instalações localizadas à Rua da Alfândega n. os 58 a 62. As despesas correntes representaram 95,57% da execução orçamental, enquanto os restantes 4,43% respeitaram às despesas de capital (Quadro e Gráfico 2). 6
11 QUADRO 2 Execução Orçamental e Estrutura da Despesa, por Classificação Económica (Unidade: euros) Descrição Orçamento Execução Estrutura Realizado Final % % DESPESAS CORRENTES ,40 95, Despesas com o Pessoal ,65 56, Remunerações certas e permanentes ,85 39, Abonos Variáveis ou Eventuais ,54 2, Segurança Social ,85 14, Aquisição de Bens e Serviços ,73 15, Aquisição de Bens ,26 2, Aquisição de Serviços ,94 12, Transferências Correntes ,98 24, Famílias ,00 24, Resto do Mundo ,54 0,01 DESPESAS DE CAPITAL ,66 4, Aquisição de Bens de Capital ,66 4, Investimentos ,66 4,43 TOTAL ,72 100,00 Fonte: Mapa de Fluxos de Caixa da ALRM 4,43% Gráfico 2 - Estrutura das Despesas Realizadas Despesas Correntes Despesas de Capital 95,57% Evolução das receitas e das despesas relativamente ao ano anterior Relativamente ao ano anterior, a receita total registou uma redução de 3,67% (Quadro 3). As transferências do orçamento regional diminuíram 0,61%, correspondendo, em termos absolutos, a uma diminuição de cerca de 76 mil euros, devida à não satisfação parcial das requisições de fundos relativas aos meses de Outubro, Novembro e Dezembro. As receitas próprias, que em 2002 correspondiam a cerca de milhares de euros, registaram também uma diminuição de 40,31%, para cerca de 622 mil euros, devido, essencialmente, à diminuição de 38,36% do saldo transitado da gerência anterior. 7
12 Parecer sobre a Conta da Assembleia Legislativa Regional da Madeira - Ano económico de 2003 QUADRO 3 Evolução das receitas realizadas relativamente ao ano anterior (Unidade: euros) Descrição Variação % RECEITA PRÓPRIA ,31 Saldo da gerência anterior ,36 Venda de bens ,64 Juros sociedades financeiras ,28 Reposições não abatidas nos pagamentos ,26 Outras receitas ,00-100,00 TRANFERÊNCIAS DO ORÇAMENTO DA RAM ,61 TOTAL ,67 Fonte: Mapa de Fluxos de Caixa da ALRM Em termos globais, a despesa evidenciou uma evolução muito semelhante à da receita, a qual diminuiu 3,70%. Contudo, se fizermos uma análise por rubricas de classificação económica (Quadro 4), podemos verificar que a variação verificada dentro destas rubricas não foi uniforme, tendo as despesas com a aquisição de bens de capital e com as transferências correntes registado decréscimos de 65,59% e de 26,13%, respectivamente, que contrastam com os aumentos verificados nas rubricas despesas com o pessoal e aquisição de bens e serviços correntes, de 21,72% e 26,25% respectivamente. A redução significativa do valor das despesas de capital, quando comparada com o aumento verificado no ano anterior 6, deve-se, sobretudo 7, ao facto de terem sido concluídos na gerência de 2002 dois grandes projectos de investimento: as obras de ampliação e remodelação do edifício adquirido pela ALRM em 2000 e a aquisição da aplicação informática SAP-ERP. QUADRO 4 Evolução das Despesas realizadas relativamente ao ano anterior, por Classificação Económica (Unidade: euros) Descrição Variação % DESPESAS CORRENTES , Despesas com o Pessoal , Remunerações certas e permanentes , Abonos Variáveis ou Eventuais , Segurança Social , Aquisição de Bens e Serviços , Aquisição de Bens , Aquisição de Serviços , Transferências Correntes , Famílias , Resto do Mundo ,00 DESPESAS DE CAPITAL , Aquisição de Bens de Capital , Investimentos ,59 TOTAL ,70 Fonte: Mapa de Fluxos de Caixa da ALRM 6 Através do Parecer referente à gerência de 2002, podemos verificar que as despesas com a aquisição de bens de capital sofreram um aumento de 219,75%, relativamente ao ano anterior. 7 Conforme o referido no Relatório de Actividades da ALRM referente ao ano económico de
13 2.2. Sistema de gestão e de controlo Organização administrativa e financeira da ALRM O art.º 45.º do DL n.º 155/92, de 28 de Julho, consagrou a obrigatoriedade de utilização pelos serviços e fundos autónomos de um sistema de contabilidade baseado no POC Plano Oficial de Contabilidade, no entanto, só em 1997, com a entrada em vigor do DL n.º 232/97, que aprovou o POCP Plano Oficial de Contabilidade Pública é que foram criadas as condições para a sua utilização pelos serviços públicos. No caso da ALRM, a gerência de 2003 consagrou a adopção do POCP e a introdução da Contabilidade Analítica, tendo para o efeito sido adquirida uma nova aplicação informática, denominada SAP R/3. Estas modificações justificaram a necessidade de elaborar um manual de procedimentos (que à data do trabalho de campo ainda não se encontrava concluído). À semelhança do verificado em anos anteriores, no DF, composto por seis funcionários, estão centralizadas as funções de tesouraria, contabilidade, aprovisionamento e economato, tendo-se verificado, também, que o Chefe do DF continua a acumular essas funções com as de Tesoureiro. Na área patrimonial, foi efectuada a identificação dos bens inventariáveis, pese embora, aquando da realização do trabalho de campo: Ainda não estivesse concluída a afectação dos bens aos vários centros de custo; Ainda não se tivesse procedido à etiquetagem dos bens patrimoniais, em conformidade com a recomendação formulada em anteriores auditorias, salientando-se que a ALRM prevê adoptar um sistema de pistola de leitura óptica e impressora de etiquetas, com interligação ao SAP. Relativamente a estas situações, o CA referiu, em sede de contraditório, que em 2004 ( ) as funções de tesoureiro deixarão de ser exercidas pelo Chefe do Departamento Financeiro, que em breve será aprovado o ( ) Manual de Procedimentos da área financeira e patrimonial o que irá contribuir para o melhor desempenho dos funcionários e segregação de funções por eles realizadas e que Os bens patrimoniais serão etiquetados e totalmente afectos aos respectivos centros de custo. ( ) apenas não estavam afectos os que foram objecto de alteração, nomeadamente de localização, devido à entrada em funcionamento do novo edifício ( ) Organização informática da ALRM A análise à organização informática da ALRM visou, numa primeira fase, a avaliação dos controlos organizacionais globais, das políticas de segurança, dos controlos de acesso lógico e físico, dos controlos ambientais e do plano de contingências e continuidade dos serviços. 9
14 Parecer sobre a Conta da Assembleia Legislativa Regional da Madeira - Ano económico de 2003 Num segundo momento procedeu-se à identificação e avaliação dos suportes informáticos específicos para as áreas de aquisição de bens e serviços e gestão orçamental, à identificação dos correspondentes procedimentos e dos departamentos organizacionais associados àquelas áreas e à análise da adequabilidade do sistema informático à orgânica da entidade, às competências fixadas e às normas processuais exigidas APLICAÇÃO SAP R/3 O sistema R/3 é uma aplicação internacional standard que cobre um largo leque de processos de negócio de forma integrada, independentemente do ramo de actividade a que se destine, mantendo autonomia relativamente à plataforma de hardware e base de dados, permitindo uma liberdade quase total na escolha da arquitectura técnica em que se pretende executar tal aplicação. O SAP R/3 dispõe de um sistema de arquitectura denominado BC Basic Components (sistema básico que permite o funcionamento de todos os módulos aplicacionais), e de uma ferramenta própria de desenvolvimento denominada ABAP/4 Development Workbench. A sua arquitectura pode ser baseada no modelo de três níveis de processamento distribuído cliente/servidor, podendo ainda ter um quarto nível adicional no caso ser estabelecida uma solução que envolva a internet 8. Na ALRM, o modelo adoptado foi o Presentation Server (apresentação distribuída), que consiste em dispor de apenas um servidor (aplicacional e de base de dados) e de várias máquinas cliente. O sistema SAP permite a utilização de uma grande variedade de equipamentos, de software de bases de dados e interfaces gráficos, garantindo uma grande flexibilidade ao sistema e a possibilidade de expansão futura da infra-estrutura tecnológica. O sistema R/3 dispõe, ainda, de um conjunto de métodos e ferramentas que permitem fazer ligação a sistemas externos, importando e exportando informação 9. Este sistema é composto por vários módulos aplicacionais, tendo sido propostos, no caso da ALRM, os seguintes (cfr. Anexo I): FI Financial Accounting (Contabilidade Financeira): TR Treasury (Tesouraria) AM Assets Management (Gestão de Imobilizado) CO Controlling (Controlo de Gestão) MM Materials Management (Gestão de Materiais Compras, Stocks, ) HR Human Resources (Recursos Humanos): PA Personnel Administration (Administração de Pessoal) PD Personnel Development (Desenvolvimento de Pessoal) Embora cada um destes módulos contenha toda a funcionalidade respeitante ao conjunto de atribuições administrativo-financeiras da ALRM, a visão que melhor potencializa a funcionalidade do R/3 é a possibilidade da sua utilização por processos, ou seja a sua capacidade de optimizar a integração inter-modular, como se apresenta no esquema seguinte: Cfr. págs. 16 e 26 da proposta de preço apresentada pela Taboada & Barros, S.A. Cfr. pág. 17 da proposta de preço.
15 Ambiente interno dos módulos aplicacionais CONTROLOS ORGANIZACIONAIS GLOBAIS A informática encontra-se devidamente enquadrada na estrutura orgânica da ALRM, formalizada através de um Gabinete de Informática, chefiado por um Especialista licenciado em Eng.ª Informática. Para além deste, existem mais cinco técnicos da carreira de Técnico de Informática, cuja formação base, embora não sendo de informática, foi complementada através de acções de formação, o que permitiu a sua reclassificação e tramitação para aquela carreira. No Gabinete de Informática existem dois níveis de privilégios: Administração e Operação. O nível de Administrador é afecto ao responsável pela informática e a apenas um dos Técnicos. Os restantes Técnicos apenas possuem o nível de Operador. Os elementos do Gabinete de Informática recebem formação periódica, segundo uma política de reciclagem, que é complementada sempre que surge uma necessidade específica de formação, garantindo um nível de actualização tecnológica aceitável. Os restantes funcionários, em particular os que operam o SAP, frequentaram para cada módulo funcional, acções de formação específicas, tendo-se comprovado a existência de manuais de utilização base e de algumas versões actualizadas PROGRAMA GERAL DE SEGURANÇA O acesso ao compartimento onde se encontram as plataformas físicas de suporte ao sistema base e ao sistema SAP (produção e desenvolvimento), encontra-se devidamente assegurado por um sistema de acesso por teclado numérico, embora o acesso ao Gabinete de Informática seja realizado através de uma fechadura normal. O referido compartimento encontra-se devidamente climatizado, por duas unidades independentes de ar condicionado, assegurando assim o nível da temperatura em caso de falha de uma elas. Constatou-se que não existe sistema de detecção, nem extinção de incêndios (quer automático ou manual), o que constitui um aspecto negativo visto que, mesmo quando o fogo é detectado numa fase inicial, a utilização de extintores que não cumpram as especificações de utilização 11
16 Parecer sobre a Conta da Assembleia Legislativa Regional da Madeira - Ano económico de 2003 em ambiente informático, poderão danificar permanentemente componentes mecânicos e electrónicos dos sistemas. O CA, nas suas alegações, informou que se encontra prevista, no plano de actividades para 2004, a implementação de um sistema automático de detecção e combate a incêndios, apropriado para Data Center s. Os activos de rede distribuídos pelos três edifícios encontram-se devidamente acondicionados em bastidores próprios, fechados por fechadura, em locais visíveis, contribuindo assim para a sua integridade e segurança. Por outro lado, na continuidade da correcta política de segurança, as tomadas de telecomunicações (usualmente denominadas por TO s), que não estão a ser utilizadas, são desactivadas através da remoção de ligação ao patch pannel no respectivo bastidor. Estão devidamente localizadas e documentadas todas as ligações de rede, activadas ou não, bem como todo o equipamento informático, desde activos de rede a computadores e impressoras. Os registos da localização, especificação e configuração são mantidos por uma aplicação adquirida para o efeito CONTROLOS DE ACESSO LÓGICO E FÍSICO Cada utilizador detém uma palavra passe para acesso ao sistema base, e, para aqueles que trabalham com o sistema SAP, uma segunda palavra passe, distinta da primeira. Embora não exista nenhum software que realize a geração de forma aleatória das palavras passe dos utilizadores, as mesmas, quando se torna necessário o seu fornecimento pelo Gabinete de Informática (em situações de novos funcionários, reconfiguração, etc.), são constituídas por elementos alfanuméricos, tomando sempre a precaução de não constituírem sequências facilmente deduziveis. Depois de recebidas as novas palavras passe, cada funcionário é obrigado (pelo sistema), a introduzir uma nova palavra passe, distinta da anterior e não inferior a quatro caracteres. Na entrega das palavras passe, são feitas recomendações para que a palavra passe a introduzir respeite as normas de segurança, nomeadamente a de não a difundir. O acesso ao sistema SAP é realizado através de uma aplicação cliente, do tipo front end, que interage com o sistema de bases de dados, alojado no servidor SAP - produção. O acesso a cada módulo é autorizado com base no perfil, previamente parametrizado, de cada utilizador, na sua identificação e validação através de uma palavra passe, que pode a qualquer momento ser alterada pelo utilizador, contribuindo assim para a política global de segurança. Com a cessação de funções, seja na aplicação SAP, seja no próprio serviço, é imediatamente desactivada a conta do funcionário. Por norma geral, cada utilizador só pode entrar no sistema a partir da sua máquina, sendo que as demais contas (sejam as de utilizadores de domínio, sejam as da própria máquina: por exemplo a de convidado), se encontram desactivadas. É recomendável que as máquinas, depois de um dado período de inactividade, entrem num modo de segurança que não só oculte o que de momento está a ser visualizado, como, de igual forma, imponha a necessidade de introdução de uma palavra passe para voltar a activar a máquina. Constatou-se que tal norma de segurança não se encontra implementada. 12
17 Em sede de contraditório, o CA referiu que O Gabinete de Informática está neste momento em fase total (sic) reformulação da gestão do domínio de utilizadores, de modo a que se possam atribuir determinadas regras a grupos de utilizadores de uma forma centralizada, sendo uma delas, o bloqueio da sessão de trabalho após algum tempo de inactividade, de modo a que a mesma só possa ser desbloqueada pelo próprio utilizador e pelo administrador do sistema através da introdução da palavra passe, sendo que O atraso na implementação desta norma deve-se ao atraso na implementação de um proxy e de um novo sistema de correio electrónico, pois a implementação destes dois sistemas obrigou a que tivéssemos de redefinir muitas das regras já existentes.. Com uma base periódica, são verificados os registos de entrada no sistema, não só respeitante ao sistema base, como de igual forma ao sistema SAP. São possíveis acessos do exterior, por uma interface http, através de qualquer browser, a correio electrónico e documentação pública, a um sistema de serviços, usualmente denominado por BBS. O referido servidor encontra-se numa zona de exclusão especial denominada DMZ (Demeilitarized Zone), encontrando-se separado do domínio principal, em particular do sistema SAP. A cada utilizador é fornecido um nome de utilizador e uma palavra passe, tendo em consideração os aspectos de segurança já referidos neste ponto. De salientar que estão implementadas políticas de bloqueio de conta, no caso de três sucessivas tentativas falhadas de acesso. Todos os acessos a este servidor são devidamente registados pelo sistema (tanto os de sucesso, como os de insucesso), possibilitando posterior análise PROGRAMAS NÃO DIRECCIONADOS Embora não exista um documento oficial que formalize as restrições de instalação de programas utilitários fora do âmbito funcional, são praticadas políticas de dissuasão activas e passivas. Por um lado, os utilizadores são informados da proibição de instalação de programas não autorizados e, por outro, existe uma intervenção activa através da restrição de privilégios ao nível das contas. Estes privilégios não só limitam a instalação de outros programas utilitários, como impedem que sejam alterados os parâmetros de políticas locais do microcomputador, como sejam, definições de rede, definições de políticas de segurança local, entre outras. Embora, na maior parte das vezes, as máquinas (entenda-se microcomputadores, computadores ou servidores), venham já com software instalado (sistema operativo, e outros programas utilitários), o Gabinete de Informática procede à formatação e reinstalação completa do sistema operativo e demais sistemas lógicos, a partir de suportes originais. No que respeita à protecção das máquinas, e embora tudo aponte para uma correcta consequência da política de segurança, factores surgem que provocam a instalação involuntária de programas, cujas consequências podem variar entre a diminuição do desempenho do sistema (denominados por worms), e a danificação, quer de dados, quer do próprio sistema operativo (usualmente conhecidos por vírus). Para limitar esses problemas, encontra-se instalada, em cada máquina, uma instância de antivírus, bem como um sistema centralizado de antivírus, ao nível corporative, que não só é responsável pela actualização dos dados dos sistemas antivírus existentes em cada máquina, como mantém um registo das 13
18 Parecer sobre a Conta da Assembleia Legislativa Regional da Madeira - Ano económico de 2003 mesmas, permitindo identificar a máquina, o utilizador e as detecções e intervenções com sucesso, de forma a evitar novos ataques PLANO DE CONTINGÊNCIAS E CONTINUIDADE DOS SERVIÇOS Embora não exista um plano de contingências e continuidade dos serviços oficial e superiormente autorizado, verifica-se uma permanente presença e prática dos seus conceitos fundamentais, desde o nível do suporte de energia, passando pela redundância no armazenamento de dados, até ao nível das cópias de segurança. Como suporte base a todo o sistema, existem dois servidores de domínio, permitindo que, no caso de falha de um deles, seja possível a autenticação dos utilizadores, para entrada no sistema. Ao nível do suporte de energia, o sistema apresenta duas unidades independentes de energia ininterrupta: uma, para suporte às plataformas que albergam o sistema SAP, e outra, para as plataformas do sistema operativo (nomeadamente servidores de domínio). O suporte às unidades de energia ininterrupta é assegurado por um grupo gerador a diesel, cujo accionamento é realizado de forma automática na ausência de energia da rede de distribuição. Sem uma periodicidade definida, é verificado o estado de cada unidade de energia ininterrupta, verificando a carga das baterias, bem como o seu funcionamento. Em termos de suporte de dados, verificou-se uma implementação, nas plataformas de suporte ao sistema SAP, de politicas de RAID 1 e RAID 5, constituindo, assim por dizer, a primeira frente do plano de contingências, assegurando a continuidade dos serviços em caso de falha dos suportes físicos de armazenamento das plataformas. Relativamente a cópias de segurança, constatou-se a existência de uma DLT Tape Drive, que realiza diariamente cópias de segurança do sistema SAP e da plataforma Microsoft. Todos os suportes magnéticos são devidamente identificados e referenciados em suporte papel, com o respectivo relatório de execução. É realizada uma rotatividade mensal das tapes, sendo, em cada ano, armazenada uma por mês. É importante salientar, como aspecto negativo, o modo de armazenamento dos suportes magnéticos das cópias de segurança. São armazenados localmente (zona dos servidores) num pequeno contentor. Deveriam, pois, seguindo as normas, ser armazenados em cofre resistente ao fogo, numa localização (edifício) distinta, onde se encontram as plataformas. As recuperações de informação do sistema são da responsabilidade dos elementos do Gabinete de Informática, enquanto que na área do sistema SAP fica à responsabilidade da empresa adjudicatária, com a qual está celebrado um contrato de assistência e manutenção. O bom funcionamento do sistema de cópias de segurança do sistema SAP é indirectamente verificado através da recuperação de dados para o servidor SAP - desenvolvimento, restringindo-se, as demais, às verificações automáticas realizadas pelo sistema DLT, após a execução das cópias de segurança. A manutenção, optimização e actualização das bases de dados fica à responsabilidade da empresa adjudicatária do contrato de assistência e manutenção, embora tarefas mais elementares ou rotineiras (como sejam, por exemplo, as operações de manutenção de contas 14
19 de utilizadores, e respectivos privilégios: geração, activação, desactivação, etc.) possam ser realizadas pelos elementos do Gabinete de Informática com formação e autorização para tal. Relativamente às situações abordadas, o CA informou que No plano de actividades para o corrente ano, está previsto um plano de «Disaster Recovery» e manuais de Administração para equipamentos Servidores, de modo a que qualquer problema possa ser resolvido, por qualquer técnico, ou até mesmo por alguma empresa ( ). A aquisição de um ou mais cofres apropriados para o armazenamento dos suportes magnéticos das cópias de segurança também fazem parte do plano de actividades para 2004 ( ) A AUDITORIA NO SISTEMA SAP O sistema SAP possibilita funcionalidades específicas de auditoria, no que respeita às operações realizadas tanto ao nível de sistema, como de igual forma ao nível operacional, pelos funcionários afectos aos diferentes módulos. Constatou-se, através da documentação requisitada, que os parâmetros de auditoria presentemente activos não fornecem informação sobre a actividade dos funcionários no sistema, sendo impossível determinar minimamente as operações realizadas. Não obstante, os responsáveis, quando ouvidos em contraditório, sublinharam que irão activar as funcionalidades de auditoria, ao nível das operações realizadas pelos utilizadores, encontrando-se em estudo ( ) a melhor forma de o fazer, para que não seja armazenada informação desnecessária, que venha no futuro prejudicar o funcionamento do sistema APERFEIÇOAMENTO DA PARAMETRIZAÇÃO DO SISTEMA SAP Embora, de uma forma não documentada, os utilizadores reportam aos responsáveis aspectos relevantes de parametrizações incorrectas ou inadequadas, no âmbito funcional específico, contribuindo assim para o aperfeiçoamento e correcção do sistema. A afinação da parametrização propriamente dita é realizada pela empresa responsável pela assistência e manutenção do sistema IDENTIFICAÇÃO E AVALIAÇÃO DOS SUPORTES INFORMÁTICOS ESPECÍFICOS Os suportes informáticos específicos para as áreas de aquisição de bens e serviços e de gestão orçamental são os módulos aplicacionais FI e MM, do sistema SAP R/3. Da análise realizada a estes dois módulos, verificou-se o seguinte: 1. Foi desenvolvido um Plano de Contas, nos termos do POCP, ajustado à orgânica e às especificidades da ALRM, concretizado, designadamente, no desdobramento das contas de acordo com a classificação económica das despesas ou com o seu destino (ex: por edifícios, grupos parlamentares, etc.). No entanto, o exame efectuado evidenciou estarem a ser utilizadas contas que não constam daquele Plano de Contas, como é o caso das contas e ; 10 Cfr. documentos relativos à contabilização das despesas pagas através das AP s n. os 1028, de , 1262, de e 2514, de , classificadas na rubrica
20 Parecer sobre a Conta da Assembleia Legislativa Regional da Madeira - Ano económico de O domínio das funcionalidades do sistema pelos funcionários e o grau de operacionalidade da aplicação é ainda insuficiente, como demonstra: 2.1 A dificuldade (ou impossibilidade) do serviço em fornecer os conta-correntes das rubricas de classificação económica seleccionadas para conferência, bem como os extractos e balancetes das contas da contabilidade patrimonial e orçamental; 2.2 O recurso frequente à empresa responsável pela assistência para satisfazer os pedidos e responder às questões colocadas pela equipa de auditoria; 2.3 O facto dos mapas mensais de controlo da execução orçamental a remeter à DROC terem sido elaborados extra sistema SAP. 3. A recepção e conferência das mercadorias não está a ser realizada automaticamente, pois o registo de entrada dos materiais está a ser efectuado pelo DF, aquando da recepção da factura e não pelo Economato, aquando da recepção quantitativa e qualitativa dos bens. No entanto, nos documentos analisados, também não existe evidência de que o DF confirme a recepção dos bens 11, antes de efectuar o registo de entrada do material e de emitir a respectiva autorização de pagamento; 4. A função de análise de rácios e análises gráficas e de funções ainda não está operacional, não sendo possível, por enquanto, efectuar a avaliação dos fornecedores. Embora também seja possível controlar os stocks existentes, despoletando propostas de compra sempre que seja atingido um limite mínimo pré-definido e programar o envio de cartas aos fornecedores quando é excedida a data de entrega da encomenda, estas funções não estão a ser utilizadas pela ALRM. 5. Na área da gestão orçamental, a ALRM ainda não está a tirar partido das seguintes potencialidades do SAP R/3: a) Cópia e reavaliação do orçamento do ano anterior; b) Transferência para o ano seguinte das despesas decorrentes de compromissos assumidos no ano anterior; c) Realização de simulações, análises e avaliações correntes e históricas, para auxiliar cada fase do planeamento; d) Elaboração de relatórios exaustivos sobre as acções tomadas. É de salientar que o orçamento da ALRM, para 2003, foi elaborado extra-sistema SAP, tendo a sua introdução, na aplicação, ocorrido após a sua aprovação, tal como acontecia no passado. Apesar do sistema estar preparado para extrair os mapas necessários às alterações orçamentais e proceder à sua contabilização automática, logo que ocorresse a sua aprovação, estas potencialidades não foram utilizadas. Segundo o CA, a aprovação do Manual de Procedimentos e ( ) o aperfeiçoamento do sistema, nomeadamente com as novas parametrizações já requeridas ( ) irão Não se verificou que o economato tenha aposto o carimbo de «conferido» ou «recebido» na guia de remessa e a tenha remetido ao departamento financeiro.
Tribunal de Contas Secção Regional da Madeira
Tribunal de Contas Secção Regional da Madeira PARECER SOBRE A CONTA DA ASSEMBLEIIA LEGIISLATIIVA DA MADEIIRA RELATIIVA AO ANO DE 2005 Tribunal de Contas Secção Regional da Madeira PARECER N.º 2/2006 -