Sete programas de TI do DOD sem treinamento antifraude conhecido

Summary

O GAO examinou 18 grandes programas de TI de negócios do DOD, ligados a US$ 10,3 bilhões em gastos planejados entre os exercícios fiscais de 2024 e 2026. Em sete, os responsáveis informaram que a equipe não recebeu ou desconhecia treinamento nos dois anos anteriores para reconhecer e comunicar fraude ou adulteração em sistemas de TI.
Onze programas relataram treinamento recebido ou conhecido. Dez disseram avaliar seus riscos de fraude; cinco disseram que não avaliavam; três não sabiam responder. O DOD exige conscientização geral sobre fraude, mas declarou que não exige treinamento específico para reconhecer e comunicar sinais em sistemas de TI.
O GAO fez uma recomendação nova: o diretor de tecnologia deve agir com o Comptroller, órgão que o DOD designou em julho de 2020 para supervisionar o risco de fraude, para levar conteúdo relevante a cada programa. A prova útil está no nível do sistema: risco analisado, equipe alcançada e responsável pelo aviso.

O certificado vai bem; a informação chega mal

É fácil transformar uma aula central em número. A administração distribui o módulo, cobra conclusão e recebe uma planilha limpa. O operador de um sistema financeiro trabalha com outra pergunta: qual mudança de dado, de permissão ou de rota de aprovação exige parar e chamar alguém? Uma equipe não ganha essa resposta apenas porque todos receberam uma definição genérica de fraude. Ela precisa de exemplos do próprio processo e de um canal que leve a observação a quem decide.

O relatório do GAO de 28 de setembro de 2026 encontrou uma falha nessa transmissão. O auditor selecionou 18 dos grandes programas de TI de negócios informados pelo DOD ao painel federal de investimentos e enviou um questionário aos seus escritórios. Em sete, os gestores disseram que os funcionários não haviam recebido, ou não conheciam, treinamento sobre como reconhecer e relatar sinais de fraude ou adulteração em sistemas de TI nos dois anos anteriores. Onze responderam que a formação existia ou era conhecida. Os dados foram avaliados em abril de 2026.

Esses programas sustentam funções prosaicas de uma organização enorme: saúde, pessoas, contas, logística e contratação. O escritório do diretor de tecnologia do DOD informou US$ 10,3 bilhões de gasto previsto para os 18 programas ao longo de três exercícios fiscais, de 2024 a 2026. Quatro concentravam metade do montante planejado. O número torna a tarefa visível: é um portfólio caro o suficiente para ter políticas centrais, mas o trabalho decisivo ocorre em telas, cadastros e aprovações mantidos por equipes diferentes.

A política mora com o Comptroller; o sistema, com o CIO

Na resposta ao GAO, o DOD apontou para a Office of the Under Secretary of Defense (Comptroller), designada desde julho de 2020 para cuidar do risco de fraude no departamento. Também citou conscientização geral obrigatória e requisitos financeiros colocados na orientação anual de certificação dos sistemas de negócios. Essa arquitetura tem papéis reconhecíveis. A área financeira define uma estratégia de risco; a área de tecnologia administra o universo de programas; cada programa conhece os processos que podem ser manipulados.

O problema aparece na travessia. Os próprios responsáveis do DOD disseram que o departamento não exige hoje treinamento específico para reconhecer e comunicar fraude em sistemas de TI. Um curso geral pode cumprir sua tarefa e deixar sem dono o exercício aplicado a um fluxo de pagamento ou de pessoal. Para cobrir esse espaço, alguém precisa traduzir o risco para as tarefas do programa, atualizar os exemplos quando o sistema muda e assegurar que a pessoa de plantão saiba onde levar a dúvida.

Outro conjunto de respostas mostra o tamanho do vazio. Dez programas disseram avaliar os riscos de fraude que enfrentam. Cinco disseram que não o fazem. Três não sabiam se fazem. O desconhecimento é uma descoberta administrativa por si só: um documento central que os gestores do programa não conseguem localizar pouco ajuda a montar treinamento ou decidir quando uma anomalia merece investigação. A avaliação de risco precisa ser acessível a quem opera o controle.

O guia do GAO sobre risco de fraude pede que as equipes entendam o risco em seu contexto funcional, saibam diferenciar controles antifraude dos controles financeiros habituais e recebam mensagens e treinamento contínuos. Há um elemento de rotina nisso. Um novo integrante precisa chegar ao sistema e aprender a reconhecer as situações perigosas daquele programa. A aula geral cria vocabulário; o programa dá o significado operacional.

Uma recomendação de uma linha atravessa dois escritórios

O GAO fez uma nova recomendação neste exame anual: o secretário da Defesa deve orientar o Chief Information Officer (CIO), em colaboração com o Comptroller, a sustentar uma prática antifraude nos grandes programas de TI de negócios. O texto pede treinamento sobre riscos relevantes para cada função, sinais de fraude e conhecimento das atividades de avaliação. O relatório também repete seis recomendações antigas que ainda precisam ser atendidas, mas a nova decisão se concentra na entrega dessa capacidade aos programas.

O DOD concordou parcialmente. Alegou que o Comptroller já é a entidade dedicada ao risco de fraude e descreveu sua orientação de certificação. O GAO manteve a cobrança de coordenação: funcionários dos sistemas importantes devem receber treinamento pertinente e saber que ele existe. A divergência expõe uma tentação burocrática conhecida. Indicar a autoridade num organograma é mais simples do que provar que a instrução atravessou os corredores e chegou ao técnico responsável por um sistema.

O mesmo relatório encontrou outras lacunas de execução: oito dos dez programas em desenvolvimento ativo de software não demonstraram uso das métricas e ferramentas Agile exigidas; seis dos dezoito não tinham plano de implementação de zero trust para a meta de 2027 do DOD; três careciam de estratégia de cibersegurança aprovada. Cada uma tem seu próprio controle e seu próprio responsável. Juntas, mostram por que uma política de portfólio precisa de evidência no nível dos programas, onde as escolhas técnicas realmente são feitas.

Falta uma peça concreta: para cada programa, o risco de fraude avaliado, o conteúdo aplicado ao seu fluxo de trabalho, os cargos treinados, a data e o destinatário de um aviso. Uma revisão posterior que encontrasse essa cadeia nos dezoito programas mudaria a leitura. Hoje, sete respostas mostram a distância entre ter uma aula geral e preparar as pessoas que operam os sistemas.