Roteiro de estudos para Auditor do TCU: Auditoria de TI

O edital mais recente do TCU que li para Auditor Federal de Controle Externo (AUFC) abriu vagas só para a orientação de Auditoria de Tecnologia da Informação. A seleção tinha 200 itens Certo/Errado em duas provas objetivas, uma discursiva de 60 pontos com três questões e uma peça técnica, e um programa de formação. Quem vem de outras áreas precisa saber que a prova específica era quase toda de TI, e quem vem de TI precisa saber que a outra prova objetiva, a P1, cobra Português, Inglês, Raciocínio Analítico, Administração Pública, Direito, Controle Externo e Auditoria. Este roteiro vale para o edital lido; o próximo pode ser de outra orientação ou mudar o conteúdo, então confira sempre o texto vigente.

Cargo, requisito e etapas

O edital lido foi o Edital 1 do TCU para AUFC, executado pelo Cebraspe e pelo próprio Tribunal. O requisito era diploma de nível superior em qualquer área de formação, jornada de 40 horas semanais, e as atividades descritas incluíam planejar e executar fiscalização e controle externo da aplicação de recursos da União, examinando legalidade, legitimidade, economicidade, eficiência e efetividade, além de apoiar soluções de TI necessárias ao TCU. Para entender o órgão, leia TCU por dentro.

Etapa	Prova	Itens	Caráter
1ª	P1, conhecimentos básicos	100	eliminatório e classificatório
1ª	P2, conhecimentos específicos	100	eliminatório e classificatório
1ª	P3, discursiva	3 questões e 1 peça	eliminatório
2ª	Programa de formação	duração mínima de 120 horas	eliminatório

As objetivas tinham 5 horas, no turno da manhã, e a discursiva 4 horas e 30 minutos, à tarde.

Nota líquida, pisos e o corte de 80

As objetivas valiam 200 pontos. Acerto soma 1, erro subtrai 1 e branco vale zero (nota líquida). Eram eliminados os candidatos com:

menos de 20 pontos na P1;
menos de 30 pontos na P2;
menos de 60 pontos no conjunto das duas.

Além disso, só os 80 candidatos mais bem classificados em cada lista (ampla concorrência e cada reserva) eram considerados aprovados e tinham a discursiva corrigida. Ou seja, passar nos pisos não basta: a disputa real é pelo corte.

Exemplo resolvido

Bia faz 70 acertos e 20 erros na P1 (50 pontos) e 60 acertos e 25 erros na P2 (35 pontos). A soma é 85, acima dos pisos (50 ≥ 20, 35 ≥ 30, 85 ≥ 60). Léo faz 55 na P1 e 25 na P2: soma 80, acima de 60, mas está eliminado porque 25 é menor que 30. Os pisos funcionam por prova; uma boa P1 não salva uma P2 fraca.

O que a P1 cobrou

O edital listou: Língua Portuguesa (coesão, morfossintaxe, pontuação, concordância, regência, crase e reescrita), Língua Inglesa, Raciocínio Analítico (argumentação, falácias), Controle Externo (controle interno e externo, controle parlamentar, tribunais de contas, Lei 8.429/92), Administração Pública (gestão de processos, projetos, metodologia ágil, ESG), Direito Constitucional, Direito Administrativo (incluindo a Lei 14.133/21, a Lei 9.784/99 e a Lei 8.112/90) e Auditoria Governamental (tipos de auditoria, normas do TCU, ISSAIs 100, 200, 300 e 400, NBASP, planejamento, materialidade e risco, matriz de planejamento, achados e relatórios).

Para a base, veja controle externo na CF/88, controle da administração e tribunal de contas: função e carreiras.

O que a P2 cobrou

A P2 reuniu oito blocos de TI:

Infraestrutura de TI: redes e protocolos, sistemas operacionais e virtualização, armazenamento e backup, segurança de infraestrutura, ITIL v4, alta disponibilidade.
Engenharia de dados: bancos relacionais e NoSQL, SQL, data warehouse e data lake, ETL, governança e qualidade.
Engenharia de software: arquiteturas, padrões de projeto, APIs REST, OAuth2, CI/CD, contêineres, testes, Java e DevSecOps.
Segurança da informação: gestão de identidades, MFA, malware, SIEM, frameworks (MITRE ATT&CK, CIS e NIST CSF), criptografia e ataques a redes.
Computação em nuvem: modelos IaaS, PaaS, SaaS, serverless, Terraform, FinOps e normas de nuvem no governo federal.
Inteligência artificial: aprendizado de máquina, redes neurais, linguagem natural, IA generativa, MLOps, ética e LGPD.
Contratações de TI: estudo técnico preliminar, termo de referência, riscos, fiscalização, Lei 14.133/21, LGPD e instruções normativas da SGD.
Gestão de TI: ITIL v4, COBIT 5 e metodologias ágeis.

Para reforço conceitual, veja computação em nuvem, criptografia e LGPD para concursos.

Discursiva: 60 pontos

A P3 valia 60 pontos: três questões de até 20 linhas, de 10 pontos cada, sobre conhecimentos básicos e específicos, e uma peça técnica de até 50 linhas, de 30 pontos. A nota final era a soma das quatro notas, e o candidato precisava de pelo menos 30 pontos para não ser eliminado. O texto era manuscrito. Treine redigir um relatório de achado de auditoria (situação encontrada, critério, causa, efeito) em 50 linhas, cronometrado.

Roteiro por fases (modelo, sem prazo mágico)

Mapeamento: edital verticalizado dos 16 componentes (8 por prova) das duas provas.
Fase de TI: um bloco por vez, com prática (laboratório de redes, SQL e nuvem em contas gratuitas, quando disponíveis).
Fase de direito e controle: Controle Externo e Auditoria com leitura das normas citadas; Constitucional e Administrativo com lei seca.
Fase de escrita: peça técnica semanal.
Simulados de 5 horas para treinar resistência e o cálculo dos pisos.

Como dividir o estudo pelo peso das provas

As duas objetivas têm o mesmo número de itens (100 cada), mas pisos diferentes: 20 na P1 e 30 na P2. Isso indica que a P2 é a prova mais exigente em termos relativos, pois pede uma proporção maior de acertos líquidos. Uma divisão prática é reservar mais tempo ao bloco em que você tem mais lacunas e não perder de vista que a classificação depende da soma. Se você vem de TI, dedique as primeiras semanas a Controle Externo, Auditoria e Direito; se vem de Direito ou Administração, comece pelos blocos de TI de menor custo de entrada, como nuvem, segurança e contratações de TI, e deixe engenharia de dados e de software para depois. Em ambos os casos, marque no edital verticalizado o que você já domina, o que domina pela metade e o que nunca viu. Veja como montar um banco de questões pessoal.

Erros comuns

Concentrar o tempo em TI e abandonar Auditoria e Controle Externo, que são cobrados na P1.
Esquecer que a P1 e a P2 têm 100 itens cada e exigem resistência.
Tratar o edital como se valesse para outra orientação.
Não treinar a peça técnica manuscrita.

Próximos passos

Compare modelos de carreira em roteiro para controle externo e tribunais de contas.
Veja carreiras de TI no serviço público.
Compare com o roteiro do Analista do TCDF.

Fontes e atualização

Conferido nas fontes acima na data de publicação deste guia. O edital do próximo concurso pode mudar; confira. Estrutura de provas, pisos e conteúdos são os do edital lido, não uma previsão.