O Gabinete do Auditor-Geral das Instituições da CEDEAO (GAG) convida, pela presente, as empresas de auditoria qualificadas e experientes a apresentar Propostas Técnicas e Financeiras para a prestação de Serviços de Auditoria de Sistemas de Informação (SI), ao abrigo de um Acordo-Quadro de três anos.
A presente missão visa apoiar o Gabinete do Auditor-Geral na realização de auditorias aos sistemas de informação, baseadas no risco, junto das Instituições, Agências e Escritórios Nacionais da CEDEAO. Os serviços abrangerão domínios como a governação das TIC, a cibersegurança, a gestão de riscos, a segurança da informação, a governação dos dados, a continuidade da atividade e a recuperação de desastres, as aplicações empresariais, a conformidade regulamentar e demais atividades conexas em matéria de auditoria de sistemas de informação.
AVISO IMPORTANTE
Recomenda-se vivamente às entidades interessadas a análise atenta dos Termos de Referência (TdR) em anexo antes da preparação e apresentação das suas propostas. Os TdR constituem parte integrante do presente concurso e contêm informação pormenorizada sobre o âmbito dos serviços, os requisitos de elegibilidade, as qualificações exigidas aos consultores, os critérios de avaliação técnica, a metodologia, os produtos a entregar, as modalidades de comunicação e relato, as condições de pagamento e as obrigações contratuais.
Considera-se que a apresentação de uma proposta constitui confirmação de que o concorrente analisou, compreendeu e aceitou os requisitos e as condições estabelecidos nos TdR.
ELEGIBILIDADE
As entidades elegíveis devem demonstrar experiência substancial em Auditoria de Sistemas de Informação e dispor das competências técnicas, das certificações profissionais e dos recursos exigidos para a execução de missões desta natureza, conforme especificado nos TdR em anexo.
REQUISITOS DE APRESENTAÇÃO DAS PROPOSTAS
As entidades interessadas devem apresentar os seguintes elementos:
- Proposta Técnica
- Proposta Financeira
- Perfil da Empresa
- Comprovativos de Experiência Relevante
- Documentos comprovativos de elegibilidade e certificações, conforme especificado nos TdR.
MODALIDADES E PRAZO DE APRESENTAÇÃO
As propostas podem ser apresentadas por via eletrónica ou entregues em suporte papel no endereço a seguir indicado:
Apresentação Eletrónica: oag-procurement-lcb@ecowas.int
Apresentação em Formato Físico: Gabinete do Auditor-Geral das Instituições da CEDEAO, 10 Dar es Salam Crescent Wuse 2, Abuja, Nigéria.
Prazo: Todas as propostas devem dar entrada até 29 de agosto de 2026, inclusive.
INSTRUÇÕES IMPORTANTES
- As propostas apresentadas por via eletrónica devem indicar no campo «assunto»: «Proposta para a Prestação de Serviços de Auditoria de Sistemas de Informação (SI) - Ref.: ECW/OAG/ADM/06-26-103/oja»
- Os concorrentes devem assegurar que as suas propostas respondem integralmente a todos os requisitos dos TdR anexos.
- A não apresentação das informações, qualificações, documentação comprovativa ou certificações exigidas pelos TdR pode determinar a exclusão da proposta por não conformidade.
- As propostas apresentadas fora do prazo não serão consideradas.
- O Gabinete do Auditor-Geral reserva-se o direito de aceitar ou rejeitar qualquer proposta e não está obrigado a adjudicar um contrato em resultado do presente concurso.
- A publicação do presente Pedido de Propostas não vincula o GAG à adjudicação de um contrato nem ao reembolso de quaisquer despesas incorridas na preparação e apresentação das propostas.
PEDIDOS DE ESCLARECIMENTO
Qualquer pedido de esclarecimento relativo ao presente processo de contratação pública deve ser apresentado por escrito para:
GABINETE DO AUDITOR-GERAL DAS INSTITUIÇÕES DA CEDEAO (GAG)
TERMOS DE REFERÊNCIA (TdR)
PRESTAÇÃO DE SERVIÇOS DE AUDITORIA DE SISTEMAS DE INFORMAÇÃO (SI)
ÍNDICE
REQUISITOS DE APRESENTAÇÃO DAS PROPOSTAS..................................... 2
MODALIDADES E PRAZO DE APRESENTAÇÃO................................................ 2
PEDIDOS DE ESCLARECIMENTO........................................................................ 3
1. ANTECEDENTES E CONTEXTO........................................................................ 6
4. METODOLOGIA E ABORDAGEM.................................................................... 10
6. MODALIDADES DE COMUNICAÇÃO.............................................................. 11
7. QUALIFICAÇÕES DO CONSULTOR E COMPOSIÇÃO DA EQUIPA.............. 11
7.1. Qualificação do Consultor:............................................................... 11
9. CONFIDENCIALIDADE E PROTEÇÃO DE DADOS......................................... 14
10. TRANSFERÊNCIA DE CONHECIMENTO E REFORÇO DE CAPACIDADES 15
11. INDICADORES-CHAVE DE DESEMPENHO (ICD)....................................... 16
12. MATRIZ DE AVALIAÇÃO TÉCNICA................................................................ 16
14. CALENDÁRIO DE PAGAMENTOS................................................................. 17
No cerne da Visão 2050 da CEDEAO encontra-se uma comunidade de povos integrada numa região pacífica e próspera, dotada de instituições sólidas que respeitam as liberdades fundamentais e se empenham em prol de um desenvolvimento inclusivo e sustentável. Neste âmbito, incumbe ao Presidente da Comissão da CEDEAO mobilizar os cidadãos da região em torno desta visão e contribuir para a sua concretização até 2050.
O Gabinete do Auditor-Geral (GAG) foi instituído em 2018 pela Conferência dos Chefes de Estado e de Governo, na sequência de um processo de Reforma Institucional, na qualidade de Instituição Independente de Supervisão. No quadro do compromisso de aperfeiçoar o processo de integração da África Ocidental e reforçar a respetiva eficácia, cabe ao Gabinete do Auditor-Geral assegurar a transparência e a prestação de contas junto de todas as Instituições, Agências e Escritórios Nacionais da CEDEAO.
Na sequência da aprovação de um plano estratégico, o Gabinete do Auditor-Geral pretende contratar uma entidade de auditoria ao abrigo de um acordo-quadro trienal, para apoiar o Gabinete na auditoria das Instituições, Agências e Escritórios Nacionais da CEDEAO, incluindo, entre outras tarefas, análises às TI e aos sistemas. O GAG tenciona afetar parte das suas dotações orçamentais anuais à contratação de uma entidade independente, ao abrigo de um acordo-quadro, para prestação de serviços de Auditoria de Sistemas de Informação (SI), por concurso público regional aberto, no próximo triénio (com início em junho de 2026).
O objetivo da presente missão consiste em assegurar que o ambiente das TIC da CEDEAO se mantenha seguro, resiliente, bem governado e plenamente alinhado com as normas, quadros de referência e requisitos regulamentares internacionalmente reconhecidos e aplicáveis à CEDEAO. Por conseguinte, sob a supervisão do GAG, a Entidade de Auditoria de Sistemas de Informação adjudicatária colaborará com o GAG, com sede em Abuja, Nigéria, na avaliação e no reforço da governação das TI, da postura em cibersegurança, dos sistemas de controlo interno e dos processos de gestão de riscos empresariais junto de todas as Instituições, Agências e Escritórios Nacionais da CEDEAO.
A presente missão e as obrigações contratuais dela decorrentes regem-se pelo Código de Contratação Pública de 2021 e pelo Regulamento Financeiro da CEDEAO de 2021. Em conformidade, todos os processos de contratação, execução e relato devem observar rigorosamente os princípios consagrados da contratação pública, designadamente o concurso público aberto, a transparência, a prestação de contas e a não discriminação.
Os objetivos da missão de Auditoria de SI consistem em prestar garantia independente, objetiva e assente em dados concretos quanto à adequação, eficácia e maturidade dos ambientes de governação das TIC, de gestão de riscos, de cibersegurança e de controlo. Mais especificamente, a missão visa:
Avaliar se os quadros de governação das TIC vigentes (designadamente estruturas, políticas, processos e mecanismos de supervisão) funcionam de forma eficaz e sustentam o mandato institucional.
Identificar vulnerabilidades sistémicas, deficiências de controlo, exposições em matéria de cibersegurança, lacunas de conformidade e ineficiências processuais suscetíveis de comprometer o desempenho ou a resiliência da organização.
Aferir as práticas, os processos e os controlos vigentes das TIC face às normas e aos quadros de referência internacionais consagrados, como o COBIT 2019, a ISO/IEC 27001 e 27002, o Quadro de Referência para a Cibersegurança do NIST, o ITIL 4 e as orientações ISSAI aplicáveis.
Formular recomendações operacionais, priorizadas e assentes no risco, destinadas a reforçar a resiliência das TIC, elevar a maturidade dos controlos e melhorar a eficiência e a fiabilidade operacionais.
Apoiar os órgãos de supervisão e a gestão de topo no reforço da prestação de contas, da transparência e da sustentabilidade do desempenho a longo prazo no ambiente das TIC.
Promover e salvaguardar a confidencialidade, a integridade, a disponibilidade e a fiabilidade global dos ativos de informação, das plataformas digitais e dos sistemas empresariais da CEDEAO.
As empresas de auditoria de sistemas de informação selecionadas executarão, anualmente, missões de Auditoria de SI assentes no risco, que abrangem, sem caráter limitativo, os seguintes domínios:
- Governação das TI e Alinhamento Estratégico:
Avaliar a adequação e a eficácia dos quadros de governação das TIC, das estruturas decisórias, dos mecanismos de direção, dos instrumentos normativos, dos esquemas de prestação de contas e do alinhamento das estratégias, arquiteturas e investimentos em TIC com a missão institucional e com os objetivos operacionais.
- Gestão de Riscos das TIC:
Avaliar as metodologias de identificação de riscos, os processos de avaliação, os critérios de priorização, as práticas de mitigação e monitorização, bem como a exaustividade e a qualidade dos registos de riscos das TIC. Confirmar que as medidas de tratamento dos riscos são adequadas e proporcionais aos níveis de exposição.
- Gestão da Segurança da Informação:
Avaliar a conceção e a eficácia operacional das políticas, dos procedimentos e dos controlos que salvaguardam a confidencialidade, a integridade e a disponibilidade dos ativos de informação, nomeadamente a gestão de identidades e acessos, o endurecimento das configurações, o registo e a monitorização de sistemas, as linhas de base de segurança e os processos de remediação de vulnerabilidades.
- Avaliação da Postura em Cibersegurança:
Avaliar a adequação dos controlos de segurança da rede, das plataformas e dos terminais (endpoints), designadamente as defesas perimetrais, as configurações de firewall e de IDS/IPS, as capacidades de deteção e resposta em terminais (EDR), a gestão de correções (patches) e atualizações, as salvaguardas físicas e os processos de deteção, resposta e escalonamento de incidentes, em conformidade com os princípios do Quadro de Referência para a Cibersegurança do NIST.
- Gestão dos Serviços de TI (GSTI / ITSM):
Analisar os processos operacionais das TI, designadamente a gestão de incidentes e problemas, a gestão de alterações e de versões, a gestão de configurações e de ativos, o funcionamento do service desk, as disposições de continuidade dos serviços e a monitorização do cumprimento dos níveis de serviço (SLA), em conformidade com as boas práticas do ITIL 4.
- Governação, Proteção e Privacidade dos Dados:
Avaliar os controlos do ciclo de vida dos dados (a saber, criação, classificação, armazenamento, transmissão, arquivo, conservação e eliminação), bem como a qualidade dos dados, as estruturas de curadoria (stewardship), a responsabilização em sede de governação e a conformidade com os requisitos regionais e internacionais aplicáveis à proteção de dados.
- Continuidade da Atividade e Recuperação de Desastres (PCA/RD):
Examinar os planos de continuidade, as arquiteturas de recuperação de desastres, as estratégias de cópias de segurança (backup), as definições de RTO/RPO, as modalidades de armazenamento externo (offsite) e as evidências de testes periódicos, simulacros de restauro e avaliações de prontidão.
- Projetos de TI, Iniciativas Digitais e Gestão da Mudança:
Avaliar as disposições de governação aplicáveis ao desenvolvimento, contratação, implementação e migração de sistemas, às alterações de configuração e às análises pós-implementação. Confirmar a existência de uma adequada segregação de funções, de controlos por ambiente e de mecanismos de envolvimento das partes interessadas.
- Aplicações e Plataformas Empresariais:
Auditar os Controlos Gerais de TI (CGTI) e os controlos ao nível das aplicações para os sistemas empresariais críticos (designadamente o SAP ERP, os sistemas de gestão financeira, as plataformas de RH e as aplicações especializadas), no que respeita aos direitos de acesso, aos controlos configuráveis, ao registo de auditoria, à integridade dos dados e aos mecanismos de controlo de alterações.
- Análises de Conformidade das TIC:
Avaliar a conformidade com as políticas e os procedimentos internos das TIC, as obrigações regulamentares, as disposições de licenciamento e os requisitos externos aplicáveis às operações das TIC, designadamente as orientações dos parceiros financeiros e os mandatos regionais.
- Governação da IA e Alinhamento Estratégico:
Realizar missões de auditoria à IA assentes no risco, destinadas a avaliar: a conceção e a eficácia dos quadros de governação da IA; as estruturas de supervisão e de análise ética; a atribuição de competências decisórias; os mecanismos de prestação de contas; e as políticas que regem o desenvolvimento, a contratação, a implantação, a monitorização e a gestão do ciclo de vida da IA. Avaliar igualmente o alinhamento da estratégia em matéria de IA, do planeamento dos investimentos, da utilização dos dados e das iniciativas de inovação face aos objetivos institucionais, às expectativas regulamentares, às normas éticas e aos princípios de gestão de riscos empresariais, em apoio de uma adoção da IA responsável e geradora de valor.
- Conformidade Regulamentar e com as Políticas:
Verificar a observância dos requisitos legais, regulamentares e políticos aplicáveis (designadamente as regras financeiras regionais, as condições de conformidade impostas pelos parceiros financeiros, as leis de propriedade intelectual, os termos de licenciamento de tecnologia e as obrigações de utilização de software de código aberto / open-source), na medida em que respeitem às operações das TIC e à prestação de serviços.
- Análises Especializadas e Pontuais (ad hoc):
Efetuar análises direcionadas, análises pós-incidente e auditorias a tecnologias emergentes, com base em pedidos específicos do Gabinete do Auditor-Geral (GAG).
- Outras Áreas Temáticas:
Realizar análises especializadas, temáticas ou pontuais (ad hoc), conforme solicitado, designadamente auditorias a incidentes de cibersegurança, à implantação de novas tecnologias, a áreas de risco emergentes ou avaliações de acompanhamento de recomendações de auditorias anteriores.
O âmbito dos serviços abrange todas as Instituições, Agências e Escritórios Nacionais da CEDEAO incluídos no respetivo quadro institucional.
O auditor aplicará uma metodologia de auditoria estruturada, assente no risco e orientada por evidências, alinhada com as Normas de Auditoria e Garantia de SI da ISACA e com outros quadros de avaliação internacionalmente reconhecidos. A abordagem compreende: o planeamento inicial; uma avaliação exaustiva dos riscos; a elaboração de programas de auditoria detalhados; o trabalho de campo e os testes técnicos; a classificação dos riscos identificados (por exemplo, Crítico / Elevado / Moderado / Baixo); a preparação dos relatórios preliminares e finais; e a realização sistemática de análises de acompanhamento, para aferir a implementação das recomendações.
A metodologia compreende os seguintes elementos:
- Planeamento exaustivo e avaliação de riscos, mediante consulta dos principais agentes interessados.
- Elaboração de programas de auditoria detalhados e definição dos critérios de controlo.
- Trabalho de campo, com recurso a entrevistas, testes de percurso (walkthroughs), análise documental, amostragem, análises de dados e testes técnicos, conforme apropriado.
- Manutenção de papéis de trabalho de auditoria rastreáveis e verificáveis, que sustentem as conclusões.
- Classificação do risco das observações com base no impacto e na probabilidade.
- Discussões de validação com a direção, para confirmar a exatidão factual.
- Preparação de relatórios de auditoria estruturados, nas versões preliminar e final.
- Atividades de acompanhamento para avaliar o estado de execução das ações corretivas acordadas.
A abordagem privilegiará o ceticismo profissional, a independência, a objetividade e a garantia de qualidade ao longo de todo o ciclo de auditoria.
O auditor produzirá os seguintes resultados técnicos:
- Plano Anual de Auditoria de SI Assente no Risco, com a indicação das missões, das áreas prioritárias de âmbito e dos prazos indicativos.
- Programas de Trabalho de Auditoria por Missão, com a descrição dos objetivos, dos critérios e dos procedimentos.
- Relatórios Periódicos de Ponto de Situação, com síntese do estado de avanço, das questões essenciais e dos riscos emergentes.
- Relatórios Preliminares de Auditoria de SI, com sumário executivo, antecedentes, âmbito, metodologia, conclusões pormenorizadas, classificações de risco e recomendações.
- Relatórios Finais de Auditoria de SI, com inclusão das respostas da gestão e dos planos de ação acordados.
- Sessões de apresentação e de esclarecimento ao GAG e às partes interessadas pertinentes.
- Conjunto completo de papéis de trabalho em formato eletrónico e documentação de suporte suficiente para análise e conservação pelo GAG.
Todos os produtos a entregar devem ser claros, estruturados, assentes em dados concretos e alinhados com as normas profissionais de relato.
Os auditores responderão diretamente perante o Auditor-Geral ou o representante por este designado no GAG. Serão realizadas reuniões periódicas de coordenação para apreciar o estado de avanço da auditoria, as observações emergentes e as principais áreas de risco.
Os relatórios de auditoria serão redigidos em inglês, em linguagem clara, precisa e profissional, adequada à gestão executiva e aos órgãos de supervisão.
Cada entidade concorrente deve preencher os requisitos mínimos de elegibilidade a seguir enunciados, em complemento das qualificações exigidas individualmente ao pessoal. As propostas que não comprovem o cumprimento destes requisitos serão consideradas não conformes e excluídas da avaliação subsequente. As entidades de consultoria devem demonstrar experiência substancial em auditoria de Sistemas de Informação, preferencialmente no setor público, em contextos regionais ou multientidade comparáveis ao da CEDEAO:
- A entidade deve ter exercido atividades de auditoria a sistemas de informação ou de consultoria em TIC durante, pelo menos, cinco (5) anos, o que deverá ser comprovado pela respetiva certidão de constituição ou por documentação legal equivalente de registo.
- A entidade deve dispor de uma equipa central de auditoria de SI constituída por, no mínimo, dez (10) profissionais qualificados detentores de certificações reconhecidas, incluindo, entre outras, CISA, CISSP, CISM ou designações equivalentes reconhecidas pela ISACA ou por organismos internacionais comparáveis.
- A entidade deve comprovar a conclusão bem-sucedida de, pelo menos, três (3) missões comparáveis de auditoria de SI ou de garantia em TIC junto de instituições do setor público, organizações internacionais ou ambientes multi-entidade, durante os cinco (5) anos que antecederam o prazo de apresentação das propostas. A prova deve ser feita mediante cartas de referência, certificados de conclusão das missões ou documentação equivalente.
- A entidade deve respeitar um limiar mínimo de volume de negócios médio anual, conforme especificado na documentação formal do concurso, proporcional ao valor estimado do acordo-quadro.
- A entidade deve encontrar-se validamente registada ou constituída numa jurisdição elegível para participar em processos de contratação pública da CEDEAO ao abrigo do Código de Contratação Pública de 2021, e não pode estar sujeita a qualquer exclusão, sanção ou desqualificação em vigor, aplicada por uma autoridade de contratação pública nacional, regional ou internacional.
- Comprovar capacidade financeira para executar a missão.
- Ser independente das instituições da CEDEAO e das respetivas estruturas dependentes.
- Especialista em Cibersegurança: competências em segurança de redes e de sistemas; certificações como CISSP, CISM ou CEH, CISA ou CRISC, OSCP ou GIAC, ISO 27001 Lead Auditor, Certified Cloud Security Professional (CCSP) e familiaridade com o Quadro NIST.
- Especialista em Privacidade de Dados/Conformidade: conhecimento das leis de proteção de dados (por exemplo, a NDPA da Nigéria e o RGPD, quando aplicável); a certificação CIPP/E ou CISSP (módulo de privacidade) constitui uma vantagem.
- Auditor(es) Sénior de TI: pelo menos 5 a 7 anos de experiência em auditoria de TI e fortes competências analíticas. CISA (obrigatória), CIA (forte vantagem), CISSP ou CISM, CRISC, certificação Cloud (em ambientes modernos).
- Especialista/Arquiteto Sénior em Segurança Cloud: pelo menos 5 a 7 anos de experiência em auditoria de TI e fortes competências analíticas. CCSP (fortemente recomendada), uma certificação avançada de segurança cloud de fornecedor, CISSP ou CISM, ISO 27001 Lead Auditor/Implementer.
- Analista Forense: pelo menos 5 a 7 anos de experiência em auditoria de TI e fortes competências analíticas. GCFA ou equivalente, EnCE ou CFCE, CISSP, comprovada experiência em cadeia de custódia e experiência no apoio a processos disciplinares ou judiciais.
Serão apresentados curricula vitae detalhados, com as qualificações académicas, as certificações e a experiência relevante em missões.
A totalidade do pessoal-chave proposto deve ser titular de grau universitário em Informática ou em áreas afins (por exemplo, Engenharia de Software, Tecnologias da Informação (TI), Sistemas de Informação (SI), Engenharia Informática, Cibersegurança, Inteligência Artificial (IA) ou Computação em Nuvem), bem como das certificações profissionais indicadas. A proposta deve incluir CV detalhados do pessoal-chave, a indicação das respetivas funções propostas e a confirmação da sua disponibilidade. Não se admitirão alterações ao pessoal-chave sem o consentimento prévio e escrito do GAG.
O Consultor cumprirá as Normas Profissionais a seguir enunciadas, as quais definem os requisitos mínimos de ordem ética, profissional e de governação aplicáveis à execução dos Serviços. Estas normas visam assegurar a confidencialidade, a independência, a objetividade, a integridade e a conformidade com as normas internacionais de auditoria aplicáveis e com a regulamentação da CEDEAO ao longo de toda a duração do contrato, designadamente:
- Confidencialidade e Proteção de Dados: O Consultor tratará como estritamente confidencial toda a informação obtida no quadro da execução do Contrato e utilizará tal informação exclusivamente para efeitos da prestação dos Serviços. O Consultor cumprirá as leis aplicáveis em matéria de proteção de dados, a regulamentação da CEDEAO e as políticas institucionais, devendo adotar medidas técnicas e organizacionais adequadas para salvaguardar os dados sensíveis e pessoais.
- Independência, Objetividade e Conduta Profissional: O Consultor executará os Serviços com plena independência, objetividade, integridade, competência profissional e diligência devida, em conformidade com as Normas de Auditoria e Garantia de SI reconhecidas, emitidas pela ISACA, e com as demais normas internacionais aplicáveis.
- Declaração de Independência e de Ausência de Conflito de Interesses: Cada entidade concorrente apresentará, como componente obrigatório da sua proposta técnica e antes da assinatura do contrato, uma Declaração de Independência e de Ausência de Conflito de Interesses, devidamente assinada, na qual confirmará que nem a entidade nem qualquer membro da sua equipa de missão mantém qualquer relação financeira, de assessoria, de consultoria ou profissional com qualquer Instituição, Agência ou Escritório Nacional da CEDEAO suscetível de comprometer a independência ou de gerar um conflito de interesses real, potencial ou aparente.
- Obrigação Permanente de Divulgação: A obrigação de divulgar conflitos de interesses subsiste ao longo de toda a duração do acordo-quadro. Qualquer conflito real, potencial ou aparente que surja ou venha a ser conhecido será imediatamente comunicado por escrito ao Gabinete do Auditor‑Geral (GAG).
- Verificação e Medidas Corretivas: O GAG reserva-se o direito de verificar todas as declarações apresentadas, de realizar diligências adicionais que considere necessárias e de impor as medidas corretivas adequadas, incluindo a exclusão de missões específicas, a desqualificação ou a rescisão do contrato, sempre que se identifique um conflito de interesses, este não seja adequadamente divulgado ou não possa ser satisfatoriamente mitigado.
- Incumprimento e Sanções: Qualquer incumprimento das presentes Normas Profissionais constitui um incumprimento grave do contrato e pode dar origem à rescisão deste ou à aplicação de outras medidas, nos termos do Contrato.
O Consultor fica sujeito aos seguintes requisitos de Confidencialidade e de Proteção de Dados, que estabelecem as obrigações de salvaguarda da informação sensível, de proteção dos dados pessoais e de garantia da conformidade com as leis aplicáveis, a regulamentação da CEDEAO e as políticas institucionais, ao longo de toda a duração do contrato:
- Confidencialidade da Informação: O Consultor manterá estrita confidencialidade sobre toda a informação obtida, acedida ou gerada no quadro da execução dos Serviços, e utilizará essa informação exclusivamente para efeitos da execução do Contrato.
- Salvaguardas em Matéria de Proteção de Dados: O Consultor cumprirá todas as leis de proteção de dados aplicáveis, a regulamentação da CEDEAO e as políticas institucionais, devendo adotar medidas técnicas e organizacionais adequadas para proteger os dados sensíveis e pessoais contra o acesso, a divulgação, a alteração ou a perda não autorizados.
- Acordo de Confidencialidade Obrigatório (NDA): A celebração de um Acordo de Confidencialidade (NDA) constitui condição obrigatória para a adjudicação do contrato. Um modelo de NDA será anexado à documentação do concurso, para que os concorrentes possam analisar os respetivos requisitos e considerá-los nas suas propostas e estimativas de custo.
- Compromisso de Confidencialidade Pré‑Adjudicação: O GAG reserva-se o direito de exigir aos concorrentes pré-selecionados a assinatura de um compromisso de confidencialidade pré-adjudicação antes de lhes facultar o acesso a qualquer informação sensível, de contratação ou institucional, durante o processo de avaliação ou de negociação.
- NDA como Anexo do Contrato: Aquando da adjudicação do contrato, o NDA celebrado passa a constituir anexo integrante e juridicamente vinculativo do acordo-quadro.
- Signatários do NDA: O NDA será assinado pelo(s) representante(s) devidamente mandatado(s) da entidade de consultoria e por cada membro nomeado da equipa de missão, antes do início de qualquer trabalho de campo ou do acesso a informação confidencial. Nenhum indivíduo participará na prestação dos Serviços sem que o respetivo NDA assinado tenha sido apresentado e aceite pela Entidade Adjudicante.
- Notas de Encomenda e Alterações de Pessoal: Sempre que o acordo-quadro seja executado mediante notas de encomenda e seja afetado pessoal adicional ou substituto a uma missão específica, cada um desses indivíduos celebrará um novo NDA individual antes de iniciar trabalhos ao abrigo dessa nota de encomenda. A entidade de consultoria assegurará o cumprimento integral deste requisito.
- Âmbito e Subsistência das Obrigações: As obrigações de confidencialidade aplicam-se a toda a informação obtida, acedida ou gerada no âmbito da prestação dos Serviços e subsistem após o termo ou a rescisão do Contrato, por um período de três (3) anos, salvo se um prazo mais longo for previsto no NDA ou exigido pela lei aplicável.
- Incumprimento e Vias de Reparação: Qualquer incumprimento das obrigações de confidencialidade ou das obrigações decorrentes do NDA por parte da entidade de consultoria ou do seu pessoal constitui um incumprimento grave do contrato e pode dar origem à suspensão imediata dos Serviços e, se for o caso, à rescisão do Contrato, sem prejuízo de quaisquer outras vias de reparação contratuais, legais ou equitativas ao dispor da Entidade Adjudicante.
Com vista a promover a sustentabilidade e o reforço institucional, o consultor:
- Organizará sessões de trabalho estruturadas de partilha de conhecimento dirigidas ao pessoal do GAG.
- Partilhará as metodologias, as ferramentas e os modelos aplicados durante as auditorias.
- Disponibilizará perspetivas e ensinamentos colhidos para reforçar a capacidade interna de auditoria de SI.
- Incentivará a participação colaborativa do pessoal do GAG nas atividades de trabalho de campo.
A transferência de conhecimento será integrada na abordagem global da auditoria, de modo a gerar valor duradouro.
|
# |
ICD |
|
META |
|
1 |
Apresentação atempada dos produtos entregar |
a |
≥ 95% nos prazos acordados |
|
2
|
Avaliação de qualidade pelo GAG |
|
≥ 85% de pontuação de satisfação |
|
3
|
Taxa de aceitação das recomendações |
|
≥ 90% |
|
4
|
Taxa de implementação das recomendações |
|
≥ 75% no prazo definido |
|
5
|
Sessões de transferência de conhecimento |
|
Mínimo de 2 por ano |
|
# |
CRITÉRIO |
PONDERAÇÃO (%) |
FUNDAMENTO |
|
1 |
Experiência da Entidade |
10 |
Relevância e complexidade das missões |
|
2 |
Metodologia e Abordagem |
30 |
Solidez e alinhamento com as normas |
|
3 |
Peritos-Chave |
40 |
Certificações e experiência |
|
4 |
Plano de Transferência de Conhecimento |
10 |
Estratégia de reforço de capacidades |
|
5 |
Participação de Pessoal Oriundo de Estadosmembros da CEDEAO |
10 |
Participação de pessoal oriundo de Estados-membros da CEDEAO |
|
|
TOTAL |
100 |
|
Pontuação técnica mínima de qualificação: 75%. As propostas financeiras só serão abertas relativamente às entidades tecnicamente qualificadas.
Avaliação Financeira e Pontuação Combinada
A avaliação das propostas será conduzida segundo o método de Seleção Baseada na Qualidade e no Custo (SBQC). A qualidade técnica terá uma ponderação de oitenta por cento (80%) e a proposta financeira uma ponderação de vinte por cento (20%). Apenas serão abertas e avaliadas as propostas financeiras das entidades que atinjam ou ultrapassem a pontuação técnica mínima de qualificação de 75%. A pontuação combinada de cada entidade qualificada será determinada do seguinte modo:
Pontuação Combinada = (Pontuação Técnica × 80%) + (Pontuação Financeira × 20%)
A pontuação financeira de cada entidade será obtida ao expressar-se a proposta financeira avaliada mais baixa como percentagem da proposta da própria entidade (i.e., Preço Avaliado Mais Baixo ÷ Preço da Entidade × 100). As duas entidades com as pontuações combinadas mais elevadas serão recomendadas para adjudicação do acordo-quadro. Em caso de empate na pontuação combinada entre duas entidades, será classificada em primeiro lugar a entidade com a pontuação técnica mais elevada.
O acordo-quadro terá vigência trienal a contar da data da assinatura do contrato. A missão funcionará em regime de notas de encomenda, cabendo ao GAG emitir notas de encomenda específicas sempre que se mostre necessário apoio em auditoria de SI. Cada nota de encomenda especificará a natureza do apoio requerido, o pessoal a afetar, a duração estimada e a localização aplicável.
Não é garantido qualquer volume mínimo de notas de encomenda ao abrigo do presente acordo-quadro. O GAG reserva-se o direito de afetar o pessoal da entidade adjudicatária para trabalhar sob a sua supervisão ou, quando expressamente determinado, para realizar missões independentes de auditoria de SI.
Os pagamentos serão efetuados em regime de tempo e esforço despendido, em conformidade com as tarifas por homem-dia acordadas na proposta financeira. As faturas serão apresentadas mensalmente pela entidade adjudicatária, acompanhadas das folhas de horas certificadas, com a indicação do pessoal afetado, dos dias trabalhados e das tarefas executadas. O pagamento será processado no prazo de trinta (30) dias de calendário após a certificação da respetiva folha de horas pelo GAG. Aplicarse-á a seguinte estrutura de pagamentos:
- Pagamento Mensal por Folha de Horas: Será pago mensalmente, mediante certificação pelo GAG das folhas de horas apresentadas pela entidade adjudicatária, com a indicação do pessoal afetado, dos homens-dia trabalhados e das tarefas executadas ao abrigo de cada nota de encomenda em vigor.
- Missões de Auditoria Independentes: Sempre que o GAG solicite expressamente à entidade adjudicatária a realização de uma missão de auditoria de SI independente, será emitida uma nota de encomenda autónoma que definirá o âmbito, o cronograma, o custo por homem-dia ou o valor global acordado, bem como os respetivos marcos de pagamento aplicáveis a essa missão específica.
- Inexistência de Adiantamentos: Não será efetuado, ao abrigo do acordo-quadro, qualquer adiantamento, designadamente a título de mobilização. As obrigações de pagamento só constituem dívida após a emissão de uma nota de encomenda e a entrega certificada dos serviços prestados ao seu abrigo.
- Folhas de Horas Contestadas: Sempre que o GAG conteste algum elemento de uma folha de horas apresentada, a parte não contestada será certificada e processada para pagamento no prazo normal de trinta (30) dias de calendário, ao passo que a parte contestada será resolvida através do mecanismo contratual de resolução de litígios.
- Despesas e Reembolsos: As despesas reembolsáveis, quando existirem, só serão pagas se previamente aprovadas, por escrito, pelo GAG e devidamente comprovadas pelos recibos originais. As despesas de deslocação, alojamento e ajudas de custo serão regidas pelas tarifas aplicáveis aos consultores da CEDEAO ou pelas demais condições acordadas no acordo-quadro ou na respetiva nota de encomenda.