1. O que é a plataforma
As peças da plataforma inteira, como elas se encaixam e as regras de que ela não abre mão.
Um GRC responde a três perguntas, nesta ordem:
1. Estamos fazendo o que deveríamos? — a auditoria pergunta e alguém responde.
2. O que não está de pé? — a resposta insuficiente vira uma não conformidade.
3. Quanto isso nos custa? — a não conformidade alimenta um risco.
Tudo o mais existe para sustentar essas três: a estrutura que diz quem responde, o catálogo que diz o que se pergunta, os painéis que mostram o resultado, e os módulos que trabalham com ele — o acervo de documentos, o IMR, a automação, o atendimento e a IA.
A ideia que economiza mais trabalho
Uma pergunta não pertence a uma norma. Ela pertence a um controle interno, e o controle é que responde a várias normas ao mesmo tempo.
"Existe MFA no acesso administrativo?" é uma pergunta só. Ela alimenta o NIST CSF, a ISO 27001, o CIS, a IEC 62443 e a LGPD de uma vez. Quem responde, responde uma vez; quem audita, colhe cinco aderências.
É por isso que o catálogo tem controles no meio, entre a norma e a pergunta. Sem eles, a mesma pergunta existiria copiada em cada framework e envelheceria diferente em cada cópia.
As peças, na ordem em que se usam
A plataforma se aprende na ordem em que se monta: primeiro o que prepara a auditoria, depois a auditoria e o tratamento do que ela achou, e só então os módulos que vivem desse resultado. O manual segue essa ordem, e o capítulo Como usar (de ponta a ponta) a percorre passo a passo.
Peça | O que ela responde | Onde fica no menu |
|---|---|---|
Estrutura | quem responde, quem aprova, quem pode o quê | Administração ▸ Áreas e grupos, Usuários, Perfis de acesso |
Alvos | o que é auditado — contrato, serviço, área, fornecedor, a própria empresa — e como o resultado sobe pela hierarquia | Configuração ▸ Alvos e dimensões |
Catálogo | o que se pergunta: frameworks de fábrica, framework próprio, perguntas, pesos, temas, listas e agrupamentos | Catálogo |
Auditoria | o ciclo: abrir, despachar em ondas, responder, revisar, apurar e fechar | Auditoria ▸ Auditorias, Responder auditoria, Painel do framework |
Tratamento | o que fazer com o que foi achado: não conformidade, plano de ação, risco, oportunidade, continuidade | Tratamento |
Acervo | as políticas e os procedimentos, com versão, aprovação e leitura obrigatória | Acervo |
Análise | o resultado em número: painéis, murais de TV, resultado por hierarquia, dimensões e exportação | Análise |
IMR | o valor a faturar de um contrato do Governo Federal, com nexo auditável — só onde o módulo está ligado | IMR |
Automação | o que roda sem ninguém clicar: conectores, inspeções, regras, avisos e destinos | Automação |
Casos e portal | o atendimento: o que se pode pedir, o prazo prometido e a fila de quem atende | Tratamento ▸ Casos e vizinhos; /portal |
IA | o modelo de linguagem que opina — e nunca decide —, o assistente e o sandbox | Administração ▸ Modelo de linguagem; a faísca do cabeçalho |
Administração | diretório, contas de serviço, e-mail, trilha, vocabulário e aparência | Administração, Configuração |
Três leituras atravessam todos os ciclos e respondem o que nenhum ciclo sozinho responde:
Onde | A pergunta que só ela responde |
|---|---|
Resultado por hierarquia | onde estão os maiores riscos, descendo da organização até o contrato |
Cobertura UCF | quanto de cada norma o trabalho num assunto já move |
Continuidade | o que não pode parar, o que avisa antes, e o que aconteceu mesmo assim |
Três endereços, um login
Endereço | Quem entra | O que faz |
|---|---|---|
/ | auditor, gestor, administrador | prepara, conduz e trata — tudo o que está no menu |
/responder | a área ou equipe avaliada | responde as perguntas que lhe foram despachadas |
/portal | quem precisa de alguma coisa | procura na base de conhecimento, abre chamado, lê o que é obrigatório |
Os três usam o mesmo cadastro de pessoas e o mesmo login. Fora deles fica o console da instalação, em /console, com credencial própria: é onde se criam e se param os tenants, e ele não é uma tela do produto.
Três regras que a plataforma não abre mão
Quem responde não revisa. Autoavaliação sem segunda linha é o ponto fraco clássico de todo GRC, e por isso a segregação está no banco, não só na tela.
Nenhum achado fica sem saída. O ciclo não fecha enquanto houver achado sem plano de ação ou sem aceite de risco formal, temporário e aprovado por quem tem autoridade para aceitá-lo.
Tudo é editável, e tudo fica registrado. Nenhum registro é travado — nem resposta aprovada, nem achado encerrado. A integridade vem do rastro: quem alterou, quando, de que valor para qual.
Imprimir
Toda tela imprime, pelo botão nas Preferências ou por Ctrl+P. O que sai no papel não é a tela: o menu e os botões saem de cena, a rolagem interna é desfeita — senão sairia só o pedaço visível, e uma tabela de duzentos achados viraria uma folha com doze —, a paleta vai para o claro mesmo no tema escuro, e o rodapé registra quem imprimiu e quando. Folha sem isso não serve de evidência.
Para entregar o registro a quem vai arquivar ou assinar, a impressão não basta: veja Exportação.
Acessibilidade
A plataforma segue as diretrizes da WCAG no que depende dela: atalho para saltar o menu e ir ao conteúdo (primeiro Tab de cada tela), anel de foco visível na navegação por teclado, nome acessível em todo botão que é só um ícone, diálogos que prendem o Tab e devolvem o foco ao fechar, e anúncio de carregamento e erro para leitor de tela.
Ela também respeita o que o sistema operacional pede: menos movimento, mais contraste e modo de cores forçadas. Nada disso troca a paleta — reforça a que já existe. O detalhe está em Acessibilidade.
As cores dos gráficos são validadas por script para daltonismo, e identidade nunca fica só na cor: toda série com legenda carrega o rótulo junto.
O passo a passo dentro da plataforma
O Como funciona, de ponta a ponta, nas Preferências, tem duas formas, e as duas seguem os mesmos passos do capítulo Como usar. A lista mostra cada passo com o seu estado real — o que já está feito aparece marcado, e o passo que o seu perfil não alcança não aparece. E o passo a passo abre cada tela e fica numa faixa embaixo, com o que fazer ali: a tela continua viva, você mexe nela, e a faixa acompanha.
Ele não bloqueia nem conduz o clique de propósito. Um tour que segura a mão ensina a seguir o tour; o que se quer é ensinar a plataforma, e para isso a tela precisa estar de verdade sob a mão.