11. Não conformidade e risco

Como o achado nasce, como ele mexe no risco, e o registro de risco inteiro.

São entidades distintas, e é isso que faz a coisa funcionar.

Até aqui o achado só nascia de regra, de auditoria ou de confronto. O que alguém encontra andando pela operação — o backup de homologação nunca foi restaurado — não tinha onde entrar, e o caminho que sobrava era criar uma auditoria só para poder registrar um achado. Ninguém faz isso: anota num caderno.

O botão Novo achado cria direto, com título, descrição, severidade e prazo. Duas coisas são opcionais de propósito:

O alvo. Ele nasceu obrigatório porque toda NC vinha de auditoria, e auditoria sempre tem alvo. O achado solto nem sempre tem — exigi-lo no ato faz a pessoa escolher um qualquer para o formulário deixar salvar, e alvo errado é pior que alvo nenhum porque entra nos painéis.

O risco. Dá para vincular na criação ou deixar solto. Deixar solto é legítimo: nem tudo que se encontra é a materialização de um cenário que alguém já mapeou. O vínculo se faz e se desfaz depois, e vincular duas vezes não cria dois vínculos.

Duas rigidezes saíram, e as duas produziam o mesmo contorno.

A primeira: o fluxo só andava para a frente. Quem colocasse o achado em execução por engano não tinha como voltar à triagem. Agora volta, e recuar não é retrocesso — é o que impede que a correção vire um achado novo.

A segunda: encerrado e falso positivo eram absorventes. Fechou, acabou. Quem fechasse por engano criava outro achado igual, o que apaga a história e faz a recorrência contar errado: um achado que reincide três vezes é uma informação sobre o controle; três achados parecidos são três linhas numa lista.

Agora sai por reabertura, que exige motivo escrito e fica registrada com quem e quando. Exigir o motivo é o que a distingue de desfazer. Reabrir um encerrado conta como recorrência; reabrir um falso positivo não, porque nunca houve tratamento que tivesse falhado.

A tela oferece só as transições que o motor aceita — a lista vem dele, e não de uma cópia da regra na interface, que envelheceria na direção errada.

As três aparecem na vida real e nenhuma substitui as outras:

Link externo para o chamado, o quadro ou o documento onde o trabalho está sendo de fato tocado. Só http e https — um campo de link que aceita qualquer esquema vira um lugar de onde se executa código.

Anexo para o que já mora em outro sistema, por referência.

Detalhamento em texto rico, para o que não mora em lugar nenhum: o passo a passo, o que ficou combinado, e o print. Ele é Markdown, com barra de ferramentas e prévia — e não um editor visual. A plataforma renderiza Markdown montando elementos, sem injetar HTML, então não existe superfície de XSS a defender; um editor visual guardaria HTML, e HTML guardado exige um sanitizador escrito à mão, que é a classe de código em que o erro é silencioso e caro.

A imagem é enviada de verdade, e entra como referência — não embutida no texto. Colar um print direto no campo funciona, que é como o print chega. Um print de 800 KB colado em três planos viraria 3 MB de texto dentro de linhas do banco, e o dano aparece no backup e na replicação muito depois de alguém lembrar por quê.

A plataforma guarda imagem (PNG, JPEG, GIF, WebP) e PDF, até 8 MB. SVG fica de fora embora seja imagem: ele é um documento XML que executa script quando servido como imagem. O mesmo arquivo enviado duas vezes reaproveita a linha, reconhecido pelo hash — que também serve para provar que o que se baixa é o que se enviou.

A mesma lista responde a quatro perguntas diferentes, e atende mal quando atende só uma:



No agrupamento por risco, o grupo sem risco vinculado aparece mesmo vazio. A ausência dele é informação — quer dizer que tudo está mapeado, e isso merece ser visto em vez de inferido.

A tela Não conformidades lista os achados agrupados por Prioridade, Risco, Não conformidade ou Sem vínculo, com o filtro Estado. Os cartões do topo — Sem tratamento, Prazo vencido, Recorrentes, Sem vínculo — recortam a lista ao clicar; clicar de novo tira o recorte.

Para registrar:

1.     Clique em Novo achado.

2.     Preencha Título (obrigatório), Descrição, Severidade e Prazo.

3.     Em Plano de ação obrigatório?, deixe pela severidade (alta e crítica exigem) ou escolha sim ou não.

4.     Se quiser, escolha a Auditoria (só as abertas) e o Alvo dela, e o Risco relacionado — ou deixe deixar solto. Clique em Criar.

Para tratar, clique no achado (ampliar abre em tela ampla):

1.     Em Planos de ação, clique em Novo plano, preencha o Objetivo e, se houver, o Link externo, o arquivo (Anexar arquivo) e o Detalhamento. Clique em Criar plano.

2.     No cartão do plano, escreva em Nova ação e clique em +. Plano sem ação não é aprovado.

3.     Aprove pelo botão de visto (Aprovar plano). Plano marcado como Proposta da IA precisa de Aceitar antes.

4.     Conclua cada ação em concluir, com a evidência (link, número do chamado).

5.     Em Estado, avance o achado pelos botões — em triagem, plano definido, em execução, concluído, eficácia verificada, encerrado. A tela só mostra as transições que o motor aceita. Na lista, o achado tratado aparece como tratado (plano) ou aceito até a data (aceite de risco).

Para tratar por aceite de risco (a outra saída, quando o plano não é obrigatório):

1.     Na seção Aceite de risco, clique em Registrar aceite de risco — ou em aceitar o risco…, em Estado, que abre o mesmo formulário.

2.     Escreva a Justificativa (obrigatória), o Controle compensatório, se houver, e a data em Válido até — a partir de amanhã; é a data de revisão do aceite.

3.     Clique em Registrar aceite. O achado vai para risco aceito, e a seção passa a mostrar o aceite vigente com a autoridade, a data do registro e a validade.

4.     Para tirar o achado da lista de abertos, clique em encerrar por aceite, em Estado.

A autoridade que responde pelo aceite é quem está logado, e só aparece o botão para quem tem a permissão Não conformidades — aceitar risco; os demais veem o aviso de que precisam dessa autoridade. Não há campo para escolher outro nome: aceitar em nome de alguém que nunca viu o achado não é aceite. O estado risco aceito sozinho não trata nada — sem aceite registrado, o servidor recusa movê-lo para lá. Renovar o aceite registra um novo antes do vencimento. Vencida a validade, o achado volta sozinho para em triagem e conta como recorrência — inclusive o que foi encerrado por aceite, e nesse caso a volta aparece em Reaberturas com o motivo.

Regras: encerrado exige plano aprovado ou aceite de risco vigente. Com Plano de ação obrigatório marcado, só o plano serve e o botão risco aceito não aparece. Encerrado e falso positivo só saem por Reabrir, com o campo Por que reabrir. Vincular a um risco liga o achado a um risco existente, e o ícone ao lado do risco desfaz o vínculo. Os documentos do achado entram por subir ou apontar da base.

Nasce da apuração, quando uma regra encontra uma resposta insuficiente. Tem severidade, dono, prazo e um ciclo de vida com bloqueios: não se encerra o que não foi tratado.

A regra de ouro: o ciclo não fecha com achado sem plano de ação ou sem aceite de risco formal, temporário e aprovado pela autoridade competente.

O inerente você informa: probabilidade × impacto, numa matriz de 5×5.

O residual é sempre calculado, nunca digitado. Ele vem da eficácia dos controles que mitigam o risco, e obedece a quatro regras:

1.     As reduções compõem, não somam. Três controles de 50% não zeram o risco; deixam 12,5% dele.

2.     A redução incide sobre a probabilidade, não sobre o impacto. Controle preventivo torna o evento menos provável; não torna o vazamento menos grave depois de acontecido.

3.     Achado aberto sobre um controle anula a eficácia dele — não desconta, anula. Um controle com não conformidade aberta não está reduzindo risco nenhum.

4.     O piso é 1. Probabilidade zero não existe enquanto o risco estiver aberto.

•     Achado sobre um controle já mapeado a um risco: nenhum risco novo. O controle sai da conta e o residual sobe sozinho.

•     Achado sobre um controle sem risco mapeado: nasce um risco de origem não conformidade.

•     Achado tratado e encerrado: o controle volta à conta e o residual desce.

•     No encerramento, a origem decide o destino. Risco de registro volta ao baseline e permanece — ele existia antes do achado. Risco que nasceu do achado é extinto com ele.

Criar, editar e mover pedem a permissão de escrever risco; sem ela, a tela só mostra.

1.     Clique em Novo risco. Preencha o Título, a Descrição, a Categoria e a Probabilidade e impacto (1 a 5 cada; a nota inerente aparece ao lado). O Código interno (opcional) é gerado se ficar em branco. Em Plano de ação obrigatório?, pelo inerente exige plano a partir de 15. Clique em Salvar.

2.     Abra o risco — pelo Mapa de calor, pela Lista, pelo Tratamento ou pelos Vencidos. A ficha tem as abas Resumo, Plano de ação, Bowtie, Revisões e Documentos.

3.     Clique em Editar para completar causa, consequência, Alvo, Dono, Revisar a cada (dias), Velocidade, Fonte e a Decisão de tratamento — Aceitar, Mitigar, Transferir ou Evitar —, com a justificativa. Clique em Salvar.

4.     Na aba Plano de ação, o plano funciona como o da não conformidade: Novo plano, ações, aprovação.

5.     Em Mover para, escolha Aberto, Em tratamento, Monitorado ou Encerrado. Revisar marca o risco como revisado hoje e agenda a próxima revisão.

Regras: encerrar exige a decisão de tratamento registrada e, com Plano de ação obrigatório marcado, um plano aprovado. Um risco Aberto passa por Em tratamento antes de Monitorado. Encerrado não volta: o que reaparecer é risco novo. Apagar só vale para risco ainda aberto e sem evento de perda. O residual não se digita — Recalcular residual refaz a conta de todos. Biblioteca traz riscos típicos: marque os que quer, ajuste o prefixo do código e clique em Importar.

A tela de Riscos tem quatro leituras da mesma carteira, porque cada pergunta pede uma forma diferente:



O mapa desenha as células vazias de propósito. Um mapa que só pinta onde há risco vira lista colorida, e some justamente a informação de que o canto mais grave está livre. Clicar numa célula abre os riscos que estão nela, e clicar num deles abre o registro inteiro.

Causas à esquerda, o evento no nó, consequências à direita, e as barreiras em cada caminho. O que ele entrega não é o desenho: é o caminho sem barreira. Uma causa sem barreira chega ao evento sem encontrar nada; uma consequência sem barreira acontece inteira.

Aceitar, mitigar, transferir ou evitar. O número diz o tamanho do risco; a decisão diz o que se resolveu fazer com ele, e sem ela o registro está incompleto — um risco avaliado e não decidido não pode ser encerrado.

O efeito favorável da incerteza sobre um objetivo. É o mesmo evento que o risco descreve, visto do outro lado, e por isso usa a mesma escala e a mesma matriz. Rejeitar não apaga: o histórico das rejeições é o que ensina a organização a escolher melhor da próxima vez. Toda oportunidade nova recebe a análise da IA do acervo, com os documentos que precisariam mudar para implementá-la.

Para registrar e levar adiante:

1.     Clique em Registrar. Preencha Título, Descrição — causa, evento e efeito favorável, Classe (melhoria ou estratégica) e Fonte.

2.     Melhoria pede Unidade ou Processo (os processos vêm da análise de impacto, em Continuidade); estratégica pede o Objetivo estratégico. A aba Análise SWOT é opcional. Clique em registrar — o botão só libera com os obrigatórios preenchidos.

3.     Selecione a oportunidade e clique em Avaliar: probabilidade e impactos (1 a 5, a mesma escala do risco), Benefício mínimo, Benefício provável, Benefício máximo, Confiança da estimativa, Custo de captura e Prazo (dias). Clique em salvar. Se o benefício provável passar do teto da faixa de melhoria, a ficha mostra o aviso de que a oportunidade foi reclassificada como estratégica e subiu de alçada.

4.     Na seção Tratamento, clique em Definir tratamento (ou Editar tratamento). Escolha a Estratégia, escreva a Justificativa (obrigatória em aceitar e rejeitar) e preencha Métrica de realização, Linha de base, Valor projetado e Data de verificação. Explorar, melhorar e compartilhar exigem um plano de ação vinculado: busque o plano pelo objetivo ou pelo número do achado/risco e clique nele para vinculá-lo (o x desfaz). O plano de ação nasce num achado ou num risco — crie-o lá, se ainda não existir. Clique em salvar tratamento.

5.     Mover para … avança a oportunidade para a situação seguinte do fluxo.

6.     Em avaliada ou em aprovação, clique em Aprovar. O botão fica desligado, com a lista do que falta, até estratégia, métrica, linha de base e data de verificação estarem definidas. Rejeitar (também na triagem) abre o campo Por que rejeitar, obrigatório; a rejeitada volta por Reabrir, com nova justificativa.

7.     Depois de aprovada, Mover para em execução e, se quiser, em verificação. Nas duas, Encerrar pede o Valor realizado, a Evidência da verificação (PDF ou imagem) e as Lições aprendidas. Clique em encerrar; a ficha passa a mostrar o realizado e a taxa de realização.

Aprovar e rejeitar pedem a permissão de aprovar oportunidade; tratar, mover e encerrar, a de escrever. O dono não aprova a própria. Oportunidade encerrada, rejeitada ou cancelada não tem mais o tratamento editado — é história. A matriz Benefício × esforço mostra por onde começar: o quadrante de cima à esquerda.

A categoria de risco é cadastro, não texto livre. Enquanto o risco nascia de alguém digitando, o campo livre passava: quem erra vê o erro. Com a automação abrindo risco sozinha, "Privacidade", "privacidade" e "Priv." viram três categorias para a mesma coisa, e quem monta o painel não tem como saber que são a mesma.

Cada categoria declara os temas que cobre, e é isso que faz a automação oferecer primeiro as que combinam com a pergunta. É sugestão e não trava: um risco de continuidade pode nascer de uma pergunta de acesso.

Para cadastrar, em Categorias de risco (pede a permissão de escrever risco):

1.     Clique em Nova categoria.

2.     Preencha Código e Nome (obrigatórios; o código não muda depois), O que ela abrange e a Cor. Deixe Ativa marcada.

3.     Em Temas que ela cobre, clique nos temas para marcar ou desmarcar.

4.     Clique em Criar categoria. O lápis edita e a lixeira apaga — depois de perguntar, com o foco no Cancelar e o Esc para desistir. A pergunta avisa quantas automações abrem risco com o nome da categoria; os riscos já classificados guardam o nome como estava.

As categorias de fábrica têm o cadeado e são somente leitura: significam o mesmo em todo cliente. Desmarcar Ativa tira a categoria das listas sem apagar o que já a usa. No formulário do risco, o campo Categoria ainda é texto livre — escreva o nome exatamente como no cadastro.

Riscos típicos prontos, por categoria, cada um já apontando os controles que o mitigam. Importar cria uma cópia sua, editável — o modelo não entra no mapa de calor, porque modelo não é risco que alguém assumiu.