---
title: 11. Não conformidade e risco
slug: 11-nao-conformidade-e-risco
docTags:
createdAt: 2026-10-13T14:35:43.713Z
---
*Como o achado nasce, como ele mexe no risco, e o registro de risco inteiro.*
São **entidades distintas**, e é isso que faz a coisa funcionar.
***
### O achado pode nascer aqui
Até aqui o achado só nascia de regra, de auditoria ou de confronto. O que alguém encontra andando pela operação — *o backup de homologação nunca foi restaurado* — não tinha onde entrar, e o caminho que sobrava era criar uma auditoria só para poder registrar um achado. Ninguém faz isso: anota num caderno.
O botão **Novo achado** cria direto, com título, descrição, severidade e prazo. Duas coisas são opcionais de propósito:
**O alvo.** Ele nasceu obrigatório porque toda NC vinha de auditoria, e auditoria sempre tem alvo. O achado solto nem sempre tem — exigi-lo no ato faz a pessoa escolher um qualquer para o formulário deixar salvar, e alvo errado é pior que alvo nenhum porque entra nos painéis.
**O risco.** Dá para vincular na criação ou deixar solto. Deixar solto é legítimo: nem tudo que se encontra é a materialização de um cenário que alguém já mapeou. O vínculo se faz e se desfaz depois, e vincular duas vezes não cria dois vínculos.
***
### O achado não fica bloqueado
Duas rigidezes saíram, e as duas produziam o mesmo contorno.
A primeira: o fluxo só andava para a frente. Quem colocasse o achado em execução por engano não tinha como voltar à triagem. Agora volta, e recuar não é retrocesso — é o que impede que a correção vire um achado novo.
A segunda: **encerrado e falso positivo eram absorventes**. Fechou, acabou. Quem fechasse por engano criava outro achado igual, o que apaga a história e faz a recorrência contar errado: um achado que reincide três vezes é uma informação sobre o controle; três achados parecidos são três linhas numa lista.
Agora sai por **reabertura**, que exige motivo escrito e fica registrada com quem e quando. Exigir o motivo é o que a distingue de desfazer. Reabrir um encerrado conta como recorrência; reabrir um falso positivo não, porque nunca houve tratamento que tivesse falhado.
A tela oferece só as transições que o motor aceita — a lista vem dele, e não de uma cópia da regra na interface, que envelheceria na direção errada.
***
### O plano de ação, em três formas
As três aparecem na vida real e nenhuma substitui as outras:
**Link externo** para o chamado, o quadro ou o documento onde o trabalho está sendo de fato tocado. Só http e https — um campo de link que aceita qualquer esquema vira um lugar de onde se executa código.
**Anexo** para o que já mora em outro sistema, por referência.
**Detalhamento** em texto rico, para o que não mora em lugar nenhum: o passo a passo, o que ficou combinado, e o print. Ele é **Markdown**, com barra de ferramentas e prévia — e não um editor visual. A plataforma renderiza Markdown montando elementos, sem injetar HTML, então não existe superfície de XSS a defender; um editor visual guardaria HTML, e HTML guardado exige um sanitizador escrito à mão, que é a classe de código em que o erro é silencioso e caro.
**A imagem é enviada de verdade**, e entra como referência — não embutida no texto. Colar um print direto no campo funciona, que é como o print chega. Um print de 800 KB colado em três planos viraria 3 MB de texto dentro de linhas do banco, e o dano aparece no backup e na replicação muito depois de alguém lembrar por quê.
A plataforma guarda imagem (PNG, JPEG, GIF, WebP) e PDF, até 8 MB. SVG fica de fora embora seja imagem: ele é um documento XML que executa script quando servido como imagem. O mesmo arquivo enviado duas vezes reaproveita a linha, reconhecido pelo hash — que também serve para provar que o que se baixa é o que se enviou.
***
### Os quatro agrupadores
A mesma lista responde a quatro perguntas diferentes, e atende mal quando atende só uma:
| **Agrupador** | **A pergunta que ele responde** |
| -------------------- | ----------------------------------------------------- |
| **Prioridade** | por onde começo? Severidade e prazo |
| **Risco** | o que este risco está me custando? Um grupo por risco |
| **Não conformidade** | a lista corrida, uma linha por achado |
| **Sem vínculo** | o ponto cego: sem risco e sem auditoria |
No agrupamento por risco, o grupo **sem risco vinculado** aparece mesmo vazio. A ausência dele é informação — quer dizer que tudo está mapeado, e isso merece ser visto em vez de inferido.
***
### Não conformidades — registrar e tratar um achado
A tela **Não conformidades** lista os achados agrupados por **Prioridade**, **Risco**, **Não conformidade** ou **Sem vínculo**, com o filtro **Estado**. Os cartões do topo — **Sem tratamento**, **Prazo vencido**, **Recorrentes**, **Sem vínculo** — recortam a lista ao clicar; clicar de novo tira o recorte.
Para registrar:
1. Clique em **Novo achado**.
2. Preencha **Título** (obrigatório), **Descrição**, **Severidade** e **Prazo**.
3. Em **Plano de ação obrigatório?**, deixe *pela severidade* (alta e crítica exigem) ou escolha sim ou não.
4. Se quiser, escolha a **Auditoria** (só as abertas) e o **Alvo** dela, e o **Risco relacionado** — ou deixe *deixar solto*. Clique em **Criar**.
Para tratar, clique no achado (**ampliar** abre em tela ampla):
1. Em **Planos de ação**, clique em **Novo plano**, preencha o **Objetivo** e, se houver, o **Link externo**, o arquivo (**Anexar arquivo**) e o **Detalhamento**. Clique em **Criar plano**.
2. No cartão do plano, escreva em **Nova ação** e clique em **+**. Plano sem ação não é aprovado.
3. Aprove pelo botão de visto (**Aprovar plano**). Plano marcado como **Proposta da IA** precisa de **Aceitar** antes.
4. Conclua cada ação em **concluir**, com a evidência (link, número do chamado).
5. Em **Estado**, avance o achado pelos botões — em triagem, plano definido, em execução, concluído, eficácia verificada, encerrado. A tela só mostra as transições que o motor aceita. Na lista, o achado tratado aparece como **tratado** (plano) ou **aceito até** a data (aceite de risco).
Para tratar por **aceite de risco** (a outra saída, quando o plano não é obrigatório):
1. Na seção **Aceite de risco**, clique em **Registrar aceite de risco** — ou em **aceitar o risco…**, em **Estado**, que abre o mesmo formulário.
2. Escreva a **Justificativa** (obrigatória), o **Controle compensatório**, se houver, e a data em **Válido até** — a partir de amanhã; é a data de revisão do aceite.
3. Clique em **Registrar aceite**. O achado vai para **risco aceito**, e a seção passa a mostrar o aceite vigente com a autoridade, a data do registro e a validade.
4. Para tirar o achado da lista de abertos, clique em **encerrar por aceite**, em **Estado**.
A autoridade que responde pelo aceite é **quem está logado**, e só aparece o botão para quem tem a permissão **Não conformidades — aceitar risco**; os demais veem o aviso de que precisam dessa autoridade. Não há campo para escolher outro nome: aceitar em nome de alguém que nunca viu o achado não é aceite. O estado **risco aceito** sozinho não trata nada — sem aceite registrado, o servidor recusa movê-lo para lá. **Renovar o aceite** registra um novo antes do vencimento. Vencida a validade, o achado volta sozinho para **em triagem** e conta como recorrência — inclusive o que foi encerrado por aceite, e nesse caso a volta aparece em **Reaberturas** com o motivo.
Regras: **encerrado** exige plano aprovado ou aceite de risco vigente. Com **Plano de ação obrigatório** marcado, só o plano serve e o botão **risco aceito** não aparece. Encerrado e falso positivo só saem por **Reabrir**, com o campo **Por que reabrir**. **Vincular a um risco** liga o achado a um risco existente, e o ícone ao lado do risco desfaz o vínculo. Os documentos do achado entram por **subir** ou **apontar da base**.
***
### O achado
Nasce da apuração, quando uma regra encontra uma resposta insuficiente. Tem severidade, dono, prazo e um ciclo de vida com bloqueios: não se encerra o que não foi tratado.
**A regra de ouro:** o ciclo não fecha com achado sem plano de ação ou sem aceite de risco formal, temporário e aprovado pela autoridade competente.
***
### O risco
O **inerente** você informa: probabilidade × impacto, numa matriz de 5×5.
O **residual é sempre calculado**, nunca digitado. Ele vem da eficácia dos controles que mitigam o risco, e obedece a quatro regras:
1. As reduções **compõem**, não somam. Três controles de 50% não zeram o risco; deixam 12,5% dele.
2. A redução incide sobre a **probabilidade**, não sobre o impacto. Controle preventivo torna o evento menos provável; não torna o vazamento menos grave depois de acontecido.
3. **Achado aberto sobre um controle anula a eficácia dele** — não desconta, anula. Um controle com não conformidade aberta não está reduzindo risco nenhum.
4. O piso é 1. Probabilidade zero não existe enquanto o risco estiver aberto.
:::hint{type="info"}
É por isso que o residual não pode ser digitado. Digitado, ele sobrevive ao controle que o justificava, e o risco fica bonito no relatório e falso na realidade.
:::
***
### Como os dois se encontram
• Achado sobre um controle **já mapeado** a um risco: nenhum risco novo. O controle sai da conta e o residual sobe sozinho.
• Achado sobre um controle **sem risco mapeado**: nasce um risco de origem *não conformidade*.
• Achado tratado e encerrado: o controle volta à conta e o residual desce.
• No encerramento, **a origem decide o destino**. Risco de registro volta ao baseline e permanece — ele existia antes do achado. Risco que nasceu do achado é extinto com ele.
***
### Riscos — registrar, decidir o tratamento e encerrar
Criar, editar e mover pedem a permissão de escrever risco; sem ela, a tela só mostra.
1. Clique em **Novo risco**. Preencha o **Título**, a **Descrição**, a **Categoria** e a **Probabilidade e impacto** (1 a 5 cada; a nota inerente aparece ao lado). O **Código interno (opcional)** é gerado se ficar em branco. Em **Plano de ação obrigatório?**, *pelo inerente* exige plano a partir de 15. Clique em **Salvar**.
2. Abra o risco — pelo **Mapa de calor**, pela **Lista**, pelo **Tratamento** ou pelos **Vencidos**. A ficha tem as abas **Resumo**, **Plano de ação**, **Bowtie**, **Revisões** e **Documentos**.
3. Clique em **Editar** para completar causa, consequência, **Alvo**, **Dono**, **Revisar a cada (dias)**, **Velocidade**, **Fonte** e a **Decisão de tratamento** — **Aceitar**, **Mitigar**, **Transferir** ou **Evitar** —, com a justificativa. Clique em **Salvar**.
4. Na aba **Plano de ação**, o plano funciona como o da não conformidade: **Novo plano**, ações, aprovação.
5. Em **Mover para**, escolha **Aberto**, **Em tratamento**, **Monitorado** ou **Encerrado**. **Revisar** marca o risco como revisado hoje e agenda a próxima revisão.
Regras: encerrar exige a decisão de tratamento registrada e, com **Plano de ação obrigatório** marcado, um plano aprovado. Um risco **Aberto** passa por **Em tratamento** antes de **Monitorado**. **Encerrado** não volta: o que reaparecer é risco novo. **Apagar** só vale para risco ainda aberto e sem evento de perda. O residual não se digita — **Recalcular residual** refaz a conta de todos. **Biblioteca** traz riscos típicos: marque os que quer, ajuste o prefixo do código e clique em **Importar**.
***
### O registro de risco
A tela de Riscos tem quatro leituras da mesma carteira, porque cada pergunta pede uma forma diferente:
| **Leitura** | **A pergunta que ela responde** |
| ------------- | -------------------------------- |
| Mapa de calor | **onde** os riscos se acumulam |
| Lista | quais são, do maior para o menor |
| Tratamento | em que pé está cada um |
| Vencidos | quais deixaram de ser geridos |
O mapa desenha as células vazias de propósito. Um mapa que só pinta onde há risco vira lista colorida, e some justamente a informação de que o canto mais grave está livre. Clicar numa célula abre os riscos que estão nela, e clicar num deles abre o registro inteiro.
***
### Bowtie
Causas à esquerda, o evento no nó, consequências à direita, e as barreiras em cada caminho. O que ele entrega não é o desenho: é o **caminho sem barreira**. Uma causa sem barreira chega ao evento sem encontrar nada; uma consequência sem barreira acontece inteira.
***
### Decisão de tratamento
Aceitar, mitigar, transferir ou evitar. O número diz o tamanho do risco; a decisão diz o que se resolveu fazer com ele, e sem ela o registro está incompleto — um risco avaliado e não decidido não pode ser encerrado.
***
### Oportunidades
O efeito favorável da incerteza sobre um objetivo. É o mesmo evento que o risco descreve, visto do outro lado, e por isso usa a mesma escala e a mesma matriz. Rejeitar não apaga: o histórico das rejeições é o que ensina a organização a escolher melhor da próxima vez. Toda oportunidade nova recebe a análise da IA do acervo, com os documentos que precisariam mudar para implementá-la.
Para registrar e levar adiante:
1. Clique em **Registrar**. Preencha **Título**, **Descrição — causa, evento e efeito favorável**, **Classe** (melhoria ou estratégica) e **Fonte**.
2. Melhoria pede **Unidade** ou **Processo** (os processos vêm da análise de impacto, em Continuidade); estratégica pede o **Objetivo estratégico**. A aba **Análise SWOT** é opcional. Clique em **registrar** — o botão só libera com os obrigatórios preenchidos.
3. Selecione a oportunidade e clique em **Avaliar**: probabilidade e impactos (1 a 5, a mesma escala do risco), **Benefício mínimo**, **Benefício provável**, **Benefício máximo**, **Confiança da estimativa**, **Custo de captura** e **Prazo (dias)**. Clique em **salvar**. Se o benefício provável passar do teto da faixa de melhoria, a ficha mostra o aviso de que a oportunidade foi **reclassificada como estratégica** e subiu de alçada.
4. Na seção **Tratamento**, clique em **Definir tratamento** (ou **Editar tratamento**). Escolha a **Estratégia**, escreva a **Justificativa** (obrigatória em *aceitar* e *rejeitar*) e preencha **Métrica de realização**, **Linha de base**, **Valor projetado** e **Data de verificação**. *Explorar*, *melhorar* e *compartilhar* exigem um plano de ação vinculado: busque o plano pelo objetivo ou pelo número do achado/risco e clique nele para vinculá-lo (o **x** desfaz). O plano de ação nasce num achado ou num risco — crie-o lá, se ainda não existir. Clique em **salvar tratamento**.
5. **Mover para …** avança a oportunidade para a situação seguinte do fluxo.
6. Em **avaliada** ou **em aprovação**, clique em **Aprovar**. O botão fica desligado, com a lista do que falta, até estratégia, métrica, linha de base e data de verificação estarem definidas. **Rejeitar** (também na triagem) abre o campo **Por que rejeitar**, obrigatório; a rejeitada volta por **Reabrir**, com nova justificativa.
7. Depois de aprovada, **Mover para em execução** e, se quiser, **em verificação**. Nas duas, **Encerrar** pede o **Valor realizado**, a **Evidência da verificação** (PDF ou imagem) e as **Lições aprendidas**. Clique em **encerrar**; a ficha passa a mostrar o realizado e a taxa de realização.
Aprovar e rejeitar pedem a permissão de aprovar oportunidade; tratar, mover e encerrar, a de escrever. O dono não aprova a própria. Oportunidade encerrada, rejeitada ou cancelada não tem mais o tratamento editado — é história. A matriz **Benefício × esforço** mostra por onde começar: o quadrante de cima à esquerda.
***
### Categorias
A categoria de risco é **cadastro**, não texto livre. Enquanto o risco nascia de alguém digitando, o campo livre passava: quem erra vê o erro. Com a automação abrindo risco sozinha, "Privacidade", "privacidade" e "Priv." viram três categorias para a mesma coisa, e quem monta o painel não tem como saber que são a mesma.
Cada categoria declara os temas que cobre, e é isso que faz a automação oferecer primeiro as que combinam com a pergunta. É sugestão e não trava: um risco de continuidade pode nascer de uma pergunta de acesso.
Para cadastrar, em **Categorias de risco** (pede a permissão de escrever risco):
1. Clique em **Nova categoria**.
2. Preencha **Código** e **Nome** (obrigatórios; o código não muda depois), **O que ela abrange** e a **Cor**. Deixe **Ativa** marcada.
3. Em **Temas que ela cobre**, clique nos temas para marcar ou desmarcar.
4. Clique em **Criar categoria**. O lápis edita e a lixeira apaga — depois de perguntar, com o foco no **Cancelar** e o **Esc** para desistir. A pergunta avisa quantas automações abrem risco com o nome da categoria; os riscos já classificados guardam o nome como estava.
As categorias **de fábrica** têm o cadeado e são somente leitura: significam o mesmo em todo cliente. Desmarcar **Ativa** tira a categoria das listas sem apagar o que já a usa. No formulário do risco, o campo **Categoria** ainda é texto livre — escreva o nome exatamente como no cadastro.
***
### Biblioteca
Riscos típicos prontos, por categoria, cada um já apontando os controles que o mitigam. Importar cria uma cópia sua, editável — o modelo não entra no mapa de calor, porque modelo não é risco que alguém assumiu.