2. Como usar (de ponta a ponta)

O caminho inteiro, na ordem em que se faz — preparar, auditar, tratar e, depois, os módulos —, cada passo com a tela e o capítulo.

A plataforma se usa em quatro tempos, e a ordem não é estética: cada tempo usa o que o anterior deixou pronto.

1.     Preparar — quem responde, o que é auditado e o que se pergunta. Feito uma vez, vale para todas as auditorias.

2.     Auditar — abrir o ciclo, despachar, responder, revisar e apurar.

3.     Tratar — dar saída a cada achado e acompanhar o risco, e só então fechar o ciclo.

4.     Os módulos — acervo, painéis, IMR, automação, atendimento e IA, que vivem do que a auditoria produziu.

Os passos abaixo são os mesmos do Como funciona, de ponta a ponta, nas Preferências, com os mesmos títulos — lá, cada um mostra se a sua organização já o fez, e o passo a passo abre a tela de cada um. Lá, o passo que o seu perfil não alcança — e o do IMR, onde o módulo não está ligado — não aparece, e a numeração se ajusta. Cada passo diz onde se faz (grupo do menu ▸ tela) e qual capítulo tem o detalhe. O índice do manual segue a mesma ordem.

•     A faísca, no alto de toda tela, abre o assistente. Em Como fazer, pergunte em palavras suas — "como registro uma não conformidade?", "onde aprovo um documento?" — e ele explica o passo a passo pelo manual e oferece o botão que leva à tela (O assistente).

•     O ? abre este manual já na parte que fala da tela em que você está.

•     Como funciona, de ponta a ponta, nas Preferências, mostra estes passos e marca o que já foi feito na sua organização.

•     As Preferências (a engrenagem no layout de portal; o seu nome no menu lateral) trocam idioma, tamanho do texto, tema e layout (Layout e aparência).

O menu só mostra o que o seu perfil abre. Passo que leva a uma tela que você não vê é de outra pessoa — normalmente do administrador.

Quem instala a plataforma cria o tenant no console da instalação (/console). Ele nasce com o administrador, três áreas iniciais, o alvo raiz com o nome do tenant, o catálogo de normas de fábrica, o catálogo de serviços de GRC e a configuração padrão da IA. O passo 1 começa daí, entrando com o administrador. Detalhe em Console da instalação.

Onde: Administração ▸ Áreas e grupos · Capítulo:Áreas, grupos, usuários e perfis

Tudo o que vem depois procura alguém aqui. A pergunta despachada cai num grupo — nunca numa área sem grupo, nunca numa pessoa solta —, e a aprovação procura quem aprova.

1.     Em Áreas, Nova → CÓDIGO e Nome da área → Criar.

2.     Com a área selecionada, Novo grupo → CÓDIGO e Nome do grupo → Criar.

3.     No grupo, Pessoas: clique nos nomes para pôr ou tirar. Para quem ainda não tem conta, convidar manda o convite por e-mail, já com o perfil e o grupo.

Onde: Administração ▸ Usuários e Perfis de acesso · Capítulo:Áreas, grupos, usuários e perfis

Cada pessoa tem exatamente um perfil, e o perfil é um conjunto de permissões, não um cargo. Os de fábrica — Administrador, Gestor, Analista, Monitoramento, Solicitante e os demais — cobrem o caso comum.

1.     Em Usuários, Novo usuário → Login, Nome, E-mail (sem ele, o aviso nunca vira e-mail), Senha, Tipo, o Perfil e os grupos → Criar.

2.     Se nenhum perfil de fábrica servir, monte o seu em Perfis de acesso → Novo perfil, marcando por ação ou clicando na tela do menu que a pessoa precisa ver.

O login é único dentro do tenant, não na instalação: outro cliente pode ter um admin ou um maria.silva sem conflito com o seu. A pessoa entra pelo endereço da organização (a URL do tenant, ou empresa.localhost:porta no ambiente local) — é o endereço que diz em qual tenant o login é procurado, e a tela de entrada não pede organização.

Quem entra pelo login da empresa (OpenID Connect ou LDAP) é configurado em Administração ▸ Diretório e identidade — ver Integração com o diretório.

Onde: Configuração ▸ Alvos e dimensões · Capítulo:Alvos e escopo

Não existe auditoria sem alvo. Pode ser um contrato, um serviço, uma área, uma equipe, um fornecedor, um cliente ou a própria empresa — e o tipo do alvo é a dimensão pela qual o resultado se lê depois (Dimensões).

1.     Aba Alvos cadastrados → Novo alvo → Código, Nome e Tipo.

2.     Dentro de pendura o alvo noutro: o score do pai passa a ser a média dos filhos, e o resultado sobe pela hierarquia (Resultado por hierarquia).

3.     Representa o cadastro de aponta o grupo ou a área que responde por ele — é o que faz a pergunta chegar a alguém.

4.     Se for o caso, responda o Perfil do alvo (drivers): eles decidem que perguntas se aplicam.

Tipo que não está entre os doze de fábrica se cria na aba Tipos e dimensões.

Onde: Catálogo ▸ Frameworks, Framework próprio, Perguntas, Peso das perguntas · Capítulo: Catálogo e frameworks

O catálogo já nasce cheio, e o de fábrica é só leitura.

1.     Administração ▸ Normas disponíveis: marque as normas que esta instalação enxerga e, no primeiro bloco, como ela chama quem é auditado — empresa ou órgão (Como a instalação chama quem é auditado).

2.     Frameworks: clique no cartão para ver as perguntas de uma norma. Para aplicar uma inteira, não há mais nada a fazer aqui.

3.     Framework próprio: Novo → Do catálogo (perguntas de qualquer framework, que entram por referência) e Pergunta nova (as suas) → Publicar. Editar uma pergunta de fábrica cria uma cópia sua; a original não muda.

4.     Peso das perguntas: quanto cada pergunta vale na nota, e quão grave é o achado quando ela falha. O peso novo vale do próximo ciclo em diante.

Apoio, quando precisar: Perguntas reúne o acervo inteiro e cria pergunta sem questionário; Temas recorta por assunto; Listas de valores dá as mesmas opções a várias perguntas; Cobertura UCF mostra quanto de cada norma um conjunto de perguntas cobre.

Onde: Catálogo ▸ Agrupamentos · Capítulo: Agrupamentos

O agrupamento serve a uma coisa só: disparar por partes em vez de tudo de uma vez. É opcional; sem ele, o questionário inteiro vai para uma área só, que é o caso comum de uma auditoria interna.

1.     Escolha o Framework no alto — cada agrupamento pertence a um framework e não atravessa para outro.

2.     Novo agrupamento → Código e Nome → Criar; ou, num recorte de fábrica, Adotar para editar, que cria a sua cópia.

3.     Abra o cartão, marque as perguntas → Trazer N perguntas.

É o último passo do catálogo, e por isso vem antes da auditoria: o agrupamento não se dispara da tela dele. O recorte se escolhe ao abrir a auditoria (O que vai a campo) e ao montar cada onda.

Onde: Auditoria ▸ Auditorias · Capítulo: Auditoria, ondas e respostas

1.     Abrir auditoria → Natureza do ciclo (Auditoria ou Pré-auditoria — ver Pré-auditoria), Alvo avaliado e, em Avaliar contra, as normas, temas e frameworks próprios → Confirmar.

2.     Em O que vai a campo, Todas as perguntas ou um ou mais agrupamentos.

3.     Código e Nome; se quiser, Prazo e Dimensões que este ciclo vai reportar → Abrir auditoria.

4.     O ciclo nasce rascunho. Confira quantas pessoas ele alcança, acrescente outros alvos em + alvo e clique Lançar.

Lançar congela a versão de cada pergunta — editar o enunciado no ano que vem não muda o que foi perguntado agora — e dá a cada uma um número de registro próprio, que nunca se repete. Depois de lançado, o ciclo não se apaga: cancela-se, com motivo.

Onde: Auditorias ▸ Ondas de disparo, ou Auditoria ▸ Painel do framework ▸ Montar onda · Capítulos: Auditoria, ondas e respostas e Disparo em escala e painel do framework

Cento e vinte perguntas de uma vez produzem resposta rápida e ruim. Pergunta fora de onda disparada não é respondível — é o que impede o faseamento de virar decoração.

•     Um alvo só: no ciclo lançado, Ondas de disparo → Nova onda → o código e O que esta onda cobre → Criar; marque o que a equipe consegue responder agora → Incluir na onda → Equipe que responde… → Disparar.

•     Muitos alvos: Painel do framework ▸ Montar onda → os agrupamentos desta rodada, os alvos por atributo (todos, por tipo, por situação, sem área responsável), o que fazer com as já respondidas, Equipe e Prazo → Montar e disparar para N alvo(s).

Cada alvo é despachado para a própria área responsável e responde o seu sem enxergar o dos outros; a equipe escolhida é o destino padrão de quem ainda não tem responsável.

Onde: Auditoria ▸ Responder auditoria (o site /responder) · Capítulo: Responder uma auditoria

Quem recebe a onda não abre a tela de Auditorias: abre Responder auditoria, que reúne o que foi despachado ao grupo dela, o que lhe foi delegado e o que já é da área pelo alvo avaliado.

1.     Clique na pergunta, escolha a Situação declarada e escreva a Descrição — o que sustenta essa situação.

2.     Em Evidências, suba o arquivo ou aponte um documento da base.

3.     Responder. Recebeu no lugar errado? Encaminhar para outra equipe.

Fila vazia quase sempre quer dizer uma de três coisas: nada foi disparado, o alvo do ciclo não aponta para uma área (passo 3), ou a pessoa não está em grupo nenhum (passos 1 e 2).

Onde: Responder auditoria ▸ Para revisar, ou o ciclo em Auditoria ▸ Auditorias · Capítulo: Auditoria, ondas e respostas

Quem responde não revisa — a segregação está no banco, não só na tela.

1.     Leia o valor e as evidências e clique Aprovar ou Devolver, com o motivo. Devolver é o caminho normal: a pergunta volta para a fila de quem respondeu.

2.     No ciclo, Apurar roda as regras sobre as respostas aprovadas, calcula o score e levanta os achados. Refaça quantas vezes for preciso enquanto o ciclo está aberto.

Só resposta aprovada entra no score: um ciclo todo respondido e nada revisado tem score zero, e está certo.

Onde: Auditoria ▸ Painel do framework; Análise ▸ Auditoria em foco · Capítulos: Disparo em escala e painel do framework e Auditoria, ondas e respostas

O Painel do framework responde na ordem em que a pergunta se faz: quantos responderam — antes da nota —, como está cada agrupamento, a distribuição por faixa e, só então, o alvo individual, com quem não respondeu à frente. É dali que se monta a onda seguinte.

Auditoria em foco mostra uma auditoria de cada vez, inteira: score, cobertura, respostas e achados. Abaixo de 70% de cobertura, a nota é uma amostra pequena.

Onde: Tratamento ▸ Não conformidades · Capítulo:Não conformidade e risco

A apuração levanta as não conformidades; o que alguém encontra fora de auditoria entra por Novo achado. Cada achado sai por um de dois caminhos:

•     Plano de ação: Novo plano → objetivo, link, anexo ou detalhamento → ações → Aprovar plano → concluir cada ação, com a evidência.

•     Aceite de risco: Registrar aceite de risco → justificativa e Válido até. Só quem tem a autoridade de aceitar vê o botão, e o aceite vencido devolve o achado à triagem.

Onde: Tratamento ▸ Riscos e Continuidade; Configuração ▸ Categorias de risco · Capítulos: Não conformidade e risco e Continuidade e monitoramento

O inerente você informa; o residual é sempre calculado. Achado aberto sobre um controle anula a eficácia dele, e o risco sobe sozinho; achado tratado o devolve à conta.

1.     Novo risco → título, categoria, probabilidade e impacto. Registre a Decisão de tratamento — aceitar, mitigar, transferir ou evitar —, sem a qual o risco não se encerra.

2.     Em Continuidade ficam o que não pode parar (Análise de impacto), o que avisa antes (Indicadores (KRI)) e o que já aconteceu (Eventos de perda).

Onde: Tratamento ▸ Oportunidades · Capítulo: Não conformidade e risco

A oportunidade é o mesmo evento incerto visto do outro lado, com a mesma escala do risco. Ela nasce na linha da resposta — quem respondeu acabou de olhar o controle — ou em Registrar, e anda por avaliação, tratamento e aprovação até o valor realizado.

Onde: Auditoria ▸ Auditorias · Capítulos: Auditoria, ondas e respostas e Exportação

1.     Fechar ciclo só passa com toda resposta aprovada e todo achado com plano de ação ou aceite.

2.     Em Versões publicadas, Elaborar versão; outra pessoa clica Aprovar.

3.     Relatório do ciclo (PDF) traz sempre as mesmas seções, com quem emitiu, quando e o resumo criptográfico do arquivo. Respostas (CSV), e as exportações de achados e de riscos, servem a quem vai cruzar em planilha.

Os módulos não dependem uns dos outros, e cada organização liga os que usa. A ordem abaixo é a do manual.

Onde: Acervo ▸ Documentos, Aprovações, Leitura obrigatória · Capítulo: Acervo de documentos

Política, norma interna e procedimento vivem no acervo, com versão, fluxo de aprovação e leitura obrigatória. Quem aprova recebe a etapa em Aprovações; quem precisa ler confirma a ciência em Leitura obrigatória. O Pergunte à base responde com a fonte citada, a Análise de aderência confere um documento contra as normas, e o Grafo do acervo mostra o que cada documento controla. Tipos, fluxos e espaços ficam em Configuração do acervo.

Onde: Análise ▸ Construtor e Banco de widgets · Capítulo:Painéis e construtor

No Construtor: a consulta, sem código, em cinco passos — sobre o quê, quais registros, o que quero ver, confira o resultado, dê um nome —; depois o widget, que veste a consulta, em seis passos; e só então o painel. O Banco de widgets traz a pergunta já feita, e o Atalho: perguntar faz os três de uma vez.

Onde: Análise ▸ Painéis e Gestão à Vista · Capítulos:Painéis e construtor e Murais e televisão

1.     Novo painel → colocar widget ou do banco de widgets → arraste para posicionar.

2.     Publicar. Publicado, ele pode entrar no menu (grupo Gestão), numa pasta, e é o que o perfil de monitoramento enxerga.

3.     Em Gestão à Vista, Novo mural junta painéis publicados numa sequência que gira numa TV.

Leituras prontas, sem montar nada: Resultado por hierarquia (Resultado por hierarquia) e o bloco Respostas por dimensão, dentro de cada ciclo (Dimensões).

Onde: IMR ▸ Contratos, Períodos, Apuração · Capítulo:IMR — Instrumento de Medição de Resultado

Só existe onde o módulo foi ligado (Administração ▸ Normas disponíveis, bloco IMR), porque atende exclusivamente a contratos do Governo Federal. Cadastre o contrato, confira as unidades, abra o período, congele a base, receba os sinais e apure; ouça o contraditório, registre a decisão, e só então o Faturamento mostra o valor a pagar.

Onde: Automação · Capítulos: Área de automação, Eventos e conectores, Automação de respostas e Avisos e e-mail

O grupo reúne o que roda sem ninguém clicar:

•     o que entra — Eventos e conectores (SIEM, XDR, diretório, nuvem, ITSM) e Fontes de conteúdo (pastas, SharePoint, repositórios, e-mail);

•     o que decide — Inspeções com Lentes, Automação de respostas (a resposta que vira não conformidade ou risco) e Avisos por regra;

•     o que sai — Destinos: webhook, Teams, CITSmart ou e-mail.

O achado que a automação levanta cai em Achados, a caixa única, onde alguém confirma, descarta ou o transforma em não conformidade, risco ou caso. O coletor das inspeções entra por uma conta de serviço (Sessão, trilha e contas de serviço).

Onde: Administração ▸ E-mail e avisos · Capítulo:Avisos e e-mail

Na aba A conta, o servidor de e-mail e o Enviar teste. Na aba O fluxo do aviso, cada aviso declara de que objeto partiu, quem recebe, que texto sai e para onde a resposta volta — e o texto é seu, com as variáveis à vista. Sem conta de e-mail, o aviso continua no sino, dentro da plataforma.

Onde: Tratamento ▸ Catálogo de serviços, Políticas de atendimento, Ciclo de vida do caso, Regras de atendimento e Casos; o portal em /portal · Capítulos: Portal, caso e ciclo de vida e Catálogo de serviços e política de atendimento

Quem pede ajuda não entra no produto: entra em /portal, que procura na base de conhecimento antes de abrir o chamado. Para o atendimento funcionar, monte nesta ordem:

1.     Catálogo de serviços — o que se pode pedir (já vem com os serviços de GRC de fábrica).

2.     Políticas de atendimento — o prazo de cada relógio, por prioridade, o escalonamento e a matriz.

3.     Ciclo de vida do caso — a matriz de "de → para": o que não estiver marcado a plataforma recusa.

4.     Regras de atendimento — notificar, atribuir, escalar; ensaie antes de ligar.

A fila de quem atende é Casos.

Onde: a faísca no cabeçalho; Administração ▸ Modelo de linguagem; Automação ▸ Sandbox · Capítulos: O assistente e Modelos de linguagem, parecer prévio e sandbox

O assistente responde pelo manual e pelas telas que você pode abrir, e oferece o botão que leva até lá. Ele orienta; quem executa é você. Com um modelo de linguagem cadastrado ele conversa, e o modelo também dá o parecer prévio nas respostas e alimenta o Pergunte à base — sempre opinando, nunca decidindo. O Sandbox é onde se experimenta a correlação com eventos sem alterar a auditoria de ninguém.

Nada disto é passo do caminho; é o que se ajusta uma vez e se revisita de vez em quando.

Para ver a plataforma funcionando em dez minutos, numa instalação que já tem áreas e grupos: crie um alvo apontando para um grupo seu (passo 3), abra uma auditoria contra um framework de fábrica e lance (passo 6), dispare uma onda pequena para esse grupo (passo 7), responda (passo 8), peça a outra pessoa que aprove e clique Apurar (passo 9). A partir daí há score, cobertura, não conformidades e riscos.