--- title: 2. Como usar (de ponta a ponta) slug: 2-como-usar-de-ponta-a-ponta docTags: createdAt: 2026-10-13T14:31:43.203Z --- *O caminho inteiro, na ordem em que se faz — preparar, auditar, tratar e, depois, os módulos —, cada passo com a tela e o capítulo.* A plataforma se usa em quatro tempos, e a ordem não é estética: cada tempo usa o que o anterior deixou pronto. 1.     **Preparar** — quem responde, o que é auditado e o que se pergunta. Feito uma vez, vale para todas as auditorias. 2.     **Auditar** — abrir o ciclo, despachar, responder, revisar e apurar. 3.     **Tratar** — dar saída a cada achado e acompanhar o risco, e só então fechar o ciclo. 4.     **Os módulos** — acervo, painéis, IMR, automação, atendimento e IA, que vivem do que a auditoria produziu. Os passos abaixo são os mesmos do **Como funciona, de ponta a ponta**, nas Preferências, com os mesmos títulos — lá, cada um mostra se a sua organização já o fez, e o **passo a passo** abre a tela de cada um. Lá, o passo que o seu perfil não alcança — e o do IMR, onde o módulo não está ligado — não aparece, e a numeração se ajusta. Cada passo diz **onde** se faz (grupo do menu ▸ tela) e qual **capítulo** tem o detalhe. O índice do manual segue a mesma ordem. *** ### Antes de começar: onde pedir ajuda •     **A faísca**, no alto de toda tela, abre o **assistente**. Em *Como fazer*, pergunte em palavras suas — "como registro uma não conformidade?", "onde aprovo um documento?" — e ele explica o passo a passo pelo manual e oferece o botão que leva à tela (*O assistente*). •     **O ?** abre este manual já na parte que fala da tela em que você está. •     **Como funciona, de ponta a ponta**, nas Preferências, mostra estes passos e marca o que já foi feito na sua organização. •     **As Preferências** (a engrenagem no layout de portal; o seu nome no menu lateral) trocam idioma, tamanho do texto, tema e layout (*Layout e aparência*). O menu só mostra o que o seu perfil abre. Passo que leva a uma tela que você não vê é de outra pessoa — normalmente do administrador. *** ### Antes de tudo: o tenant existe Quem instala a plataforma cria o tenant no **console da instalação** (/console). Ele nasce com o administrador, três áreas iniciais, o alvo raiz com o nome do tenant, o catálogo de normas de fábrica, o catálogo de serviços de GRC e a configuração padrão da IA. O passo 1 começa daí, entrando com o administrador. Detalhe em *Console da instalação*. *** ## Preparar ### 1. Monte a estrutura: áreas e grupos **Onde:** Administração ▸ Áreas e grupos · **Capítulo:***Áreas, grupos, usuários e perfis* Tudo o que vem depois procura alguém aqui. A pergunta despachada cai num **grupo** — nunca numa área sem grupo, nunca numa pessoa solta —, e a aprovação procura quem aprova. 1.     Em **Áreas**, **Nova** → **CÓDIGO** e **Nome da área** → **Criar**. 2.     Com a área selecionada, **Novo grupo** → **CÓDIGO** e **Nome do grupo** → **Criar**. 3.     No grupo, **Pessoas**: clique nos nomes para pôr ou tirar. Para quem ainda não tem conta, **convidar** manda o convite por e-mail, já com o perfil e o grupo. *** ### 2. Cadastre as pessoas, cada uma com um perfil **Onde:** Administração ▸ Usuários e Perfis de acesso · **Capítulo:***Áreas, grupos, usuários e perfis* Cada pessoa tem **exatamente um perfil**, e o perfil é um conjunto de permissões, não um cargo. Os de fábrica — Administrador, Gestor, Analista, Monitoramento, Solicitante e os demais — cobrem o caso comum. 1.     Em **Usuários**, **Novo usuário** → **Login**, **Nome**, **E-mail** (sem ele, o aviso nunca vira e-mail), **Senha**, **Tipo**, o **Perfil** e os **grupos** → **Criar**. 2.     Se nenhum perfil de fábrica servir, monte o seu em **Perfis de acesso** → **Novo perfil**, marcando por ação ou clicando na tela do menu que a pessoa precisa ver. O **login é único dentro do tenant**, não na instalação: outro cliente pode ter um admin ou um maria.silva sem conflito com o seu. A pessoa entra pelo **endereço da organização** (a URL do tenant, ou empresa.localhost\:porta no ambiente local) — é o endereço que diz em qual tenant o login é procurado, e a tela de entrada não pede organização. Quem entra pelo login da empresa (OpenID Connect ou LDAP) é configurado em **Administração ▸ Diretório e identidade** — ver *Integração com o diretório*. *** ### 3. Declare o que vai ser auditado **Onde:** Configuração ▸ Alvos e dimensões · **Capítulo:***Alvos e escopo* Não existe auditoria sem alvo. Pode ser um contrato, um serviço, uma área, uma equipe, um fornecedor, um cliente ou a própria empresa — e o **tipo** do alvo é a dimensão pela qual o resultado se lê depois (*Dimensões*). 1.     Aba **Alvos cadastrados** → **Novo alvo** → **Código**, **Nome** e **Tipo**. 2.     **Dentro de** pendura o alvo noutro: o score do pai passa a ser a média dos filhos, e o resultado sobe pela hierarquia (*Resultado por hierarquia*). 3.     **Representa o cadastro de** aponta o grupo ou a área que responde por ele — é o que faz a pergunta chegar a alguém. 4.     Se for o caso, responda o **Perfil do alvo (drivers)**: eles decidem que perguntas se aplicam. Tipo que não está entre os doze de fábrica se cria na aba **Tipos e dimensões**. *** ### 4. Escolha o framework, ou monte o seu com perguntas e pesos **Onde:** Catálogo ▸ Frameworks, Framework próprio, Perguntas, Peso das perguntas · **Capítulo:** *Catálogo e frameworks* O catálogo já nasce cheio, e o de fábrica é só leitura. 1.     **Administração ▸ Normas disponíveis**: marque as normas que esta instalação enxerga e, no primeiro bloco, como ela chama quem é auditado — empresa ou órgão (*Como a instalação chama quem é auditado*). 2.     **Frameworks**: clique no cartão para ver as perguntas de uma norma. Para aplicar uma inteira, não há mais nada a fazer aqui. 3.     **Framework próprio**: **Novo** → **Do catálogo** (perguntas de qualquer framework, que entram por referência) e **Pergunta nova** (as suas) → **Publicar**. Editar uma pergunta de fábrica cria uma cópia sua; a original não muda. 4.     **Peso das perguntas**: quanto cada pergunta vale na nota, e quão grave é o achado quando ela falha. O peso novo vale do próximo ciclo em diante. Apoio, quando precisar: **Perguntas** reúne o acervo inteiro e cria pergunta sem questionário; **Temas** recorta por assunto; **Listas de valores** dá as mesmas opções a várias perguntas; **Cobertura UCF** mostra quanto de cada norma um conjunto de perguntas cobre. *** ### 5. Recorte as perguntas em agrupamentos — se quiser **Onde:** Catálogo ▸ Agrupamentos · **Capítulo:** *Agrupamentos* O agrupamento serve a uma coisa só: **disparar por partes** em vez de tudo de uma vez. É opcional; sem ele, o questionário inteiro vai para uma área só, que é o caso comum de uma auditoria interna. 1.     Escolha o **Framework** no alto — cada agrupamento pertence a um framework e não atravessa para outro. 2.     **Novo agrupamento** → **Código** e **Nome** → **Criar**; ou, num recorte de fábrica, **Adotar para editar**, que cria a sua cópia. 3.     Abra o cartão, marque as perguntas → **Trazer N perguntas**. É o último passo do catálogo, e por isso vem antes da auditoria: o agrupamento **não se dispara** da tela dele. O recorte se escolhe ao abrir a auditoria (**O que vai a campo**) e ao montar cada onda. *** ## Auditar ### 6. Abra a auditoria e lance o ciclo **Onde:** Auditoria ▸ Auditorias · **Capítulo:** *Auditoria, ondas e respostas* 1.     **Abrir auditoria** → **Natureza do ciclo** (**Auditoria** ou **Pré-auditoria** — ver *Pré-auditoria*), **Alvo avaliado** e, em **Avaliar contra**, as normas, temas e frameworks próprios → **Confirmar**. 2.     Em **O que vai a campo**, **Todas as perguntas** ou um ou mais agrupamentos. 3.     **Código** e **Nome**; se quiser, **Prazo** e **Dimensões que este ciclo vai reportar** → **Abrir auditoria**. 4.     O ciclo nasce **rascunho**. Confira quantas pessoas ele alcança, acrescente outros alvos em **+ alvo** e clique **Lançar**. Lançar **congela a versão de cada pergunta** — editar o enunciado no ano que vem não muda o que foi perguntado agora — e dá a cada uma um número de registro próprio, que nunca se repete. Depois de lançado, o ciclo não se apaga: cancela-se, com motivo. *** ### 7. Dispare a onda, para um alvo ou para mil **Onde:** Auditorias ▸ Ondas de disparo, ou Auditoria ▸ Painel do framework ▸ Montar onda · **Capítulos:** *Auditoria, ondas e respostas* e *Disparo em escala e painel do framework* Cento e vinte perguntas de uma vez produzem resposta rápida e ruim. Pergunta fora de onda disparada **não é respondível** — é o que impede o faseamento de virar decoração. •     **Um alvo só:** no ciclo lançado, **Ondas de disparo** → **Nova onda** → o código e *O que esta onda cobre* → **Criar**; marque o que a equipe consegue responder agora → **Incluir na onda** → **Equipe que responde…** → **Disparar**. •     **Muitos alvos:** **Painel do framework ▸ Montar onda** → os **agrupamentos** desta rodada, os **alvos** por atributo (todos, por tipo, por situação, sem área responsável), o que fazer com as já respondidas, **Equipe** e **Prazo** → **Montar e disparar para N alvo(s)**. Cada alvo é despachado para a própria área responsável e responde o seu sem enxergar o dos outros; a equipe escolhida é o destino padrão de quem ainda não tem responsável. *** ### 8. A área responde na fila dela **Onde:** Auditoria ▸ Responder auditoria (o site /responder) · **Capítulo:** *Responder uma auditoria* Quem recebe a onda não abre a tela de Auditorias: abre **Responder auditoria**, que reúne o que foi despachado ao grupo dela, o que lhe foi delegado e o que já é da área pelo alvo avaliado. 1.     Clique na pergunta, escolha a **Situação declarada** e escreva a **Descrição — o que sustenta essa situação**. 2.     Em **Evidências**, suba o arquivo ou aponte um documento da base. 3.     **Responder**. Recebeu no lugar errado? **Encaminhar para outra equipe**. Fila vazia quase sempre quer dizer uma de três coisas: nada foi disparado, o alvo do ciclo não aponta para uma área (passo 3), ou a pessoa não está em grupo nenhum (passos 1 e 2). *** ### 9. Outra pessoa revisa; depois, apure **Onde:** Responder auditoria ▸ Para revisar, ou o ciclo em Auditoria ▸ Auditorias · **Capítulo:** *Auditoria, ondas e respostas* Quem responde não revisa — a segregação está no banco, não só na tela. 1.     Leia o valor e as evidências e clique **Aprovar** ou **Devolver**, com o motivo. Devolver é o caminho normal: a pergunta volta para a fila de quem respondeu. 2.     No ciclo, **Apurar** roda as regras sobre as respostas aprovadas, calcula o score e levanta os achados. Refaça quantas vezes for preciso enquanto o ciclo está aberto. Só resposta aprovada entra no score: um ciclo todo respondido e nada revisado tem score zero, e está certo. *** ### 10. Veja como está o conjunto, e depois cada um **Onde:** Auditoria ▸ Painel do framework; Análise ▸ Auditoria em foco · **Capítulos:** *Disparo em escala e painel do framework* e *Auditoria, ondas e respostas* O **Painel do framework** responde na ordem em que a pergunta se faz: **quantos responderam** — antes da nota —, como está cada agrupamento, a distribuição por faixa e, só então, o alvo individual, com quem não respondeu à frente. É dali que se monta a onda seguinte. **Auditoria em foco** mostra uma auditoria de cada vez, inteira: score, cobertura, respostas e achados. Abaixo de 70% de cobertura, a nota é uma amostra pequena. *** ## Tratar ### 11. Trate os achados **Onde:** Tratamento ▸ Não conformidades · **Capítulo:***Não conformidade e risco* A apuração levanta as não conformidades; o que alguém encontra fora de auditoria entra por **Novo achado**. Cada achado sai por um de dois caminhos: •     **Plano de ação:** **Novo plano** → objetivo, link, anexo ou detalhamento → ações → **Aprovar plano** → **concluir** cada ação, com a evidência. •     **Aceite de risco:** **Registrar aceite de risco** → justificativa e **Válido até**. Só quem tem a autoridade de aceitar vê o botão, e o aceite vencido devolve o achado à triagem. *** ### 12. Acompanhe o risco residual **Onde:** Tratamento ▸ Riscos e Continuidade; Configuração ▸ Categorias de risco · **Capítulos:** *Não conformidade e risco* e *Continuidade e monitoramento* O inerente você informa; o **residual é sempre calculado**. Achado aberto sobre um controle anula a eficácia dele, e o risco sobe sozinho; achado tratado o devolve à conta. 1.     **Novo risco** → título, categoria, probabilidade e impacto. Registre a **Decisão de tratamento** — aceitar, mitigar, transferir ou evitar —, sem a qual o risco não se encerra. 2.     Em **Continuidade** ficam o que não pode parar (**Análise de impacto**), o que avisa antes (**Indicadores (KRI)**) e o que já aconteceu (**Eventos de perda**). *** ### 13. Registre a melhoria onde ela foi percebida **Onde:** Tratamento ▸ Oportunidades · **Capítulo:** *Não conformidade e risco* A oportunidade é o mesmo evento incerto visto do outro lado, com a mesma escala do risco. Ela nasce na linha da resposta — quem respondeu acabou de olhar o controle — ou em **Registrar**, e anda por avaliação, tratamento e aprovação até o valor realizado. *** ### 14. Feche o ciclo e entregue o resultado **Onde:** Auditoria ▸ Auditorias · **Capítulos:** *Auditoria, ondas e respostas* e *Exportação* 1.     **Fechar ciclo** só passa com toda resposta aprovada e todo achado com plano de ação ou aceite. 2.     Em **Versões publicadas**, **Elaborar versão**; outra pessoa clica **Aprovar**. 3.     **Relatório do ciclo (PDF)** traz sempre as mesmas seções, com quem emitiu, quando e o resumo criptográfico do arquivo. **Respostas (CSV)**, e as exportações de achados e de riscos, servem a quem vai cruzar em planilha. *** ## Depois de auditar: os módulos Os módulos não dependem uns dos outros, e cada organização liga os que usa. A ordem abaixo é a do manual. *** ### 15. Guarde os documentos no acervo, com aprovação e ciência **Onde:** Acervo ▸ Documentos, Aprovações, Leitura obrigatória · **Capítulo:** *Acervo de documentos* Política, norma interna e procedimento vivem no acervo, com versão, fluxo de aprovação e leitura obrigatória. Quem aprova recebe a etapa em **Aprovações**; quem precisa ler confirma a ciência em **Leitura obrigatória**. O **Pergunte à base** responde com a fonte citada, a **Análise de aderência** confere um documento contra as normas, e o **Grafo do acervo** mostra o que cada documento controla. Tipos, fluxos e espaços ficam em **Configuração do acervo**. *** ### 16. Monte o que você quer olhar **Onde:** Análise ▸ Construtor e Banco de widgets · **Capítulo:***Painéis e construtor* No **Construtor**: a consulta, sem código, em cinco passos — sobre o quê, quais registros, o que quero ver, confira o resultado, dê um nome —; depois o widget, que veste a consulta, em seis passos; e só então o painel. O **Banco de widgets** traz a pergunta já feita, e o **Atalho: perguntar** faz os três de uma vez. *** ### 17. Publique o painel **Onde:** Análise ▸ Painéis e Gestão à Vista · **Capítulos:***Painéis e construtor* e *Murais e televisão* 1.     **Novo painel** → **colocar widget** ou **do banco de widgets** → arraste para posicionar. 2.     **Publicar**. Publicado, ele pode entrar no menu (grupo Gestão), numa pasta, e é o que o perfil de monitoramento enxerga. 3.     Em **Gestão à Vista**, **Novo mural** junta painéis publicados numa sequência que gira numa TV. Leituras prontas, sem montar nada: **Resultado por hierarquia** (*Resultado por hierarquia*) e o bloco **Respostas por dimensão**, dentro de cada ciclo (*Dimensões*). *** ### 18. Apure o período do IMR **Onde:** IMR ▸ Contratos, Períodos, Apuração · **Capítulo:***IMR — Instrumento de Medição de Resultado* Só existe onde o módulo foi ligado (Administração ▸ Normas disponíveis, bloco IMR), porque atende exclusivamente a contratos do Governo Federal. Cadastre o **contrato**, confira as **unidades**, abra o **período**, congele a base, receba os sinais e apure; ouça o **contraditório**, registre a **decisão**, e só então o **Faturamento** mostra o valor a pagar. *** ### 19. Deixe a plataforma trabalhar sozinha **Onde:** Automação · **Capítulos:** *Área de automação*, *Eventos e conectores*, *Automação de respostas* e *Avisos e e-mail* O grupo reúne o que roda sem ninguém clicar: •     **o que entra** — **Eventos e conectores** (SIEM, XDR, diretório, nuvem, ITSM) e **Fontes de conteúdo** (pastas, SharePoint, repositórios, e-mail); •     **o que decide** — **Inspeções** com **Lentes**, **Automação de respostas** (a resposta que vira não conformidade ou risco) e **Avisos por regra**; •     **o que sai** — **Destinos**: webhook, Teams, CITSmart ou e-mail. O achado que a automação levanta cai em **Achados**, a caixa única, onde alguém confirma, descarta ou o transforma em não conformidade, risco ou caso. O coletor das inspeções entra por uma **conta de serviço** (*Sessão, trilha e contas de serviço*). *** ### 20. Saiba o que a plataforma diz em seu nome **Onde:** Administração ▸ E-mail e avisos · **Capítulo:***Avisos e e-mail* Na aba **A conta**, o servidor de e-mail e o **Enviar teste**. Na aba **O fluxo do aviso**, cada aviso declara de que objeto partiu, quem recebe, que texto sai e para onde a resposta volta — e o texto é seu, com as variáveis à vista. Sem conta de e-mail, o aviso continua no **sino**, dentro da plataforma. *** ### 21. O portal, que é outro endereço **Onde:** Tratamento ▸ Catálogo de serviços, Políticas de atendimento, Ciclo de vida do caso, Regras de atendimento e Casos; o portal em /portal · **Capítulos:** *Portal, caso e ciclo de vida* e *Catálogo de serviços e política de atendimento* Quem pede ajuda não entra no produto: entra em /portal, que procura na base de conhecimento antes de abrir o chamado. Para o atendimento funcionar, monte nesta ordem: 1.     **Catálogo de serviços** — o que se pode pedir (já vem com os serviços de GRC de fábrica). 2.     **Políticas de atendimento** — o prazo de cada relógio, por prioridade, o escalonamento e a matriz. 3.     **Ciclo de vida do caso** — a matriz de "de → para": o que não estiver marcado a plataforma recusa. 4.     **Regras de atendimento** — notificar, atribuir, escalar; ensaie antes de ligar. A fila de quem atende é **Casos**. *** ### 22. Na dúvida, pergunte ao assistente **Onde:** a faísca no cabeçalho; Administração ▸ Modelo de linguagem; Automação ▸ Sandbox · **Capítulos:** *O assistente* e *Modelos de linguagem, parecer prévio e sandbox* O assistente responde pelo manual e pelas telas que você pode abrir, e oferece o botão que leva até lá. Ele orienta; quem executa é você. Com um **modelo de linguagem** cadastrado ele conversa, e o modelo também dá o parecer prévio nas respostas e alimenta o Pergunte à base — sempre opinando, nunca decidindo. O **Sandbox** é onde se experimenta a correlação com eventos sem alterar a auditoria de ninguém. *** ## A administração, quando precisar Nada disto é passo do caminho; é o que se ajusta uma vez e se revisita de vez em quando. | **O quê** | **Onde** | **Capítulo** | | ----------------------------------------------- | --------------------------------------------------------------------- | ----------------------------------------- | | login pela empresa (OpenID Connect, LDAP) | Administração ▸ Diretório e identidade | *Integração com o diretório* | | sessão, trilha de auditoria e contas de serviço | Configuração ▸ Trilha de auditoria; Administração ▸ Contas de serviço | *Sessão, trilha e contas de serviço* | | empresa ou órgão nos textos | Administração ▸ Normas disponíveis | *Como a instalação chama quem é auditado* | | idioma | Preferências | *Idiomas* | | layout, página inicial e cores | Preferências; console | *Layout e aparência* | | acessibilidade | — | *Acessibilidade* | | instalar no computador ou no celular | o navegador | *Instalar como aplicativo* | | criar, parar e exportar tenants | /console | *Console da instalação* | *** ### O caminho mais curto até o primeiro score Para ver a plataforma funcionando em dez minutos, numa instalação que já tem áreas e grupos: crie um alvo apontando para um grupo seu (passo 3), abra uma auditoria contra um framework de fábrica e lance (passo 6), dispare uma onda pequena para esse grupo (passo 7), responda (passo 8), peça a **outra pessoa** que aprove e clique **Apurar** (passo 9). A partir daí há score, cobertura, não conformidades e riscos.