--- title: 22. Automação de respostas slug: 22-automacao-de-respostas docTags: createdAt: 2026-10-13T14:41:13.225Z --- *Declarar o que uma resposta faz nascer — não conformidade, risco ou os dois —, sem passar por desenvolvedor.* Antes, o que uma resposta produzia estava decidido em dois lugares fora do alcance de quem audita: a opção de resposta traz o julgamento gravado no catálogo de fábrica, e o vínculo com risco era regra fixa em código — toda não conformidade procura risco para elevar e, se não acha, cria um. Isso serve ao caso comum e não tem saída para os outros. Quem trata "Parcial" como aceitável num contrato de baixa criticidade não tinha como dizer isso. Quem quer risco aberto direto — sem achado, porque não há o que corrigir e há o que monitorar — também não. *** ### Criar uma automação Em **Automação ▸ Automação de respostas** (criar, editar e apagar pedem a permissão de escrever no catálogo): 1.     Clique em **Nova automação**. 2.     Preencha **Código** e **Nome** (obrigatórios) e, em **Por que esta automação existe**, a razão — é o que explica o achado a quem o ler daqui a um ano. 3.     Em **Quando disparar**, recorte: **Tipo de resposta**, **Valor exato da resposta** ou **Ou pontuação até**, **Só em alvo do tipo**, **Só no tema** e **Só na pergunta** (esta só lista depois de escolher o tema). 4.     Em **O que abrir**, marque **Não conformidade** (e a severidade), **Risco** (e a categoria, a probabilidade e o impacto), ou os dois. 5.     Clique em **Criar automação**. Na lista, o botão de ligar ativa ou desativa, o lápis edita e a lixeira apaga — depois de perguntar, com o foco no **Cancelar** e o **Esc** para desistir; só **Excluir** apaga. A pergunta diz quantos disparos a automação registrou, que saem junto com ela. O que a automação já abriu fica: achado e risco são registro de auditoria. A faixa de pontuação não se aplica a tipo de resposta sem peso, e o campo fica desligado. *** ### O gatilho É **conjuntivo**, e tudo o que ficar em branco significa "qualquer": | **Campo** | **O que ele recorta** | | ---------------- | ---------------------------------------------------- | | Tipo de resposta | só perguntas daquele tipo | | Valor exato | a resposta escolhida, palavra por palavra | | Pontuação até | qualquer opção que pontue até aquele valor | | Tipo de alvo | só em contrato, só em ativo de TI, só em fornecedor… | | Tema | só nas perguntas daquele assunto | | Pergunta | só naquela pergunta | **Valor ou faixa de pontuação é obrigatório.** Sem nenhuma condição a automação dispararia em toda resposta do ciclo, e a primeira apuração encheria o registro de achados idênticos. A faixa de pontuação existe porque o valor exato não alcança o caso mais comum. Numa escala de implantação o que interessa é "pontuou 50 ou menos", e enumerar as opções que satisfazem isso obriga a reescrever a regra toda vez que a escala ganhar um degrau. Por isso o seletor marca quais tipos têm peso: só neles a faixa faz sentido. :::hint{type="info"} **O recorte por pergunta evita a armadilha mais comum.** Uma automação de "tipo sim/não, valor Sim, tema X" alcança *todas* as perguntas de sim/não daquele tema. Quem configura pensando numa pergunta recebe um registro por pergunta, e só descobre depois de apurar. ::: *** ### A ação Abrir não conformidade, risco, ou os dois. •     **Com achado**, o risco nasce ligado a ele, e encerrar o achado depois baixa o residual. •     **Sem achado**, o risco nasce solto — de propósito. É a resposta que não tem o que corrigir e tem o que monitorar. A categoria vem do cadastro de categorias, e a automação oferece primeiro as que combinam com o tema da pergunta. Sem escala declarada, a severidade manda: a mesma tabela que a ligação entre achado e risco já usa. *** ### O que ela não faz Não substitui o comportamento de fábrica. A opção marcada como gap continua gerando achado como sempre; a automação **acrescenta**. Desligar o que serve à maioria para atender à minoria que quer outro seria a troca errada. *** ### Disparos Cada disparo fica registrado com a resposta, o achado e o risco que produziu. É o que faz reapurar não duplicar, e é o que responde a pergunta que o risco sozinho não responde: por que ele existe. *** ### E as regras de atendimento? A automação de respostas age sobre **resposta de auditoria**. As regras que agem sobre **casos** — notificar, atribuir, escalar quando o prazo aperta — ficam em **Tratamento ▸ Regras de atendimento**, ao lado da fila que elas mexem, e estão descritas em *Portal, caso e ciclo de vida*. A Automação tem um atalho para elas.