---
title: 5. Catálogo e frameworks
slug: 5-catalogo-e-frameworks
docTags:
createdAt: 2026-10-13T14:33:15.490Z
---
*Como o catálogo é organizado e o que você pode alterar nele.*
O catálogo é **o que se pergunta**. Ele se prepara depois dos alvos e antes da auditoria, nesta ordem: decidir que normas esta instalação enxerga (**Normas disponíveis**, no fim deste capítulo), escolher um framework de fábrica ou montar o seu (**Framework próprio**, com perguntas de qualquer norma e perguntas novas), ajustar o que cada pergunta vale (**Peso das perguntas**) e, se for disparar por partes, recortar em **Agrupamentos** (capítulo seguinte). Temas e listas de valores são apoio: o tema recorta o acervo por assunto, a lista dá a várias perguntas as mesmas opções.
***
### O catálogo nasce cheio
Os frameworks de fábrica já vêm com requisitos, controles e perguntas carregados. Eles são **somente leitura**: ninguém altera o NIST CSF de dentro da plataforma, porque a norma não é sua.
***
### O que você pode fazer
Em **Framework próprio** você monta o seu selecionando perguntas de qualquer framework existente. Dentro do seu, você pode editar o enunciado e acrescentar perguntas novas — nunca no de origem.
Quando você deriva uma pergunta, a plataforma guarda **de onde ela veio e em que versão**. É isso que permite, depois, saber que a sua pergunta de MFA nasceu da pergunta X do CIS v8.
***
### A tela de Frameworks
Mostra o que existe para auditar. No alto, **Meus frameworks** — os montados em *Framework próprio*, com versão, número de perguntas e se estão *publicado* ou *rascunho*. Abaixo, o **Catálogo de fábrica**, agrupado por categoria e somente leitura.
1. Para ver as perguntas de uma norma, clique no cartão dela. A janela lista cada pergunta **uma vez**, com o controle que ela avalia, o código dela e as outras normas que ela também alcança (*também alcança*) — é ali que se vê que responder uma coisa resolve cinco.
2. Para saber em que normas uma pergunta está, use a busca **Buscar uma pergunta e ver em quais frameworks ela está…**, no alto da tela.
3. Para montar o seu, vá a **Framework próprio**; para recortar uma norma em partes, a **Agrupamentos**.
A lista da janela é agrupada pelo **agrupamento** — o recorte de disparo —, e não pela cláusula. A pergunta não aponta para a cláusula: ela avalia um controle, e o controle responde a várias cláusulas; agrupar por cláusula repetia a mesma pergunta dezenas de vezes. Pergunta em dois agrupamentos aparece nos dois, porque sai em duas rodadas. Norma sem agrupamento vira lista única.
O selo **licenciada** marca a norma de que guardamos só o identificador da cláusula e uma descrição própria, nunca o texto oficial.
***
### A tela de Perguntas
O acervo inteiro num lugar só — as de fábrica, que vêm com os frameworks, e as suas.
Ela existe por causa de uma pergunta que não tinha resposta: *onde estão as perguntas que eu criei e coloquei dentro de frameworks ou temas?* Estavam dentro do questionário onde foram digitadas, o que serve para quem lembra em qual e para mais ninguém.
Três coisas se fazem aqui e não se faziam em lugar nenhum:
**Criar a pergunta sem um questionário que a contenha.** Ela entra no catálogo no ato e passa a ser encontrável por tema, por afinidade e pela busca; entra num questionário depois, se e quando alguém quiser. A ordem inversa — a única possível antes — obrigava a inventar um questionário só para poder escrever a pergunta, e questionário inventado assim nunca é apagado.
A escala de resposta vem junto com o tipo escolhido. Pergunta sem escala não pontua, e pergunta que não pontua entra no ciclo parecendo informativa: silenciosamente fora do score.
**Gerenciar os temas pelo lado da pergunta.** O vínculo já existia, e só pelo lado do tema: quem pensa *esta pergunta é sobre retenção de dados* começava pela pergunta e tinha de ir até a tela de Temas, achar o tema certo e procurá-la numa lista de trezentas. Agora vale nos dois sentidos.
Só temas próprios aparecem para marcar. Os de fábrica vêm com o acervo e não recebem vínculo novo — contaminá-los faria a próxima atualização do catálogo ter de decidir o que fazer com a pergunta do cliente.
***
### Perguntas, passo a passo
No alto, os recortes: **Buscar** (código, enunciado, tema ou norma), **Mostrar** (todas, só as minhas, só as de fábrica), **Norma** e **Tema**; **limpar os filtros** desfaz tudo. A lista mostra as 200 primeiras — refine para chegar ao resto.
1. **Criar**: **Nova pergunta** → **Código** (é como ela é citada no relatório), **Tipo de resposta** (a escala vem com ele), **Enunciado**, **Evidência esperada** e, se for o caso, **Evidência obrigatória** → **Criar**.
2. **Abrir o detalhe**: clique na pergunta. Aparecem **Respostas aceitas** (escala, pontuação, se abre achado, peso e criticidade), **Temas**, **Afinidade com normas**, **Dimensões** e, nas suas perguntas, **De onde vêm as opções**.
3. **Marcar tema**: em **Temas**, clique no tema para ligar ou desligar — grava no clique. Só os temas próprios aparecem; sem nenhum, crie o primeiro em **Temas**.
4. **Afinidade sugerida**: **sugerir com o modelo** e, em cada proposta, **aceitar** ou **recusar**.
5. **Afinidade à mão**: em **Marcar à mão**, escolha a norma, escreva **por quê (opcional)** → **marcar afinidade**. Ela já nasce aceita, com o seu nome. Para **remover** uma afinidade aceita, clique no **×** da etiqueta: ela fica registrada como recusada (riscada) e o modelo não a propõe de novo. Uma recusada volta a ser oferecida em *Marcar à mão*, se você mudar de ideia.
6. **Dimensões**: clique na dimensão para ligar ou desligar — grava no clique. Ver Dimensões.
7. **Opções de uma lista**: em **De onde vêm as opções**, escolha a lista de valores ou *desta pergunta mesmo*. Trocar não apaga as opções próprias. Valor de lista não pontua nem abre achado.
8. **Plano obrigatório**: nas suas perguntas com opções próprias, a coluna **plano de ação** da tabela tem uma caixa na resposta que abre achado. Marcada (*obrigatório*), o achado só se trata com plano de ação aprovado — aceitar o risco não basta.
O peso não se muda aqui: vem de **Peso das perguntas**. Pergunta de fábrica é só leitura nesta tela, exceto nas dimensões e na afinidade, que são da sua instalação.
:::hint{type="info"}
**Permissão.** Criar pergunta, mudar temas, opções, plano e afinidade (inclusive *sugerir com o modelo*) exige questionario\:escrever; marcar dimensões exige catalogo\:escrever e ler os alvos e dimensões (escopo\:ler). Sem elas, os botões não aparecem, a tela é consulta e uma linha no alto diz qual permissão falta.
:::
***
### Afinidade não é alcance
A mesma tela mostra duas relações entre pergunta e norma, e a diferença entre elas é a razão de existirem separadas.
**Alcance** é derivado e conferível: a pergunta avalia um controle, o controle atende um requisito, o requisito pertence ao framework. Cada elo é um vínculo que alguém cadastrou, e o resultado se confere cláusula a cláusula. É o que a linha "normas alcançadas" mostra.
**Afinidade** é inferência. A pergunta que a empresa escreveu — *a área mantém inventário das operações de tratamento de dados pessoais?* — tem relação evidente com a LGPD e com a ISO 27701 sem que ninguém tenha mapeado cláusula nenhuma, e ninguém vai mapear cláusula a cláusula para trezentas perguntas internas. Sem essa etiqueta, a pergunta própria só é reencontrada por quem lembra que ela existe.
O botão **sugerir com o modelo** pede ao modelo de linguagem a lista de frameworks com que a pergunta tem afinidade. Três cuidados, e os três vêm da mesma preocupação — que uma inferência não passe por um fato:
• a sugestão nasce **proposta** e não vale nada até alguém aceitar;
• o modelo só escolhe entre os frameworks **cadastrados**, e o que ele inventa é descartado — um modelo pequeno produz sigla plausível com facilidade;
• o que foi **recusado** não volta a ser proposto, e a recusa fica gravada: *nunca foi sugerido* e *foi sugerido e recusado* são coisas diferentes para quem audita o catálogo.
A afinidade também se marca à mão, em **Marcar à mão** — o caminho para quando o modelo não enxerga o óbvio —, e ela nasce aceita e sem confiança declarada: pessoa decide, não estima. Só as normas de fábrica são oferecidas, porque a afinidade é com norma de mercado. Remover uma afinidade é recusá-la: a linha fica gravada, pelo mesmo motivo de a recusa do modelo ficar.
***
### Cada framework é independente
Cada pergunta pertence **só ao próprio framework**. Uma auditoria do Pink Elephant tem as perguntas do Pink; uma da PeopleCert tem as da PeopleCert. Nenhuma das duas entra na avaliação, na nota ou na maturidade de outra norma, mesmo quando o assunto é o mesmo. Por isso a mesma exigência pode aparecer, com a redação de cada uma, em duas normas: cada uma é certificada pela própria régua.
A exceção é o **PPSI**, que é composto de perguntas de outros frameworks por definição.
O que duas normas têm em comum é **informação**, e não pergunta compartilhada: a **correspondência informativa**. Ela liga a pergunta a cláusulas de outras normas que tratam do mesmo tema, com a justificativa (*registro e classificação de incidentes na ferramenta*). Ela aparece em três lugares:
• **Também serve a…**, nos detalhes da pergunta: as cláusulas de outras normas que a mesma evidência ajuda a atender;
• **Atendimento cruzado (informativo)**, na auditoria: com as respostas desta auditoria, quanto de cada outra norma fica atendido e quantas cláusulas dela ficam sem correspondência (a lacuna);
• **Normas × normas**, na Cobertura UCF: a linha do Pink Elephant e a da PeopleCert, e a coluna de cada um nas outras normas, com o percentual de atendimento por similaridade das perguntas (ver *Cobertura UCF: quatro leituras*).
É assim que quem se certificou no Pink Elephant enxerga quanto do ITIL 4, do COBIT ou da ISO 20000 a mesma documentação já atende. O atendimento cruzado é leitura: não muda nota nenhuma e não abre achado em outra norma.
***
### Pink Elephant e PeopleCert
Os dois avaliam a **ferramenta** de gestão de serviços de TI, e vêm com o **texto original**, em inglês; quem usa a plataforma em português ou espanhol vê a tradução (ver *Idiomas*).
Os dois também se correspondem entre si, pelo mesmo critério das outras normas: a pergunta do Pink corresponde ao critério da PeopleCert que aponta para o mesmo controle do UCF, e vice-versa. É o que aparece em **Também serve a…**, no **Atendimento cruzado** de uma auditoria de um deles e na linha e coluna dos dois em **Normas × normas**. Continua informativo: a pergunta do Pink não entra na avaliação da PeopleCert, nem o contrário.
**Pink Elephant** (PinkVERIFY 3.0): um agrupamento por processo, com os critérios do questionário debaixo dele. Toda pergunta pesa 1, a escala é a de implementação, e qualquer resposta abaixo de 100% exige plano de ação com data.
**PeopleCert** (ITIL 4 Assessment Model, ATV 2025.2): um agrupamento por prática (P01 a P20) e um por área de plataforma (T01 a T10). A escala é a da PeopleCert:
| **Resposta** | **Obrigatório** | **Opcional e plataforma** |
| ---------------------------------------- | --------------- | ------------------------- |
| Out-of-the-box (nativo) | 100% | 100% |
| Local configuration (configuração local) | 70% | 70% |
| Custom development (sob medida) | 0% | 50% |
| External module (módulo externo) | 0% | 50% |
| In the next release (próxima versão) | 0% | 0% |
| Not available (não disponível) | 0% | 0% |
Módulo externo, configuração local e desenvolvimento sob medida pedem comentário. O peso da planilha (1, 3 ou 5) vai para o peso da pergunta; os critérios de peso 0 (quase todos de IA) ficam no relatório e fora da nota. Abaixo de 100% exige plano, menos nos critérios de peso 0 e de plataforma.
**Aprovação por pontos.** Uma prática é aprovada quando **todo critério obrigatório** tem nota maior que zero **e** os opcionais somam ao menos os **pontos mínimos** da prática (peso × nota). O mínimo é o da PeopleCert: 70% do peso total dos opcionais. Na auditoria, **Aprovação por pontos** mostra, por prática, aprovada ou reprovada, os pontos obtidos contra o mínimo e os obrigatórios pendentes. As áreas de plataforma não têm corte: mostram só o percentual de pontos.
***
### Temas e a Cobertura UCF
**Temas** agrupam perguntas por assunto — acesso, backup, privacidade, continuidade — para você montar questionário por área de interesse.
**Cobertura UCF** mostra o outro eixo: quantas normas cada pergunta alcança. É a tela que responde "se eu responder estas quarenta, quanto do meu ISO 27001 eu cobri?".
***
### Temas, passo a passo
Duas abas. **Taxonomia de fábrica** é somente leitura: **Filtrar tema…** e clique no tema para ver as perguntas dele. **Meus temas** é onde se monta. Os botões de criar, adotar e editar só aparecem para quem tem catalogo\:escrever.
1. **Criar**: **Novo tema** → **Código** (curto e estável) e **Nome** (é o que aparece no seletor de origem da auditoria) → **Salvar**. O tema nasce vazio.
2. **Adotar um de fábrica**: em **Adotar um tema de fábrica como meu**, escolha o tema → **Adotar**. Nada é copiado; o recorte passa a ser seu, e o de fábrica fica intacto.
3. **Trazer perguntas**: abra o tema → **Trazer perguntas** → procure, agrupe (**Por framework**, **Por tema**, **Só a lista**), marque as perguntas (ou **marcar todas** no grupo) → **Vincular**. O **×** ao lado de uma pergunta a tira do tema; ela continua no catálogo.
4. **Organizar em blocos**: **Organizar em blocos** → **Novo bloco** (**Código**, **Nome**) → **Criar**; em cada bloco, **trazer uma pergunta do tema…** → **Trazer**. Só pergunta que já está no tema entra num bloco, e pergunta fora de bloco aparece no fim do formulário.
5. **Renomear e proteger**: o lápis abre **Renomear**, com a caixa **Proteger contra exclusão**.
6. **Excluir**: a lixeira pede confirmação → **Excluir**. Só o tema sai; as perguntas e as auditorias já abertas a partir dele não mudam. Tema protegido mostra um cadeado no lugar da lixeira: desmarque a proteção em **Renomear** antes.
***
### A escala de resposta
A escala padrão tem seis níveis:
| **resposta** | **pontos** | **significa** |
| ---------------- | ---------- | --------------------------------------- |
| Implementado | 100 | opera e há evidência |
| Parcial | 75 | opera, com lacuna conhecida |
| Em implantação | 50 | decidido e em execução, ainda não opera |
| Em estudo | 25 | reconhecido, sem execução iniciada |
| Não implementado | 0 | não existe |
| Não aplicável | **peso 0** | fora do escopo avaliado |
:::hint{type="info"}
**"Não aplicável" não é nota zero.** Nota zero puniria a organização por um controle que não lhe cabe. Ela sai da média — mas continua contada e exibida nos relatórios, porque um ciclo com metade das perguntas marcadas assim diz muito sobre o escopo declarado.
:::
***
### Cobertura UCF: quatro leituras
| **Matriz** | **A quem serve** |
| ----------------------- | --------------------------------------------------------------------- |
| Perguntas × normas | a quem responde: uma resposta, várias aderências |
| Normas × normas | a quem compara certificações: quanto de uma já está feito pela outra |
| Temas × normas | a quem planeja: trabalhando este assunto, que normas eu movo |
| Requisitos × documentos | a quem mantém o acervo: que documento diz como cumprir cada requisito |
Cada leitura é uma aba no alto da tela:
1. **Perguntas × normas**: em **Normas na matriz**, clique nas siglas para incluir ou tirar colunas (abrem seis); **voltar ao padrão** desfaz; **Filtrar pergunta…** estreita as linhas.
2. **Normas × normas**: **todas**, ou clique numa norma para ver a linha dela contra todas, ou em várias para ver só o cruzamento entre elas. Leia da linha para a coluna.
3. **Temas × normas**: escolha o tema na coluna da esquerda; a barra é a fração das cláusulas folha de cada norma que o tema alcança.
4. **Requisitos × documentos**: escolha o **Framework**; **só lacunas** mostra os requisitos sem documento. Os contadores dizem **Requisitos**, **Cobertos**, **Lacunas** e **Documentos órfãos**.
A leitura de normas × normas **não é simétrica**, e é isso que ela tem de útil: quem atende a ISO 27001 já fez a maior parte do PCI DSS, e quem atende o PCI está bem longe da ISO. A diferença diz por onde começar.
Os números em **itálico, com sublinhado tracejado**, vêm da correspondência informativa dos frameworks independentes (Pink Elephant, PeopleCert), cujas perguntas não compartilham controle com nenhuma outra norma. Na linha do Pink, o número é a fração das perguntas do Pink que correspondem a alguma cláusula da norma da coluna; na linha da ISO 27001, coluna do Pink, é a fração das perguntas da ISO que alcançam uma cláusula a que alguma pergunta do Pink corresponde. É atendimento por similaridade, e não pergunta compartilhada: nenhuma pergunta passa de uma norma para a outra, e nada disso entra em nota, score ou maturidade.
Em temas × normas a unidade é a **cláusula folha**, e não a pergunta: dez perguntas que batem na mesma cláusula cobrem uma cláusula, e contar perguntas diria dez.
:::hint{type="info"}
**Cobertura não é conformidade.** Ela diz que a pergunta existe, não que a resposta foi boa.
:::
***
### Até onde vão as cláusulas
As normas estão abertas até o nível em que a auditoria de fato cobra: PCI DSS até o sub-requisito, SOC 2 até o critério, ISO 27701 até os controles dos anexos, ISO 42001 até os controles do Anexo A, ISO 37001 e ISO 37301 até a subcláusula, ISO 20022 pelas partes e áreas de negócio das mensagens, IEC 62443 até o requisito de sistema, LGPD e GDPR até o inciso e a alínea.
O nível seguinte de algumas delas — o terceiro nível do PCI, os requisitos de melhoria da 62443, as práticas de APO, BAI, DSS e MEA do COBIT — é conteúdo licenciado que não se deduz da estrutura pública. Ele entra por manifesto derivado do documento que o cliente licenciou. Inventar o identificador seria pior do que não tê-lo: um identificador errado é indistinguível de um certo para quem lê.
***
### Listas de valores
Uma lista cadastrada uma vez e usada por várias perguntas — por exemplo, a lista de sistemas ou de unidades. Vinte cópias da mesma lista envelhecem em ritmos diferentes; uma só muda para todas as perguntas que a usam.
1. **Nova lista** (no alto da tela) → **Código** e **Nome** → **Criar**.
2. Clique na lista para abri-la → **Valor** e **Rótulo** → **Acrescentar**.
3. Valor não se apaga: o ícone do olho **desativa** — sai do formulário e continua valendo no que já foi respondido — e reativa.
4. Para usar a lista numa pergunta, abra a pergunta em **Perguntas** e escolha a lista em **De onde vêm as opções**. A lista aberta mostra **Perguntas que usam esta lista**.
5. A lixeira exclui a lista, e é recusada enquanto alguma pergunta a usar: troque antes a origem das opções dessas perguntas.
Criar e editar exige catalogo\:escrever. Lista *de fábrica* é somente leitura. Valor de lista não pontua nem abre achado.
***
### Peso das perguntas
Quanto cada pergunta vale na nota do ciclo, e quão grave é o achado quando ela falha. O peso muda a conta do score; a gravidade muda a severidade da não conformidade que nasce da resposta.
1. Escolha o recorte: **Framework** ou **Tema** (escolher um limpa o outro) e, se quiser, **Procurar no enunciado ou no código**.
2. Na linha da pergunta, mude o **Peso** (de 0 ao teto que a tela mostra, em passos de 0,25) e a **Criticidade**.
3. Clique **gravar**, que aparece quando algo mudou. **de fábrica** volta ao valor que veio na caixa.
Editar exige catalogo\:escrever; sem ela, os campos ficam travados. O peso novo vale **do próximo ciclo em diante** — a marca *em N ciclo(s)* avisa que a pergunta já está em ciclo aberto, e a nota desses ciclos não muda. A marca *capacidade* indica pergunta que não entra na média de implantação.
***
### Framework próprio, passo a passo
1. **Novo** → **Código**, **Nome** e **Objetivo** → **Criar**. Clique nele na lista à esquerda para abrir.
2. **Do catálogo**: procure e filtre, marque as perguntas → **Incluir**. Pergunta de fábrica entra por referência.
3. **Pergunta nova**: **Código**, **Tipo de resposta**, **Enunciado**, **Evidência esperada**, **Só perguntar quando** (em branco, pergunta sempre) e **Exigir evidência** → **Criar pergunta**.
4. **Editar a pergunta** (lápis): numa pergunta de fábrica, salvar cria **uma cópia sua**, marcada *derivada de …*; a original não muda. Trocar o tipo troca a escala de resposta.
5. **Remover do framework** (lixeira da linha) tira a pergunta só deste framework, depois de perguntar — com o foco no **Cancelar** e o **Esc** para desistir. A pergunta continua no catálogo.
6. **Publicar** (exige ao menos uma pergunta). Mexeu depois? A tela avisa *Alterado depois de publicado* e o botão vira **Republicar**. Ciclos já abertos não mudam: a auditoria copia as perguntas na abertura.
7. **Desativar** tira das listas e da abertura de auditoria sem apagar nada; **Reativar** traz de volta, e **Mostrar N desativados** os põe à vista.
8. **Excluir** só vale para framework sem proteção e nunca usado em auditoria. A confirmação é **Excluir mesmo assim**, e as perguntas próprias criadas dentro dele saem junto. **Protegido** / **Sem proteção** alterna a trava.
:::hint{type="info"}
**Permissões.** Montar — **Novo**, **Do catálogo**, **Pergunta nova**, editar e remover pergunta, **Desativar** / **Reativar**, **Protegido** / **Sem proteção** e **Excluir** — exige questionario\:escrever (*Framework próprio — montar*); **Publicar** / **Republicar** exige questionario\:publicar (*Framework próprio — publicar*); ver a lista basta questionario\:ler. Sem a permissão, o botão aparece apagado e o título diz qual falta; o lápis e a lixeira de cada pergunta somem. Criar, incluir do catálogo, derivar e remover pergunta passaram a exigir questionario\:escrever também no servidor — antes bastava consultar.
:::
***
### Tema e framework próprios
Podem ser apagados, e podem ser **protegidos** contra exclusão acidental. A proteção não proíbe apagar: obriga a passar pela edição antes, o que troca um clique por engano por um gesto deliberado. O que se perde num tema montado à mão não é o registro — é o trabalho de seleção, e ele some com a mesma facilidade do que foi criado há um minuto.
Um tema de fábrica pode ser **adotado** como tema próprio: nasce com os mesmos vínculos, editável, sem copiar pergunta nenhuma.
***
### Normas disponíveis para este cliente
Em **Administração ▸ Normas disponíveis**, marque quais frameworks do catálogo aparecem para este cliente. O catálogo de fábrica continua inteiro; o que muda é o que as telas oferecem — quem só audita LGPD e ISO 27001 não precisa escolher entre quarenta normas a cada auditoria.