7. Auditoria, ondas e respostas

O ciclo de avaliação, da abertura ao fechamento — o que vai a campo, as ondas, a revisão, a apuração e as versões publicadas.

A auditoria é o primeiro passo que usa o que veio antes: o alvo avaliado vem de Alvos e escopo, as perguntas vêm do catálogo (Catálogo e frameworks, Agrupamentos), e quem responde vem de Áreas, grupos, usuários e perfis. Com isso pronto, abrir o ciclo leva um minuto; sem isso, ele abre e não chega a ninguém.

Ao abrir, a auditoria guarda a versão de cada pergunta. Editar o enunciado depois não muda o que foi perguntado — a resposta histórica nunca aponta para um texto diferente do que a pessoa leu.

A auditoria nasce com todas as perguntas materializadas e nenhuma visível. Você monta uma onda com o subconjunto que quer despachar agora, escolhe quem recebe e dispara.

Três regras sustentam isso:

•     Pergunta fora de onda disparada não é respondível.

•     Pergunta já despachada não migra para outra onda.

•     O disparo preserva quem já foi delegado individualmente.

Onde se monta. Há duas portas. Dentro do ciclo, no bloco Ondas de disparo, escolhendo as perguntas uma a uma para uma equipe — o caso de uma auditoria de um alvo só. E em Painel do framework ▸ Montar onda, que é onde se olha o que voltou da rodada anterior e se despacham agrupamentos para muitos alvos de uma vez — ver Disparo em escala e painel do framework. O cartão do agrupamento, em Catálogo ▸ Agrupamentos, não dispara: o recorte se escolhe na abertura do ciclo ou na gaveta.

O agrupamento é o recorte das perguntas de um framework, e serve a uma coisa só: disparar por partes. Ele é opcional — sem agrupamento, o questionário inteiro vai para uma área só, que é o caso comum de uma auditoria interna.

Uma onda carrega quantos agrupamentos você quiser, e uma pergunta que esteja em dois deles entra uma vez só. Não há liberação automática: quem olha o resultado da rodada anterior e decide o que perguntar em seguida é você, a cada rodada.

O recorte se cria e se edita antes, em Catálogo ▸ Agrupamentos, sempre a partir de um framework — agrupamento pertence a um framework e não atravessa para outro. Ver Agrupamentos.

A escolha dos alvos não é caixa por caixa. Com quinze alvos isso funcionaria; com mil e trezentos, não. A gaveta oferece todos, por tipo, por situação da resposta (ainda não respondeu / respondendo / respondeu tudo), sem área responsável, e por busca — com a contagem do que está escolhido sempre à vista, no topo. A lista continua embaixo para tirar ou pôr um caso particular.

Cada alvo vai para a própria área responsável. É o vínculo do alvo em Alvos e dimensões que decide o destino de cada pergunta. A equipe escolhida na gaveta é o destino padrão, e vale para os alvos que ainda não têm responsável cadastrado — um único alvo sem área não trava o despacho dos outros.

Quando uma pergunta da onda já foi respondida por aquele alvo, nada acontece sozinho. Você decide entre reaproveitar — a resposta vigente passa a contar também nesta onda, e ninguém responde duas vezes a mesma coisa — e perguntar de novo, que devolve a pergunta para a fila. Sem decisão, a pergunta fica de fora: sobreposição resolvida em silêncio é a que ninguém percebe até a medição não bater.

Até dois mil itens a decisão é uma a uma, com a onda de origem, a data e o valor à vista. Acima disso a tela não oferece a lista, e a decisão é do lote inteiro — decidir setenta mil itens um a um não é rigor, é uma tela que ninguém termina, e uma onda que ninguém termina de montar é uma onda que não sai. Para decidir caso a caso numa onda grande, reduza o recorte de alvos ou de agrupamentos.

Descobrir no meio do ciclo que a pergunta de backup pertence ao time de banco de dados, e não ao de infraestrutura, é o caso normal. Qualquer pergunta pode ser redirecionada sem mexer nas outras.

Despachar sem caixa de entrada é mandar carta para um endereço sem caixa de correio. Quem recebe a onda não abre esta tela: abre Responder auditoria, no menu — o site Responder a auditoria, cuja lista se chama Perguntas para Área —, que reúne o que foi despachado ao grupo dela, o que lhe foi delegado em nome próprio e o que já é da área dela pelo alvo avaliado.

Para a pergunta chegar à área certa, o alvo do ciclo precisa apontar para o cadastro correspondente em Alvos e dimensões — é o campo Representa o cadastro de. Sem ele a pergunta não sabe de que área é, e só quem tem auditoria:abrir a encontra. O caminho completo está em Responder uma auditoria.

À esquerda, a busca e as situações — Rascunhos, Em andamento, Encerradas, Arquivadas, Todas. Clique num ciclo: o detalhe diz no topo qual é o próximo passo.

1.     Abrir: Abrir auditoria → Natureza do ciclo (Auditoria ou Pré-auditoria), Alvo avaliado, e em Avaliar contra as normas, temas e frameworks próprios (Confirmar). Com norma escolhida, O que vai a campo oferece Todas as perguntas ou um ou mais agrupamentos. Código e Nome são obrigatórios; Prazo e Dimensões que este ciclo vai reportar, opcionais → Abrir auditoria. O ciclo nasce rascunho.

2.     Conferir e lançar: o rascunho diz quantas pessoas o ciclo alcança; + alvo acrescenta outro alvo com as mesmas perguntas. Lançar põe o ciclo em execução. Rascunho errado sai em Apagar → Apagar em definitivo.

3.     Despachar: em Ondas de disparo, Nova onda → código e O que esta onda cobre → Criar; marque as perguntas → Incluir na onda; escolha a Equipe que responde… → Disparar. Encerrar onda fecha a rodada.

4.     Revisar: filtre as respostas (sem resposta, esperando revisão, aprovadas, devolvidas) e use Aprovar ou a seta de devolver, que pede Por que está devolvendo? → Devolver. Resposta aprovada só volta a mudar por Devolver para correção.

5.     Apurar calcula o score e levanta os achados; Fechar ciclo encerra.

6.     Cancelar exige o Motivo do cancelamento → Cancelar o ciclo. Ciclo encerrado pode ir para Arquivar e voltar por Desarquivar.

7.     Em qualquer estado: Respostas (CSV) e Relatório do ciclo (PDF). Depois de lançado, em Versões publicadas: Elaborar versão → Título do documento (e, opcional, Observação) → Elaborar; outra pessoa clica Aprovar, e o × descarta a versão em elaboração. É a mesma seção de Auditoria em foco — veja Versões publicadas, abaixo.

Lançar é recusado sem perguntas materializadas, e depois dele o ciclo não se apaga mais. Fechar ciclo é recusado com resposta sem aprovação ou com achado sem plano de ação nem aceite de risco. Quem aprova não pode ser quem respondeu.

Cada botão pede uma permissão, e a tela mostra isso antes do clique. Sem a permissão, o botão aparece apagado e o título (e o nome lido pelo leitor de tela) diz qual permissão falta, pelo nome de Perfis de acesso — antes a tela oferecia tudo e a pessoa só descobria ao clicar:



Apurar é de quem revisa. Apurar roda as regras sobre as respostas aprovadas, calcula o score e levanta os achados — é parte de conduzir a revisão, e se refaz quantas vezes for preciso enquanto o ciclo está aberto. Fechar é outro ato: encerra o ciclo, e só passa com todo achado tratado. Por isso são duas permissões. Até 30/09 o catálogo chamava auditoria:fechar de "apurar e fechar", embora a apuração sempre tenha exigido auditoria:revisar; os nomes foram corrigidos para dizer o que cada uma permite.

Aceitar e recusar a dimensão sugerida são os únicos que somem em vez de apagar (são ícones dentro da etiqueta); a sugestão continua à vista para quem revisa.

O estado de uma resposta anda assim:

Quem responde não revisa. A restrição existe também no banco, então não há caminho — nem por API — que a contorne.

Devolver é o caminho normal, e não uma punição. A alternativa seria o revisor corrigir a resposta de outra pessoa, e aí a assinatura deixaria de valer. A devolução leva o motivo, e a pergunta volta para a fila de quem respondeu.

Pergunta marcada como exigindo evidência não é aprovada sem anexo.

Uma auditoria de cada vez, inteira: score, cobertura, o que foi respondido e os achados que saíram dela. A lista de auditorias diz quais existem; esta tela diz como foi uma delas.

1.     À esquerda, Procurar por nome, alvo ou norma. A lista vem da pior nota para a melhor; clique numa auditoria para vê-la.

2.     Leia Score, Cobertura (abaixo de 70%, a nota é uma amostra pequena), Respostas (e quantas foram aprovadas por outra pessoa) e Achados, com Achados por severidade e a lista Achados deste ciclo, que marca o que está sem tratamento.

3.     Em Versões publicadas: Elaborar versão → Título do documento → Elaborar. A versão nasce em elaboração e só vale depois de outra pessoa clicar Aprovar; o × a descarta.

A tela só lê o ciclo: responder, apurar e fechar se fazem em Auditorias. As versões publicadas são a exceção, e são a mesma seção das duas telas (veja a seguir).

A seção Versões publicadas é uma só, e aparece igual em Auditorias (no detalhe do ciclo) e em Auditoria em foco: os mesmos botões, as mesmas regras e a mesma permissão. Antes eram duas seções com nomes diferentes (Publicações numa tela, Versões publicadas na outra) e regras diferentes para a mesma coisa.

1.     Elaborar versão → Título do documento (em branco usa o nome do ciclo) e Observação (opcional, o que mudou desde a anterior) → Elaborar. A versão nasce em elaboração.

2.     Outra pessoa clica Aprovar: a versão passa a aprovada · vigente, e a anterior aprovada vira substituída — continua na lista, porque é ela que responde como o registro estava numa data passada. Quem elaborou vê Aprovar apagado: quem elaborou não aprova.

3.     O × descarta a versão em elaboração, depois de perguntar (Descartar confirma; o foco nasce no Cancelar). Aprovada e substituída não se apagam.

Regras: elaborar, aprovar e descartar exigem auditoria:fechar (sem ela os botões ficam apagados, com o motivo); rascunho não se publica — Elaborar versão fica apagado até o ciclo ser lançado; só cabe uma versão em elaboração por vez. O conteúdo não é copiado: o que prova o que foi publicado é o resumo das respostas, calculado pelo servidor na hora de elaborar (o prefixo aparece ao lado da versão). Quando as respostas mudam depois da versão vigente, a seção avisa que o documento já não descreve o que está no ar — elabore uma nova. O Relatório do ciclo (PDF) continua sendo emitido à parte, pelo botão de exportar.

Apurar roda as regras e levanta os achados. Fechar ciclo só passa quando nenhum achado está sem tratamento: cada um precisa de plano de ação ou de aceite de risco formal.

Para o que uma resposta faz nascer além do achado de fábrica — não conformidade ou risco por tipo de alvo, tema ou faixa de pontuação —, veja Automação de respostas.

O score é a média ponderada das respostas aprovadas. A cobertura diz quanto do aplicável já foi avaliado. Abaixo de 70% de cobertura o score aparece marcado como não conclusivo — dez respostas conformes em cem perguntas não são cem por cento.

Uma pergunta pode declarar quando ela deve ser feita. "Qual o mecanismo de transferência internacional?" só faz sentido para quem acabou de dizer que há transferência internacional; "qual a hipótese do Art. 11?" só faz sentido onde há dado sensível.

A condição é escrita na mesma linguagem das regras, no cadastro da pergunta, e vale por alvo: a mesma pergunta é feita a um e não a outro. Quando ela é falsa, três coisas acontecem juntas, e é a combinação que importa:

•     a pergunta sai do formulário, recolhida num aviso que diz quantas são e por quê — recolhida e não escondida, porque quem audita precisa conferir que ela existia;

•     ela sai da cobertura. Esta é a metade que se esquece: mantida no denominador, um ciclo integralmente respondido nunca chegaria a 100%, e o aviso de "score não conclusivo" não sairia nunca;

•     ela não vira achado por estar em branco, e não segura o fechamento do ciclo. Campo vazio é o estado normal de uma pergunta que não deveria ter sido feita.

A decisão é recalculada a cada leitura, e não gravada. Responder "sim" à pergunta que a condição observa traz a dependente para a tela no mesmo instante; mudar para "não" a tira de novo.

Um ciclo pode nascer de várias normas e temas ao mesmo tempo, pode ser um levantamento prévio a ser comparado com o oficial depois, e as respostas podem ser lidas por eixo de negócio. Isso está em Pré-auditoria e em Dimensões.



Lançar é o ponto sem volta da exclusão. Antes disso o ciclo é rascunho e pode ser apagado inteiro — é a saída para quem montou errado. Depois, não: um ciclo lançado foi despachado a pessoas, que responderam, e apagá-lo apagaria o trabalho delas. O que resta é cancelar, com motivo, e arquivar.

Rascunho não aceita resposta. Um ciclo que ainda está sendo montado e já recebe resposta produz respostas a perguntas que podem sair da lista antes de alguém lançar.

Quem responde vê as respostas do seu alvo e mais nada; quem conduz o ciclo vê tudo, porque consolidar exige. Duas coisas alcançam uma resposta: a atribuição — ela foi despachada para mim ou para a minha área — e o alvo, quando o alvo tem a minha área como responsável. A segunda existe porque auditoria sem onda não tem atribuição nenhuma, e sem ela quem responde abriria o ciclo e não veria pergunta alguma.

Isso importa pouco num ciclo de quinze filiais da mesma empresa e importa muito num programa de governo: num tenant com mil e trezentos órgãos, leitura aberta significaria um ministério lendo o diagnóstico de segurança de uma agência.

O que delimita uma auditoria é quem responde e o escopo declarado, e não quantos itens ela avalia. Quinze atividades da mesma área, respondidas pela mesma equipe, com o mesmo questionário, são um trabalho só — e virar quinze ciclos infla a lista de Auditorias, multiplica o acompanhamento e faz a mesma coisa parecer quinze coisas.

O ciclo comporta isso sozinho. Ele tem um alvo principal e recebe os demais em Alvos, e cada alvo novo recebe uma cópia do conjunto de perguntas. A resposta guarda o alvo dela, então as quinze linhas convivem sem se sobrescrever, e o resultado da área é a média ponderada dos alvos.

Alvo só se remove antes do lançamento. Depois, o que existe ali é registro: apagar o alvo apagaria respostas aprovadas e os achados que saíram delas.

Com vários alvos, a nota consolida sozinha — é a média ponderada, subindo a hierarquia. A pergunta não: o Jurídico e a TI, com três equipes cada, dão seis respostas a cada pergunta, e "o que a organização respondeu a P-012?" tem mais de uma resposta honesta. Quem decide qual vale é quem abre a auditoria.

A regra é escolhida na abertura, em Resposta consolidada (auditoria com vários alvos):



Contam só os alvos que responderam: sem resposta, "não se aplica" e opção fora do cálculo ficam de fora. Pergunta que não pontua (contexto, texto) consolida pela maioria. A regra se troca na própria visão por pergunta enquanto o ciclo não encerrou (auditoria:abrir); fechado, cancelado ou arquivado, ela fica como estava — o relatório reemitido precisa dizer o mesmo.

Visão por pergunta. Na auditoria de mais de um alvo, acima das respostas aparecem duas abas: Respostas por alvo, que é como se responde, e Visão por pergunta, que é como se consolida (exige auditoria:abrir, como toda leitura que mostra os alvos lado a lado):

1.     No alto, a regra em vigor, com o seletor para trocá-la.

2.     Só divergentes, Área (o alvo de cima de cada equipe — o campo Dentro de) e Ordem (a do questionário ou maior divergência primeiro).

3.     Até 30 alvos, cada pergunta é uma linha e cada alvo uma coluna, com a resposta e a pontuação de cada um, a Resposta consolidada e a Divergência. Acima de 30, uma coluna por alvo vira uma tabela que ninguém lê: a pergunta mostra quantos alvos deram cada resposta, quantos responderam e a consolidada.

4.     A lista é paginada (cinquenta perguntas por página) e a conta é feita no banco — uma auditoria de mil e trezentos alvos com trezentas perguntas abre como uma de seis.

Divergência é os alvos responderem diferente, ou haver 50 pontos ou mais entre a menor e a maior pontuação. Ela aparece com ícone e a palavra Diverge (e a distância em pontos), e não só com cor.

O PDF da auditoria de vários alvos (Exportar PDF) traz, logo depois da capa, a seção Resposta consolidada: uma linha por pergunta, com a regra dita no alto, quantos alvos responderam e se a pergunta diverge. O PDF de um alvo só, e o de quem não conduz o ciclo, continuam como eram.

O painel P-CONSOLIDACAO. Toda instalação tem, já publicado em Painéis, o painel de fábrica Consolidação por área e equipe. Escolha a auditoria no filtro do painel (Auditoria) e ele mostra:

•     Perguntas com divergência entre equipes — quantas;

•     Pontuação por área — a média das pontuações que contam, por alvo de cima;

•     Distribuição das respostas consolidadas — quantas perguntas ficaram em cada resposta;

•     Pontuação por equipe, pior primeiro;

•     Perguntas divergentes, maior distância primeiro;

•     Pergunta × equipe (até 30 equipes) — o mapa de calor das pontuações; acima de 30 equipes ele fica vazio e vale o quadro seguinte, Respostas por pergunta (mais de 30 equipes), com quantas equipes deram cada resposta.

Equipe que ainda não respondeu não aparece nos quadros de pontuação — uma média sem resposta nenhuma viraria zero, e zero é a pior nota. Os quadros são widgets comuns, sobre as fontes Respostas por área e equipe e Perguntas consolidadas do construtor: o painel pode ser copiado, editado e ganhar quadros como qualquer outro (ver Painéis e construtor).

Antes de lançar, a tela diz quantas pessoas o ciclo alcança. Ela sobe a hierarquia até encontrar quem responde: o alvo de um ciclo costuma ser um processo, e processo não espelha equipe — quem espelha é a área acima dele. Olhando apenas o próprio alvo, a prévia dizia "alcança 0 pessoas" para um ciclo que estava sendo despachado corretamente, e quem abre o ciclo desiste de lançá-lo por causa de um número errado.