Como excluir uma verificação que não se aplica

Algumas verificações não fazem sentido para a sua empresa. Elas avaliam uma tecnologia que você não usa, ou uma responsabilidade que é do seu provedor.

Deixá-las paradas em Requer Configuração para sempre não é solução: o controle correspondente fica sem comprovação e o auditor pergunta. Para esses casos existe a exclusão de escopo da verificação.

O que a exclusão faz

A plataforma é direta: a verificação para de rodar e deixa de afetar o seu índice de conformidade. Registre o motivo para que a decisão seja defensável perante um auditor.

É reversível. Uma verificação excluída pode ser restaurada ao escopo quando a situação mudar.

Os três motivos

O motivo que você escolhe não é apenas um rótulo. Ele determina o alcance da exclusão.

O motivo define o alcance

Este é o detalhe mais inteligente da tela, e vale entender.

Se você escolhe "não existe no nosso ambiente" ou "responsabilidade do provedor", a plataforma trata isso como um fato sobre o seu ambiente. A mesma verificação é excluída em todos os frameworks que a utilizam. Faz sentido: se a empresa não usa aquela tecnologia, ela não usa para nenhuma norma.

Se você escolhe "fora da nossa fronteira de escopo", apenas a cópia daquele framework é excluída. Também faz sentido: fronteiras de escopo variam por auditoria, e o que está fora do escopo de uma certificação pode estar dentro de outra.

A própria tela informa qual dos dois comportamentos vai se aplicar antes de você confirmar.

Passo a passo

1. Abra o teste ou localize a verificação na lista.
2. Escolha excluir do escopo.
3. Selecione o Motivo.
4. Escreva a Justificativa. A orientação da tela é clara: um motivo curto e específico é suficiente. O exemplo que ela dá tem o tamanho certo: "Não utilizamos RDS."
5. Confirme.

Excluir várias de uma vez

Quando a empresa não usa uma categoria inteira de tecnologia, excluir uma por uma é inviável. Existe a exclusão em massa.

O fluxo protege você de erro:

• Você filtra a lista e a plataforma resolve quantas verificações, em quantas linhas e em quantos frameworks serão afetadas.
• A lista vem toda marcada, e você desmarca o que deve permanecer no escopo.
• Você pode exportar a lista em CSV antes de aplicar, para revisar com calma ou registrar a decisão.
• Para confirmar, é preciso digitar o número de verificações. Não é um clique acidental.

O aviso que você não deve ignorar

Se a exclusão em massa remover a última verificação automatizada de algum controle, a plataforma avisa antes: estes controles ficarão sem nada que os comprove.

E explica a consequência com precisão: eles permanecem no seu índice, sem comprovação, até que você anexe evidência ou também os exclua.

Esse é o cenário que mais prejudica uma auditoria, porque ele é silencioso. O controle não desaparece e não fica marcado como não aplicável; ele simplesmente para de ter como ser comprovado.

Se o aviso aparecer, decida antes de confirmar:

• O controle se aplica? Então anexe evidência manual a ele.
• O controle não se aplica? Então exclua o controle também, com a sua própria justificativa.

O que não funciona é confirmar e seguir adiante.

Verificação, controle ou nada disso

Três decisões diferentes que às vezes se confundem:

Revise periodicamente

A empresa muda. Uma verificação corretamente excluída no ano passado pode se aplicar hoje, se vocês adotaram a tecnologia que ela avalia.

Restaurar uma verificação ao escopo é imediato, e vale incluir essa revisão no mesmo momento em que você revisa o escopo da auditoria.