Validade e renovação: quando uma evidência vence

Evidência envelhece. Um relatório de backup de dois anos atrás não comprova que o backup funciona hoje, e um auditor não aceita comprovação antiga como prova de uma prática atual.

Por isso a plataforma acompanha o vencimento de cada evidência, e avisa antes que ele chegue.

Por que a validade existe

Conformidade não é um estado que você atinge uma vez. É uma prática contínua, e a prova precisa acompanhar.

A pergunta que o auditor faz não é vocês fizeram backup?, e sim vocês fazem backup, e como sabem disso?. A resposta é evidência recente, renovada no ritmo em que a prática acontece.

Os dois avisos

A plataforma marca as evidências em dois estados antes e depois do prazo:

Esses estados aparecem na coluna de vencimento da biblioteca, e não ficam apenas ali. Eles geram itens de ação (Evidência Vencendo e Evidência Expirada) e alimentam a categoria de Evidências nas suas preferências de notificação.

Ou seja: você não precisa vigiar a lista. A plataforma avisa.

O efeito de uma evidência vencida

Uma evidência vencida deixa de comprovar. O controle que dependia dela volta a aparecer sem comprovação, e a postura de conformidade reflete isso.

Incomoda, e é o comportamento correto. A alternativa seria uma pontuação sustentada por provas antigas, o que dá uma falsa sensação de segurança até a auditoria desmontá-la.

Como renovar

Renovar é substituir a prova antiga pela nova, mantendo o vínculo com os controles:

1. Gere a evidência nova na ferramenta de origem, referente ao período atual.
2. Abra a evidência existente na biblioteca.
3. Substitua o arquivo e atualize o nome com o novo período.
4. Ajuste a data de vencimento.
5. Salve.

Fazer assim, em vez de criar uma evidência nova, tem uma vantagem concreta: os vínculos com os controles são preservados. Se a evidência comprovava cinco controles, os cinco continuam comprovados sem retrabalho.

Que prazo definir

Não existe uma resposta única. O critério é o ritmo da prática que você está comprovando:

A regra por trás: o prazo deve ser maior que o intervalo da prática e menor que o ciclo da auditoria. Assim você sempre tem prova recente sem renovar toda semana.

Duas armadilhas

Prazo curto demais. Você cria uma rotina de renovação que ninguém sustenta, e em três meses a biblioteca está cheia de vencidos. Vencido em excesso é pior que prazo generoso, porque o time para de olhar os avisos.

Prazo longo demais, ou sem prazo. A evidência fica na biblioteca comprovando um controle com um relatório de dois anos atrás. A plataforma não reclama e o auditor reclama.

Reduza a renovação manual conectando integrações

O caminho mais eficaz para não viver renovando evidência é conectar as integrações.

Quando a comprovação é coletada automaticamente, ela é sempre atual: a plataforma verifica periodicamente e a evidência acompanha. Controles nessa situação aparecem marcados com evidência automática, e você não renova nada.

Evidência manual continua necessária para o que software não consegue verificar. Mas quanto mais integrações conectadas, menor a lista de itens para renovar à mão.

Uma rotina simples

Uma vez por mês, filtre a biblioteca pelos itens a vencer e renove. Vinte minutos.

E antes de qualquer auditoria, confira que nada está vencido entre as evidências que comprovam controles no escopo. É uma das primeiras coisas que o auditor percorre.