O que conta como evidência para um auditor

Evidência é a prova de que a regra é seguida. É a diferença entre dizer nós fazemos backup semanal e mostrar os registros dos backups das últimas semanas.

Boa parte do trabalho de conformidade é isso: transformar prática em prova. E é onde a maioria das empresas descobre que fazia a coisa certa sem ter como demonstrar.

Documento e evidência não são a mesma coisa

A confusão mais comum da plataforma, e vale resolver de uma vez:

Muitos controles precisam dos dois. A política sem evidência é uma promessa; a evidência sem política é uma prática sem regra. O auditor procura os dois lados.

O que faz uma evidência ser boa

Um auditor avalia evidência por quatro critérios, e você pode aplicá-los antes dele:

Ela mostra o que aconteceu, não o que deveria acontecer. Um print da tela de configuração de backup mostra a intenção. O relatório de execução mostra o fato.

Ela tem data. Evidência sem data não prova nada, porque não se sabe a que período se refere.

Ela cobre um período, não um instante. Um controle que exige revisão trimestral pede evidência das revisões, não de uma.

Ela vem de onde deveria vir. Um relatório exportado do sistema é mais forte do que uma planilha digitada à mão a partir dele.

Exemplos concretos

O padrão: evidência forte responde quem, quando e o quê. Evidência fraca responde apenas o quê.

As três origens da evidência

Na plataforma, a comprovação chega por três caminhos:

Coletada automaticamente. Quando uma integração está conectada, a plataforma verifica a configuração e gera a comprovação sozinha. Controles nesse caso aparecem marcados como tendo evidência automática. É o caminho que dá menos trabalho, e o motivo de conectar integrações cedo.

Documento publicado e vinculado. Uma política publicada, vinculada ao controle, comprova a parte documental da exigência.

Arquivo que você envia. Para tudo o mais. É a evidência manual, e continua sendo necessária para uma parte considerável das exigências.

Enviada não é aprovada

A evidência entra como Aguardando revisão e passa a valer quando fica Aprovada. Pode também ser Rejeitada.

Um controle com cinco evidências enviadas e nenhuma aprovada continua sem comprovação. A página do controle mostra quantas estão aprovadas do total, e é esse número que importa.

O veredicto da IA

A plataforma faz uma leitura automática de cada evidência e a classifica como Satisfatória, Parcial ou Insuficiente.

Use como triagem. Um veredicto de Insuficiente é um convite a olhar de novo antes que o auditor olhe. Um veredicto de Satisfatória não garante que o auditor vai concordar, porque quem julga a suficiência da prova é ele.

Quanto tempo guardar

A regra prática: pelo menos um ciclo completo de auditoria, normalmente um ano, e mais um período de folga.

Mais importante que guardar por muito tempo é manter atualizado. Evidência envelhece, e a plataforma acompanha isso, sinalizando o que está a vencer e o que já está vencido. O tutorial Evidências – Validade e renovação cobre esse ciclo.

Um arquivo pode servir a vários controles

E normalmente serve. A plataforma orienta explicitamente: vincule a evidência a todos os controles que ela satisfaz.

Um relatório de configuração de acesso pode comprovar exigências de autenticação, de privilégio mínimo e de revisão de acessos, em normas diferentes. Enviar o mesmo arquivo três vezes cria três itens para manter, em vez de um.