Como excluir um controle do escopo (não aplicável)

Nem toda exigência de uma norma se aplica à sua empresa. Uma norma escrita para qualquer organização inclui controles sobre tecnologias que você não usa e sobre operações que você não tem.

Para esses casos existe a exclusão de escopo: você declara o controle como não aplicável, com motivo registrado.

O que a exclusão faz, e por que ela é séria

A plataforma é direta sobre isso: excluir um controle o remove do seu índice de conformidade. Ele sai da conta e a pontuação sobe.

É por isso que a justificativa é obrigatória. Sem ela, a exclusão seria um botão para melhorar o número sem melhorar nada, e a primeira auditoria desmontaria isso.

A frase que a própria tela usa resume bem: registre o motivo para que a decisão seja defensável perante um auditor.

Quando usar

Os quatro motivos disponíveis cobrem os casos legítimos:

Motivo	Quando se aplica	Exemplo
Não existe no nosso ambiente	A tecnologia ou o componente simplesmente não é usado	Um controle sobre banco de dados gerenciado, numa empresa que não usa nenhum
Coberto por outro controle	A exigência é atendida por outro controle já comprovado	Duas normas pedem a mesma coisa de formas diferentes
Responsabilidade do provedor	A responsabilidade é do provedor de serviço, não sua	Segurança física do datacenter, em operação totalmente em nuvem
Fora da nossa fronteira de escopo	O controle trata de algo fora do perímetro declarado da auditoria	Uma unidade ou produto que não está no escopo certificado

Quando não usar

A tentação é excluir o que dá trabalho. Não funciona, e deixa rastro.

Não use exclusão de escopo quando:

A exigência se aplica, mas você ainda não a cumpriu. O status correto é Reprovado ou Pendente. Excluir aqui é o erro mais grave da tela.
Você não entendeu o controle. Leia a descrição da exigência primeiro.
É trabalhoso demais. Trabalho não é critério de aplicabilidade.

Passo a passo

Abra o controle.
Atualize o status e escolha Não Aplicável.
Selecione o Motivo entre as quatro categorias.
Escreva a Justificativa.
Confirme.

A plataforma exige as duas coisas: motivo e justificativa. Sem elas, a exclusão não é registrada.

Como escrever uma justificativa que o auditor aceita

A orientação da própria tela é a melhor: um motivo curto e específico é suficiente. O exemplo que ela dá é literalmente do tamanho certo: "Não utilizamos RDS."

Justificativa fraca	Justificativa que funciona
"Não se aplica"	"Não utilizamos banco de dados gerenciado. Todos os bancos rodam em servidor próprio, coberto pelo controle de hardening."
"Responsabilidade do provedor"	"Operação 100% em nuvem. A segurança física do datacenter é do provedor, conforme o relatório de conformidade dele, anexado."
"Não temos isso"	"Não desenvolvemos software. Não há repositório de código nem pipeline de deploy na empresa."

O padrão: diga o que a empresa não tem ou não faz, e por que isso é verdade. Uma frase basta.

O aviso sobre risco em aberto

Existe um alerta que vale conhecer antes de topá-lo. Se o controle que você está excluindo é o tratamento declarado de um risco que continua em aberto, a plataforma avisa que excluí-lo é uma contradição que um auditor vai notar.

Faz sentido: você não pode dizer que a exigência não se aplica e, ao mesmo tempo, manter um risco aberto cujo plano de tratamento é justamente aquele controle. Resolva a contradição antes de seguir: ou o risco não é real, ou o controle se aplica.

Onde ver todas as exclusões

Cada framework tem uma lista de Exclusões de escopo, com a contagem. Ela mostra os controles declarados não aplicáveis e deixa claro que eles ficam fora do índice daquela norma.

Cada exclusão mostra quem atestou. É a lista que o auditor vai pedir, então vale revisá-la antes dele.

Exclusões antigas sem motivo

Se a sua conta é antiga, pode haver exclusões feitas antes de a justificativa ser obrigatória. A plataforma sinaliza isso: informa quantas exclusões não têm motivo registrado e marca cada uma como precisando de nova atestação.

Vale resolver essa lista antes de uma auditoria. Exclusão sem motivo registrado é uma pergunta garantida.

Revise periodicamente

Aplicabilidade muda. A empresa contrata um serviço novo, entra num mercado novo, muda de arquitetura. Um controle corretamente excluído há dois anos pode se aplicar hoje.

Uma revisão anual da lista de exclusões, junto com a revisão de escopo da auditoria, é suficiente.