O que é a efetividade de um controle?

A efetividade é o quanto um controle reduz um risco — expressa em percentual, e escolhida entre níveis nomeados como "Moderado" ou "Forte". Ela é a ideia central de toda a extensão de Controles Internos, e também a que mais surpreende quem chega: a efetividade não pertence ao controle. Ela pertence à relação entre um controle e um risco. O mesmo mecanismo pode ser decisivo num risco e quase irrelevante noutro, e o Qualiex trata isso explicitamente, guardando um valor por relação. Este artigo explica o conceito, os níveis disponíveis e onde eles são configurados.

✦ Antes de começar

Os níveis de efetividade não são fixos: eles são configurados por eixo, na Regra de Análise usada pelo grupo do risco, em GERAL › Critérios, no bloco "Escala de efetividade do controle". Toda regra nova já nasce com os seis níveis padrão. Veja como configurar os níveis. A regra de análise do tipo Modelo não abre para edição — para alterar a escala é preciso usar uma regra Customizada.

A efetividade é da relação, não do controle

Imagine o controle "Bloqueio de acesso por MFA" vinculado a dois riscos diferentes:

No risco "Vazamento de dados de cliente", ele é uma barreira central: quem não tem o segundo fator não entra. A efetividade na probabilidade é "Robusto (80%)".
No risco "Indisponibilidade da ferramenta de CRM", o mesmo bloqueio quase não ajuda: a indisponibilidade vem de falha de fornecedor, não de invasão. A efetividade cai para "Muito fraco (10%)" — ou o controle simplesmente não é vinculado ali.

No Qualiex, os dois vínculos convivem sem se tocar: alterar a efetividade de um controle em um risco não afeta os demais riscos a que ele está vinculado. É por isso que perguntar "qual é a efetividade deste controle?" sem dizer de qual risco se está falando não tem resposta.

Essa é também a razão de o campo de efetividade não existir no cadastro do controle pela biblioteca. Um controle recém-criado não tem efetividade nenhuma — ela só nasce quando ele é vinculado a um risco.

Os seis níveis padrão

Cada eixo tem a sua escala, e as duas vêm de fábrica com os mesmos seis níveis:

"Inexistente" — 0%: o controle está previsto mas não reduz nada na prática.
"Muito fraco" — 10%: existe, é frágil, depende de boa vontade.
"Fraco" — 25%: funciona de forma irregular ou cobre só parte dos casos.
"Moderado" — 40%: funciona na maior parte das vezes.
"Forte" — 60%: funciona de forma consistente e é difícil de contornar.
"Robusto" — 80%: é o máximo que o sistema aceita.

Os nomes e os percentuais podem ser alterados, os níveis podem ser renomeados, reordenados, removidos e acrescentados — mas há um limite rígido. Ao informar um percentual acima de 80, o Qualiex recusa com a mensagem "Informe um percentual entre 0 e 80." e mantém o "SALVAR" desabilitado.

Por que o teto é 80%: o risco nunca é zero

O limite não é arbitrário. Se um controle pudesse valer 100%, o risco residual seria zero, e um risco zerado sai do radar: ninguém monitora, ninguém reavalia, ninguém percebe quando o controle deixa de funcionar. Manter um resto sempre visível é uma escolha de método — o risco nunca é zero, e o controle que parece perfeito é justamente o que merece verificação periódica.

O mesmo raciocínio vale para a combinação de vários controles. Como os percentuais se aplicam em sequência e não por soma, acrescentar controles tem efeito decrescente e a redução nunca alcança 100%. Veja o cálculo no artigo sobre inerente e residual.

Efetividade configurada e efetividade avaliada

A palavra "efetividade" aparece em dois momentos do produto, com sentidos diferentes:

A efetividade configurada é escolhida no momento do vínculo, em dois campos — um para a probabilidade e outro para o impacto — que trazem os seis níveis da escala mais a opção "Não atua neste eixo", para o controle que só mexe em um dos eixos. É a expectativa.
A efetividade concluída vem da avaliação do controle. Na tela "Verificar efetividade", o avaliador escolhe um resultado entre "Efetivo", "Parcialmente efetivo" e "Não efetivo", e o sistema sugere os níveis correspondentes — mantendo-os editáveis, como diz o próprio rodapé: "Sugerido pelo status escolhido — ajustável." É a medição.

A distância entre as duas é informação de gestão: um controle que foi cadastrado como "Forte (60%)" e é avaliado de novo e de novo como "Fraco (25%)" está dizendo alguma coisa sobre a rotina, não sobre o cadastro.

Onde a efetividade aparece depois

Depois de definida e avaliada, a efetividade reaparece em alguns pontos do módulo:

No acordeon da aba "CONTROLES" do risco, na linha de cada controle, no formato "Reduz Probabilidade {n}%" e "Reduz Impacto {n}%" — o eixo marcado como "Não atua neste eixo" simplesmente não aparece na linha.
No bloco "Quais controles mais reduzem o risco", que ordena os controles do mais forte ao mais fraco naquele risco. Veja como identificar os controles mais fortes.
Na matriz de efetividade, que cruza cada controle com todos os riscos que ele atende. Entenda a matriz de efetividade.
Na aba "AVALIAÇÕES" da página do controle, na coluna "Efetividade por eixo", uma linha por avaliação registrada.

Reducao por eixo na linha de cada controle vinculado

⚠️ Comportamentos importantes

Um controle sem escala configurada não pode ser vinculado. Se a Regra de Análise do grupo do risco estiver sem níveis de efetividade, o diálogo de vínculo mostra, no lugar dos campos, o texto "Este risco não possui escala de efetividade configurada." e o botão "Vincular" fica desabilitado. A escala é pré-requisito, não detalhe.

É possível vincular um controle que não atua em eixo nenhum. Marcando "Não atua neste eixo" nos dois campos, o vínculo é aceito sem aviso — e o resultado é um controle associado ao risco que não reduz nada. Vale conferir os dois campos antes de confirmar.

Cada eixo tem a sua escala, e elas são independentes. Alterar os níveis da escala de efetividade da probabilidade não mexe nos níveis da escala do impacto: são dois blocos separados na Regra de Análise, cada um com o seu botão "Como avaliar" e o seu "Adicionar nível de redução".