Por que gerenciar controles de riscos no Qualiex?

Quase toda organização já tem controles: conferências, travas de sistema, checklists, rotinas de conferência dupla. O que costuma faltar não é o controle — é o registro dele. Quando os controles existem apenas na cabeça das pessoas e em frases dentro da análise de risco, três coisas acontecem: a análise vira opinião, o auditor não encontra evidência, e o controle que parou de funcionar continua contando pontos. Gerenciar controles de riscos no Qualiex resolve esses três problemas ao mesmo tempo. Este artigo explica o que muda na rotina de quem trabalha com risco.

✦ Antes de começar

Os Controles de Riscos são liberados pela ForLogic, por unidade. Veja como pedir a liberação.

A análise de risco deixa de ser opinião

Antes, ao avaliar a probabilidade de um risco, a pessoa escolhia um número. Perguntada por quê, respondia que "temos conferência dupla, então é baixa". O número era defensável, mas não era rastreável: quem discordasse não tinha onde olhar.

Com os controles registrados, a resposta muda de natureza. A probabilidade sai do nível inerente e é reduzida pela efetividade de cada controle vinculado, e cada uma dessas efetividades tem nome, percentual, data de avaliação, responsável e justificativa. A discussão deixa de ser sobre o número e passa a ser sobre o controle — que é onde ela deveria estar. Entenda o caminho do inerente ao residual.

Há inclusive uma trava que torna isso obrigatório: com controles vinculados e sem verificação, o Qualiex recusa a conclusão da análise com a mensagem "Não é possível concluir a análise enquanto houver controles internos vinculados sem verificação. Verifique todos os controles internos vinculados ao risco e tente novamente." Não há atalho entre "temos controles" e "o risco está baixo".

O auditor encontra a evidência sozinho

Numa auditoria, a pergunta raramente é "vocês têm controle para isso?". A pergunta é "como vocês sabem que ele funciona?". Cada avaliação de controle registrada no Qualiex responde exatamente a isso, e reúne num só lugar:

O resultado, entre "Efetivo", "Parcialmente efetivo" e "Não efetivo", com a efetividade concluída por eixo.
A justificativa, obrigatória, com até 4.000 caracteres.
A evidência anexada: o relatório, a planilha de conferência, a foto do registro.
A data da verificação e quem avaliou.

Tudo isso é registrado na aba "AVALIAÇÕES" da página do controle, uma linha por avaliação, e volta em detalhe no diálogo "Detalhes da verificação", que mostra, por eixo, o que estava "Configurado" e o que foi "Selecionado" naquela data. Some-se a isso o "HISTÓRICO" do controle e a Trilha de Auditoria, que registra a criação, a alteração, a mudança de situação, o vínculo, o desvínculo, a remoção e a avaliação. Veja como consultar a trilha de auditoria.

Uma avaliação registrada com erro pode ser editada ou removida na própria aba "AVALIAÇÕES". As duas ações pedem justificativa, e a Trilha de Auditoria registra cada uma delas junto com o motivo informado.

O controle fraco aparece — e não passa despercebido

Esse é o benefício menos óbvio e talvez o mais valioso. Controle registrado é controle que pode ser cobrado, e o Qualiex cobra de três maneiras:

Avaliação vencida. Cada controle tem uma frequência de avaliação e, a partir dela, uma data de "Próxima avaliação". Passada a data, a situação vira "Avaliação vencida" — e o aviso aparece na listagem de controles, no acordeon da aba "CONTROLES" do risco e nas métricas da aba "RISCOS IMPACTADOS" do controle, no contador "Vencidas".
Sem evidência. Uma avaliação salva sem anexo marca a relação com o selo "Sem evidência", e a coluna "Evidência" da grade mostra "Não anexada". Uma opinião sem documento se distingue, à primeira vista, de uma verificação documentada.
Ranking dentro do risco. O bloco "Quais controles mais reduzem o risco" ordena os controles pela redução que aplicam. O último da lista é, por definição, o elo fraco — e é por ele que começa a conversa sobre plano de ação.

O trabalho para de ser refeito

Um controle é cadastrado uma vez e vinculado a quantos riscos precisar. O "Bloqueio de acesso por MFA" não precisa ser redigido de novo em cada risco de segurança da informação: ele é o mesmo registro, com o mesmo responsável e a mesma frequência, aparecendo em todos.

Isso também muda a manutenção. Quando o procedimento do controle muda, a alteração é feita num lugar só. E quando chega a hora de avaliar, é possível avaliar todas as relações daquele controle de uma vez, em "Avaliar todas as conexões", em vez de percorrer risco por risco. Veja como avaliar em lote.

Quem ganha o quê

Quem responde pelo risco para de defender números e passa a discutir mecanismos, com a lista dos controles daquele risco e a força de cada um à mão.
Quem executa o controle recebe uma rotina clara: uma data de próxima avaliação, um campo de justificativa e um lugar para anexar a evidência.
Quem coordena a qualidade visualiza o conjunto na biblioteca — quantos controles existem, quais estão ativos, quais estão com avaliação vencida — e consegue priorizar sem abrir risco por risco.
Quem audita, interno ou externo, percorre o histórico sem depender de ninguém montar pasta.

⚠️ Comportamentos importantes

Registrar o controle não muda o risco sozinho. Um controle vinculado e ainda não avaliado entra na conta com redução zero. O ganho aparece quando a avaliação acontece — é ela que conclui a efetividade e alimenta a análise.

Vincular controle não é obrigatório. Riscos que já existem na base continuam válidos sem nenhum controle associado, e nenhum campo do risco passa a exigir controle. A adoção pode ser gradual, começando pelos riscos mais críticos.

Desvincular um controle pede justificativa. O desvínculo de um controle de um risco exige justificativa obrigatória, que fica registrada na trilha de auditoria junto com o evento.