02 – Controles – Página do controle: evidências, testes e responsável

A página de um controle é onde você entende uma exigência e resolve o que falta nela. É a tela em que um administrador passa mais tempo, e vale conhecer cada bloco.

O topo

Logo no alto aparece o código do controle, o framework a que ele pertence, e três cartões: Status, Quantidade de Evidências e Última Avaliação. Se a plataforma nunca avaliou o controle, a última avaliação aparece como *Nunca*.

Quando a evidência do controle vem de uma integração conectada, a página marca isso como Evidência automática.

O painel que responde a pergunta certa

Este é o bloco mais útil da tela, e muda conforme a situação:

• Se o controle não está passando, ele mostra O que falta para passar, com um atalho para Corrigir.
• Se o controle está passando, ele mostra Por que este controle passou.

Em vez de você deduzir o que a plataforma quer, ela diz. Quando não há nada anexado, a dica é direta: adicione uma evidência aprovada ou vincule um documento.

Descrição do controle

Duas seções tratam do conteúdo da exigência: a descrição e a descrição do controle, que é o texto da exigência propriamente dita.

Vale ler antes de sair juntando arquivos. Boa parte do retrabalho em conformidade vem de anexar a evidência errada porque ninguém leu o que a exigência pedia.

Requisitos de Evidência

Muitos controles trazem uma seção que diz exatamente que tipo de comprovação é esperada, com:

• A descrição do que se espera.
• Os tipos de arquivo permitidos.
• Exemplos de evidência adequada.
• Restrições, quando existem.
• O tamanho máximo de arquivo.

Se essa seção existe no controle que você está trabalhando, leia antes de enviar qualquer coisa. Ela economiza a rodada de tentativa e erro.

Evidências

Lista o que já está anexado, com data de envio, tipo e situação de cada item (Aprovado, Pendente ou Rejeitado), além do resumo de quantas estão aprovadas do total.

Daqui você envia uma evidência nova ou vai para a tela completa de gerenciamento.

Repare na distinção: evidência enviada não é evidência aprovada. Um controle pode ter cinco evidências e continuar sem passar, se nenhuma delas foi aprovada.

Documentos Vinculados

Mostra as políticas e procedimentos ligados a esta exigência. Um controle sem documento vinculado costuma ser o motivo de uma política publicada não estar comprovando nada.

Testes Relacionados

Lista as verificações associadas ao controle, com os totais de quantas existem, quantas estão com falha e quantas estão pendentes.

Cada teste traz marcas úteis: Obrigatório, quando ele é necessário para o controle passar, e Vinculado automaticamente, quando a ligação foi feita pela plataforma e não à mão.

Você pode gerenciar esses relacionamentos e vincular um teste manualmente, se o controle não tiver nenhum.

Histórico e Insights de Avaliação

O histórico mostra a evolução do status ao longo do tempo. Serve para responder a uma pergunta que o auditor faz: desde quando este controle está assim?

Os insights explicam o resultado, separando o motivo da aprovação ou da falha, os requisitos pendentes, as sugestões de remediação, e a contagem de evidências por situação.

Atualizar o status manualmente

A página permite atualizar o status do controle, com quatro opções: Aprovado, Falhou, Pendente e Não Aplicável.

Escolher Não Aplicável abre a exclusão de escopo, que exige motivo e justificativa. O tutorial Controles – Como excluir um controle do escopo cobre esse caso, e vale ler antes de usar.

Quando todas as verificações foram excluídas

Existe um aviso específico para uma situação delicada: quando todas as verificações que poderiam comprovar o controle foram excluídas do escopo e nenhum documento ou evidência o comprova.

A plataforma é explícita: anexe uma evidência, ou exclua o próprio controle se ele realmente não se aplica. O que não funciona é deixar o controle sem verificação e sem comprovação, porque isso é uma lacuna que o auditor encontra.