Análise de Gaps – Avaliar os requisitos
A aba Requisitos é onde o trabalho acontece. À esquerda fica a lista dos requisitos da norma, agrupados por domínio. À direita fica o requisito que você selecionou, com tudo o que você registra sobre ele. É o mesmo arranjo da tela do framework e da auditoria.
A análise tem cinco abas: Requisitos (avaliar), Resumo (os números), Plano (organizar a remediação), Pedidos (perguntar a outras pessoas) e Relatórios (emitir o documento). O rótulo de cada aba traz a contagem: Requisitos (72/111) quer dizer 72 respondidos de 111 no escopo.
O topo da análise#
Acima das abas ficam duas faixas que valem para a análise inteira.
Faixa | O que mostra |
|---|---|
Cabeçalho | O framework, o título, o status (Rascunho, Em andamento, Finalizada ou Arquivada), quem conduziu, a Data-base, a Maturidade-alvo e o Escopo. Tem também Voltar ao framework e, para quem pode aprovar, Finalizar ou Reabrir |
Prontidão | A Prontidão geral, a barra por nível de implementação, quantos requisitos foram respondidos, a Maturidade média e quantos estão Fora do escopo. Logo abaixo, uma linha com os requisitos obrigatórios em aberto |
O cabeçalho diz "Autoavaliação · não é uma auditoria" de propósito. Ele lembra a tela da auditoria, mas o que ele resume é o que a sua própria equipe registrou. A linha dos obrigatórios em aberto repete o mesmo aviso: não é parecer de certificação.
Encontrar o requisito#
Na lista | O que faz |
|---|---|
Filtros | Todos, Sem resposta, Lacunas, Obrigatórios em aberto, Sugestões pendentes, Com pedido aberto, Reavaliar e Fora do escopo, cada um com a sua contagem |
Buscar por código ou título | Encontra pelo código da cláusula ou por parte do título, sem diferenciar acentos |
Domínios | Cada grupo mostra o código e o nome do domínio, quantos requisitos já foram respondidos e o selo Domínio completo quando acabar |
Linha do requisito | Uma bolinha com o status, o código, o título, Obrigatório ou Selecionável, e marcas para pedido aberto, evidência aprovada, sugestão pendente e reavaliação |
"Lacunas" e "Obrigatórios em aberto" usam a mesma regra do relatório. O filtro mostra exatamente o que o relatório vai chamar de lacuna e de obrigatório em aberto. Obrigatórios em aberto só aparece em normas que levam a certificado.
O endereço da página guarda o requisito aberto. Se você recarregar ou mandar o link para alguém, ele abre no mesmo requisito.
Os três campos de cada requisito#
Os três são independentes: preencha os que fizerem sentido, em qualquer ordem.
Campo | O que é | Entra na prontidão? |
|---|---|---|
Implementação | Quanto do requisito já está em prática | Sim — é o único que move o % |
Maturidade | Quão consolidado é o processo, de 1 a 5 | Não. Média separada |
Esforço | Tamanho relativo da remediação | Não. Só ordena o plano |
Implementação vale Não implementado 0 · Parcial 33 · Em grande parte 67 · Totalmente 100.
Em branco não é "Não implementado". É sem medição — e conta contra o resultado do mesmo jeito. Não existe forma de melhorar a prontidão deixando de responder.
Maturidade é opcional e não afeta a prontidão. Para voltar a "Sem avaliação", clique de novo no nível que está aceso.
Esforço não é hora nem custo. É tamanho relativo: Pequeno, Médio, Grande, Muito grande. Serve para o plano ordenar o que dá mais resultado por esforço.
O texto da norma fica no painel#
O painel do requisito começa pelo cartão Requisito, com o texto normativo. Você avalia lendo a exigência original, sem abrir o PDF da norma em outra janela.
O topo do painel diz se o requisito é Obrigatório ou Selecionável. Algumas normas têm controles que a organização escolhe aplicar ou não. Na ISO 27001, por exemplo, as cláusulas 4 a 10 são obrigatórias e os controles do Anexo A podem ser excluídos com justificativa.
O cartão Avaliação reúne a sugestão, os três campos, o achado e "Como foi apurado". O link Como avaliar abre a explicação dos campos quando você precisar dela.
Sugestões: a plataforma propõe, você decide#
Alguns requisitos chegam com uma sugestão de nível, tirada do que a plataforma já sabe sobre a sua organização:
Origem da sugestão | De onde vem |
|---|---|
do controle | O status de um controle equivalente na plataforma |
do documento aprovado | Uma política ou procedimento já aprovado |
de verificação automatizada | Um teste técnico que passou |
de uma análise anterior | O que você respondeu na última análise da mesma norma |
Sugestão não é resposta. Nada entra na prontidão até uma pessoa clicar em Aceitar — ou registrar outro nível. É por isso que o Resumo pode afirmar que nenhum número da tela foi escrito por automação.
Para acelerar, cada domínio aberto na lista tem Aceitar sugestões do domínio, que aceita de uma vez as sugestões pendentes daquele grupo. Use com atenção: você está assinando aquelas respostas. O filtro Sugestões pendentes mostra o que ainda falta revisar.
Requisitos sem sugestão aparecem como gap porque não sabemos, não porque falharam. A tela diz qual é o caso:
- Sem canônico correspondente. O requisito não está mapeado a nenhum controle da plataforma, então não há o que inferir. Precisa de resposta humana.
- Sem caminho automatizado. Não existe modelo de documento, teste nem condição de evidência para aquele controle. É uma lacuna nossa, não sua.
- Avaliável, mas não demonstrado. Existe caminho; simplesmente ainda não há prova na plataforma.
O que a organização já tem para o requisito#
Ao abrir um requisito, o cartão Evidências mostra as evidências que já existem nos controles ligados a ele: quantas são, em quantos controles, quantas estão aprovadas e válidas e quantas estão aguardando aprovação. Ele aparece logo acima do cartão Pedidos de informação, para você ver o que já existe antes de pedir de novo.
No painel | O que significa |
|---|---|
Aprovada | Conta para o controle |
Aguardando aprovação | Já está em Evidências, mas ainda não conta |
Rejeitada | Alguém revisou e recusou |
Vencida | Passou da validade e deixou de contar |
Status atual do controle | Conforme, Não conforme, Pendente, Não aplicável ou Monitorado |
Aprovar uma evidência não muda o status do controle na hora. O status muda na próxima avaliação do controle, então por um momento o controle pode ficar atrás da evidência.
O painel não preenche o nível de implementação. Evidência aprovada é um bom motivo para registrar um nível mais alto, mas quem decide é você.
Quando o painel está vazio, ele diz por quê:
- o framework não está habilitado para sua organização: ainda não há controles; as evidências aparecem quando ele for habilitado;
- nenhum controle realiza este requisito: não há mapeamento para os seus controles.
Quem não tem acesso a Evidências vê só quantas evidências existem, não quais.
Tirar um requisito do escopo#
Um requisito que não se aplica à organização pode ser marcado como Fora do escopo, com justificativa da exclusão. Ele sai do cálculo — não entra como zero — e a exclusão é impressa no relatório, com a justificativa.
É a parte mais fácil de usar errado. Excluir muitos requisitos sobe a prontidão sem que nada tenha melhorado, e um auditor lê exatamente essa lista primeiro. Exclua o que de fato não se aplica, e escreva a justificativa pensando em quem vai contestá-la.
Achado e "Como foi apurado"#
Cada requisito tem dois campos de texto que o relatório imprime por cláusula — e o cliente lê:
- Achado — a conclusão. Exemplo: "treinamento anual genérico, sem trilha por papel; eficácia não medida."
- Como foi apurado — a base da conclusão: quem foi entrevistado, o que foi mostrado, quando. Exemplo: "entrevistei o RH em 12/08, remoto, 40 min; mostrou a planilha de participação de 2026; confirmou que não há trilha por papel."
O segundo campo é o que sustenta o achado se ele for contestado meses depois. Uma análise de gaps sem apuração registrada é opinião.
Salve antes de passar para o próximo. Os dois campos só são gravados quando você clica em Salvar. Se você tentar ir para outro requisito ou outra aba com texto não salvo, a Imara pergunta Descartar texto não salvo?: Continuar editando mantém o texto, Descartar apaga. O texto de um requisito nunca passa para o seguinte.
Finalizar e reabrir#
Finalizar congela as respostas: elas deixam de ser editáveis. Reabrir devolve a edição. Nenhuma das duas ações altera um relatório já emitido — cada relatório carrega o seu próprio retrato.
O comentário executivo continua editável mesmo com a análise finalizada, porque ele afeta apenas a próxima versão do relatório.
Por onde continuar#
- Quando a resposta está com outra pessoa: Análise de Gaps – Pedir informação a alguém.
- Para transformar os achados em trabalho: Análise de Gaps – O plano de remediação.
- Para entregar o resultado: Análise de Gaps – Emitir o relatório.