Resultado, relatório e atestado
Quando todas as respostas visíveis estiverem decididas, você conclui a revisão no painel Decisão, no fim da página de revisão. A conclusão congela a nota, abre os achados, gera o relatório PDF, emite o atestado e agenda a próxima revisão do fornecedor.
Os três resultados#
Resultado | O que significa |
|---|---|
Aprovado | Emite o atestado, válido até a próxima revisão |
Aprovado com condições | Emite um atestado condicional. Os achados desta revisão são as condições. Ele caduca se um achado passar do prazo sem aceitação de risco |
Reprovado | Sem atestado. O relatório não conta como evidência de auditoria |
Aprovado com condições precisa de pelo menos um achado desta revisão, porque são os achados que definem as condições. Reprovado está sempre disponível.
Quando “Aprovado” fica indisponível#
Um achado crítico bloqueia a aprovação. A regra vale para os achados desta revisão e para os achados críticos abertos do mesmo fornecedor em outras avaliações. A mensagem ao lado da opção diz qual é o caso.
Situação | Como liberar |
|---|---|
Um achado crítico em rascunho nesta revisão | Descarte o rascunho ou reduza a severidade dele |
Um achado crítico já aberto nesta revisão | Encerre-o |
Um achado crítico aberto em outra avaliação do mesmo fornecedor | Em Achados, marque-o como corrigido, aceite o risco ou encerre-o |
Ou escolha outro resultado.
Um achado com risco aceito não bloqueia a aprovação. Ele continua registrado, com a data em que o aceite termina. Veja Fornecedores – Achados.
Concluir#
Escreva a Nota do revisor, um resumo para a trilha de auditoria e o relatório, e clique em Concluir revisão. Você fica registrado como revisor. A conclusão fica bloqueada enquanto o fornecedor não enviou as respostas, enquanto houver respostas sem decisão ou se o resultado escolhido não estiver disponível.
A nota do revisor é o que salva a auditoria. Registre o que ficou bom, o que ficou pendente e, se você aceitou uma resposta imperfeita, por quê. “O fornecedor não tem SOC 2, mas apresentou teste de intrusão recente e não trata dado de cliente” é uma decisão defensável. A mesma decisão sem nota parece descuido.
O que a conclusão registra#
- A nota e a faixa são congeladas. Uma mudança posterior nas faixas das configurações não altera uma revisão concluída.
- Os achados em rascunho são abertos, numerados como F-1, F-2 e assim por diante. O prazo segue o SLA da severidade, a menos que você o tenha definido. O responsável é o responsável pelo fornecedor ou, sem ele, você.
- Cada achado aberto ganha um item de ação, veja abaixo.
- O atestado é emitido conforme o resultado e substitui os atestados de revisões anteriores do fornecedor.
- A Data da Próxima Revisão do fornecedor é definida como a data de conclusão mais a periodicidade do nível de risco dele, configurada em Configurações de fornecedores. Os padrões são 6 meses para Crítico, 12 para Alto, 24 para Médio, 36 para Baixo e 12 para um fornecedor sem nível. O painel mostra a data antes de você concluir: “Próxima revisão: {data} (nível {nível} · {meses} meses)”.
- A Data da Última Avaliação é registrada no mesmo momento.
- O score de risco do fornecedor é recalculado.
As datas de revisão são definidas qualquer que seja o resultado, inclusive Reprovado. Um fornecedor reprovado continua no seu ciclo de revisão. Se você precisar reavaliá-lo antes, envie um novo questionário quando quiser.
Depois de concluída, a revisão fica somente leitura. Se algo mudou de fato, peça esclarecimento ao fornecedor ou envie uma nova avaliação: as duas formas preservam o histórico.
Itens de ação#
Cada achado aberto tem um item de ação, com o nome no idioma do seu espaço de trabalho, por exemplo “Achado de fornecedor F-3: {título}”. O item leva o prazo do achado e está vinculado ao fornecedor. Ele aparece em Frameworks › Itens de Ação e no bloco Itens de Ação Relacionados da página do fornecedor.
O item de ação fecha sozinho quando o achado é encerrado. Não é preciso resolvê-lo à mão. Se um aceite de risco termina e o achado reabre, um novo item de ação é aberto.
Relatório e atestado#
Depois da conclusão, o painel mostra o resultado, quem revisou e quando, a nota do revisor e a data da próxima revisão.
Relatório. Use Baixar relatório (PDF). O relatório é gerado logo após a conclusão e aparece quando estiver pronto. Se a geração falhar, use Tentar de novo.
Atestado. O painel mostra o estado do atestado:
Estado | O que significa |
|---|---|
Atestado emitido, válido até {data} | Resultado Aprovado. Vale até a próxima revisão |
Atestado condicional, válido até {data} | Resultado Aprovado com condições, válido enquanto os achados estiverem em dia |
O atestado condicional caducou | Um achado aberto desta avaliação passou do prazo |
Substituído | Uma revisão posterior do fornecedor foi concluída, e este atestado não conta mais |
Nenhum atestado foi emitido | Resultado Reprovado |
Como um atestado condicional caduca. Uma verificação diária olha os achados desta avaliação que ainda estão abertos (Aberto, Com o fornecedor ou Fornecedor respondeu). Se algum passou do prazo, o atestado caduca e o score de risco do fornecedor é recalculado. Achados corrigidos, encerrados ou com risco aceito não contam.
Histórico#
Depois da primeira conclusão, o painel Histórico lista cada conclusão, a primeira e as que vieram depois de rodadas de esclarecimento, com data, revisor, resultado, nota e o relatório de cada uma.
Por onde continuar#
- Fornecedores – Achados
- Fornecedores – Pedir esclarecimento ao fornecedor
- Fornecedores – Configurações de fornecedores