Itens de Ação

Itens de ação são tarefas geradas automaticamente pela plataforma ou criadas manualmente para rastrear o trabalho necessário para implementar controles, corrigir falhas identificadas em testes ou cumprir requisitos de conformidade. Eles são o mecanismo central para transformar lacunas identificadas em progresso concreto.

Como os Itens de Ação são Criados

Os itens de ação podem surgir de diferentes fontes:

• Testes automatizados — Quando um teste de integração falha (por exemplo, MFA desabilitado em uma conta), a plataforma cria automaticamente um item de ação vinculado ao controle afetado
• Controles não implementados — Ao adicionar um framework, controles sem evidências ou com status pendente geram itens de ação para orientar a implementação
• Criação manual — Qualquer membro da equipe com permissão pode criar um item de ação para rastrear trabalho relacionado a controles ou riscos específicos
• Avaliações — Lacunas identificadas em avaliações de prontidão ou de fornecedores podem ser convertidas automaticamente em itens de ação com prazo e responsável
  
  

Estrutura de um Item de Ação

Cada item de ação contém:

• Título e descrição — O que precisa ser feito e por quê
• Prioridade — Crítica, alta, média ou baixa
• Responsável — Quem na organização é responsável por resolver
• Prazo — Data limite para conclusão
• Controle vinculado — O controle de compliance que será beneficiado pela resolução
• Status — Aberto, em andamento, resolvido ou aceito como risco
  
  

Resolvendo um Item de Ação

Ao trabalhar em um item de ação, atualize o status para Em andamento e adicione comentários com o progresso. Quando a correção for implementada, marque como Resolvido e anexe a evidência relevante — um screenshot, log de auditoria ou documento que comprove a correção.

Itens de ação resolvidos com evidências contribuem diretamente para o status dos controles vinculados, avançando o progresso do seu programa de conformidade de forma rastreável.

Aceitar como Risco

Em casos onde a correção não é viável a curto prazo — seja por custo, impacto operacional ou decisão estratégica — você pode marcar o item como Aceito como risco, documentando a justificativa. Esse registro é mantido como evidência de que a decisão foi tomada de forma consciente e documentada, o que é requisito explícito em auditorias ISO 27001 e SOC 2.