Auditoria – Como funciona uma auditoria na plataforma (5 fases)

Uma auditoria na plataforma é um engajamento: um ciclo completo com fases, prazos, marcos e entregáveis. A tela resume o propósito: organizar escopo, trabalho de campo, revisão, relatório e encerramento.

A diferença em relação a conduzir auditoria por e-mail e planilha é que aqui o processo tem estado. Você sabe em que fase está, o que falta para avançar e quem precisa agir.

⚠️ O módulo de auditorias depende do seu plano. Se ele não estiver incluído, a plataforma informa isso ao acessar a área.

As cinco fases

O ciclo é sempre o mesmo, e a plataforma descreve cada fase:

Repare que as fases não são etiquetas decorativas. Cada uma tem condições para ser encerrada, e a plataforma bloqueia o avanço quando elas não estão cumpridas.

Por que existem bloqueios de fase

Ao tentar avançar, a plataforma lista o que falta, sob o título de o que é necessário para avançar. Os bloqueios possíveis:

• Marcos incompletos naquela fase, resolvidos no cronograma.
• Controles pendentes de revisão, resolvidos na aba de revisão.
• Solicitações de evidência abertas, resolvidas na aba de solicitações.
• Aprovação de qualidade interna ainda não concluída.
• Aprovação do cliente ainda não concedida.

Isso pode parecer rigidez e é o que evita o pior cenário de uma auditoria: chegar ao relatório com pendências que ninguém acompanhou. Um relatório emitido sobre trabalho incompleto é um problema muito maior que um prazo esticado.

Interna e externa são coisas diferentes

Ao criar o engajamento você escolhe o tipo de auditoria, e a plataforma explica a distinção: interna usa os seus próprios auditores, e externa usa um auditor externo, que acessa por um console próprio.

Qual escolher depende do objetivo:

Auditoria interna serve para conferir se você está pronto, encontrar lacunas antes de alguém de fora e cumprir a exigência de auditoria interna que várias normas fazem.

Auditoria externa serve quando um terceiro precisa emitir opinião independente, que é o caso de uma certificação.

A recomendação prática, se você está indo para uma certificação: faça a interna primeiro. É muito mais barato descobrir um problema com o seu próprio time que com o auditor pago.

A separação entre quem faz e quem aprova

Uma característica do desenho que vale entender: existem duas camadas de aprovação de qualidade.

Aprovação do auditor, descrita como a assinatura interna do auditor sobre todos os controles antes de avançar para o relatório.

Aprovação do cliente, que é a sua concordância com a revisão final.

E existe a figura opcional do Revisor de Qualidade: um segundo auditor que faz a aprovação independente. Quando definido, somente ele pode aprovar a revisão interna. Quando não definido, qualquer auditor que aceitou o engajamento pode aprovar.

Vale usar essa figura quando possível. Ter quem revisa o trabalho separado de quem o executou é justamente o que uma norma espera de um processo de qualidade.

O que congela, e quando

Ao entrar na fase de relatório, as revisões de controle são bloqueadas, e a plataforma explica o motivo: manter o relatório consistente.

É o comportamento correto. Um relatório precisa descrever um estado, e permitir que as revisões mudassem enquanto ele é redigido produziria um documento que não corresponde a nada.

Se algo precisa mudar depois disso, existe um caminho: a rejeição da aprovação do cliente reverte o engajamento para a fase de revisão e desbloqueia todas as revisões. Ou seja, a trava não é um beco sem saída, é uma porta que se abre por decisão explícita e registrada.

Uma limitação declarada, que vale conhecer

A aba de revisão informa que exibe o estado atual dos controles e evidências, limitado ao framework do engajamento, e que o congelamento completo por instantâneo está planejado.

Traduzindo o que isso significa na prática: durante o trabalho de campo e a revisão, o que o auditor vê acompanha o seu ambiente em tempo real. Se um controle mudar de status no meio da auditoria, ele muda também na visão do auditor.

Como lidar com isso:

Evite mudanças grandes de ambiente durante a auditoria. Não é o momento de trocar de provedor de identidade nem de reestruturar acessos.

Se algo mudar, avise o auditor. Uma mudança explicada é tratada como normal; uma mudança silenciosa que altera o que ele já revisou gera desconfiança.

A data de referência do relatório resolve a parte formal. Ao gerar o relatório, existe um campo de data de referência que ancora o que está sendo afirmado.

O que você faz em cada fase

Um resumo do seu papel, como cliente:

A fase de trabalho de campo é onde as auditorias atrasam, e o motivo é quase sempre o mesmo: solicitações de evidência sem resposta. O tutorial da aba de solicitações trata disso.

Problemas comuns

Auditorias não disponíveis no seu plano. O módulo depende do plano contratado.

Não consigo avançar de fase. A plataforma lista exatamente o que falta. Cada item aponta para a aba onde ele se resolve.

Nenhum auditor disponível. Não há auditor cadastrado no seu ambiente. O tutorial de abrir uma auditoria explica como resolver.

A planilha de revisão está bloqueada. O engajamento está na fase de relatório. É deliberado.

Preciso reabrir a revisão depois do relatório. O caminho é rejeitar a aprovação do cliente, o que reverte a fase e desbloqueia as revisões.