Controles – Como anexar evidência a um controle

Boa parte dos controles não tem verificação automática, e depende de você comprovar. Anexar evidência é a ação mais frequente do trabalho de conformidade.

Antes de anexar, leia o que o controle pede

Muitos controles trazem uma seção de Requisitos de Evidência com a descrição do que se espera, os tipos de arquivo permitidos, exemplos de evidência adequada, restrições e o tamanho máximo.

Ler essa seção antes de enviar economiza a rodada de tentativa e erro. É a diferença entre anexar o print de uma tela de configuração e anexar o relatório que a exigência realmente pedia.

Passo a passo

1. Abra o controle.
2. Vá até a seção Evidências.
3. Clique em Enviar Evidência.
4. Selecione o arquivo.
5. Dê um nome que descreva o conteúdo, não o arquivo. “Relatório de backup, 3º trimestre” é útil; “documento1.pdf” não é.
6. Confirme os controles aos quais a evidência fica vinculada.
7. Envie.

Formatos aceitos: PDF, imagens, Word, Excel e CSV, até 10 MB.

Reaproveite em vez de duplicar

Uma evidência pode comprovar vários controles, e a plataforma orienta exatamente isso: vincule a evidência a todos os controles que ela satisfaz.

Isso importa mais do que parece. Um relatório de configuração de acesso pode atender exigências de autenticação, de privilégio mínimo e de revisão de acessos, em normas diferentes. Enviar o mesmo arquivo três vezes cria três itens para manter atualizados, em vez de um.

Se a evidência já existe na biblioteca, o caminho é editá-la e adicionar o novo controle, não enviar de novo.

Enviada não é aprovada

Este é o ponto que mais gera dúvida. A evidência entra como Aguardando revisão e passa a valer quando fica Aprovada. Também pode ser Rejeitada.

A página do controle mostra quantas evidências estão aprovadas do total. Um controle com cinco evidências enviadas e nenhuma aprovada continua sem comprovação.

O veredicto da IA

A plataforma faz uma leitura automática da evidência e classifica como Satisfatória, Parcial ou Insuficiente.

Trate como triagem, não como decisão. Um veredicto de *Insuficiente* é um bom sinal para você olhar de novo antes do auditor olhar. Um veredicto de *Satisfatória* não garante que o auditor vai concordar.

O status do controle não muda na hora

Depois de anexar, o controle continua exibindo o resultado anterior até a próxima verificação. Se você quer antecipar, use Reavaliar, disponível na lista de avaliações de controles.

Se depois de reavaliar o controle ainda não passou, volte ao painel O que falta para passar na página dele. Normalmente falta a aprovação da evidência, ou falta um documento vinculado.

Evidência tem validade

Evidência envelhece. A plataforma acompanha o vencimento e sinaliza os itens A vencer e Vencidos, e esses avisos alimentam os seus itens de ação.

Faz sentido: um relatório de backup de dois anos atrás não comprova que o backup funciona hoje. O tutorial Evidências – Validade e renovação cobre esse ciclo.

Documento ou evidência?

A pergunta que separa os dois:

Muitos controles precisam dos dois. A política diz o que a empresa faz; a evidência mostra que ela faz.