Controles – Como excluir um controle do escopo (não aplicável)
Nem toda exigência de uma norma se aplica à sua empresa. Uma norma escrita para qualquer organização inclui controles sobre tecnologias que você não usa e sobre operações que você não tem.
Para esses casos existe a exclusão de escopo: você declara o controle como não aplicável, com motivo registrado.
O que a exclusão faz, e por que ela é séria
A plataforma é direta sobre isso: excluir um controle o remove do seu índice de conformidade. Ele sai da conta e a pontuação sobe.
É por isso que a justificativa é obrigatória. Sem ela, a exclusão seria um botão para melhorar o número sem melhorar nada, e a primeira auditoria desmontaria isso.
A frase que a própria tela usa resume bem: registre o motivo para que a decisão seja defensável perante um auditor.
Quando usar
Os quatro motivos disponíveis cobrem os casos legítimos:
| Motivo | Quando se aplica | Exemplo |
|---|---|---|
| Não existe no nosso ambiente | A tecnologia ou o componente simplesmente não é usado | Um controle sobre banco de dados gerenciado, numa empresa que não usa nenhum |
| Coberto por outro controle | A exigência é atendida por outro controle já comprovado | Duas normas pedem a mesma coisa de formas diferentes |
| Responsabilidade do provedor | A responsabilidade é do provedor de serviço, não sua | Segurança física do datacenter, em operação totalmente em nuvem |
| Fora da nossa fronteira de escopo | O controle trata de algo fora do perímetro declarado da auditoria | Uma unidade ou produto que não está no escopo certificado |
Quando não usar
A tentação é excluir o que dá trabalho. Não funciona, e deixa rastro.
Não use exclusão de escopo quando:
- A exigência se aplica, mas você ainda não a cumpriu. O status correto é Reprovado ou Pendente. Excluir aqui é o erro mais grave da tela.
- Você não entendeu o controle. Leia a descrição da exigência primeiro.
- É trabalhoso demais. Trabalho não é critério de aplicabilidade.
Passo a passo
- Abra o controle.
- Atualize o status e escolha Não Aplicável.
- Selecione o Motivo entre as quatro categorias.
- Escreva a Justificativa.
- Confirme.
A plataforma exige as duas coisas: motivo e justificativa. Sem elas, a exclusão não é registrada.
Como escrever uma justificativa que o auditor aceita
A orientação da própria tela é a melhor: um motivo curto e específico é suficiente. O exemplo que ela dá é literalmente do tamanho certo: *”Não utilizamos RDS.”*
| Justificativa fraca | Justificativa que funciona |
|---|---|
| “Não se aplica” | “Não utilizamos banco de dados gerenciado. Todos os bancos rodam em servidor próprio, coberto pelo controle de hardening.” |
| “Responsabilidade do provedor” | “Operação 100% em nuvem. A segurança física do datacenter é do provedor, conforme o relatório de conformidade dele, anexado.” |
| “Não temos isso” | “Não desenvolvemos software. Não há repositório de código nem pipeline de deploy na empresa.” |
O padrão: diga o que a empresa não tem ou não faz, e por que isso é verdade. Uma frase basta.
O aviso sobre risco em aberto
Existe um alerta que vale conhecer antes de topá-lo. Se o controle que você está excluindo é o tratamento declarado de um risco que continua em aberto, a plataforma avisa que excluí-lo é uma contradição que um auditor vai notar.
Faz sentido: você não pode dizer que a exigência não se aplica e, ao mesmo tempo, manter um risco aberto cujo plano de tratamento é justamente aquele controle. Resolva a contradição antes de seguir: ou o risco não é real, ou o controle se aplica.
Onde ver todas as exclusões
Cada framework tem uma lista de Exclusões de escopo, com a contagem. Ela mostra os controles declarados não aplicáveis e deixa claro que eles ficam fora do índice daquela norma.
Cada exclusão mostra quem atestou. É a lista que o auditor vai pedir, então vale revisá-la antes dele.
Exclusões antigas sem motivo
Se a sua conta é antiga, pode haver exclusões feitas antes de a justificativa ser obrigatória. A plataforma sinaliza isso: informa quantas exclusões não têm motivo registrado e marca cada uma como precisando de nova atestação.
Vale resolver essa lista antes de uma auditoria. Exclusão sem motivo registrado é uma pergunta garantida.
Revise periodicamente
Aplicabilidade muda. A empresa contrata um serviço novo, entra num mercado novo, muda de arquitetura. Um controle corretamente excluído há dois anos pode se aplicar hoje.
Uma revisão anual da lista de exclusões, junto com a revisão de escopo da auditoria, é suficiente.
Este artigo foi útil?