Evidências – Validade e renovação: quando uma evidência vence
Evidência envelhece. Um relatório de backup de dois anos atrás não comprova que o backup funciona hoje, e um auditor não aceita comprovação antiga como prova de uma prática atual.
Por isso a plataforma acompanha o vencimento de cada evidência, e avisa antes que ele chegue.
Por que a validade existe
Conformidade não é um estado que você atinge uma vez. É uma prática contínua, e a prova precisa acompanhar.
A pergunta que o auditor faz não é *vocês fizeram backup?*, e sim *vocês fazem backup, e como sabem disso?*. A resposta é evidência recente, renovada no ritmo em que a prática acontece.
Os dois avisos
A plataforma marca as evidências em dois estados antes e depois do prazo:
| Estado | O que significa |
|---|---|
| A vencer | O prazo está próximo. Hora de renovar, sem urgência |
| Vencida | Passou do prazo. A evidência não comprova mais |
Esses estados aparecem na coluna de vencimento da biblioteca, e não ficam apenas ali. Eles geram itens de ação (Evidência Vencendo e Evidência Expirada) e alimentam a categoria de Evidências nas suas preferências de notificação.
Ou seja: você não precisa vigiar a lista. A plataforma avisa.
O efeito de uma evidência vencida
Uma evidência vencida deixa de comprovar. O controle que dependia dela volta a aparecer sem comprovação, e a postura de conformidade reflete isso.
Incomoda, e é o comportamento correto. A alternativa seria uma pontuação sustentada por provas antigas, o que dá uma falsa sensação de segurança até a auditoria desmontá-la.
Como renovar
Renovar é substituir a prova antiga pela nova, mantendo o vínculo com os controles:
- Gere a evidência nova na ferramenta de origem, referente ao período atual.
- Abra a evidência existente na biblioteca.
- Substitua o arquivo e atualize o nome com o novo período.
- Ajuste a data de vencimento.
- Salve.
Fazer assim, em vez de criar uma evidência nova, tem uma vantagem concreta: os vínculos com os controles são preservados. Se a evidência comprovava cinco controles, os cinco continuam comprovados sem retrabalho.
Que prazo definir
Não existe uma resposta única. O critério é o ritmo da prática que você está comprovando:
| A prática acontece | Prazo razoável |
|---|---|
| Continuamente, e é verificada por integração | A plataforma cuida. Você não precisa renovar à mão |
| Mensalmente | Trimestral |
| Trimestralmente | Semestral |
| Semestralmente ou anualmente | Anual |
| Uma vez, sem repetição (um contrato assinado) | Sem vencimento, ou o prazo do próprio documento |
A regra por trás: o prazo deve ser maior que o intervalo da prática e menor que o ciclo da auditoria. Assim você sempre tem prova recente sem renovar toda semana.
Duas armadilhas
Prazo curto demais. Você cria uma rotina de renovação que ninguém sustenta, e em três meses a biblioteca está cheia de vencidos. Vencido em excesso é pior que prazo generoso, porque o time para de olhar os avisos.
Prazo longo demais, ou sem prazo. A evidência fica na biblioteca comprovando um controle com um relatório de dois anos atrás. A plataforma não reclama e o auditor reclama.
Reduza a renovação manual conectando integrações
O caminho mais eficaz para não viver renovando evidência é conectar as integrações.
Quando a comprovação é coletada automaticamente, ela é sempre atual: a plataforma verifica periodicamente e a evidência acompanha. Controles nessa situação aparecem marcados com evidência automática, e você não renova nada.
Evidência manual continua necessária para o que software não consegue verificar. Mas quanto mais integrações conectadas, menor a lista de itens para renovar à mão.
Uma rotina simples
Uma vez por mês, filtre a biblioteca pelos itens a vencer e renove. Vinte minutos.
E antes de qualquer auditoria, confira que nada está vencido entre as evidências que comprovam controles no escopo. É uma das primeiras coisas que o auditor percorre.
Este artigo foi útil?