Fornecedores – Resultado, relatório e atestado
Quando todas as respostas visíveis estiverem decididas, você conclui a revisão no painel Decisão, no fim da página de revisão. A conclusão congela a nota, abre os achados, gera o relatório PDF, emite o atestado e agenda a próxima revisão do fornecedor.
Os três resultados
| Resultado | O que significa |
|---|---|
| Aprovado | Emite o atestado, válido até a próxima revisão |
| Aprovado com condições | Emite um atestado condicional. Os achados desta revisão são as condições. Ele caduca se um achado passar do prazo sem aceitação de risco |
| Reprovado | Sem atestado. O relatório não conta como evidência de auditoria |
Aprovado com condições precisa de pelo menos um achado desta revisão, porque são os achados que definem as condições. Reprovado está sempre disponível.
Quando “Aprovado” fica indisponível
Um achado crítico bloqueia a aprovação. A regra vale para os achados desta revisão e para os achados críticos abertos do mesmo fornecedor em outras avaliações. A mensagem ao lado da opção diz qual é o caso.
| Situação | Como liberar |
|---|---|
| Um achado crítico em rascunho nesta revisão | Descarte o rascunho ou reduza a severidade dele |
| Um achado crítico já aberto nesta revisão | Encerre-o |
| Um achado crítico aberto em outra avaliação do mesmo fornecedor | Em Achados, marque-o como corrigido, aceite o risco ou encerre-o |
Ou escolha outro resultado.
Um achado com risco aceito não bloqueia a aprovação. Ele continua registrado, com a data em que o aceite termina. Veja Fornecedores – Achados.
Não reduza a severidade só para aprovar. A mudança fica registrada, e quem ler o relatório vê um achado crítico rebaixado na mesma revisão que aprovou o fornecedor. Se a lacuna é real e você decide conviver com ela, aceite o risco: o aceite precisa de uma justificativa e de uma data de término, e aparece no relatório com seu nome.
Concluir
Escreva a Nota do revisor, um resumo para a trilha de auditoria e o relatório, e clique em Concluir revisão. Você fica registrado como revisor. A conclusão fica bloqueada enquanto o fornecedor não enviou as respostas, enquanto houver respostas sem decisão ou se o resultado escolhido não estiver disponível.
A nota do revisor é o que salva a auditoria. Registre o que ficou bom, o que ficou pendente e, se você aceitou uma resposta imperfeita, por quê. “O fornecedor não tem SOC 2, mas apresentou teste de intrusão recente e não trata dado de cliente” é uma decisão defensável. A mesma decisão sem nota parece descuido.
O que a conclusão registra
- A nota e a faixa são congeladas. Uma mudança posterior nas faixas das configurações não altera uma revisão concluída.
- Os achados em rascunho são abertos, numerados como F-1, F-2 e assim por diante. O prazo segue o SLA da severidade, a menos que você o tenha definido. O responsável é o responsável pelo fornecedor ou, sem ele, você.
- Cada achado aberto ganha um item de ação, veja abaixo.
- O atestado é emitido conforme o resultado e substitui os atestados de revisões anteriores do fornecedor.
- A Data da Próxima Revisão do fornecedor é definida como a data de conclusão mais a periodicidade do nível de risco dele, configurada em Configurações de fornecedores. Os padrões são 6 meses para Crítico, 12 para Alto, 24 para Médio, 36 para Baixo e 12 para um fornecedor sem nível. O painel mostra a data antes de você concluir: “Próxima revisão: {data} (nível {nível} · {meses} meses)”.
- A Data da Última Avaliação é registrada no mesmo momento.
- O score de risco do fornecedor é recalculado.
As datas de revisão são definidas qualquer que seja o resultado, inclusive Reprovado. Um fornecedor reprovado continua no seu ciclo de revisão. Se você precisar reavaliá-lo antes, envie um novo questionário quando quiser.
Depois de concluída, a revisão fica somente leitura. Se algo mudou de fato, peça esclarecimento ao fornecedor ou envie uma nova avaliação: as duas formas preservam o histórico.
Itens de ação
Cada achado aberto tem um item de ação, com o nome no idioma do seu espaço de trabalho, por exemplo “Achado de fornecedor F-3: {título}”. O item leva o prazo do achado e está vinculado ao fornecedor. Ele aparece em Frameworks › Itens de Ação e no bloco Itens de Ação Relacionados da página do fornecedor.
O item de ação fecha sozinho quando o achado é encerrado. Não é preciso resolvê-lo à mão. Se um aceite de risco termina e o achado reabre, um novo item de ação é aberto.
Relatório e atestado
Depois da conclusão, o painel mostra o resultado, quem revisou e quando, a nota do revisor e a data da próxima revisão.
Relatório. Use Baixar relatório (PDF). O relatório é gerado logo após a conclusão e aparece quando estiver pronto. Se a geração falhar, use Tentar de novo.
Atestado. O painel mostra o estado do atestado:
| Estado | O que significa |
|---|---|
| Atestado emitido, válido até {data} | Resultado Aprovado. Vale até a próxima revisão |
| Atestado condicional, válido até {data} | Resultado Aprovado com condições, válido enquanto os achados estiverem em dia |
| O atestado condicional caducou | Um achado aberto desta avaliação passou do prazo |
| Substituído | Uma revisão posterior do fornecedor foi concluída, e este atestado não conta mais |
| Nenhum atestado foi emitido | Resultado Reprovado |
Como um atestado condicional caduca. Uma verificação diária olha os achados desta avaliação que ainda estão abertos (Aberto, Com o fornecedor ou Fornecedor respondeu). Se algum passou do prazo, o atestado caduca e o score de risco do fornecedor é recalculado. Achados corrigidos, encerrados ou com risco aceito não contam.
Histórico
Depois da primeira conclusão, o painel Histórico lista cada conclusão, a primeira e as que vieram depois de rodadas de esclarecimento, com data, revisor, resultado, nota e o relatório de cada uma.
Por onde continuar
- Fornecedores – Achados
- Fornecedores – Pedir esclarecimento ao fornecedor
- Fornecedores – Configurações de fornecedores
Este artigo foi útil?