O certificado vale três anos. A evidência só até amanhã.

O problema dos instantâneos

A conformidade quase sempre é montada como um projeto: kickoff, diagnóstico, medidas, auditoria, certificado, alívio. Depois o time volta ao trabalho de verdade e o sistema de gestão para.

A primeira auditoria de acompanhamento traz isso à tona. Não porque o auditor seja severo, mas porque as evidências entregam: a revisão de acessos é do ano passado, a avaliação de fornecedores também, o programa de auditoria interna nunca teve continuidade. Três não conformidades que ninguém queria, cada uma evitável em duas horas.

Continuous GRC não significa fazer mais. Significa fazer as poucas coisas no prazo e evidenciá-las enquanto são feitas.

O que precisa continuar entre auditorias

Nenhuma dessas tarefas é grande. São perigosas porque falham sem aparecer.

1. 1
   Revisar os direitos de acessoQuem tem acesso a quê hoje, e se ainda se justifica. A não conformidade clássica, porque desligamentos e mudanças de função caem entre duas revisões.
2. 2
   Reavaliar os fornecedoresOs prestadores críticos pelo menos uma vez por ano, olhando certificados, incidentes e mudanças contratuais. A NIS2 torna isso um dever explícito.
3. 3
   Treinamento e conscientizaçãoOs novos colaboradores dentro de um prazo definido, os demais no ciclo estabelecido. O que precisa ser evidenciado é a competência, não a presença.
4. 4
   Testar as restauraçõesUm backup nunca restaurado é uma suposição. O teste pertence a um registro, com data, escopo e resultado.
5. 5
   Auditoria interna e análise crítica pela direçãoOs dois capítulos em que as organizações realmente falham. Ambos precisam de uma data na agenda, não de uma intenção.
6. 6
   Atualizar os riscosApós cada mudança significativa e pelo menos uma vez por ano. Um registro de riscos que não muda há doze meses descreve o seu esforço, não a sua organização.

Como a Sightadel sustenta isso

1. 1
   Cada ponto de controle tem um responsávelNão um departamento, uma pessoa. O que não é de ninguém não é feito — não é cinismo, é a causa mais comum de evidências vencidas.
2. 2
   Cada evidência tem data de validadeO ciclo que você define vira o lembrete. Quando uma evidência vence, isso aparece — antes de o auditor encontrar.
3. 3
   Uma mudança alcança todos os frameworksUma evidência fica ligada a cada requisito que atende. Você mantém uma vez e não três, e ela não se divide em três versões.
4. 4
   O painel mostra direção, não porcentagensO que importa não é o número geral, mas o que venceu desde o mês passado e quem está com ele.