Revisões e revisões periódicas

1) Propósito e princípios

Revisões e revisões periódicas são um ciclo regulado de verificações que confirma a relevância das políticas, a correção das acessibilidade, a eficiência dos controles e a disponibilidade para a auditoria.

• Calendário e previsibilidade: janelas fixas e deadline.
• Orientação de risco - prioridades de criticidade e KRI.
• Automation-first: máximo de montagens automáticas e auto-rodagem.
• Evidence by design: As provas são formadas automaticamente e de forma imutável (WORM).
• One owner: Cada revisão tem um proprietário, um SLA e um plano de escalações.

2) Tipos de revisões periódicas (carteira)

3) Papéis e RACI

(R — Responsible; A — Accountable; C — Consulted; I — Informed)

4) Calendário anual (exemplo de modelo)

Mensalmente: Controladores CCM, DSAR SLA, relatórios sobre a deriva da nuvem/criptografia, higiene waiver.
Trimestralmente (Q1/Q2/Q3/Q4): IAM re-cert, Risk Register, Doutor-exercício, Auditoria dry-run, retenção/remoção.
Todos os anos: revisão completa de políticas/procedimentos, revisões de VRM de provedores críticos, BIA (influência empresarial), plano de auditorias/certificações.

5) Processo (SOP) de qualquer revisão

1. Iniciação: cartão de revisão (scope, metas, critérios, deadline, proprietários).
2. Coleta de dados: descarregamento automático/dashboard, vitrine evidence, amostra.
3. Verificações e testes: lista de controle, pass/fail, severidade de desvios.
4. SARA/Remediar: Folha de gap com proprietários e prazos que compensam as medidas.
5. Aprove e fixação: protocolo de solução, recibos hash, arquivo WORM.
6. Comunicação: one-pager + tarefas em ITSM/GRC; Escalar SLA.
7. Retrospectiva: aulas, atualização de padrões/padrões.

6) Modelos de lista de controle

6. 1 Políticas/Procedimentos

• Relevância de referências e termos regulatórios
• Medibilidade de controle de status
• Conexão com as regras SOP/CCM
• As localizações/adendas estão sincronizadas
• Changelog e versão, aprojeto do Comitê

6. 2 IAM re-cert

• Lista completa de direitos e proprietários ativos
• Conflitos SoD, contas orphan, exceções JIT
• Provas de revogação/rebaixamento de direitos
• Acessibilidade vendedora e federação SSO
• Protocolo de avaliação e métricas de atraso

6. 3 VRM

• Relatórios actualizados SOC/ISO/PCI, scope e exceções
• SLA/incidentes/empréstimos durante o período
• Subprocessadores e localização de dados - sem deriva
• Folha de gap e status de remundições
• Plano exit e confirmação de retenção espelhada

6. 4 Retenção/Legal Hold

• Violações TTL = 0 críticas
• Relatórios de remoção + resumo hash
• Ativado Legal Hold - razões, datas, proprietários
• Reticência espelhada dos provedores
• A lógica DSAR não foi quebrada

6. 5 DR/BCP

• Teste RTO/RPO e recuperação da amostra
• Playbooks de comunicação e on-call
• Resultados do exercício e CAPA
• Os vendedores participaram/confirmaram estar prontos
• Documentado post-mortem

7) Métricas e SLO carteira de revisões

On-time Review Rate:% das revisões concluídas dentro do prazo (meta ≥ 95%).
Evidence Readiness:% de revisões com um conjunto completo de artefatos (objetivo 100%).
CAPA ON-time:% das remunções de SLA fechadas (severity).
Repeat Findings: proporção de comentários repetidos em 12 mes (tendência ↓).
Access Hygiene: proporção de permissões obsoletas após ré-cert (≤ alvo de 2%).
Vendor Certificate Freshness:% dos certificados atuais em provedores críticos (objetivo 100%).
Check-Ready Time: tempo para coletar o «check pack» após a revisão (≤ 8 horas).

8) Dashboards (conjunto mínimo)

Calendar View: mapa de revisões por bairros com SLA/atrasos.
Review Pipeline: статус (Planned → In Progress → CAPA → Closed).
Findings & CAPA: abertos/vencidos, proprietários, severity.
IAM Hygiene: orphan/SoD/JIT exceções, tendências.
VRM Heatmap: provedores de risco, certificados, incidentes.
Retenção & Hold: violações TTL, volume de remoções, hold ativo.
Check Readiness: completeness «por botão», ancorando pacotes hash.

9) Artefatos e armazenamento

Protocolo de revisão (agenda, conclusões, soluções, owner/due).
Lista de verificações/amostras e seus resultados (pass/fail).
Folha de gap e CAPA com datas e métricas de sucesso.
Recibos de hash de download e relatórios; WORM/Object Lock.
Versões atualizadas de políticas/procedimentos e maping por controlador.

10) Gerenciamento de exceções (waivers)

É feito para cada gap identificado se a correção não for possível dentro do prazo.
Contém razões que compensam medidas, data de vencimento, proprietário/plano.
Visível em dashbord; escalação automática 14/7/1 dia antes do vencimento.

11) Integração

CCM/Compliance-as-Code: as regras de testes de controle são executadas de forma automática.
GRC: registro de revisões, findings, CAPA, waivers, SLA e relatórios.
Evidence Armazenamento: Arquivamento automático de todas as matérias com hash.
ITSM: tarefas e escalas para os donos de sistemas.
VRM: alongamento de estatais de provedores/certificados.
LMS: Cursos/avaliações em Maiores alterações de revisão.

12) Antipattern

Revisões para caixa sem CAPA ou proprietários.
Falta de calendário e previsibilidade → atraso e incêndio.
Downloads manuais sem recibos hash e WORM → provas controversas.
Mistura de scope (as políticas mudam os requisitos, mas os controles SOP/não são atualizados).
«Eternos» waivers sem data de vencimento ou compensação.
Não há ligação com o risco-apetite/comitê - as soluções não são escalonadas.

13) Modelo de maturidade (M0-M4)

M0 Ad-house: verificações irregulares, relatórios em Excel, sem owners.
M1 Programado: calendário e folha de cheques básica, armazenamento de artefatos.
M2 Controlado: Registro GRC, dashboard, SLA/Escalonamento, Arquivo WORM.
M3 Integrado: CVM/ascode, auto-evidência, dry-run de auditoria por botão.
M4 Contínuo Assurance: KRI de previsão, reestruturação automática, capabilidades passíveis «riscos → revisão → CAPA».

14) Artigos wiki relacionados

KPI e métricas de complaens

Auditoria orientada por risco (RBA)

Monitoramento Contínuo de Conformidade (CCM)

Armazenamento de provas e documentação

Registro e Auditoria Trail

Gerenciamento de alterações na política de complacência

Dê Diligence e riscos de outorga

Comitê de Gerenciamento de Riscos e Complicação

Resultado

Revisões e revisões periódicas transformam a complacência de «resposta a problemas» em uma linha de montagem transparente de melhorias: calendário fixo, verificações automáticas, artefatos de qualidade, CAPA pontual e previsível disposição para qualquer auditoria.