Inspeções de departamento cruzado

1) O que são inspeções cruzadas de departamento

A verificação de departamento cruzado é uma verificação conjunta de processos e controles que passam por várias funções (por exemplo, o Product Engineering Legal/DPO Payments e Suporte Marketing). O objetivo é confirmar que o cenário de travessia está sendo executado corretamente, os requisitos das políticas foram cumpridos e as provas de audit-ready.

• detecção de riscos e conflitos SoD;
• uma única interpretação dos requisitos e eliminação das «zonas cinzentas» de responsabilidade;
• aceleração do CAPA e prevenção de repetições.

2) Quando iniciar (desencadeadores)

Exigências regulatórias ou jurisdições novas/modificadas.
Lançamentos/migrações substanciais (arquitetura, pagamentos, dados).
Incidentes (IB/privacidade/pagamentos) e pós-mortem.
Preparação para auditoria/certificação externa.
Calendário regular (trimestre/semestre) por domínios high-risk.

3) Cenários (end-to-end) - o que verificar

• Privacidade/DSAR: solicitação do sujeito → exportação/remoção → notificação → registro.
• Gerenciamento de acessibilidade: solicitação de permissão → uprove → mantiming → registro de ação admin → re-cert.
• Reembolso/marceback: desencadeador → coleta de provas → resposta ao provedor de → CAPA de frod.
• Campanha: alinhamento de material → meta → rastreamento de rejeitos/concordâncias → arquivo de provas.
• Um incidente de segurança, detecção → isolamento do → Legal Hold → notificação → pós-mortem → CAPA.
• Retração/remoção de dados: iniciar a TTL → confirmar a destruição dos subprocessadores → relatórios.

4) Papéis e RACI

(R — Responsible; A — Accountable; C — Consulted; I — Informed)

5) Metodologia: como realizar

Walkthrough: Demonstra a mala de passagem de política a logs.
ToD (Teste of Design): Verificação da presença e qualidade de afirmações, papéis, procedimentos, métricas.
ToE (Teste de Operating Efetiveness): Verificação da estabilidade do controle em um período de 30 a 90 dias.
Reperford: repetição independente da operação (por exemplo, exportação DSAR, revogação de acesso, apps de pagamento).
Negative testing: tentativas de contornar o controle (SoD, limites, segredo-scan).

6) Amostras e destruição

Risk-based: mais n para jurisdições/papéis/métodos de pagamento críticos.
Rateio: por região, tipo de cliente, canal (web/app), hora do dia/carga.
Combinações: aleatório + alvo (limite de limiar, edge-mala).

• Critical: n ≥ 25 para domínio + reperforte passos-chave.
• High: n ≥ 15; Medium: n ≥ 8; Low: n ≥ 5.

7) Gerenciamento de dependências e SoD

Matriz de dependências, serviços, vendedores, chaves, dados, papéis.
Regra de Partilha de Responsabilidades (SoD): Impede a combinação de upruv e ações críticas em uma única pessoa.
Mudança freeze durante os testes de contornos críticos ou versionização clara.

8) Provas e imutabilidade

Todos os artefatos (downloads, configs, capturas, relatórios) são salvos no WORM/Object Lock com recibos hash.
Chain of Custody: quem/quando/porquê juntou/leu evidence.
Sincronização de tempo e identificadores de traçado (trace _ id, request _ id).
Cada passo é ancorado ao Controle Statement e à métrica.

9) Integração com CAPA e ré-auditoria

Para cada finding - CAPA (Corretive/Preventive, prazos, owner, medidas compensatórias).
A ré-auditoria obrigatória daqui a 30 ou 90 dias para as malas críticas.
Atualização policy-/assurance-as-código: regras CCM, gates CI/CD, liminares de métricas.

10) Métricas e KRI

Coverage Rate:% dos principais cenários de transição testados por trimestre.
First-Pass Class: proporção de verificações sem findings críticos.
On-time CAPA:% de execução dentro do prazo (severity).
Repeat Findings (12 m): tendência de repetição de domínios/jurisdições.
Controls Pass Rate: proporção de regras «verdes» CCM associadas ao cenário.
Evidence Completeness: totalidade dos pacotes (alvo 100% para Critical/High).
SoD Violations: conflitos de responsabilidades identificados/resolvidos.
Vendor Mirror SLA: confirmação de espelhos em provedores críticos.

11) Dashboards (mínimo)

Scenario Pipeline: Planned → In Progress → Findings → CAPA → Re-audit.
Cross-Domain Heatmap: riscos/descobertas por função (IAM, Privaciy, Payments, Marketing, Suporte).
Dependency Map: nódulos/vendedores/controladores, zonas «vermelhas».
Evidence Readiness: disponibilidade de WORM/hashtag/screencasts por mala.
CAPA & Drift: estados medidas, observação à deriva de 30 a 90 dias.

12) SOP (procedimentos padrão)

SOP-1: Planejamento

Definir um tema high-risk → selecionar 2-4 cenários de intervalo por quadra → designar proprietários → alinhar calendário e janela freeze.

SOP-2: Realização

Kick-off → walkthrough → ToD/ToE → reperformm → negative testing → coleta de evidence → updates diários sync.

SOP-3: Relatório e soluções

A estrutura «critério fato impacto recomendação» (Close/Extend/Escalate) a publicação do relatório e as métricas.

SOP-4: CAPA e controle de execução

Ter CAPA na GRC → medidas compensatórias (se necessário) → prazos e RACI → dashboard de execução.

SOP-5: Ré-auditoria e observação

Em 30 a 90 dias, uma nova amostra e sanity-check → atualização de regras de CVM/políticas → encerramento do ciclo.

13) Modelos de artefatos

13. 1 Plano de verificação (one-pager)

Cenário, objetivos, jurisdição

Controles/políticas de verificação

Amostras e técnicas

Riscos/Dependências/SoD

Timeline, papéis, canais de comunicação

13. 2 Cartões finding

Critério (policy/controle) → Fato → Impacto → Recomendação

Severity, risco residual

Provas (links/hashtag)

CAPA: medidas, owner, due, KPI compensando os controles

13. 3 Evidence pack (sumário)

1. Políticas/padrões/SOP (versões, difs)

2. Amostras de logs/configs (CSV/JSON, recibos hash)

3. Capturas de tela/ecrã com temporizadores

4. Relatórios de CVM/métricas e testes

5. Relatório final e decisões do Comitê

14) Comunicação e cultura

Um único canal (portal/GRC) com numeração de solicitação e SLA para as respostas.
«One voice» em sessões/auditorias externas, as perguntas difíceis.
Sem acusações, foco em processos e prevenção de repetições.
Shering melhores práticas e patterns, biblioteca interna de malas.

15) Antipattern

Verificando «dentro do departamento» sem rastreamento.
Provas de papel sem logs/hashtag/WORM.
Não há nenhuma referência de controle de status/métricas (incalculável).
Ignorar a SoD e dependência de uma pessoa.
CAPA sem Preventive/Compensação, sem ré-auditoria.
Verificações individuais sem calendário ou prioridade de risco.

16) Modelo de maturidade (M0-M4)

M0 Ad-h. Verificações episódicas, sem metodologia/métricas.
M1 Programado: calendário trimestral, modelos básicos e papéis.
M2 Controlado: amostra de risk-based, WORM-evidence, dashboards, CAPA.
M3 Integrado: policy-/assunção-as-código, CI/CD-gate, relatórios automáticos.
M4 Contínuo Assunção: KRI preditivo, cenários de recomendação, sanity-checks contínuos e monitoramento à deriva.

17) Artigos wiki relacionados

Novas auditorias e controles de execução

Planos de Solução de Violações (CAPA)

Monitoramento Contínuo de Conformidade (CCM)

Repositório de políticas e regulamentos

Rastreamento de atualizações legais/Alerta alterações regulatórias

Registro e Auditoria Trail

Verificações externas por auditores de terceiros

Manual de compilação para parceiros

Resultado

As verificações de departamento cruzado transformam «junções» entre funções de área de risco em área de controle, como cenários de passagem, controles mensuráveis, provas imutáveis e um ciclo fechado CAPA → re-auditoria. Esta abordagem torna previsível, acelera as auditorias externas e reduz a possibilidade de violações.