Novas auditorias e controles de execução

1) Propósito e papel de reaudições

• confirma o encerramento de violações e a redução do risco residual para o nível Appetite;
• protege contra repetições (repeat findings) através de medidas preventivas;
• cria uma base de prova legalmente significativa («audit-ready por botão»).

2) Quando atribuir ré-audit (desencadeadores)

Fechando CAPA por Critical/High (obrigatório), Medium por amostra/risco.
Um incidente de alta gravidade ou uma ordem regulatória.
Controle à deriva de dados CCM/observabilidade.
Alterações na arquitetura/processo (lançamentos, migrações, provedores).
Janelas de calendário trimestral/semestral para domínios high-risk.

3) Volume e métodos (scope & methods)

Teste de design: política/padrão/SOP atualizado e controle formalizado.
Teste de eficiência operacional: O controle é estável em um período de 30 a 90 dias.
Amostra: risk-based (aumentando n para high/critical), mix de malas aleatórias e de destino.
Reperform: se possível, repita o procedimento/pedido para confirmar o resultado.
Provas: logs, configs, downloads, capturas de tela, relatórios de ferramentas - com recibos hash e WORM.

4) Papéis e RACI

(R — Responsible; A — Accountable; C — Consulted; I — Informed)

5) Ciclo de vida re-auditoria (SOP)

1. Iniciação: cartão de ré-auditoria (findings, CAPA, risco, período de amostra, deadline).
2. Lista de cheques de testes, critérios de receção, lista de artefactos, disponíveis por mala.
3. Coleta de dados: descarregamento automático, amostra, fixação hash, espaço no WORM.
4. Testes de design (disponibilidade/correção) → eficiência (amostra, reperforte).
5. Avaliação: risco residual, resistência, à deriva.
6. Solução: Close/Extend CAPA/Escalate (Comitê Regulador).
7. Fixação: protocolo, atualização de dashboards, «check pack» re-auditoria.
8. Supervisão: observação de 30 a 90 dias; à deriva - re-open com o novo CAPA.

6) Critérios de recepção (Definition of Done)

As medidas corretivas foram implementadas e confirmadas.
Medidas preventivas reduzem o risco de repetição (treinamento, gates, detecção).
O Evidence está cheio e invariavelmente (WORM, recibos hash).
As regras CCM foram atualizadas, as alertas estão normais, não há deriva.
As políticas/SOP/diagramas estão sincronizadas com as alterações reais.
Os vendedores executaram ações de espelhamento (retenção/remoção/certificados).

7) Ligação de ré-auditoria ↔ CAPA

No cartão CAPA armazenar Re-audit Place (período, métrica de sucesso, owner).
O «êxito parcial» → a extensão do CAPA com controles compensatórios e data de vencimento.
Para problemas sistêmicos - épicos de prevenção (mudança na arquitetura, revisão de processos).

8) Métricas e KRI

Re-auditoria On-time:% realizado dentro do prazo (meta ≥ 95%).
First-Pass Class:% de fechamentos sem extensão de CAPA (quanto mais alto melhor).
Repeat Findings (12 m): proporção de repetições de domínios/proprietários (tendência ↓).
Residual Risk DCE: redução do risco de screen após a ré-auditoria.
Evidence Completeness:% re-auditoria com um conjunto completo de artefatos (objetivo 100%).
Draft After Fix: Casos de controle à deriva entre 30 e 90 dias (alvo 0 crítico).
Vendor Mirror SLA: confirmações de contratantes (meta 100% para críticos).

9) Dashboards (mínimo)

Re-audit Pipeline: Planned → In Progress → Close/Extend → Observe.
Heatmap repetições por domínio (IAM, dados, DevSecOps, ERRM, DR./BCP).
CAPA & Re-Auditoria Link: status de laços, atrasos, áreas vulneráveis.
Evidence Readiness: disponibilidade de WORM/hashtag, frescura de amostras.
Draft & CCM: violações pós-fix, frequência de alertas.
Vendor Assunção: retração/remoção espelhada, certificados, SLA.

10) Técnicas de amostras e testes

Rateio de risco: Mais malas para controladores/jurisdições críticos.
Testes combinados: comprovação documental + reperforte real (por exemplo, exportação DSAR, revogação de acesso, remoção por TTL).
Cenários negativos: tentativa de contornar o controle (ABAC/SoD, rate limits, secret scan).
Teste de estabilidade: repetição em 30 dias na pré-seleção (sanity check).

11) Automação e «assurance-as-código»

Mala de teste de controle como código (Rego/SQL/YAML), automático como programado.
Geração automática de «auditoria pack re-audit» da vitrine evidence com recibo.
Escalação automática por SLA (atraso CAPA/re-auditoria).
Integração com CI/CD: Os gates bloqueiam o lançamento com controles «vermelhos».

12) Vendedores e cadeia de fornecimento

Os contratos incluem o direito de re-auditoria e o prazo para a entrega dos artefatos.
Retoque espelhada e confirmação de destruição/correção.
As violações incluem créditos/schtraf/SLA, plano off-ramp e migração.
Certificados externos (SOC/ISO/PCI) - no status fresh; «qualificed opinion» - re-auditoria é reforçado.

13) Modelos de artefatos

13. 1 Cartão de re-auditoria

ID findings/CAPA, risco/jurisdição, período de amostra

Testes de design/eficiência, critérios de aceitação

Lista de artefatos (origem, formato, hash)

Resultados, risco residual, recomendações

Solução (Close/Extend/Escalate), owner/due, links de evidence

13. 2 Relatório de ré-auditoria (sumário)

1. Resumo e contexto

2. Metodologia e volume

3. Resultados dos testes (tabelas de amostra)

4. Risco residual e conclusões

5. Soluções e tarefas (CAPA/waivers)

6. Aplicativos: recibos hash, screenshots, descarga

13. 3 Folha de recebimento de cheque

• Políticas/SOP/Controladores atualizados
• Evidence coletado e WORM/hash confirmado
• Regras CCM incluídas, alertas validas
• Treinamento/comunicação concluído (LMS, read-receipt)
• Confirmações vendedoras recebidas
• Re-open não é necessário/há um plano de expansão

14) Gerenciamento de exceções (waivers)

Permitidos apenas em restrições objetivas; data de expiração obrigatória e controladores compensatórios.
Publicidade em dashbord, lembretes 14/7/1 dia, escalação para o Comité.

15) Antipattern

«Encerramento de papel» sem teste de eficácia.
Evidence sem WORM/hashtag - Controvérsia na auditoria.
Não há nenhuma ligação CAPA ↔ ré-auditoria ↔ CCM - os controles não são fixados.
Scope estreito (não coberto por jurisdição/vendedor/papel crítico).
Verificações individuais sem observação durante 30 a 90 dias → repetições.
Extensão do CAPA sem plano de compensação e deadline.

16) Modelo de maturidade (M0-M4)

M0 Ad-house: Verificações raras «pontuais», sem critérios de admissão.
M1 Programado: calendário de ré-auditoria, modelos básicos e relatórios.
M2 Controlado: ligação com CAPA, dashboards/métricas, WORM-evidence.
M3 Integrado: assunção-as-código, reperforte, automático «audit pack».
M4 Contínuo Assunção: KRI de previsão, reprodução automática, monitoramento de estabilidade pós-fix.

17) Artigos wiki relacionados

Planos de Solução de Violações (CAPA)

Auditoria orientada por risco (RBA)

Monitoramento Contínuo de Conformidade (CCM)

Registro e Auditoria Trail

Armazenamento de provas e documentação

Gerenciamento de alterações na política de complacência

Dê Diligence e riscos de outorga

Comitê de Gerenciamento de Riscos e Complicação

Resultado

As auditorias repetidas são uma verificação de estabilidade, não uma formalidade: teste de design e eficiência, base de provas confiável, soluções transparentes (Close/Extend/Escalate) e observação da deriva. Com este sistema, o risco não é «voltado», e a complacência permanece mensurável e previsível.