Uma auditoria não deve premiar o volume de políticas
Duzentas páginas de intenção não demonstram que um acesso foi revogado, uma exceção expirou ou um fornecedor foi reavaliado. A governação melhora quando a auditoria valoriza evidência suficiente, fiável, relevante e útil.
- Natureza
- Perspetiva Velqory com base em standards e métodos oficiais de avaliação
- Decisão
- Como pedir, testar e governar evidência de controlo
- Publicado e verificado
- 4 de agosto de 2026
- Limite
- A seleção de amostras e a suficiência de prova dependem do risco e do objetivo do trabalho
Em resumo
A posição da Velqory é que a auditoria deve distinguir desenho, implementação e eficácia. Os Global Internal Audit Standards exigem informação relevante, fiável e suficiente para sustentar resultados. O NIST RMF manda avaliar se controlos estão implementados corretamente, operam como previsto e produzem o resultado desejado; a SP 800-171A organiza métodos de examinar, entrevistar e testar. A política continua necessária, mas é apenas um objeto de evidência. O trabalho útil liga requisito, risco, controlo, população, período, teste, exceção, conclusão e ação. Mais documentação sem rastreabilidade pode até esconder a ausência de controlo.
- Avalie separadamente o desenho do controlo, a sua implementação e a sua eficácia no período.
- Associe cada afirmação a uma população, amostra, fonte, responsável e data.
- Prefira evidência produzida pela operação e protegida contra alteração a apresentações preparadas para a auditoria.
- Feche achados apenas quando a causa e o risco residual foram retestados, não quando apareceu um novo documento.
A política prova o desenho pretendido, não a execução
Uma política assinada pode demonstrar autoridade, âmbito e intenção. Não demonstra, por si só, que todas as contas abrangidas receberam MFA, que saídas de colaboradores acionaram revogação no prazo ou que exceções abertas tinham dono e validade. Confundir estes objetos permite concluir sobre eficácia a partir de uma declaração.
Os standards do IIA pedem informação relevante, fiável e suficiente. O NIST RMF descreve a avaliação como verificação de implementação correta, operação conforme a intenção e produção do resultado desejado. A SP 800-171A separa métodos de examinar, entrevistar e testar. A combinação interessa: um documento explica; uma pessoa contextualiza; um teste observa comportamento.
Da afirmação à conclusão defensável
- 1. AfirmarDefinir o que deve ser verdade
Ligar requisito, risco, controlo, âmbito, responsável e resultado esperado.
- 2. RecolherPreservar origem e período
Identificar sistema de registo, população, extração, integridade, lacunas e custódia.
- 3. TestarCombinar métodos
Examinar documentação e dados, entrevistar intervenientes e observar ou repetir a operação.
- 4. ConcluirSeparar facto e julgamento
Registar critério, condição, causa, efeito, exceções, limitação e risco residual.
- 5. RetestarConfirmar mudança de estado
Verificar a correção na população e período relevantes antes de fechar o achado.
A qualidade da evidência precisa de critérios explícitos
Pedir uma captura de ecrã sem data, âmbito ou origem transfere o problema para o revisor. A imagem pode mostrar uma configuração atual, mas não o estado durante o período auditado, a cobertura da população ou a resistência a alteração. O pacote de evidência deve permitir a outra pessoa repetir o raciocínio.
Automação ajuda quando preserva semântica e proveniência. OSCAL fornece formatos legíveis por máquina para representar controlos, implementação e resultados de avaliação. Não transforma dados fracos em prova forte; torna relações e trocas mais consistentes.
Teste de qualidade antes de aceitar a prova
| Critério | Pergunta | Sinal de fragilidade |
|---|---|---|
| Relevância | A prova responde diretamente ao objetivo e período? | Documento genérico ou estado atual usado para concluir sobre o passado |
| Fiabilidade | A origem é íntegra, competente e independente do avaliado? | Ficheiro manual sem proveniência ou reconciliação |
| Suficiência | A quantidade e cobertura suportam a conclusão? | Um exemplo favorável apresentado como população completa |
| Rastreabilidade | É possível ligar requisito, controlo, teste e resultado? | Pastas e capturas sem identificadores comuns |
| Reprodutibilidade | Outro revisor consegue repetir seleção e cálculo? | Filtros, query, versão ou exclusões ausentes |
| Atualidade | A prova representa o período e a cadência do risco? | Certificação antiga usada para uma mudança recente |
A melhor evidência nasce do controlo, não da corrida pré-auditoria
Quando a organização passa semanas a reconstruir decisões para cada revisão, a auditoria encontrou uma deficiência operacional: o processo não produz memória suficiente. A correção não é criar uma pasta maior, mas fazer com que aprovações, eventos, alterações, exceções e testes deixem um registo utilizável enquanto acontecem.
Reduza pedidos ad hoc com um catálogo de evidência: proprietário, sistema de origem, frequência, período, retenção, classificação, método de extração e controlo de acesso. O auditor mantém independência e pode ampliar testes; a equipa evita fabricar provas à pressa.
- Versionar critérios e scripts usados para extrair populações e amostras.
- Documentar limitações e dados ausentes antes de interpretar o resultado.
- Ligar exceções a risco, aprovação, compensação, expiração e reteste.
- Medir reincidência e tempo até correção efetiva, não apenas achados fechados.
Fontes consultadas
Consultadas na data de atualização indicada.
Abre numa nova janela.- 01Global Internal Audit StandardsThe Institute of Internal Auditors · GV-IIA
- 02ISACA glossary, audit evidence and related termsISACA · GV-ISACA
- 03Risk Management Framework Assess StepNational Institute of Standards and Technology · CY-NISTCSRC
- 04NIST SP 800-171A Revision 3, assessment proceduresNational Institute of Standards and Technology · CY-NISTCSRC
- 05Open Security Controls Assessment LanguageNational Institute of Standards and Technology · CY-NISTCSRC
Participar
Partilhe a análise. Acrescente contexto.
Divulgue a matéria no seu canal ou deixe uma observação ligada ao tema.
Comentários
A carregar a conversa.