Evidências e Relatórios

Dizer que você está seguro não basta; é preciso comprovar isso. Evidências e relatórios demonstram a auditores, clientes e órgãos reguladores que os controles existem e funcionam conforme declarado.

Em uma auditoria, um controle não documentado efetivamente não existe.

Evidência é qualquer elemento que demonstre objetivamente que um controle funciona:

• Exportações de configuração e configurações do sistema.
• Registros e aprovações de revisões de acesso.
• Registros (acesso, alterações e auditoria).
• Capturas de tela com marcas de data e hora.
• Chamados, políticas e atas de reunião.

Uma evidência forte apresenta estas características:

• Relevante para o controle que está sendo testado.
• Suficiente em quantidade (abrange o período).
• Confiável e resistente a adulterações (evidência gerada pelo sistema é melhor que uma autodeclaração).
• Oportuna, dentro da janela da auditoria.

Auditorias diferentes exigem diferentes níveis de profundidade das evidências:

• Em um momento específico (SOC 2 Tipo I): o controle existe hoje.
• Durante um período (SOC 2 Tipo II): o controle funcionou durante meses, portanto são necessárias evidências recorrentes, como revisões mensais de acesso.

Para evidências de incidentes e perícias, mantenha uma cadeia de custódia: um registro documentado de quem coletou, manuseou e armazenou cada item. Uma falha na custódia pode tornar a evidência inadmissível ou não confiável.

Os auditores raramente revisam todos os registros. Eles selecionam uma amostra representativa. Sua tarefa é disponibilizar dados completos da população para que a amostra seja válida (por exemplo, uma lista completa de novas contratações ao testar os controles de integração).

Capturas de tela manuais não são escaláveis. As ferramentas de automação de conformidade extraem evidências continuamente dos sistemas de nuvem e de identidade, mantendo-as atualizadas e reduzindo a pressão do período de auditoria.

Um bom relatório se comunica com clareza tanto com leitores técnicos quanto com executivos:

• Resumo executivo: postura geral e principais riscos.
• Escopo e metodologia.
• Constatações com gravidade e evidências.
• Recomendações e status da correção.

Adapte a mensagem ao público. Os executivos precisam conhecer os riscos e o impacto nos negócios; os engenheiros precisam de detalhes e etapas para reproduzir o problema. Evite jargões nos resumos e imprecisão nos detalhes técnicos.

Conserve as evidências pelo tempo exigido pela estrutura de conformidade e pela sua política, geralmente por um ano ou mais. Armazene-as com segurança e controles de acesso, pois as próprias evidências podem conter configurações confidenciais e dados pessoais.

O relatório é um ponto de partida, não o fim. Registre as constatações no sistema de acompanhamento de correções, elimine as causas-raiz e leve as lições para o próximo ciclo. Programas maduros apresentam, ao longo do tempo, uma tendência de queda nas constatações recorrentes.

Avalie a força das evidências.

Evidências e relatórios comprovam a conformidade:

• Reúna evidências relevantes, suficientes, confiáveis e oportunas.
• Adapte a profundidade às auditorias de um momento específico ou de um período.
• Mantenha a cadeia de custódia e assegure uma amostragem válida.
• Redija relatórios claros e encaminhe as constatações para correção.