Saíram da auditoria interna com 30 não conformidades. Trinta. Para empresa grande, talvez fosse um número a processar. Para aquela software house, foi um soco no estômago.
A reação comum nessa hora é fazer o que a maioria faz: abrir planilha, distribuir apontamentos para cada responsável e sair corrigindo documento. Só que corrigir documento não trata não conformidade. Esconde. E a empresa descobre na auditoria seguinte, quando o mesmo apontamento volta com outro nome.
Aqui está o ponto que este artigo defende: não conformidade não se corrige. Não conformidade se trata. Corrigir é remover o sintoma. Tratar é remover a causa e provar que ela não volta.
O erro mais comum: transformar tratamento em maquiagem de documento
O erro número um no tratamento de NC é confundir correção com ação corretiva. Correção é o remendo. Ação corretiva é a mudança no processo que impede o problema de se repetir.
Já vi não conformidade de acesso de ex-colaborador voltar três auditorias seguidas. Em todas, a empresa fez o mesmo: revogou o acesso, respondeu "corrigido" e arquivou. O problema voltava porque o processo de desligamento continuava sem o passo de revogação. O sintoma sumia. A causa ficava.
A verdade dura: se a sua resposta para uma não conformidade é só "ajustamos o documento", você não tratou nada. Você maquiou. E maquiagem não passa em auditoria.
O que é uma não conformidade de verdade
Não conformidade é o não atendimento a um requisito. Pode ser um requisito da norma, uma cláusula da sua própria política ou um controle que você definiu e não executou. A ISO 27001 não exige zero não conformidade. Exige que, quando existir, você trate. A questão é como.
Não conformidade maior
É o apontamento que compromete o SGSI ou expõe um controle obrigatório ausente. Exemplos: análise de risco nunca documentada, backup sem teste de recuperação, acesso de ex-colaborador ativo. Na auditoria externa, NC maior trava a certificação até ser resolvida.
Não conformidade menor
É uma falha pontual, um desvio isolado que não derruba o sistema. Exemplos: registro de treinamento incompleto, evidência desatualizada, documento sem revisão. Menor não significa irrelevante. Várias menores no mesmo processo viram uma maior.
Observação
Não é não conformidade. É oportunidade de melhoria. O auditor aponta algo que funciona, mas poderia ser mais eficiente ou mais seguro. Observação não trava certificado, mas ignorar todas elas diz muito sobre a maturidade da empresa.
O ciclo que de fato resolve
O tratamento de uma não conformidade tem quatro etapas. Pular uma delas é enganar a si mesmo.
1. Correção imediata
É o que você faz agora para conter o efeito do problema. Desativar o acesso indevido, refazer o backup, publicar o documento. A correção remove o sintoma. Ela é necessária, mas não é suficiente.
2. Análise de causa raiz
É a etapa que a maioria pula. Perguntar "por quê" até chegar à origem. Por que o acesso do ex-colaborador ficou ativo? Porque o desligamento não inclui revogação. Por que não inclui? Porque não existe checklist de offboarding. Aí está a causa.
3. Ação corretiva
É a mudança que elimina a causa. Criar o checklist de desligamento, incluir a revogação de acesso no SLA da área responsável, automatizar o bloqueio. A ação corretiva muda o processo, não só o documento.
4. Verificação de eficácia
Depois de um período, você audita de novo para confirmar que o problema não voltou. Sem verificação de eficácia, você assume que tratou. Assumir não é evidência.
O resumo em uma linha: correção é o sintoma, ação corretiva é a causa. A maioria das empresas para na primeira e chama de tratamento.
Os números: a redução só aconteceu com tratamento
Na implantação em que a primeira auditoria interna fechou com 42 não conformidades, a redução para 10 e depois para 2 não veio porque alguém escreveu "concluído" na planilha. Veio porque cada apontamento passou pelo ciclo completo. As 42 viraram 42 análises de causa, 42 ações corretivas e, nas rodadas seguintes, a auditoria confirmou que os problemas não voltavam. Foi esse trabalho que enxugou a lista para 10 e depois para 2.
Redução de não conformidade não é sorte. É consequência de tratamento sistemático.
O que fazer quando você tem 30 não conformidades
O primeiro instinto quando a auditoria fecha com 30 NCs é atacar tudo ao mesmo tempo. Errado. Trinta apontamentos têm gravidades diferentes, causas diferentes e níveis de risco diferentes. Tratamento precisa de prioridade.
- Classifique por risco: qual NC pode gerar impacto real se não for tratada? Essa vem primeiro.
- Agrupe por causa: muitos apontamentos nascem da mesma causa raiz. Dez NCs podem ser resolvidas com uma única ação corretiva estrutural.
- Defina responsável e prazo: cada NC precisa de dono e data. Sem isso, a planilha vira enfeite.
- Trate a causa antes de responder à auditoria: evidência de correção sem análise de causa raiz é insuficiente em organismo sério.
Checklist: sua ação corretiva resolve mesmo?
Para cada não conformidade, responda:
- Você identificou a causa raiz ou só descreveu o sintoma?
- A ação corretiva muda um processo ou só corrige um documento?
- Existe evidência que comprova a implementação?
- Alguém verificou depois que o problema não voltou?
- Cada apontamento tem responsável, prazo e situação?
Se você respondeu não para pelo menos duas, a NC vai voltar. Talvez com outro nome. Mas vai voltar.
Vale para a ISO 27701 também
Na ISO 27701, a mesma lógica se aplica. A diferença é que a causa raiz das não conformidades de privacidade quase sempre está em processo que não foi desenhado para a LGPD: resposta a direitos dos titulares sem prazo, consentimento registrado de forma incorreta, compartilhamento sem base legal documentada. O ciclo de correção, causa raiz, ação corretiva e verificação de eficácia é o mesmo.