Uma auditoria é uma pasta que alguém monta de madrugada

Três semanas antes de o auditor chegar, alguém no time abre uma planilha com duzentas linhas. Cada linha é um controle: o acesso é revisado trimestralmente, os backups são testados, os fornecedores têm risco avaliado. Cada um precisa de um pedaço de papel que prove que aconteceu. A prova existe, em algum lugar. Num sistema de tickets, numa thread de Slack, num PDF assinado numa pasta que ninguém nomeou bem, num e-mail de fevereiro. O trabalho das próximas três semanas é ir achar todos os duzentos pedaços de papel antes de o auditor pedir o primeiro.

Essa é a auditoria inteira. Não um teste de se a empresa é bem administrada. Uma caça ao tesouro por evidência que a empresa já produziu, contra um relógio.

Uma auditoria não é um teste da sua conformidade. É uma corrida contra o prazo para achar a prova que você já tem.

Este post é sobre por que essa reformulação importa, e por que o trabalho de preparar uma auditoria é quase exatamente o tipo de trabalho que software deveria fazer, e quase nunca faz.

A versão ingênua: monte a pasta à mão, na semana anterior

Aqui está como de fato acontece na maioria das empresas, e acontece assim em empresas com funções reais de compliance, não só nas desleixadas.

O framework te entrega uma lista de controles. Alguém, geralmente uma pessoa cujo trabalho de verdade é outra coisa, vira o dono da auditoria por acidente. Ela imprime a lista, ou a cola numa planilha, e começa a percorrê-la linha por linha. Para cada controle ela faz as mesmas duas perguntas: nós fizemos esta coisa? e onde está a coisa que prova que fizemos?

A primeira pergunta geralmente é sim. A segunda é onde a semana vai embora. A revisão de acesso aconteceu, mas a prova é um screenshot numa thread de um gestor que agora está de férias. O teste de backup rodou, mas o único registro é um check verde numa ferramenta que não exporta, então alguém tem que tirar um screenshot do screenshot. A avaliação de fornecedor existe para onze dos quatorze fornecedores, e ninguém consegue dizer imediatamente quais três faltam sem ler todos os quatorze.

Então o dono da auditoria passa os dias antes do prazo fazendo três trabalhos de uma vez, mal, tudo à mão: montando a evidência, mapeando cada peça ao controle que ela satisfaz, e caçando os gaps. E ele faz a caça por último, porque caçar é a parte que você não consegue planejar, você só descobre a avaliação de fornecedor faltante quando já perseguiu as outras treze.

O custo não são os screenshots. O custo é o timing. Você descobre o que falta no exato momento em que tem menos tempo para consertar. O gap que precisava de duas semanas de remediação aparece com dois dias restantes, porque ninguém estava procurando até a pasta estar quase cheia.

A prova existia. A conformidade era real. A auditoria ainda doeu, porque achar a prova era um trabalho manual feito contra um prazo, pela pessoa errada, na hora errada.

O que o trabalho de fato é, quando você o nomeia com clareza

Tire o estresse e uma preparação de auditoria são três operações, e só três.

Coletar. Reúna a evidência que já existe em cada sistema que a empresa toca, tickets, logs, documentos assinados, calendários, os registros de coisas que aconteceram.

Mapear. Conecte cada peça de evidência ao controle específico que ela satisfaz. Este controle, esta prova, esta data. Uma pilha de evidência não é uma pasta. Uma pasta é evidência com o mapeamento feito.

Sinalizar. Encontre os controles sem prova por trás deles, ou com prova desatualizada, ou com prova quase-mas-não-bem o que o auditor vai aceitar. Traga esses à tona como gaps enquanto ainda há pista de pouso para fechá-los.

Repare no que não está nessa lista. O juízo sobre se um controle limítrofe realmente passa. A decisão de aceitar um controle compensatório em vez do literal. A assinatura que diz ao auditor eu, um humano responsável, atesto que isso é verdade. Nada disso é coletar-mapear-sinalizar. Tudo isso é a parte que uma pessoa deveria manter.

A correria ingênua da semana anterior falha porque faz as três operações mecânicas à mão, lentamente, tarde, e em série, e deixa ao humano quase nenhum tempo para a única operação que de fato é dele. A reformulação é a correção inteira: tire coletar, mapear e sinalizar do prato do humano, rode-as continuamente em vez de em pânico, e entregue ao humano uma pasta já montada com os gaps já circulados.

Uma auditoria não é um teste da sua conformidade. É uma corrida contra o prazo para achar a prova que você já tem. Então pare de correr. Tenha a prova já achada.

Como a Apollo faz: um brain que já guarda a evidência

A razão de isso ser difícil com software comum é que a evidência está espalhada, e nenhuma ferramenta sozinha consegue ver tudo. Seu sistema de tickets sabe que as revisões de acesso aconteceram. Seu calendário sabe que o treinamento de segurança foi realizado. Seu repositório de documentos guarda as políticas assinadas. Seus logs de infraestrutura sabem que os backups rodaram. Cada sistema guarda um terço da história, e a pasta precisa da inteira.

A correção ingênua são integrações, conectar a ferramenta de auditoria a todos eles com conectores frágeis e torcer para que os schemas não derivem. Isso é uma confissão de que os dados nunca estiveram num lugar só, para começar. Funciona até uma ferramenta mudar seu formato de exportação, e então a linha fica em silêncio e ninguém percebe até a semana da auditoria.

A versão da Apollo parte de um lugar diferente: a evidência já está no company brain. Porque a Apollo é construído para que o trabalho aconteça na plataforma, as tarefas, os agendamentos, os documentos, os registros de coisas feitas, a prova não está espalhada por uma dúzia de ferramentas que precisam de conexão. Ela é o resíduo do trabalho que já rodou pelo sistema. A revisão de acesso não foi um screenshot para caçar; foi uma tarefa recorrente que a plataforma rodou e registrou. A avaliação de fornecedor não foi um PDF numa pasta; foi um registro com uma data.

Então um agent da Apollo preparando uma auditoria não vai vasculhar. Ele lê o framework de controles, e para cada controle consulta o brain pela evidência que o satisfaz. Ele constrói o mapeamento. E então, esta é a parte que paga a coisa inteira, ele lista os controles onde a consulta voltou vazia.

Essas consultas vazias são os gaps. E elas aparecem no primeiro dia da preparação, não no décimo nono.

Por que sinalizar cedo é o produto inteiro

As pessoas presumem que o valor aqui é a montagem, o agent fazendo a coleta chata para que um humano não precise. A montagem é boa. Não é o ponto.

O ponto é quando você descobre o que está quebrado.

Rode a preparação à mão e os gaps se revelam na ordem em que você por acaso os encontra, ou seja, no fim, quando a pasta está quase pronta e o prazo está quase aqui. Suponha que um controle precise de uma remediação que leva duas semanas, uma política que tem que ser escrita, revisada e adotada. Se você descobre esse gap com três dias restantes, o achado da auditoria agora é inevitável. Não porque você não estava em conformidade em espírito, mas porque você descobriu tarde demais para consertar o papel.

A Apollo inverte a ordem. O agent checa cada controle contra o brain continuamente, não na semana anterior, mas como um trabalho permanente. No momento em que a evidência de um controle fica faltante ou desatualizada, ela é sinalizada, semanas à frente de qualquer prazo. A remediação de duas semanas ganha suas duas semanas. O dono da auditoria entra na auditoria de verdade com a pasta cheia e os gaps já fechados, ou, para os gaps que não dá para fechar a tempo, com um plano documentado em vez de uma surpresa.

Essa é a diferença entre um simulado de incêndio e um estado estável. A correria da semana anterior trata a auditoria como um evento. A Apollo trata compliance como uma propriedade que a empresa mantém continuamente e pode provar sob demanda, para que a auditoria deixe de ser um prazo e vire um trabalho de impressão.

E quando o auditor pede as revisões de acesso do último trimestre, a resposta não é me dê três dias. É aqui estão elas, mapeadas ao controle, com as datas.

A linha que a Apollo não cruza

Há uma versão disso que exagera, e vale nomear para que fique claro que a Apollo não é ela.

O exagero é o agent que decide que a auditoria passou. Que lê um controle limítrofe, julga que a evidência é boa o suficiente, marca de verde, e segue em frente. Essa é exatamente a autoridade que uma função de compliance nunca deve entregar a software, porque o ponto inteiro de uma auditoria é que um humano responsável fica por trás da afirmação. Um atestado assinado por ninguém não vale nada.

Então a Apollo para um passo antes, de propósito. O agent coleta. O agent mapeia. O agent sinaliza. O agent monta a pasta e circula os gaps e até rascunha o plano de remediação. O que ele não faz é assinar. O controle limítrofe é trazido para uma pessoa, “esta prova é mais velha do que a política exige; aqui está o controle, aqui está o que encontrei, você decide se ela se sustenta”. O juízo de controle compensatório permanece humano. O atestado permanece humano.

Isso não é uma limitação que a Apollo está contornando. É a forma correta do trabalho. Os noventa por cento mecânicos, a coleta, o mapeamento, a caça, são genuinamente trabalho de software, e fazê-los à mão sempre foi um desperdício de uma pessoa cuidadosa. Os dez por cento de juízo, isso conta, e vou colocar meu nome nisso, são genuinamente trabalho do humano, e automatizá-los seria um tipo de fraude. O produto é o corte limpo entre eles.

A virada: devolva ao cuidadoso o seu juízo

Aqui está a parte que não é sobre auditorias.

Toda função de compliance tem pelo menos uma pessoa que é boa exatamente na coisa que importa, o juízo sobre se um controle realmente se sustenta, se um risco é realmente aceito, se a empresa pode honestamente ficar por trás do próprio atestado. Essa pessoa é rara e valiosa. E na maioria das empresas, você gasta as três semanas dela antes de uma auditoria em screenshots.

Essa é a tragédia silenciosa da pasta manual. Não que o trabalho seja difícil, mas que ele consome a única pessoa cujo juízo você de fato precisava, e o consome na parte que não precisa de juízo nenhum. Quando ela chega às decisões que só ela pode tomar, está exausta e sem pista de pouso, fazendo as chamadas mais importantes do ciclo no pior estado possível, que é a mesma armadilha que a inbox da manhã arma, uma altitude acima.

A promessa não é um agent que passa na sua auditoria. É um agent que faz a coleta, o mapeamento e a caça, continuamente, cedo, sem prazo, para que, quando a auditoria chegar, a pessoa cuidadosa gaste o tempo dela nas chamadas que só um humano pode assinar, e não em achar um screenshot que um gestor tirou em fevereiro.

Uma auditoria não é um teste da sua conformidade. É uma corrida contra o prazo para achar a prova que você já tem. A correção nunca foi correr mais rápido. Foi ter a prova já achada, os gaps já circulados, e uma pessoa descansada o suficiente para decidir no que colocar seu nome.

---

É isso que estamos construindo na Apollo Space, não um agent que atesta por você, mas um company brain que já guarda a evidência, um agent que a mapeia a cada controle e sinaliza os gaps semanas antes, e uma linha limpa na assinatura onde o humano permanece no comando. Se você já montou uma pasta de madrugada, você já sabe que o trabalho nunca foi a prova. Foi achá-la a tempo.