Gerir Compliance numa Carteira de Clientes Sem Perder o Fio

Uma única empresa a gerir o seu próprio programa ISO 27001 tem um sistema de gestão para manter atualizado. Uma consultora a entregar essa mesma certificação a dez clientes tem dez, e o modo de falha é previsível: um modelo de folha de cálculo é copiado para dez pastas, cada uma começa imediatamente a divergir das outras, e seis meses depois já ninguém consegue dizer com confiança qual cliente está realmente pronto para auditoria sem abrir todos os ficheiros à mão.

A armadilha dos modelos

Os modelos parecem a resposta certa, no início. Um formato partilhado de registo de riscos, um conjunto partilhado de políticas, uma checklist de evidências partilhada. Funciona para os primeiros dois ou três clientes. A partir daí, cada versão de cada cliente foi editada de forma ligeiramente diferente, a evidência fica anexada a threads de email em vez de ao ficheiro, e atualizar um controlo em todos os clientes ativos significa abrir cada folha de cálculo uma a uma. O modelo não falhou por ser mau; falhou porque uma folha de cálculo não tem noção nenhuma de "o mesmo controlo mapeado em dez sistemas de gestão separados".

O que realmente precisa de escalar

Três coisas quebram primeiro à medida que a carteira de clientes de uma consultora cresce, e são as mesmas três que vale a pena resolver antes do décimo cliente, não depois:

Isolamento entre clientes. Os riscos, evidências e documentos de cada cliente têm de ficar no seu próprio espaço. Não é apenas uma questão de organização, é uma obrigação real: a evidência de auditoria de um cliente geralmente não deve estar visível para, nem misturável com, a de outro.

Visibilidade ao nível da carteira. O consultor, não só o cliente, precisa de ver rapidamente quais dos dez engagements estão no caminho certo e quais estão a três semanas de uma auditoria com lacunas em aberto. Essa visão não existe se a fonte de verdade forem dez folhas de cálculo diferentes em dez pastas diferentes.

Metodologia consistente, não ficheiros idênticos. O que deve ser partilhado entre clientes é a forma de trabalhar, bibliotecas de controlos, metodologia de risco, abordagem à documentação, não cópias literais do mesmo documento que divergem de imediato.

Como isto se traduz no dia a dia

Na prática, um espaço de trabalho por cliente com uma única consola sobre todos eles significa que uma atualização à metodologia de risco é aplicada uma vez e refletida em todo o lado, a evidência vive anexada ao controlo a que pertence em vez de perdida numa caixa de correio, e a resposta a "que clientes precisam de atenção esta semana" é um dashboard, não uma tarde a abrir folhas de cálculo. É todo o argumento a favor de infraestrutura de plataforma em vez de modelos: não porque as folhas de cálculo sejam pouco sofisticadas, mas porque não têm qualquer noção de "carteira", e todo o modelo de negócio de uma consultora assenta exatamente nesse conceito.