Quando as Folhas de Cálculo Deixam de Funcionar para o Compliance

Quase todos os programas de compliance começam da mesma forma: uma folha de cálculo com um separador por norma, um registo de riscos, talvez uma pasta partilhada para evidências. Funciona. Por algum tempo.

O problema não é que as folhas de cálculo sejam uma má ferramenta, são uma forma perfeitamente razoável de fazer um primeiro mapeamento de controlos. O problema é que não escalam com aquilo que um programa de compliance realmente precisa à medida que amadurece, e a maioria das equipas não repara no momento em que deixou de funcionar até uma auditoria o tornar óbvio.

Os sinais de que já aconteceu

Ninguém consegue dizer, com confiança, o que está realmente atualizado. Várias pessoas editam o mesmo ficheiro, ou pior, cópias dele. A versão que alguém abre na terça-feira não é a versão que outra pessoa atualizou na segunda. Já não há uma fonte única de verdade, apenas um ficheiro com aspeto de ser o mais recente.

A evidência vive noutro sítio qualquer. A folha de cálculo diz que um controlo está implementado; a prova real, uma captura de ecrã, uma política assinada, uma exportação de registos de acesso, está enterrada numa thread de email ou numa pasta pessoal. Quando um auditor a pede, alguém tem de andar à procura.

Nada avisa quando algo fica desatualizado. Um controlo que precisava de evidência renovada a cada trimestre não envia um lembrete. Fica ali, com bom aspeto na folha de cálculo, até alguém verificar a data manualmente, o que normalmente acontece mesmo antes de uma auditoria, não três meses antes, quando ainda havia tempo para corrigir.

Atualizar uma coisa significa atualizá-la em cinco sítios. Um controlo mapeia para várias normas, mas a folha de cálculo não tem qualquer noção dessa relação, por isso uma alteração é copiada à mão para o separador da ISO 27001, para o separador da SOC 2 e para o registo de riscos, se alguém se lembrar dos três.

Ninguém tem uma visão em tempo real de como as coisas estão. "Estamos prontos para auditoria" torna-se uma pergunta que demora uma tarde a responder, porque responder significa abrir todos os separadores e verificar todas as linhas, não olhar para um dashboard.

O que realmente a substitui

Nada disto significa que o trabalho de base muda, os controlos continuam a precisar de ser mapeados, a evidência continua a precisar de ser recolhida, os riscos continuam a precisar de ser acompanhados. O que muda é que uma folha de cálculo não tem noção de relações (este controlo satisfaz estas três normas), não tem noção de tempo (esta evidência expira nesta data), e não tem noção de responsabilidade (esta tarefa está atribuída a esta pessoa, e ela sabe disso).

Um espaço de trabalho construído à volta destas três coisas, relações entre controlos e normas, evidência com um prazo que é realmente cumprido, responsabilidade que aparece como uma tarefa real em vez de um nome numa célula, não se limita a organizar melhor a mesma informação. Elimina o trabalho manual de sincronização que estava, silenciosamente, a consumir horas todas as semanas, e significa que a resposta a "estamos prontos para auditoria" está sempre já calculada, não é algo que alguém tenha de ir descobrir.