A lógica do módulo
Um princípio atravessa o módulo do começo ao fim: afirmação sem prova não vale.
- Requisito conforme sem evidência é opinião.
- Controle descrito e nunca testado é intenção.
- Ação concluída e não verificada é esforço, não resultado.
Um programa bonito no papel e sem essas três provas é exatamente o programa que não resiste a uma fiscalização.
O Canal de Ética é o único item do painel inteiro que não aparece para administrador sem a permissão específica. No canal de ética, a simples existência de um caso já é informação: um item de menu que abrisse uma tela de "sem acesso" entregaria que o canal está em uso, às vezes para quem é objeto do caso.
Antes de começar
O mapa do menu
Conformidade legal
Programa
Integridade
Auditoria interna
Painel e diagnóstico
CompliancePainel
Os cartões do programa, o monitoramento contínuo, os riscos de maior nível e os avisos de configuração pendente.
- Resolva primeiro os avisos de Módulo ainda não configurado e de Canal de ética sem gestor.
- Leia o quadro O programa ainda não foi montado, que leva aos modelos prontos.
- Acompanhe o Monitoramento contínuo por severidade.
- Trate os Riscos de maior nível, começando pelos marcados como "sem controle".
- Use o Diagnóstico do Programa para medir a maturidade.
Do canal de ética o painel mostra só contagem, inclusive para quem tem a permissão: nenhum título, nenhum protocolo, nenhum nome. O conteúdo vive na tela do canal, e chegar lá passa pela trilha de leitura.
Risco alto mapeado e sem nada mitigando é risco que a empresa conhece e escolheu não tratar. É o que o comitê cobra primeiro.
Matriz legal
ComplianceConformidade legalMatriz Legal
Os requisitos por framework, com situação, criticidade, evidência e revisão, e as caixas Sem evidência e Revisão vencida.
- Cadastre o requisito com a base legal e o artigo.
- Informe a periodicidade: em branco significa obrigação contínua.
- Avalie o cumprimento e anexe a evidência, com vigência final quando ela vencer.
- Quando não se aplicar, desligue o interruptor e escreva a Justificativa da inaplicabilidade.
- Use as caixas Sem evidência e Revisão vencida na rotina.
Marcar "não se aplica" sem justificativa não é defensável numa auditoria, e o item volta como não conformidade. Excluir uma obrigação da matriz é decisão jurídica, e decisão jurídica tem que ter fundamento escrito.
A vigência final da evidência é o campo mais importante da janela: certidão vencida não prova nada, e é o tipo de coisa que passa despercebida por um ano inteiro.
Requisito marcado como "não se aplica" sai do denominador do indicador. Contar como pendente o que a empresa justificou não se aplicar faria a matriz nunca fechar.
Controles internos e testes
ComplianceConformidade legalControles Internos
Os controles com código, descrição, frequência e responsável, e os testes de efetividade com resultado e desvio.
- Cadastre o controle com Código e Nome.
- Na Descrição do controle, escreva o que é feito, por quem e com que evidência.
- Defina a frequência, que é o que determina o vencimento do próximo teste.
- Execute o Teste de Efetividade e registre o resultado.
- Quando houver desvio, descreva o Desvio encontrado.
- Abra a ação de remediação na hora, com o caso fresco.
Sem a descrição do desvio, o teste não gera remediação e vira carimbo. E teste com desvio sem ação aberta é achado esquecido: o monitoramento vai marcar o controle como desvio não tratado de qualquer forma.
A frequência não é decorativa. Escolher anual num controle que deveria ser mensal faz o sistema cobrar o teste onze meses depois do que deveria.
A coluna de controles nunca testados costuma ser a maior no primeiro mês: os controles prontos nascem assim de propósito, para aparecerem no topo da lista, que é onde o trabalho começa.
Riscos, acessos e privacidade
ComplianceConformidade legal
Os riscos de compliance com nível e controles associados, a revisão periódica de acessos e a frente de privacidade e LGPD.
- Mapeie os Riscos de Compliance e associe controles a cada um.
- Rode a Revisão de Acessos na periodicidade definida.
- Mantenha a frente de Privacidade e LGPD com os registros exigidos.
Programa: políticas, treinamentos e declarações
CompliancePrograma
As políticas com aceite, os treinamentos obrigatórios, as declarações e brindes e as campanhas de adesão.
- Publique a Política e acompanhe os aceites.
- Programe os Treinamentos e cobre os pendentes.
- Abra a janela de Declarações e Brindes no período definido.
- Use as Campanhas de Adesão para elevar a cobertura.
Política publicada sem aceite registrado não protege ninguém. O aceite é a prova de que a regra foi comunicada, e é ele que sustenta uma medida disciplinar depois.
Canal de ética e due diligence
ComplianceIntegridade
O canal de denúncias com apuração restrita e a due diligence de terceiros.
- Garanta que o canal tenha gestor definido.
- O gestor designa os apuradores de cada caso.
- Conduza a apuração com registro e prazo.
- Em Due Diligence de Terceiros, avalie o parceiro antes de contratar.
- Reavalie os terceiros na periodicidade definida.
Denúncia entrando em canal sem gestor é denúncia que ninguém apura: o caso fica visível apenas para quem o registrou.
Auditoria interna e governança
ComplianceAuditoria interna
O universo e o plano de auditoria, os trabalhos e papéis, os achados e follow-up, os KRIs, o painel do conselho, os incidentes e o comitê.
- Monte o Universo e Plano de auditoria do ciclo.
- Execute os Trabalhos e guarde os papéis.
- Registre os Achados e acompanhe o follow-up.
- Acompanhe os KRIs nos frameworks adotados.
- Prepare o Painel do Conselho e o Relatório do Comitê.
- Registre Incidentes e Remediação e as Deliberações do comitê.
Fluxos completos
Montar o programa do zero
- Carregue a biblioteca de frameworks na configuração.
- Defina o gestor do canal de ética.
- Monte a matriz legal com os requisitos aplicáveis.
- Cadastre os controles e agende os primeiros testes.
- Publique as políticas e programe os treinamentos.
- Ligue as regras de monitoramento contínuo, uma a uma.
- Leve o diagnóstico ao comitê.
Tratar um desvio de controle
- Execute o teste na frequência definida.
- Registre o resultado e descreva o desvio.
- Abra a ação de remediação na hora.
- Acompanhe o prazo e verifique a eficácia.
- Reteste o controle no ciclo seguinte.
Erros comuns e o que fazer
Perguntas frequentes
Por que o Canal de Ética não aparece no menu de todo administrador?
Porque a simples existência de um caso já é informação. Um item que abrisse uma tela de "sem acesso" entregaria que o canal está em uso, às vezes para quem é objeto do caso.
Posso declarar um requisito conforme sem anexar evidência?
Depende da trava configurada. Com ela ligada, a declaração é recusada. E mesmo sem a trava, conformidade sem evidência não se sustenta numa auditoria.
O que acontece com requisito marcado como "não se aplica"?
Ele sai do denominador do indicador, e por isso a justificativa é obrigatória. Sem fundamento escrito, o item volta como não conformidade.
Por que não consigo excluir um controle?
Porque ele tem teste registrado. O histórico do teste é a prova de que o controle funcionava; apagá-lo apagaria a defesa da empresa sobre aquele período. Desative em vez de excluir.
Nenhum alerta aparece no monitoramento. É erro?
Não. As regras nascem desligadas de propósito e são ligadas uma a uma na configuração.
Para onde ir depois
Última revisão: 19 de setembro de 2026