Auditor externo com usuário emprestado: o portal que mostra só o escopo

Segunda-feira, 8h, fábrica de autopeças, auditoria de certificação IATF. O auditor da certificadora pede as evidências de calibração dos instrumentos usados na inspeção final. O gerente da qualidade tem tudo no sistema, mas o auditor quer ver na tela, não em PDF impresso. A solução rápida: o gerente digita o próprio login no notebook do auditor e diz “fique à vontade”.

O auditor fica à vontade. Vê calibração. Vê também o custo de manutenção por linha, o cadastro de fornecedores com preço negociado, a lista de terceirizados com dados pessoais e uma solicitação de compra de um molde para o projeto de um cliente que ainda não foi anunciado.

Ele é profissional e não vai usar nada disso. Mas a empresa não tem como saber o que ele viu, e a auditoria de segurança da informação do mês seguinte vai perguntar exatamente isso: quem acessou o quê, com qual usuário, durante a certificação.

O que isso custa de verdade

Num cenário ilustrativo: um único dia de acesso indevido expõe dados de fornecedores, dados pessoais de terceiros e informação de projeto confidencial. Se um cliente descobre que o projeto dele foi visível a um terceiro, o custo é uma relação comercial. Se a LGPD entra na conversa, o custo é uma ocorrência que precisa ser reportada.

O custo operacional é menor, mas real: o gerente da qualidade passou o dia ao lado do auditor, navegando, buscando telas, abrindo relatórios. Um dia inteiro de uma pessoa sênior servindo de guia turístico do sistema.

E há o custo da alternativa “segura”: imprimir tudo. Pastas de evidência, horas de impressão, e a pergunta do auditor que sempre vem: “esse documento foi alterado depois de impresso?”

Por que acontece

A maioria dos sistemas conhece dois tipos de usuário: quem tem acesso e quem não tem. Não existe um terceiro tipo: quem tem acesso a uma fatia, por um tempo, só para ler. Como não existe, a empresa improvisa. Empresta um login, cria um “usuário auditor” genérico que ninguém desativa depois, ou imprime.

O login emprestado destrói a trilha. Tudo o que o auditor fez fica registrado como se fosse o gerente da qualidade. Se algo for alterado por engano, não há como separar.

E o auditor não sabe onde procurar. O sistema foi feito para quem trabalha nele todo dia, não para quem chega de fora com uma lista de requisitos e três dias de prazo.

O que fazer a partir de segunda-feira

1. Proíba o empréstimo de login. Regra escrita, sem exceção. Quem precisa de acesso recebe um usuário próprio.
2. Crie um perfil “auditor”: somente leitura, com acesso restrito às telas de evidência. Sem custo, sem compras, sem dados pessoais além do necessário.
3. Dê ao acesso uma janela. Começa no primeiro dia da auditoria, termina no último. Expira sozinho.
4. Organize a evidência antes, por requisito da norma. O auditor pede “7.1.5 recursos de monitoramento e medição”; a resposta deve ser uma pasta, não uma busca.
5. Registre a atividade do auditor. O que ele abriu, quando. É a resposta para a auditoria de segurança da informação.
6. Depois da auditoria, revogue e revise. O que o auditor pediu e não achou é a lista de melhoria da próxima.

Como fica no ArkhiX

O Portal de Auditoria do Hub é o terceiro tipo de usuário que faltava: acesso do auditor externo, somente leitura, com janela e escopo. O gerente da qualidade define o que o auditor pode ver, por norma e por período, e o acesso expira na data combinada. O auditor não entra no sistema inteiro; entra num portal com a evidência organizada, e nada mais.

A evidência já está organizada porque a regra “conversa com” fez o trabalho antes: a auditoria ISO puxa a evidência da Qualidade, da Metrologia, do ArkhiManus, do ArkhiDocs. O documento assinado é evidência. A documentação da contratada aparece no escopo se a norma pede. O pacote por norma da ferramenta Auditoria alimenta o portal com a trilha de 5 anos, então a pergunta “isso foi alterado depois?” tem resposta com data e usuário.

Toda atividade do auditor fica registrada. O que abriu, quando, por quanto tempo. Quando a auditoria de segurança da informação perguntar, a resposta está no Registro de Logs. E o gerente da qualidade recupera o dia: o auditor navega sozinho, e ele só é chamado para a pergunta que exige explicação.

Checklist

• Na última auditoria externa, o auditor usou um login próprio?
• Existe um perfil somente-leitura restrito a evidências?
• O acesso do auditor expira sozinho ao fim da auditoria?
• A evidência está organizada por requisito da norma antes de o auditor chegar?
• Você sabe o que o último auditor abriu no sistema?
• Alguém da sua equipe passou o dia inteiro guiando o auditor pelas telas?

Se o próximo auditor vai entrar com o login de alguém, vale ver como fica um portal que mostra só o escopo, com as evidências da sua própria planta.