O que deve concluir um relatório de etapa 1

Um relatório de etapa 1 que termina com uma lista de documentos analisados não fez seu trabalho. A etapa 1 existe para responder uma pergunta — este sistema pode ser auditado na etapa 2 e, se sim, como? — e o relatório precisa dizê-lo de forma que o auditor líder, o cliente e, mais adiante, o analista técnico possam agir.

As quatro conclusões que o relatório deve

A primeira é o escopo. Não repetir o que o cliente escreveu na solicitação, mas confirmá-lo contra o que a documentação realmente descreve: os sites, os processos, os produtos e serviços, e qualquer exclusão com a justificativa que a norma exige. Um escopo confirmado na etapa 1 é um escopo que não precisará ser renegociado durante a etapa 2.

A segunda é a prontidão. Há um punhado de coisas cuja ausência torna uma etapa 2 inútil: uma auditoria interna que tenha sido de fato realizada em todo o escopo, uma análise crítica pela direção que tenha ocorrido com insumos reais, e evidência de que o sistema roda há tempo suficiente para produzir registros. Um cliente com um manual lindo e sem auditoria interna não está pronto, e dizê-lo na etapa 1 sai mais barato para todos do que descobrir em campo.

A terceira são os pontos de atenção: os requisitos em que a documentação é rasa, ambígua ou inconsistente com o que o cliente diz fazer. Não são não conformidades — a etapa 1 não as levanta — são as perguntas que a etapa 2 precisa responder, priorizadas para que o plano de auditoria aloque tempo onde está o risco. A quarta é a consequência: se a etapa 2 segue como planejada, precisa de mais dias, precisa de outra competência na equipe, ou deve esperar.

Por que o intervalo importa

O relatório também precisa fixar o intervalo até a etapa 2, e dar ao cliente tempo de fechar o que a etapa 1 trouxe à luz. Curto demais e os pontos de atenção chegam sem resolver; longo demais e a foto que a etapa 1 pintou fica velha, o que em alguns esquemas obriga a repeti-la. Registrar o raciocínio do intervalo escolhido é parte do relatório, não um adendo.

As quatro conclusões saem da mesma leitura, e a leitura é a parte cara: centenas de páginas mapeadas requisito por requisito antes que alguém possa dizer se o sistema se sustenta. Fazer esse mapeamento completo e não por amostragem é onde o agente de Análise Documental ganha seu lugar — as conclusões seguem sendo do auditor, mas são tiradas sobre toda a documentação e não sobre o que deu tempo de ler.