Os passos
- Escolher o referencial e a sua edição, e definir o âmbito.
- Dividi-lo em requisitos que se possam verificar um a um.
- Reunir o que existe: documentos, registos, configurações.
- Entrevistar quem faz o trabalho.
- Classificar cada requisito com uma escala simples.
- Priorizar as lacunas pelo risco e pelos prazos legais ou contratuais.
- Redigir o plano de ação com responsáveis e datas.
Uma escala de classificação
- Cumprido: implementado, com evidência.
- Cumprido em parte: existe, mas incompleto, não documentado ou não comprovado.
- Não cumprido: ausente.
- Não aplicável: com a razão.
O que contém o relatório
- O âmbito, o referencial e a data.
- Um resumo por domínio.
- Cada lacuna: o requisito, o que foi visto e o que falta.
- As prioridades e o plano de ação.
Análise de lacunas ou auditoria?
Uma análise de lacunas prepara-o e procura encontrar tudo. Uma auditoria dá uma conclusão independente face a critérios. Uma análise de lacunas não lhe dá nenhum certificado, mas diz-lhe quando está pronto para um.
Perguntas
- Quem deve fazer uma análise de lacunas?
- Alguém que conheça o referencial e possa ver as evidências. As equipas internas podem fazê-la; um olhar externo ajuda quando a equipa construiu ela própria os controlos.
- Durante quanto tempo é válida uma análise de lacunas?
- É uma fotografia numa data. Repita-a após alterações significativas ou quando o referencial mudar.