A perspetiva da Cyber Academy
Uma não conformidade é a constatação, por parte do auditor, de que um requisito não está a ser cumprido. As NC maiores colocam em risco a certificação; as NC menores exigem um plano de ações corretivas com prazo definido. NC menores repetidas na mesma área podem escalar para maior na auditoria de vigilância seguinte. O objetivo não é zero NC; é uma ação corretiva honesta e rastreável.
O que é realmente uma não conformidade
Uma não conformidade registra uma lacuna entre o que um requisito exige e o que um auditor consegue constatar na prática. O requisito pode vir da própria norma (por exemplo, uma cláusula da ISO/IEC 27001), de um controle que você declarou aplicável na sua Declaração de Aplicabilidade, ou da sua própria política documentada. Se você o escreveu e se comprometeu com ele, um auditor pode cobrá-lo. Esse último ponto pega as equipes desprevenidas: prometer demais numa política cria não conformidades que a norma sozinha nunca teria gerado.
Uma não conformidade não é o mesmo que uma observação ou uma oportunidade de melhoria. Uma observação sinaliza algo que o auditor quer deixar registrado sem afirmar que um requisito está sendo violado. Uma não conformidade é uma afirmação definitiva de que um requisito não é cumprido, respaldada por evidência objetiva como um registro, uma entrevista ou um artefato ausente. A distinção importa porque apenas as não conformidades obrigam a uma resposta formal.
Maior versus menor, e como as menores escalam
Os auditores classificam as constatações pelo impacto no sistema de gestão, não por quanto o incomodam. Uma não conformidade maior significa que um requisito está fundamentalmente ausente, ou que uma falha é generalizada o suficiente para minar a confiança de que o sistema funciona. As maiores colocam em risco a decisão de certificação e geralmente têm de ser encerradas antes que a certificação ou a recertificação possa prosseguir. Uma não conformidade menor é um lapso isolado num processo que de resto funciona: uma única análise crítica ausente, um registro que não foi assinado.
A armadilha é tratar as menores como inofensivas. A mesma constatação menor na mesma área, auditoria após auditoria, diz ao auditor que a sua ação corretiva nunca resolveu a causa raiz. Na auditoria de acompanhamento seguinte esse padrão pode ser reclassificado como maior, porque um controle que continua falhando da mesma forma não está realmente operando.
| Aspecto | NC menor | NC maior |
|---|---|---|
| Abrangência | Lapso isolado e contido | Ausência sistêmica ou total de um requisito |
| Efeito no certificado | O certificado normalmente prossegue | Pode bloquear ou suspender a certificação |
| Resposta exigida | Plano de ação corretiva com um prazo | Frequentemente correção mais reverificação no local ou por evidência |
| Se repetida | Pode escalar para maior da próxima vez | Já no topo da escala |
O que os profissionais realmente fazem com uma
Encerrar bem uma não conformidade é um processo, não um pedido de desculpas. O padrão reconhecido é correção, depois ação corretiva, depois verificação da eficácia. A correção é o reparo imediato do caso específico que o auditor encontrou. A ação corretiva é o movimento mais profundo: uma análise de causa raiz que explica por que a lacuna existia e uma mudança que impede sua reincidência. A verificação confirma, com evidência e depois de transcorrido tempo suficiente, que a mudança de fato se sustentou.
Cada um desses elementos pertence a um plano de ação corretiva com um responsável e um prazo realista que o auditor aceite. A evidência que você apresenta deve permitir que alguém que não estava na sala reconstrua o que aconteceu e confirme que está encerrado. É aqui que a honestidade compensa: um auditor prefere ver um pequeno número de ações corretivas bem rastreadas a um relatório de aparência impecável que não resiste ao escrutínio.
Frequently asked questions
01Qual é a diferença entre uma não conformidade e uma observação?
Uma observação anota algo que vale a pena registrar sem afirmar que um requisito está sendo violado. Uma não conformidade é uma constatação definitiva, respaldada por evidência objetiva, de que um requisito não é cumprido e que, portanto, exige uma ação corretiva formal.
02Uma não conformidade menor vai nos impedir de obter a certificação?
Normalmente não por si só. A certificação geralmente prossegue assim que você apresenta um plano de ação corretiva aceito com um prazo. A não conformidade maior é a que pode bloquear ou suspender o certificado.
03Uma não conformidade menor pode se tornar maior?
Sim. A mesma constatação menor que reaparece na mesma área ao longo das auditorias sinaliza que a sua ação corretiva nunca chegou à causa raiz, de modo que o auditor pode reclassificá-la como maior na auditoria de acompanhamento seguinte.
04O que é necessário para encerrar uma não conformidade?
A correção do caso específico, uma ação corretiva que aborde a causa raiz para que ela não se repita, e a verificação com evidência de que o reparo de fato se sustentou. Os três entram num plano de ação corretiva com um responsável e um prazo.
05Devemos buscar zero não conformidades?
Não. Um pequeno número de constatações identificadas com honestidade, cada uma com uma ação corretiva rastreável, é um sinal mais saudável do que um relatório impecável. Zero constatações muitas vezes significa que o sistema não está sendo genuinamente colocado à prova.