Auditar um processo novo sem histórico de dados pode parecer um grande desafio para o auditor interno.

Afinal, como avaliar o desempenho, identificar tendências ou verificar a eficácia de um processo quando ainda não existem meses ou anos de indicadores, registros e resultados para analisar?

A resposta começa pela compreensão de que uma auditoria não depende exclusivamente de dados históricos.

Quando um processo é novo, a abordagem do auditor precisa mudar.

Em vez de concentrar a análise em tendências de desempenho já consolidadas, é necessário avaliar se o processo foi adequadamente planejado, implementado e controlado, quais riscos foram considerados e se já existem evidências de que os controles definidos estão sendo aplicados.

Nesse cenário, o auditor passa a buscar evidências de que aquilo que foi planejado chegou à prática e de que existem mecanismos capazes de acompanhar os resultados à medida que o processo amadurece.

Isso não significa antecipar uma conclusão sobre a eficácia futura do processo.

Significa avaliar se as condições, os controles e os mecanismos de acompanhamento previstos foram efetivamente implementados e se existem evidências iniciais que permitam avaliar seu funcionamento.

Portanto, é possível auditar um processo novo mesmo sem histórico consolidado de dados.

O segredo está em saber quais evidências procurar, como construir a trilha de auditoria e até onde as evidências disponíveis permitem chegar em uma conclusão.

1. Por que é desafiador auditar um processo recém-implantado?

Processos novos geralmente ainda estão em fase de estabilização.

As pessoas estão se adaptando às novas atividades, os controles podem ter sido implementados recentemente e alguns indicadores ainda não possuem dados suficientes para permitir análises de tendência ou comparações consistentes.

Isso não significa que o processo não possa ser auditado.

Significa apenas que a natureza das evidências disponíveis será diferente.

Imagine, por exemplo, que uma empresa tenha acabado de implementar um novo processo de inspeção de equipamentos.

Ainda não existem seis ou doze meses de registros para avaliar tendências de falhas.

Mesmo assim, o auditor pode investigar:

• se o processo foi definido;
• se seus objetivos e resultados esperados estão claros;
• se as responsabilidades foram estabelecidas;
• se os critérios de inspeção foram definidos;
• se os profissionais possuem orientação e competência para executar as atividades;
• se os registros previstos começaram a ser gerados;
• se os recursos necessários estão disponíveis;
• se os riscos relevantes foram identificados;
• se os controles previstos foram implementados;
• se esses controles já apresentam evidências de aplicação.

Perceba que, nesse caso, a auditoria não fica limitada pela ausência de histórico.

O foco passa a estar em planejamento, implementação, riscos, controles, evidências iniciais e mecanismos de monitoramento.

Essa mudança de abordagem é fundamental para evitar dois erros:

deixar de auditar um processo porque ele é novo ou exigir evidências históricas que, considerando o tempo de operação, ainda não poderiam existir.

O auditor precisa avaliar o processo dentro de seu contexto e de seu nível de maturidade, sem reduzir o rigor da auditoria e sem exigir aquilo que ainda não seria razoavelmente aplicável.

2. O que caracteriza um processo novo?

Antes de definir como auditar um processo novo, é importante entender o que pode ser considerado novo para efeito da auditoria.

Nem sempre estamos falando de uma atividade criada do zero.

Existem diferentes situações em que um processo pode não possuir histórico suficiente ou em que os dados anteriores podem não representar adequadamente sua condição atual.

Processo recém-criado

É o caso mais evidente.

A organização criou uma atividade que anteriormente não existia e começou a executá-la recentemente.

Como ainda não há dados consolidados, a auditoria deve verificar principalmente como esse processo foi planejado, implementado, controlado e preparado para ser monitorado.

Processo alterado significativamente

Um processo existente também pode assumir características de um processo novo quando passa por mudanças relevantes.

Uma nova tecnologia, alteração na sequência das atividades, mudança de responsabilidades, modificação dos critérios de controle ou mudança significativa no método de trabalho pode alterar substancialmente a forma como o processo funciona.

Nesse caso, os dados históricos podem continuar existindo, mas talvez não representem a realidade atual do processo.

O auditor precisa entender o que mudou e avaliar se os riscos, controles, responsabilidades e formas de monitoramento foram revistos de maneira compatível.

Novo produto, serviço ou tecnologia

A introdução de um novo produto, serviço ou tecnologia também pode exigir uma abordagem diferenciada.

Mesmo que algumas etapas sejam semelhantes às anteriores, podem surgir novos riscos, requisitos, competências, recursos e controles.

Por isso, não basta assumir que os controles anteriormente utilizados continuam adequados.

O auditor precisa verificar como a organização avaliou o impacto da mudança e quais controles foram definidos ou revisados.

Processo transferido de outra unidade

Um processo pode existir há anos em uma unidade e ser considerado novo para outra.

Isso acontece, por exemplo, quando uma organização transfere uma operação, equipamento, tecnologia ou método de trabalho para uma nova unidade.

O fato de o processo possuir histórico em outro local não significa que ele tenha sido implementado da mesma forma ou com os mesmos resultados no novo contexto.

Condições operacionais, infraestrutura, pessoas, requisitos locais e interfaces podem ser diferentes.

O auditor precisa verificar como ocorreu a implantação local e se os controles necessários foram adequadamente transferidos, adaptados e incorporados à rotina.

3. O que muda na abordagem do auditor?

Quando existe um histórico consolidado, o auditor pode utilizar informações como:

• indicadores;
• tendências;
• reclamações;
• resultados de auditorias anteriores;
• registros de ocorrências;
• não conformidades;
• retrabalhos;
• falhas;
• resultados de análises anteriores.

Essas informações ajudam a identificar padrões e direcionar a auditoria para pontos que merecem maior aprofundamento.

Em um processo novo, parte dessas informações pode ser inexistente ou ainda insuficiente.

Por isso, a pergunta deixa de ser apenas:

“Quais resultados esse processo apresentou?”

E passa também a ser:

“Como esse processo foi estruturado para alcançar os resultados pretendidos e quais evidências já demonstram sua implementação?”

Essa mudança altera o foco da auditoria.

O auditor deve dedicar menos atenção às tendências que ainda não podem ser demonstradas e maior atenção à implementação, aos riscos, aos controles e às evidências iniciais disponíveis.

Isso inclui investigar se:

• as atividades estão sendo executadas conforme planejado;
• os responsáveis conhecem suas atribuições;
• os critérios de execução estão definidos;
• os controles previstos foram implementados;
• os riscos relevantes foram considerados;
• os registros necessários estão sendo gerados;
• os profissionais possuem competência para realizar as atividades;
• existem mecanismos para identificar desvios;
• existem mecanismos para acompanhar o desempenho;
• há critérios definidos para agir quando os resultados não forem satisfatórios.

Um processo pode ainda não possuir evidência suficiente para demonstrar eficácia sustentada ao longo do tempo.

Mas já pode ser possível avaliar se aquilo que foi planejado foi implementado, se os controles estão funcionando conforme previsto e se existem mecanismos para monitorar os resultados.

Esse é um dos principais cuidados ao auditar processos novos:

diferenciar aquilo que ainda não pode ser concluído por falta de maturidade daquilo que deveria ter sido implementado e não foi.

4. Como preparar uma auditoria de um processo novo?

Uma boa preparação ganha ainda mais importância quando não existe histórico consolidado de dados.

Antes de iniciar a auditoria, o auditor precisa compreender:

o que o processo pretende entregar + quais riscos podem comprometer esse resultado + quais controles foram definidos + quais critérios precisam ser atendidos.

Essa lógica ajuda a construir uma trilha de auditoria baseada em risco e evita que a avaliação fique restrita a uma lista genérica de perguntas.

Entenda o objetivo do processo

Antes de elaborar perguntas ou um checklist, procure compreender por que o processo existe.

Qual resultado ele deve entregar?

Quem utiliza sua saída?

Qual é sua finalidade dentro da organização?

Quais requisitos precisam ser atendidos?

Sem entender o objetivo, o auditor corre o risco de avaliar atividades isoladas sem compreender se elas realmente contribuem para o resultado esperado.

Identifique entradas, saídas, atividades e responsáveis

Mapeie o processo.

Quais são suas entradas?

De onde elas vêm?

Quais atividades transformam essas entradas?

Qual é a saída esperada?

Quem recebe essa saída?

Quem é responsável por cada etapa?

Quais interfaces existem com outros processos?

Esse entendimento ajuda o auditor a construir uma trilha de auditoria coerente, conectando uma evidência à outra e evitando avaliações fragmentadas.

Levante os requisitos aplicáveis

Um processo novo pode estar sujeito a diferentes critérios, como:

• normas de gestão;
• requisitos legais;
• requisitos de clientes;
• procedimentos internos;
• especificações técnicas;
• requisitos contratuais;
• políticas;
• critérios definidos pela própria organização.

O auditor precisa conhecer os critérios aplicáveis antes de avaliar a conformidade do processo.

Afinal, não é possível concluir que algo está conforme ou não conforme sem saber qual requisito está sendo utilizado como referência.

A lógica deve permanecer clara:

critério → processo → evidência → conclusão.

Conheça os riscos e controles previstos

Se o processo ainda não possui histórico, a análise de riscos pode ser uma importante fonte para direcionar a auditoria.

Pergunte:

O que pode comprometer o resultado deste processo?

Quais falhas foram consideradas?

Quais consequências podem ocorrer?

Quais controles foram definidos para prevenir, detectar ou tratar essas situações?

A partir daí, a auditoria pode seguir uma trilha como:

risco → controle → aplicação → evidência → resultado observado.

Essa abordagem permite aprofundar pontos relevantes mesmo quando ainda não existe histórico suficiente para demonstrar tendências.

5. Quais evidências podem ser avaliadas em um processo novo?

A falta de histórico não significa falta de evidências.

Esse é um dos conceitos mais importantes para quem precisa auditar um processo novo.

O auditor pode utilizar diferentes fontes para verificar se aquilo que foi planejado foi efetivamente implementado.

Procedimentos e documentos

Avalie se existem informações suficientes para orientar a execução do processo quando essas informações forem necessárias.

Mas atenção: não basta verificar se um procedimento existe.

É necessário investigar se ele representa aquilo que foi definido, se está coerente com os requisitos aplicáveis e se está disponível para quem precisa utilizá-lo.

E, principalmente, comparar o documento com a prática.

O documento é um ponto da trilha. Não é, sozinho, a auditoria.

Registros iniciais

Mesmo que existam poucos registros, eles podem fornecer informações importantes.

Os primeiros registros podem demonstrar:

• se as atividades começaram a ser executadas;
• se os controles estão sendo aplicados;
• se as informações necessárias estão sendo registradas;
• se os critérios estabelecidos estão sendo seguidos;
• se já existem desvios ou dificuldades de implementação.

Poucos registros não significam necessariamente pouca evidência.

O importante é avaliar o que esses registros conseguem demonstrar considerando o estágio atual do processo.

Ao mesmo tempo, uma amostra inicial não deve ser utilizada para criar uma tendência que ainda não existe.

Competência das pessoas

Verifique se as pessoas envolvidas possuem as orientações e competências necessárias para executar suas atividades.

Um processo pode estar muito bem desenhado no papel e apresentar fragilidades quando chega à execução.

Por isso, não se limite a registros de treinamentos.

Converse com os profissionais.

Observe a atividade.

Peça que expliquem como trabalham, quais critérios utilizam, quais riscos reconhecem e como agem diante de um desvio.

Registro de treinamento não é sinônimo automático de competência.

A evidência precisa mostrar que o conhecimento necessário chegou à prática.

Indicadores recém-criados

Indicadores novos ainda podem não apresentar uma tendência confiável.

Mesmo assim, o auditor pode investigar se:

• o objetivo do indicador está claro;
• o método de medição foi definido;
• a frequência de coleta foi estabelecida;
• os responsáveis foram definidos;
• os dados começaram a ser registrados;
• existem critérios para análise;
• está claro quando uma ação deve ser tomada diante de resultados insatisfatórios.

Nesse momento, mais importante do que perguntar apenas:

“Qual foi o resultado?”

pode ser perguntar:

“Como a organização está estruturando o acompanhamento desse resultado e o que fará a partir das informações geradas?”

Entrevistas e observação das atividades

Em processos novos, entrevistas e observação direta podem ganhar ainda mais relevância.

Converse com os profissionais envolvidos.

Pergunte como o processo funciona, quais são suas responsabilidades, quais controles utilizam e o que fazem quando identificam um problema.

Depois, compare:

o que foi planejado + o que está documentado + o que as pessoas compreendem + o que realmente acontece.

É nessa conexão que o auditor encontra evidências importantes e desenvolve sua trilha de investigação.

6. Até onde é possível avaliar a eficácia de um processo novo?

Esse é um ponto que exige atenção.

A eficácia está relacionada ao alcance dos resultados pretendidos.

Por isso, quando um processo ainda não possui dados suficientes, pode não ser possível concluir de forma consistente sobre sua eficácia sustentada ao longo do tempo.

Isso não significa que o auditor precise simplesmente registrar:

“Não existem dados suficientes.”

Há muito que pode ser avaliado antes disso.

O auditor pode verificar:

• se existem resultados pretendidos definidos;
• se os controles foram implementados;
• se os critérios estão sendo atendidos;
• se já existem resultados iniciais;
• se esses resultados estão sendo monitorados;
• se a organização possui mecanismos para reagir diante de desvios.

O rigor permanece.

O que muda é o limite da conclusão permitida pelas evidências disponíveis.

Compare com os critérios estabelecidos

O primeiro caminho é comparar aquilo que está sendo realizado com os critérios previamente definidos.

O processo possui objetivos?

Existem metas ou resultados esperados?

Foram estabelecidos critérios de aceitação?

Os requisitos aplicáveis estão sendo atendidos?

Mesmo sem histórico consolidado, o auditor pode verificar se os primeiros resultados disponíveis atendem aos critérios definidos.

Por exemplo, se um novo processo estabelece que determinada atividade deve ser realizada em até 24 horas, já é possível verificar amostras iniciais e identificar se o critério está sendo atendido.

O que talvez ainda não seja possível afirmar é que esse desempenho se manterá ao longo do tempo.

Verifique os controles

Também é possível avaliar se os controles planejados foram implementados e se existem evidências iniciais de funcionamento.

Não basta perguntar se um controle existe.

O auditor deve verificar se ele está sendo aplicado e se está produzindo o efeito ou a informação para a qual foi estabelecido.

Um controle pode estar formalmente definido, mas não ser executado.

Também pode estar sendo executado, mas não demonstrar, nas evidências disponíveis, o resultado esperado.

Por isso, uma trilha importante é:

risco → controle → execução → evidência → resultado observado.

Essa sequência ajuda o auditor a compreender não apenas se o controle existe, mas o que as evidências disponíveis demonstram sobre seu funcionamento.

Analise os resultados iniciais

Os primeiros resultados também podem fornecer evidências importantes.

Mesmo que ainda não permitam identificar tendências, eles podem revelar desvios, dificuldades de execução ou fragilidades de implementação.

O auditor pode analisar:

• primeiros indicadores;
• registros de ocorrências;
• reclamações;
• retrabalhos;
• falhas identificadas;
• resultados de inspeções;
• desvios encontrados pelos próprios responsáveis.

O cuidado está em não transformar uma amostra inicial em uma tendência definitiva.

Um resultado isolado pode ser uma evidência importante para aprofundar a investigação, mas precisa ser interpretado dentro do contexto.

Procure evidências de implementação

Em processos novos, a própria implementação é uma fonte relevante de evidências.

O auditor pode verificar se aquilo que foi planejado realmente chegou à prática.

Por exemplo:

• os critérios foram disponibilizados?
• os responsáveis receberam as orientações necessárias?
• os recursos estão disponíveis?
• os controles foram implantados?
• os registros começaram a ser gerados?
• as responsabilidades foram comunicadas?
• os riscos estão sendo tratados conforme previsto?

Essas evidências demonstram se o processo saiu do planejamento e chegou à operação.

Elas não garantem, por si só, que o processo apresentará bons resultados no futuro.

Mas permitem avaliar se aquilo que deveria estar implementado naquele estágio realmente está.

7. Como abordar os riscos em processos novos?

Todo processo novo envolve algum grau de incerteza.

Mesmo sem histórico interno, é possível compreender riscos a partir dos requisitos aplicáveis, conhecimento disponível sobre a atividade, experiências anteriores, processos semelhantes e, principalmente, da própria análise realizada pela organização.

É importante destacar que o papel do auditor não é fazer a análise de riscos no lugar do processo.

Seu papel é avaliar como a organização identificou seus riscos, quais controles foram estabelecidos e como eles estão sendo aplicados.

Nesse contexto, algumas perguntas ajudam a aprofundar a investigação.

O que pode dar errado?

O auditor pode perguntar aos responsáveis quais situações foram consideradas capazes de comprometer o resultado.

O que acontece se uma entrada estiver incorreta?

E se uma etapa não for realizada?

E se um equipamento apresentar falha?

E se uma informação crítica não for registrada?

E se uma pessoa não possuir a competência necessária?

Essas perguntas não têm como objetivo criar uma lista de riscos para o auditado.

Elas ajudam o auditor a entender se o processo conhece suas vulnerabilidades e se estabeleceu controles coerentes com elas.

Quais controles foram previstos?

Depois de compreender os riscos considerados pela organização, o auditor pode investigar:

“Qual controle foi definido para prevenir, detectar ou tratar essa situação?”

Depois, deve buscar evidência de que esse controle realmente existe e está sendo aplicado.

Por exemplo, se existe risco de uma informação crítica ser registrada incorretamente, pode ter sido definido um mecanismo de conferência.

O auditor pode verificar:

quem realiza essa conferência;

como ela é realizada;

qual critério é utilizado;

quais evidências são geradas;

o que acontece quando um erro é identificado.

Uma única pergunta pode, assim, abrir uma trilha inteira de auditoria.

Os responsáveis conhecem os riscos e controles relevantes?

Um processo controlado não depende apenas de documentos.

As pessoas que executam as atividades precisam compreender aquilo que é relevante para sua atuação.

Durante as entrevistas, o auditor pode perguntar:

• quais situações podem comprometer sua atividade?
• o que pode acontecer se determinada etapa não for realizada corretamente?
• quais controles são aplicados?
• o que você faz quando identifica um desvio?
• quem deve ser comunicado?

As respostas devem ser avaliadas em conjunto com outras evidências.

O fato de um profissional explicar bem o processo, por si só, não comprova sua implementação.

Mas a combinação entre entrevista + observação + registros + aplicação dos controles pode formar uma evidência consistente.

8. O que o auditor não deve fazer ao auditar um processo novo?

Auditar um processo novo exige tanto saber o que procurar quanto reconhecer os limites da evidência disponível.

Alguns erros podem levar o auditor a conclusões frágeis.

Não exija tendências que ainda não existem

Um processo implantado recentemente pode não possuir dados suficientes para demonstrar tendência.

Exigir uma série histórica completa de um processo que começou há poucas semanas não torna a auditoria mais rigorosa.

Torna a avaliação incompatível com o contexto.

O auditor deve considerar o tempo de operação, a frequência de geração dos dados e os critérios aplicáveis antes de concluir que determinada informação deveria existir.

Não compare resultados sem contexto

Resultados precisam ser interpretados considerando as condições em que foram produzidos.

Comparar diretamente o desempenho de um processo recém-implantado com o de um processo consolidado pode produzir conclusões inadequadas.

Também é preciso considerar mudanças de:

• tecnologia;
• equipe;
• volume;
• escopo;
• método;
• requisitos;
• condições operacionais.

Número sem contexto pode induzir o auditor ao erro.

Não confunda falta de histórico com não conformidade

Esse é um dos principais cuidados.

A ausência de histórico, por si só, não representa uma não conformidade.

Para registrar uma NC, é necessário identificar qual requisito deveria estar sendo atendido e qual evidência demonstra sua quebra.

A pergunta deve ser:

“Existe um requisito aplicável que, neste momento, já deveria estar sendo atendido e não está?”

Se um indicador foi criado recentemente e possui poucos dados, isso não caracteriza automaticamente uma não conformidade.

Mas, se havia um requisito para que o indicador tivesse sido implantado meses antes e isso não ocorreu, a análise muda.

O foco não é a quantidade de histórico.

O foco é:

requisito + quebra + evidência objetiva.

Não transforme ausência de evidência em suposição

O auditor também precisa ter cuidado para não preencher lacunas com sua própria percepção.

Se ainda não existem dados suficientes para concluir sobre determinado aspecto, essa limitação deve ser reconhecida.

Não cabe afirmar que o processo “será eficaz” porque os controles parecem bem estruturados.

Da mesma forma, não cabe concluir que “não funcionará” apenas porque ainda não existem resultados suficientes.

A conclusão deve permanecer dentro dos limites da evidência disponível.

9. Como registrar os resultados da auditoria?

A forma como os resultados são registrados também precisa considerar o estágio de desenvolvimento do processo.

Uma auditoria de processo novo pode apresentar diferentes tipos de constatações, e todas precisam estar sustentadas por critérios e evidências.

Evidências positivas

Registre aquilo que efetivamente demonstra uma boa implementação ou uma prática relevante.

Por exemplo:

• controles definidos e aplicados;
• equipe demonstrando competência para executar as atividades;
• responsabilidades claramente estabelecidas;
• registros sendo gerados conforme previsto;
• riscos relevantes considerados;
• mecanismos de monitoramento implantados.

Evite elogios genéricos.

Um ponto positivo também deve estar sustentado por evidências.

Pontos de atenção ou outras classificações adotadas pela organização

Nem toda situação observada resulta em uma não conformidade.

Dependendo da metodologia utilizada pela organização, podem existir classificações como observação, ponto de atenção ou oportunidade de melhoria.

O importante não é apenas o nome atribuído à constatação.

É compreender o critério utilizado e o que as evidências permitem concluir.

Um processo ainda em estabilização pode apresentar uma situação que mereça acompanhamento sem que exista, naquele momento, uma quebra de requisito.

O registro deve deixar claro o que foi observado e por que aquilo merece atenção, sem criar uma conclusão que não esteja sustentada pelas evidências.

Não conformidades

Quando existir um requisito aplicável que não foi atendido, a novidade do processo não elimina a não conformidade.

Processo novo não significa processo dispensado de atender requisitos.

Se um controle obrigatório deveria ter sido implementado e não foi;

se uma atividade exigida não está sendo realizada;

ou se um requisito aplicável foi descumprido;

há fundamento para uma não conformidade.

A estrutura precisa permanecer clara:

qual é o requisito?

qual foi a quebra?

qual evidência objetiva demonstra essa situação?

A diferença está em não confundir ausência de histórico com descumprimento de requisito.

Oportunidades de melhoria

Também podem surgir oportunidades para tornar o processo mais robusto.

Por exemplo:

• melhorar a forma de monitoramento;
• aperfeiçoar registros;
• tornar controles mais claros;
• melhorar a comunicação;
• simplificar determinada etapa;
• facilitar a análise futura dos resultados.

Mas uma oportunidade de melhoria não deve ser utilizada para suavizar uma não conformidade.

Se existe quebra de requisito, a constatação precisa ser tratada como tal.

Da mesma forma, uma oportunidade de melhoria precisa estar associada a uma situação real observada e não simplesmente à preferência pessoal do auditor.

Auditoria não é consultoria disfarçada.

O papel do auditor é apresentar aquilo que as evidências demonstram.

10. Checklist para auditar um processo novo

Antes de iniciar uma auditoria em um processo sem histórico consolidado, algumas perguntas podem ajudar o auditor a estruturar sua investigação.

Elas não devem ser utilizadas como uma lista rígida.

Servem como pontos de partida para construir uma trilha de auditoria.

Sobre o processo

• Qual é o objetivo do processo?
• Quais resultados são esperados?
• Quais são suas entradas e saídas?
• Quais são suas principais interfaces?
• Quem são os responsáveis?
• Quais são as etapas mais relevantes?
• Quais requisitos são aplicáveis?

Sobre a implementação

• O processo foi adequadamente definido?
• As responsabilidades estão claras?
• Os profissionais possuem as orientações e competências necessárias?
• Os recursos previstos estão disponíveis?
• Os critérios necessários para execução estão acessíveis?
• As atividades já estão sendo executadas conforme planejado?
• Os registros previstos começaram a ser gerados?

Sobre riscos e controles

• Quais riscos relevantes foram considerados pela organização?
• Quais podem comprometer os resultados pretendidos?
• Quais controles foram definidos?
• Esses controles foram implementados?
• Existem evidências de sua aplicação?
• Os responsáveis conhecem os controles relacionados às suas atividades?
• O que acontece quando um desvio é identificado?

Sobre monitoramento

• Quais indicadores ou outras formas de monitoramento foram definidos?
• Como os dados são coletados?
• Quem acompanha os resultados?
• Já existem resultados iniciais?
• Existem critérios para analisá-los?
• Está definido quando alguma ação deve ser tomada?
• Como a organização pretende acompanhar a evolução do processo?

Sobre resultados

• Quais resultados já podem ser avaliados considerando o tempo de operação?
• Os critérios aplicáveis estão sendo atendidos?
• Existem desvios?
• Existem registros de problemas ou ocorrências?
• Como as falhas identificadas estão sendo tratadas?
• As evidências disponíveis permitem alguma conclusão sobre desempenho?
• Existem aspectos que ainda não podem ser concluídos por falta de maturidade ou dados?

Esse checklist não deve determinar toda a auditoria.

Uma resposta deve levar a outra pergunta.

Uma evidência pode abrir uma nova trilha.

Um risco identificado pode direcionar a amostragem para outro ponto.

O auditor precisa utilizar as perguntas para construir uma investigação baseada em evidências, e não simplesmente percorrer itens de forma mecânica.

Conclusão: em processos novos, audite aquilo que já pode ser demonstrado

Auditar um processo novo não significa diminuir o nível de exigência.

Significa adequar a investigação ao contexto e reconhecer até onde as evidências disponíveis permitem concluir.

Quando ainda não existe histórico suficiente, não adianta insistir em tendências que não podem ser demonstradas.

O auditor precisa olhar para aquilo que já pode ser verificado:

O processo foi planejado?

Os requisitos aplicáveis foram considerados?

Os riscos relevantes foram identificados pela organização?

Os controles foram definidos e implementados?

As pessoas sabem o que fazer?

A execução está acontecendo conforme planejado?

Os controles estão sendo aplicados?

Já existem evidências iniciais de desempenho?

Existem mecanismos para acompanhar os resultados e agir diante de desvios?

Essa abordagem permite que a auditoria cumpra um papel muito mais relevante.

Em vez de simplesmente registrar que “ainda não existem dados”, o auditor consegue avaliar o que já foi implementado, como o processo está sendo controlado e quais evidências existem naquele estágio de maturidade.

Ele não precisa prever se o processo terá bons resultados no futuro.

Precisa avaliar, com base nas evidências disponíveis, se aquilo que deveria estar planejado, implementado e controlado neste momento realmente está.

E talvez esse seja um dos maiores diferenciais de uma auditoria bem conduzida:

não esperar o histórico ficar grande para começar a fazer boas perguntas.

Um processo recém-implantado ainda está construindo seus resultados.

Mas desde o primeiro dia já produz evidências sobre como foi planejado, como está sendo executado e como a organização está controlando aquilo que pode comprometer seus resultados.

É esse olhar que transforma a auditoria de uma simples verificação em uma investigação capaz de gerar informações relevantes para o processo e para o sistema de gestão.