Mais cedo ou mais tarde, um cliente exigente pede uma auditoria de serviço de segurança com dados: quer o histórico de horas prestadas, de rondas realizadas e de ocorrências registadas num período, num formato que a equipa dele possa tratar. Acontece em grandes empresas com procedimentos internos de auditoria, em unidades hospitalares, em instalações industriais e sempre que o contrato foi adjudicado por concurso. Quem não estiver preparado responde com um documento longo e imprimível que ninguém consegue analisar — e isso, na prática, é responder mal.
O que o auditor procura
Antes de preparar seja o que for, convém perceber a lógica de quem pede. Uma auditoria não procura elogios ao serviço: procura conseguir verificar afirmações.
Que o contratado foi prestado. Postos guarnecidos nas horas previstas, com identificação das falhas e do modo como foram supridas.
Que os registos são coerentes entre si. As horas declaradas batem certo com as presenças nos postos; as rondas registadas correspondem às rondas contratadas; as ocorrências comunicadas aparecem também no histórico interno.
Que os dados não foram construídos para a ocasião. Um conjunto de registos criados na mesma altura, todos com o mesmo formato e sem qualquer irregularidade, levanta mais dúvidas do que resolve. Dados reais têm falhas explicáveis.
Que é possível chegar ao detalhe. O auditor quer poder escolher uma linha e ver o registo que lhe deu origem.
Repare-se que nada disto exige um documento bonito. Exige informação estruturada.
Porque o PDF longo é a pior resposta
Entregar um ficheiro imprimível com centenas de páginas parece exaustivo e generoso. É o contrário: transfere para o auditor todo o trabalho de extrair a informação. Ele vai ter de copiar dados à mão, o que consome tempo e introduz erros que depois são atribuídos à empresa.
Além disso, um documento assim mistura três coisas que deviam estar separadas: o resumo que responde à pergunta, os dados que sustentam a resposta e o detalhe individual de cada registo. Quem audita precisa das três, mas em suportes diferentes.
O ponto de partida de qualquer exportação é a operação registada durante o período, não uma recolha feita depois.
Como preparar uma exportação que serve
Uma entrega bem preparada tem três camadas.
Uma nota de âmbito. Uma página curta que diz o que foi exportado: período exato, instalações e postos incluídos, que tipos de registo entram, que critério foi usado para atribuir turnos a dias, e o que ficou de fora e porquê. Sem isto, qualquer número pode ser mal interpretado.
Ficheiros de dados tratáveis. Tabelas em formato de folha de cálculo, uma por tipo de registo, com uma linha por acontecimento e colunas estáveis. Não uma tabela decorada com células unidas e subtotais a meio — isso é apresentação, não dados.
Amostra de detalhe. Um conjunto de registos completos, com texto e imagens, correspondentes a linhas que o auditor possa querer verificar. Idealmente, com forma de aceder ao restante detalhe através do portal do cliente, em vez de anexar tudo.
Que ficheiros preparar
Presenças e horas. Uma linha por turno prestado, com posto, data, hora de entrada, hora de saída e identificação da pessoa segundo o critério acordado com o cliente. Este ficheiro sai do controlo de assiduidade e é o mais escrutinado, porque é o que sustenta a faturação.
Rondas. Uma linha por ronda, com instalação, hora de início, hora de fim, pontos previstos e pontos efetivamente lidos. O detalhe ponto a ponto pode ir num ficheiro separado, ligado por um identificador. O controlo de rondas já produz esta informação enquanto o serviço decorre.
Ocorrências. Uma linha por registo, com data, hora, instalação, tipo, estado e um identificador que permita ir buscar o texto completo ao livro de ocorrências digital.
Comunicações relevantes. Quando o contrato prevê avisos ao cliente em determinadas situações, convém poder demonstrar quando foram feitos.
Registos classificados por tipo dão origem a exportações que se analisam; textos soltos não.
Regras práticas que evitam retrabalho
Uma linha por acontecimento. Nada de linhas que resumem várias coisas. A agregação é feita por quem analisa, não por quem entrega.
Colunas com nome claro e sem mudanças. Se a exportação for repetida no trimestre seguinte, as colunas devem ser as mesmas. Comparações impossíveis por mudança de formato são um clássico.
Datas e horas num formato único. Definido na nota de âmbito, igual em todos os ficheiros, com indicação do fuso utilizado.
Identificadores estáveis. Cada registo com um identificador que permita voltar ao original. É o que torna a amostra verificável.
Campos vazios assumidos. Se um dado não existe, a célula fica vazia com explicação na nota de âmbito. Preencher por estimativa é a forma mais rápida de perder a confiança do auditor.
Nada de dados pessoais desnecessários. Muitas auditorias não precisam do nome do vigilante: precisam de saber que o posto estava guarnecido por pessoal habilitado. Convém acordar o nível de identificação antes de exportar.
O que fazer quando os dados não existem
Acontece, sobretudo em contratos antigos com registo em papel. A pior resposta é reconstruir. Reconstruir é criar registos que descrevem o que se supõe ter acontecido, e isso é bastante pior do que assumir uma lacuna.
A resposta correta é entregar o que existe, explicar com clareza o que não existe e a partir de que data passou a existir, e indicar a medida tomada. Um cliente sério aceita isto muito melhor do que um conjunto de dados demasiado perfeito.
Uma nota sobre proteção de dados
As exportações contêm informação sobre pessoas — vigilantes e, por vezes, terceiros. O que pode ser partilhado, com que nível de identificação, através de que meio e durante quanto tempo pode ser conservado pelo cliente depende das regras de proteção de dados aplicáveis, do contrato e do tipo de auditoria, e pode ser alterado. Convém definir estes pontos com apoio jurídico e confirmar junto da autoridade competente antes de entregar seja o que for. Este artigo é informativo e não constitui aconselhamento legal.
Perguntas frequentes
Em que formato se devem entregar os dados? Num formato de tabela que a equipa do cliente possa abrir e tratar, acompanhado de uma nota curta que explique o âmbito. Documentos apenas imprimíveis servem para o resumo, não para os dados.
Quanto tempo demora a preparar uma auditoria destas? Depende quase por inteiro do estado dos registos. Com a operação registada digitalmente, é uma extração; com registos em papel, é um trabalho de recolha cujo prazo não se consegue estimar honestamente à partida.
O cliente pode pedir acesso permanente aos dados? Pode, e é uma boa solução para muitos contratos. O acesso deve ser limitado ao que lhe diz respeito e definido por contrato.
E se os dados mostrarem falhas do serviço? Mostram-se, com a explicação e a medida corretiva. Uma auditoria que não encontra nada costuma gerar mais desconfiança do que uma que encontra problemas assumidos.
Se o próximo pedido de auditoria implicar semanas a juntar papéis, talvez valha a pena ver como fica quando as horas, as rondas e as ocorrências já estão registadas à medida que acontecem.