O que acontece ao teu cumprimento quando a formação caduca e entram pessoas novas

Fechar a última lacuna de uma norma parece-se bastante com cortar a meta. O painel fica verde, a evidência está carregada, o relatório sai limpo. Quatro semanas depois, sem que ninguém tenha tocado na configuração, esse mesmo painel volta a mostrar pessoas descobertas, porque a validade da formação de várias delas terminou pelo caminho.

Esse retrocesso tem uma explicação simples. A cobertura de uma norma é uma fotografia com data, e isso transforma o cumprimento num alvo móvel. O que hoje conta como coberto deixa de contar em algum momento, e enquanto isso a organização continua a integrar pessoas que nunca viram aquele conteúdo.

Quando apresentámos o Compliance Center mostrámos como se vê o cumprimento em tempo real, e ao explicar como se configura um plano de cumprimento desenvolvemos o que se decide antes de arrancar. Fica uma pergunta em aberto. O que faz esse plano nos meses seguintes, quando o terreno se mexe por conta própria?

O que é a validade da formação?

A validade da formação é o período durante o qual uma formação concluída continua a valer como evidência de cumprimento. Quando esse período termina, a pessoa volta a contar como lacuna, mesmo que tenha aprovado o conteúdo na altura e mesmo que o certificado continue guardado em alguma pasta.

Não é uma invenção das plataformas. O controlo 6.3 da ISO/IEC 27001, dedicado à consciencialização e à formação em segurança da informação, pede que o pessoal receba atualizações periódicas adequadas à sua função. A palavra que faz todo o trabalho ali é periódicas. Uma formação de há dois anos não responde a esse requisito, por completa que tenha sido na altura.

É o mecanismo pelo qual o cumprimento do teu programa cai em março sem que ninguém desligue nada. A cobertura vai caducando pessoa a pessoa, em datas diferentes.

Porque é que o cumprimento nunca fica terminado?

Porque três coisas mexem-se ao mesmo tempo e nenhuma espera que tenhas tempo.

A primeira é o calendário. Cada pessoa coberta arrasta a sua própria data de caducidade, conforme quando concluiu a formação. Num quadro de 500 pessoas são 500 relógios que correm em paralelo, um por cada data de conclusão. Quem entrou em janeiro caduca em janeiro e quem chegou em agosto caduca em agosto, por isso nunca há um mês em que o painel fique quieto.

A segunda é o próprio quadro de pessoal. Cada admissão coloca alguém no âmbito da norma desde o primeiro dia, e cada mudança de área pode somar-lhe uma obrigação que antes não tinha.

A terceira é o conteúdo. Repetir o mesmo material a cada doze meses mantém a percentagem, mas deixa de ensinar.

Como é que isto se leva com uma folha de cálculo?

À mão, as três tratam-se da mesma maneira. Alguém abre a folha de cálculo de vez em quando, ordena por data de conclusão, cruza a lista com o último export do diretório e prepara o lote de atribuições que toca. Dá para chegar à auditoria, e o custo não aparece na folha de cálculo.

Aparece no intervalo. A folha de cálculo descreve o estado do dia em que foi atualizada, não o de hoje, e a distância entre essas duas datas é exatamente o tempo que a organização passa sem saber a quem falta formação. Quem começa em setembro não teve oportunidade de concluir a formação que atribuíste em abril e conta como lacuna desde o primeiro dia, mas só se torna visível quando alguém atualiza o universo à mão. É a mesma armadilha que faz com que a tua percentagem de cumprimento minta mesmo aos 100%.

Com o conteúdo passa-se algo parecido. Reatribuir o mesmo módulo do ano passado é a saída rápida quando a revisão é manual, por isso o segundo ciclo repete o material do primeiro. As pessoas reconhecem os ecrãs, avançam até ao fim e aprovam sem ler. Cumpres o registo e perdes o efeito que justificava o registo.

O que faz de diferente o agente do Compliance Center?

O agente do Compliance Center da SMARTFENSE revê o estado de cumprimento todos os dias e atribui formação sem esperar que alguém abra uma folha de cálculo. Trabalha sobre essas mesmas três forças, uma a uma:

• Validade. Cada pessoa tem a sua própria data de caducidade e o agente verifica-a diariamente. Quando uma cobertura caduca, essa pessoa volta ao estado de lacuna e entra na fila do plano nesse mesmo dia, não na revisão trimestral seguinte.
• Admissões. O universo é lido a partir do diretório em uso, não de uma lista exportada. Quando defines o âmbito com grupos inteligentes em vez de nomes próprios, a admissão de um colaborador coloca-o no plano sem que ninguém o edite, e a saída retira-o do cálculo.
• Rotação. O agente guarda registo do que cada pessoa recebeu e com que formato. Quem cobriu o tema das palavras-passe com um módulo interativo no ano passado volta a vê-lo este ano em banda desenhada, em vídeo ou numa peça breve de reforço, sobre o mesmo requisito da norma. A cláusula fica igualmente coberta e a pessoa volta a prestar atenção, porque o formato muda o que as pessoas retêm.

Sobre essa fila diária, o agente trata primeiro a pior lacuna da organização, que na prática costuma ser quem está descoberto há mais tempo. A variedade de formatos disponíveis é o que lhe permite sustentar a rotação ano após ano, e a rotação passa a ser uma decisão do plano, não uma tarefa tua de cada dezembro.

O que te resta supervisionar?

O painel deixa de ser algo que atualizas e passa a ser algo que consultas. Tu supervisionas; ele executa.

Nas tuas mãos continua o critério de validade que se aplica a cada norma, a exceção pontual quando uma área não pode receber formação numa determinada semana e a leitura do relatório quando chega a hora de o apresentar. O agente assume o trabalho repetitivo de detetar quem caducou, quem entrou e a quem toca que conteúdo esta semana.

O que muda no dia a dia é onde estás a olhar. Já não verificas se o plano está em dia. Verificas se o plano está a fazer o correto.

O Compliance Center está a funcionar com as primeiras equipas que o adotaram e estamos a afiná-lo com elas antes de o abrir ao resto. Se geres um programa onde a validade e as admissões te obrigam a refazer o plano todos os meses, escreve-nos para te juntares ao grupo de early adopters e vemos isso com o teu caso em cima da mesa.