Resposta direta
A resposta prática é tirar a revisão do campo da lembrança e amarrá-la a dois fatos que já existem na empresa: o contrato e a saída do terceiro. Cada acesso recebe um responsável nomeado, o mesmo que assina o contrato, e um prazo de validade. Quando o contrato vence ou o serviço termina, o acesso expira por padrão e só continua com pedido escrito e justificativa. A revisão periódica deixa de ser um mutirão anual e passa a ser consequência do encerramento, com registro de quem autorizou a permanência.
- Objetivo
- Organizar um processo
- Formato indicado
- Workshop executivo
- Atualizado em
O que esta página acrescenta: Trata a revisão como efeito do encerramento de contrato, não como rotina de auditoria separada.
O que trava a revisão periódica
Revisão periódica depende de alguém lembrar, comparar listas e cobrar resposta. Em períodos de muito trabalho, essa tarefa é a primeira a sair da agenda. O acesso permanece ativo não por decisão, mas por inércia.
O segundo obstáculo é a ausência de dono. Quando ninguém assina o acesso do terceiro, a revisão vira discussão entre áreas e termina adiada. Sem responsável nomeado, não há quem responda pelo que continua aberto.
Amarrar o acesso ao vínculo, não à agenda
O caminho é tratar o acesso como parte do contrato de serviço. Ele nasce com o pedido, tem prazo ligado à vigência e termina com o encerramento. Quem assina o contrato responde pela permanência.
Isso pede três campos no registro: responsável interno, referência do contrato e data prevista de fim. Sem eles, o acesso fica sem gatilho de expiração e volta a depender de lembrança.
O que esse desenho não resolve
Prazo e responsável não impedem uso indevido dentro do período autorizado. Também não substituem a verificação do que o terceiro acessou, que é outro controle e outro responsável.
Em contratos longos e sem marcos claros, o encerramento é difuso e a expiração perde gatilho. Nesses casos, resta revisar por bloco, aceitando cobertura parcial e registrando essa limitação por escrito.
Recurso prático
Fluxo de expiração por encerramento
- No cadastro do acesso, registrar o responsável interno, a referência do contrato ou ordem de serviço e a data prevista de encerramento.
- Vincular a validade do acesso a essa data, com expiração automática e aviso prévio ao responsável na antecedência definida pela política da empresa.
- No encerramento, bloquear por padrão e reabrir apenas com pedido escrito que informe função, prazo novo e quem autoriza.
- Manter em lote separado os acessos sem data de encerramento, que são a exceção, e revisar só esse conjunto.
O erro mais comum é amarrar a validade ao contrato, mas deixar o responsável sem alçada para bloquear. Sem esse poder, a expiração vira pedido que ninguém executa e o acesso segue ativo.
Sobre o que está escrito aqui
Conceitos relacionados: acesso de terceiro · validade de acesso · contrato de serviço · responsável pelo acesso · registro de encerramento. Exemplos são ilustrativos. Não há cliente, resultado, preço, prazo ou certificação nesta página. Quando o formato indicado é Workshop executivo, ele descreve uma possibilidade de trabalho — a conversa inicial avalia contexto e aderência.
Para continuar
- Governança e controle de automação — Página central do tema
- Acesso excessivo de fornecedor: como avaliar… — acessos excessivos
- Credenciais em automações: onde procurar chav… — credenciais expostas
Páginas relacionadas
O mesmo problema em outro objetivo
- Acesso de terceiro sem revisão: como montar o inventário — Diagnosticar
- Acesso de terceiro sem revisão: alternativas de controle — Comparar alternativas
- Acesso de terceiro sem revisão: como medir sem campanha — Explicar medição
- Acesso de terceiro sem revisão: validade em vez de checagem — Orientar implementação
- Acesso de terceiro: prazo e revisão dentro do contrato — Orientar avaliação e contratação
Outras leituras em Governança e controle de automação
- Segregação de função ausente: o que contratar e como aceitar — O que definir no escopo, nas evidências e na aceitação ao contratar segregação de função para uma automação que já opera sem ela.
- O que a automação executa sem aprovação: como fixar a alçada — Descreve o que precisa estar decidido no contrato e na alçada para a automação executar sem aprovação prévia, e o que fica fora desse escopo.
- Incidente sem causa clara: como separar sintoma de origem — Como apurar um incidente de automação: fixar a linha do tempo, isolar hipóteses e chegar a uma causa verificável, sem buscar culpado.
- Incidente sem análise de causa: o que decidir e registrar — Separa contenção de apuração em incidentes de automação: o que decidir sem causa conhecida, o que registrar e quando a investigação passa a ser obrigatória.
- Interrupção da automação: comparar modos de parar — Compara modos de interromper automação por alcance, reversibilidade, custo de retomada e rastro, com critérios de escolha e os limites de cada opção.