Qual é a diferença entre evidência de conformidade e uma certificação de conformidade?
Uma certificação é uma declaração formal de um avaliador independente e credenciado de que uma organização atende a uma norma dentro de um escopo e período definidos. A evidência são os registros que permitem a você, e depois a esse avaliador, verificar se um controle realmente funcionou: o que aconteceu, quando, e a prova de que o registro não foi alterado. A evidência apoia uma certificação; nunca a substitui. O Compliance Evidence Pro da Witnio produz pacotes de evidência assinados e verificáveis para as próprias auditorias e controles. Ele não certifica nada e não torna nenhum cliente conforme.
Atualizado em 25 de setembro de 2026
O que é uma certificação
Uma certificação ou atestação é emitida por uma parte independente da organização e qualificada para avaliá-la. O avaliador define um escopo, testa os controles em relação a uma norma ao longo de um período e emite um relatório ou certificado. Somente esse avaliador pode afirmar que a organização atende à norma, e apenas para aquele escopo e período.
Um fornecedor de ferramentas não está nessa posição. Um produto de monitoramento pode produzir registros excelentes, mas não pode certificar seus clientes, e um fornecedor que afirma tornar clientes conformes está exagerando o que vende.
Como é uma boa evidência
A evidência é útil para um auditor quando é completa, datada, atribuível e à prova de adulteração. Completa significa que as falhas são registradas com a mesma clareza que os sucessos. Datada significa que cada registro carrega um carimbo de data/hora confiável. Atribuível significa que fica claro qual sistema a produziu. À prova de adulteração significa que qualquer alteração posterior pode ser detectada.
Uma assinatura digital sobre uma forma canônica de cada registro é uma forma prática de atender ao último requisito. Qualquer pessoa que tenha a chave pública pode verificar se o registro é exatamente o que o sistema assinou, sem precisar confiar no painel do fornecedor.
A evidência também precisa existir quando for necessária. Um avaliador geralmente analisa um período, não um único dia, então os registros devem ser mantidos por pelo menos esse período e ser recuperáveis sem lacunas. No Compliance Evidence Pro, a retenção do pacote de evidência é definida por contrato, e não por um padrão fixo.
Onde os resumos com IA se encaixam, e onde não
Um resumo assistido por IA pode economizar tempo de quem revisa ao agrupar incidentes, descrever tendências e sugerir ações de acompanhamento. Ele se torna um risco quando produz números ou apresenta conclusões como fatos. A regra segura é que cada número venha de dados determinísticos e que cada afirmação seja rotulada como fato ou como inferência.
Como a Witnio mede isso
O Compliance Evidence Pro é um complemento do Monitor OTP/SMS e não pode ser usado sozinho. Ele empacota as execuções do produto base em um manifesto de evidência assinado (Ed25519 sobre JSON canônico, com um ID de chave), hashes verificáveis, um relatório mensal, um resumo de incidentes, tendências e exceções. O relatório carrega sua assinatura e o ID de chave e pode ser verificado com o verificador público.
Um resumo executivo assistido por IA classifica incidentes e sugere recomendações, marcando cada afirmação como FATO ou INFERÊNCIA. A IA nunca inventa métricas: cada número vem dos dados determinísticos do produto base, e um resumo sem essa distinção não é publicado.
O Compliance Evidence Pro não substitui a assessoria jurídica nem uma avaliação independente, e a Witnio não afirma tornar nenhum cliente conforme a qualquer framework. Ele produz evidência que pode apoiar os próprios controles e o trabalho do auditor.
Perguntas frequentes
- O Compliance Evidence Pro torna minha empresa conforme?
- Não. Ele produz evidência assinada que pode apoiar seus controles ou auditoria. Somente um avaliador independente pode atestar a conformidade.
- Meu auditor pode verificar os relatórios sem confiar na Witnio?
- Sim. Cada relatório e cada execução são assinados com Ed25519, e a assinatura pode ser verificada na página pública de verificação.
- O resumo com IA pode conter números que não estão nos dados?
- Não. Cada número vem de dados determinísticos do produto, e as afirmações são rotuladas como FATO ou INFERÊNCIA.