Achados de auditoria: como classificar, comunicar e acompanhar

Por que classificar achados antes de comunicar

Auditar é só o primeiro passo. O valor real do processo aparece na forma como os achados são tratados depois — porque é nesse momento que o fornecedor entende o que precisa mudar, em que prazo e com que consequência. Sem classificação clara, todos os achados parecem ter o mesmo peso, e o fornecedor não sabe priorizar. Um vidro com mancha e um ASO vencido recebem o mesmo tratamento, o que banaliza o achado grave e desperdiça energia no menor.

A classificação por severidade é o critério organizador. Ela determina o tom da comunicação, o prazo de correção, a consequência contratual e a necessidade de escalação. Padrões internacionais como a ISO 19011, que orienta auditorias de sistemas de gestão, e a metodologia do Institute of Internal Auditors (IIA) trabalham com três a quatro níveis de severidade. No contexto de Facilities, três níveis costumam ser suficientes: crítico, importante e menor.

Os três níveis de severidade

A separação entre crítico, importante e menor não é apenas conceitual — cada nível dispara um fluxo distinto de comunicação, prazo e consequência. Definir esses critérios antes do auditor entrar em campo evita que a classificação seja arbitrária ou dependa do humor do dia.

Crítico (alto risco)

Achados que afetam segurança das pessoas, indicam fraude, violam legislação ou expõem a empresa a passivo trabalhista significativo. Exemplos típicos: indício de trabalho análogo a escravo, acidente grave por negligência documentada, fraude em medição ou faturamento, violação reiterada de NR, atestado médico falsificado. Não há prazo de correção — a ação é imediata, e o contrato pode prever rescisão sem ônus para o contratante.

Importante (médio risco)

Achados que afetam qualidade do serviço, podem escalar ou geram não conformidade documental relevante. Exemplos: ASO vencido, certidão negativa fora da validade, jornada irregular consistente, SLA descumprido de forma recorrente, deficiência operacional documentada. Prazo típico de correção: 5 a 15 dias úteis. Penalidade contratual aplicável (multa de 2% a 5% do faturamento mensal, conforme cláusula específica).

Menor (baixo risco)

Detalhes que não afetam funcionalidade ou conformidade material. Exemplos: vidro com mancha, registro de visita ilegível, pequeno atraso em entrega de relatório, inconsistência de dados em planilha. Prazo de correção: 1 a 5 dias. Sem penalidade — apenas observação registrada para acompanhamento de recorrência.

Matriz de decisão — como classificar de forma consistente

Para evitar subjetividade na classificação, vale usar uma matriz com cinco critérios: impacto em segurança, impacto em conformidade legal, frequência (raro, ocasional, recorrente), visibilidade (interna ou para clientes externos) e custo de correção. Cada critério é pontuado em três níveis, e a combinação determina a classificação final.

Um exemplo prático: papel higiênico em falta no banheiro é baixo em segurança, baixo em conformidade, ocasional, com visibilidade média e custo baixo — classifica como menor. ASO vencido é alto em segurança (funcionário pode ter condição não detectada), alto em conformidade (NR-7 obrigatória), raro em frequência (primeira ocorrência), baixo em visibilidade externa e custo médio para corrigir — classifica como importante. Fraude em medição é baixo em segurança, alto em conformidade, recorrente, média visibilidade e alto custo (reembolso) — classifica como crítico, com possibilidade de rescisão.

A matriz não substitui o julgamento, mas dá um critério rastreável. Quando o fornecedor questiona a classificação, o gestor pode mostrar a planilha e explicar como chegou ao resultado.

Comunicação escrita versus comunicação verbal

A regra prática é separar o momento da auditoria conjunta do momento do relatório formal. Durante a auditoria, o tom deve ser colaborativo: o auditor mostra o que encontrou, o fornecedor explica o contexto e juntos discutem causa raiz e ação. Esse momento é verbal, presencial, com poucas pessoas — e gera o consenso necessário para que o plano de ação seja realista.

O relatório escrito vem depois, com tom formal, sem ambiguidade, e funciona como evidência. Em caso de passivo trabalhista futuro ou rescisão contratual, o relatório é o documento que prova que a empresa contratante exerceu diligência razoável. Por isso, a comunicação primária deve ser sempre escrita (e-mail, ata, relatório anexo). O contato verbal serve para esclarecer dúvidas e construir relação, mas não substitui o registro formal.

Estrutura do relatório formal de achados

Um bom relatório de achados tem estrutura previsível, que se repete em todas as auditorias. Isso facilita a leitura pelo fornecedor e a arquivamento pelo contratante. Os campos essenciais são:

Cabeçalho

Identificação da auditoria (data, fornecedor, escopo, auditores presentes), referência ao contrato e cláusulas aplicáveis.

Lista de achados

Para cada achado: descrição objetiva do que foi encontrado, classificação de severidade, evidência (foto, documento, registro), impacto (por que importa), ação requerida (o que o fornecedor deve fazer), prazo (data exata) e forma de validação (como o contratante vai confirmar a correção).

Próximas etapas

Confirmação de recebimento (48 horas), envio do plano de ação pelo fornecedor (5 dias úteis), validação pelo contratante (5 dias úteis), validação final na data do prazo. Caso achado crítico não seja resolvido, menção explícita à possibilidade de rescisão conforme cláusula contratual.

Assinatura

Nome e cargo do auditor responsável, contato para discussão.

Corrective Action Request (CAR) — o instrumento de follow-up

O CAR é o documento padrão da indústria para tratar achados — vem da metodologia da ISO 9001 e é amplamente usado em auditorias de fornecedores. Cada achado importante ou crítico gera um CAR numerado (CAR-2025-001, CAR-2025-002), que segue um ciclo previsível.

O CAR contém: descrição do achado, classificação, análise de causa raiz preenchida pelo fornecedor (não apenas "o que foi feito errado", mas "por que foi feito errado"), ação corretiva proposta (corrige o evento específico), ação preventiva proposta (evita recorrência), prazo, responsável pelo fornecedor, e campo de validação preenchido pelo contratante.

A diferença entre ação corretiva e preventiva é central. Se o achado é "ASO de João vencido", a ação corretiva é renovar o ASO do João. A ação preventiva é criar processo para alertar com 30 dias de antecedência sobre todos os ASO da equipe. Sem a preventiva, o achado tende a se repetir.

O ciclo de acompanhamento — do achado ao fechamento

O acompanhamento é o que separa auditoria de teatro. Sem follow-up, achados viram lista que ninguém lê. Um ciclo completo passa por cinco etapas: confirmação de recebimento, plano de ação, acompanhamento interim, validação na data do prazo e comunicação de resultado.

A confirmação de recebimento é o primeiro filtro. Se o fornecedor não responde em 48 horas, há sinal de desorganização interna que merece atenção. A escalação é progressiva: novo e-mail no terceiro dia, telefonema no quinto, contato com nível superior no sétimo. O acompanhamento interim faz sentido para prazos superiores a 30 dias — uma checagem rápida no meio do caminho ("como está indo? Há bloqueios?") ajuda o fornecedor a manter o ritmo e mostra que o assunto não foi esquecido.

A validação final precisa ser na data exata do prazo, não depois. Pode ser presencial (inspeção no local) ou documental (envio de comprovante). O resultado é binário: conforme ou não-conforme. Não há "parcial" — se a ação não foi concluída, o achado segue aberto, com novo prazo e penalidade aplicada conforme contrato.

Quando o fornecedor não cumpre — escalação progressiva

A escalação progressiva existe porque a maioria dos atrasos não é má-fé. É desorganização, perda de prioridade ou bloqueio operacional que o fornecedor não conseguiu comunicar. A sequência típica:

No dia do prazo, se a evidência não chegou, envio formal solicitando resposta em 5 dias adicionais. Cinco dias depois, telefonema direto ao responsável: "Qual é o status? Como podemos ajudar?". Se ainda não há resolução, comunicação formal com penalidade contratual aplicada (multa de 2% a 5%, conforme cláusula) e novo prazo de 10 dias. Caso o achado siga em aberto, início do processo de rescisão por não conformidade reiterada, com base na cláusula resolutiva do contrato.

A documentação dessa escalação é fundamental. Se a rescisão for contestada, o histórico de comunicações mostra que a empresa contratante deu oportunidades razoáveis de correção antes de romper o contrato.

Documentação para arquivo — o que guardar e por quanto tempo

O conjunto mínimo a arquivar para cada auditoria inclui: relatório original, fotos e evidências coletadas, e-mail de comunicação ao fornecedor, confirmação de recebimento, plano de ação enviado, trocas de mensagens relevantes, evidência de validação (foto, documento, comprovante), comunicação de resultado e, se houve penalidade, nota de débito ou desconto aplicado em fatura.

O prazo de retenção recomendado é de cinco anos, alinhado com o prazo prescricional trabalhista do artigo 11 da CLT. Em casos de contratos com alto risco de passivo (terceirização de atividade fim, vigilância armada), pode ser prudente reter por mais tempo. A organização em pastas por fornecedor e ano facilita consultas posteriores.

O valor dessa documentação aparece quando há litígio. A Súmula 331 do TST estabelece responsabilidade subsidiária do tomador de serviços por verbas trabalhistas inadimplidas. Para afastar essa responsabilidade ou comprovar diligência razoável, o histórico de auditorias é a prova mais forte. A Lei 12.846/2013 (Lei Anticorrupção) também exige programa de integridade, e o tratamento estruturado de achados é parte central desse programa.

Integração com SLA e contrato

O contrato precisa prever, em cláusula específica, as consequências de cada nível de severidade. Sem essa previsão, a aplicação de multa pode ser contestada juridicamente. A cláusula típica diz: "Não conformidades classificadas como menores serão tratadas como observação, sem penalidade. Não conformidades importantes ensejam aplicação de multa de [X]% do valor mensal do contrato, por evento. Não conformidades críticas autorizam, a critério do contratante, rescisão imediata sem ônus, sem prejuízo de eventual ressarcimento."

O SLA, por sua vez, define os indicadores objetivos que serão verificados (taxa de presença, tempo de resposta, índice de qualidade) e os limiares que disparam não conformidade. A auditoria operacional valida o SLA na prática; a auditoria documental valida conformidade legal e contratual. Os dois fluxos alimentam o mesmo processo de classificação e tratamento de achados.