Gap analysis ISO 42001: como ler o resultado

O gap analysis ISO 42001 é o retrato de onde a sua empresa está hoje diante dos requisitos da norma e dos controles do Anexo A da ISO 42001: o que já funciona, documentado e testável, o que existe pela metade e o que ainda não existe¹. Ler esse resultado bem significa separar lacuna crítica de ajuste cosmético, não contar quantos itens vieram marcados como pendente e tirar uma conclusão de cabeça.

Eu vejo gestor travar exatamente nesse ponto: recebe o relatório de gap analysis ISO 42001, soma os itens pendentes e decide que o projeto é enorme, ou que é pequeno demais para preocupar. O Gap Analysis gratuito devolve esse retrato em menos de uma hora, sem comprometer nada, mas a leitura correta só começa depois que o relatório chega, quando alguém separa lacuna de fundação de ajuste de superfície. É esse trabalho de leitura, não o relatório em si, que decide se o projeto de certificação vai levar semanas ou meses.

Como ler o resultado do gap analysis: os quatro níveis de conformidade

Um relatório de gap analysis ISO 42001 bem feito não entrega nota única nem percentual isolado. Ele classifica cada requisito da norma e cada controle do Anexo A selecionado em quatro níveis, uma convenção de mercado construída sobre os conceitos de conformidade, não conformidade e evidência objetiva que a ISO 19011 usa para guiar qualquer auditoria de sistema de gestão²: conforme, com evidência documentada e recente; parcialmente conforme, quando o processo existe mas é aplicado de forma inconsistente ou sem registro completo; não conforme, quando não há processo, registro nem dono definido; e não aplicável, quando o controle foi excluído com justificativa escrita no documento de aplicabilidade.

Essa classificação em quatro níveis existe porque uma simples marcação de “sim ou não” esconde a diferença entre uma lacuna de fundação e um ajuste de detalhe. Eu prefiro tratar cada não conformidade ISO 42001 como um registro com três campos obrigatórios: o que falta, por que falta e quem vai resolver, em vez de uma linha solta numa planilha de cem itens.

Nenhum gap analysis gratuito ISO 42001 chega pronto para virar plano de ação sem esse trabalho de classificação. Quando a base documental para justificar um “não aplicável” ou fechar um “não conforme” simplesmente não existe, os modelos de política e inventário de sistemas de IA encurtam a parte que mais atrasa: montar do zero o que o relatório já disse que falta, em vez de reinventar política e inventário item por item.

Por que o total de itens pendentes engana

O erro mais comum que eu vejo é tratar a contagem de itens pendentes como medida de esforço. Não é verdade que todo item pendente custe o mesmo: um controle sem dono definido pode ser resolvido numa reunião de uma hora, enquanto um processo de avaliação de impacto inexistente para todos os sistemas de IA em produção pode consumir meses de trabalho. A leitura certa separa lacuna fundacional, aquela que trava qualquer avanço seguinte, de lacuna de melhoria, que pode esperar o próximo ciclo sem risco nenhum.

O NIST organiza o raciocínio de risco de IA em quatro funções, mapear, medir, gerenciar e governar³, e eu uso essa mesma lógica para priorizar um relatório de gap analysis ISO 42001: primeiro resolva o que impede mapear os sistemas de IA em uso, depois o que impede medir o risco de cada um, só então ataque o que melhora a governança já existente. Comece pelo que destrava os próximos passos, não pelo que é mais fácil de marcar como concluído.

Essa reclassificação é o primeiro trabalho depois de receber o relatório, antes de qualquer plano de ação ou orçamento. Vale a pena revisar o mapa de controles do Anexo A lado a lado com o relatório: boa parte do que aparece como “não aplicável” só se sustenta se a empresa documentar por que aquele controle específico não se encaixa no escopo dela, com critério consistente para os dois lados do relatório.

O que fazer com cada não conformidade

Para cada item não conforme, eu recomendo registrar três coisas antes de sair correndo para corrigir: o motivo da lacuna, se o processo nunca existiu, existiu e foi abandonado, ou existe mas em outra área sem integração, o dono responsável por fechar e uma data realista. Uma avaliação de impacto de um sistema de IA de porte médio costuma levar entre 80 e 120 horas de trabalho qualificado. Isso é premissa minha, baseada no volume de documentação que normalmente falta, não fato medido para a sua empresa específica; ajuste esse número ao que o seu relatório mostrar.

Uma leitura completa do relatório também aproveita a auditoria interna de IA como próximo passo natural: o gap analysis mostra a foto de hoje, a auditoria interna confirma se o que foi corrigido continua valendo depois de alguns meses de operação. Pular essa etapa e correr direto para a certificação é um dos jeitos mais comuns de reprovar numa auditoria externa.

O que eu faria com esse relatório na mão

Eu começaria separando as não conformidades em duas pilhas: as que travam qualquer avanço, como inventário de sistemas de IA e avaliação de risco, e as que podem esperar o próximo ciclo, como ajuste de frequência de revisão de uma política já existente. Defina um dono para cada item da primeira pilha antes de decidir prazo ou orçamento de certificação, e só depois volte ao relatório inteiro para tratar o resto. O relatório já te disse onde cavar. A pergunta que resta é em que ordem, e essa ordem muda o tamanho do projeto muito mais do que o percentual que aparece na primeira página.

Veja também