O que recebe no fim do Diagnóstico.

1. Capa

• ·A empresa e o âmbito verificado: locais, entidades legais, sistemas
• ·As datas da Fase 1 e da Fase 2
• ·Quem fez o trabalho — um nome, não uma equipa
• ·Os níveis de acesso usados (N0, N1, N2) e onde

2. O estado dos quinze domínios

Um estado por domínio, sempre com a fonte e a data da prova. Um visto não é um estado.

Os seis estados possíveis

Controlado

Existe, e há prova datada produzida pelos vossos sistemas — Fonte, data, âmbito

Implementado, prova insuficiente

Existe, mas a evidência é declarada ou não é reproduzível — O que falta para passar a controlado

Parcial

Existe para parte do âmbito — Que parte fica de fora, com número

Ausente

Não está implementado — Risco, dono sugerido, prazo recomendado

Não verificado

Não foi possível produzir evidência — A causa, nomeada: sem fonte, sem acesso, sem resposta

Exceção aceite

Conhecida, documentada e assinada pela gerência — Motivo, data, prazo de revisão

3. Cinco ações prioritárias

Cada uma com quem a executa, até quando, e o critério que a dá por fechada — escrito antes de alguém começar.

1. 1 Ação · quem executa · prazo · critério de aceitação
2. 2 Ação · quem executa · prazo · critério de aceitação
3. 3 Ação · quem executa · prazo · critério de aceitação
4. 4 Ação · quem executa · prazo · critério de aceitação
5. 5 Ação · quem executa · prazo · critério de aceitação

4. O que não foi possível verificar

Nomeado, com a causa: sem fonte, sem acesso ou sem resposta. Não fica escondido num anexo.

5. Matriz de Fontes

Para cada domínio: de onde vem a evidência, quem a produz, com que frequência e a que nível de acesso. É o que torna um plano mensal executável.

6. Entre três e sete oportunidades seguintes

Nomeadas e orçamentáveis. Nenhuma é obrigatória, e nenhuma é condição de nada.