Projeto final: a política que você assina e revisa em noventa dias

Consolidar os artefatos do curso num documento único, assinado, datado e com a próxima revisão marcada na agenda.

• Reunir os artefatos dos dezenove módulos anteriores em sete seções com dono e prazo.
• Decidir destino, custo e retenção da trilha de auditoria fora do fornecedor.
• Marcar a data da próxima revisão e o gatilho que obriga reabrir o documento antes dela.

Em linguagem simples

Política de publicação é o documento que diz quem pode decidir o quê, com qual alçada, dentro de qual orçamento, sob quais prazos e com qual evidência. Ele existe para que a próxima decisão de plataforma não dependa da memória de uma pessoa nem do tom de voz de quem defende a proposta na reunião.

A diferença entre política que funciona e política que enfeita pasta é sempre a mesma: assinatura, data e revisão marcada. Análise da EFMD Global sobre educação executiva, publicada em 23 de junho de 2026, conclui que o desenho que funciona troca workshop por aplicação em trabalho real, exigindo que quem participa responda pelo que propõe. A métrica de sucesso é o artefato usado na próxima reunião, não a carga horária cumprida.

1. 01Cada seção nasce de um artefato já produzido. As sete seções não são escritas do zero. Elas consolidam o mapa do caminho, a fatura decomposta, a matriz de publicação, o cartão de incidente, o calendário de obsolescência e as fichas de transferência.
2. 02Alçada é o que evita reunião repetida. Definir qual decisão cada papel pode tomar sozinho, e a partir de qual valor ou risco ela sobe, elimina a discussão sobre quem decide toda vez que aparece uma escolha nova.
3. 03Trilha de auditoria precisa morar fora do fornecedor. Registro que só existe dentro da plataforma não sobrevive a uma disputa com a plataforma. Destino, custo e retenção entram na política como decisão explícita.
4. 04Revisão marcada é o que impede envelhecimento silencioso. Preço muda, versão é depreciada, norma entra em vigor. Documento sem data de revalidação continua sendo lido como verdade meses depois de ter deixado de ser.

Confusão mais comum: Confundir política com procedimento. Procedimento diz como se faz e muda quando a ferramenta muda. Política diz quem decide, com qual alçada e sob qual prazo, e sobrevive à troca de fornecedor. Misturar os dois produz um documento que envelhece na velocidade da ferramenta e nunca é revisado no ritmo da governança.

Explique em voz alta: Traduza para um conselheiro que não é da área qual decisão de plataforma a sua empresa consegue tomar hoje sem convocar reunião, e por quê.

O projeto final é um documento assinado

O curso anterior terminava com um projeto final sem entregável, sem critério de aceite e sem rubrica, e a conclusão era autodeclarada num botão gravado no navegador. Para quem decide, esse é o erro de desenho mais caro possível: produz certificado sem artefato.

Análise da EFMD Global sobre educação executiva, de 23 de junho de 2026, conclui que os programas que funcionam trocam workshop por aplicação em trabalho real, exigindo que quem participa responda pelo que propõe e entrega. A métrica de sucesso é o artefato usado na próxima reunião.

Existe também um argumento de retenção: formação executiva sem recuperação ativa, ou seja, sem tentativas de baixo risco, espaçadas, com devolutiva explícita, entrega consciência do problema e cobra preço de capacitação. É por isso que cada módulo terminou em artefato, e não em resumo.

Modelo operacional

As sete seções da política de publicação

Cada seção tem dono nomeado, prazo e um anexo que já foi produzido em algum módulo do curso. O corpo da política cabe em poucas páginas; os anexos podem ser longos, porque ninguém os lê em reunião.

• 1. Alçadas de aprovação: Quem decide o quê, sozinho ou em comitê, escrito em valor mensal e em classe de risco. Inclui quem pode publicar em produção e quem aprova exceção, com prazo de encerramento de cada exceção. Exemplo: Mudança de configuração sem efeito de custo: time. Acima de um valor mensal definido pela diretoria: CFO. Mudança que altere jurisdição de processamento de dado pessoal: parecer jurídico prévio, sempre.
• 2. Matriz de risco com dono e prazo: Cada risco identificado no curso vira linha com dono, prazo e situação. Risco sem dono é risco aceito por omissão, e é melhor que a aceitação seja explícita. Exemplo: Credencial de publicação sem rotação, dependência externa sem contrato, ramo de pré-produção com permissão de publicar, versão de runtime com data de depreciação anunciada.
• 3. Orçamento de plataforma com teto de alerta: Valor de alerta definido pela diretoria, dono do aviso e ação de contenção pré-autorizada, com o registro explícito de que a pausa automática do fornecedor não é instantânea e a retomada é manual, projeto a projeto. Exemplo: Alerta em valor acordado, dono nomeado, e a lista dos controles de perímetro efetivamente ligados hoje, cada um com responsável.
• 4. Calendário de obsolescência: As datas definidas pelo fornecedor que param a publicação sem ninguém tocar no sistema, cada uma com sistema afetado, dono interno e prazo de correção. Exemplo: Depreciação de versão de runtime na plataforma em 1 de outubro de 2026 e remoção da mesma versão nos executores de integração contínua em 16 de setembro de 2026.
• 5. Painel de quatro métricas de entrega: Frequência de publicação, tempo até produção, taxa de falha de mudança e tempo de restauração, cada uma com data da medição, fonte e denominador, em uma página. Exemplo: Régua de materialidade acordada antes de olhar o dado, e a contrapartida de custo da frequência declarada ao lado, porque build é linha de fatura.
• 6. Trilha de auditoria: Destino, custo e retenção do registro de quem publicou o quê e quando, com cópia fora do fornecedor. Decisão explícita, inclusive quando a decisão for não contratar. Exemplo: Exportação para armazenamento próprio, retenção declarada em meses e custo mensal estimado com o preço de tabela verificado e datado.
• 7. Acessibilidade e revisão: Checklist de acessibilidade contra norma citável, responsável pela verificação e a data da próxima revisão da política inteira, com os gatilhos que obrigam revisão antecipada. Exemplo: ABNT NBR 17225, publicada em 11 de maio de 2025, com cerca de 150 requisitos e recomendações e dois níveis de conformidade, construída sobre a WCAG 2.2; e EN 301 549, o padrão harmonizado europeu, construído sobre a WCAG 2.1 nível AA. A base única defensável nos dois regimes é WCAG 2.2 nível AA, porque ela é superconjunto da 2.1 AA e é o que a norma brasileira exige. Verificado em 24 de julho de 2026.

Sete seções, sete donos. Se o mesmo nome aparecer em cinco delas, a política já nasceu dependente de uma pessoa, que é exatamente o problema que ela deveria resolver.

De onde vem cada seção: o curso inteiro em uma página

Nenhuma seção é escrita do zero na última semana. A tabela existe para você ver que o documento final já está quase pronto, espalhado pelos módulos anteriores.

Evidência pública

Caso documentado: a trilha de auditoria virou linha de custo e mudou de entrega

Vercel, registros de auditoria entregues por Drains

Em 30 de junho de 2026 a Vercel migrou os registros de auditoria para entrega via Vercel Drains, substituindo o serviço anterior de transmissão de log para sistemas de segurança. O recurso captura mais de 400 eventos distintos de atividade de equipe, exportáveis para endpoint HTTP customizado ou para armazenamento em nuvem, é exclusivo de times Enterprise e passou a ser cobrado a US$ 0,50 por GB pela precificação padrão de Drains, no lugar de um adicional pago em separado.

• Rastrear quem publicou o quê e quando é recurso de plano corporativo, não de plano padrão.
• O custo virou variável por volume, o que exige estimativa mensal antes de contratar.
• A exportação para destino próprio é o que garante que o registro sobreviva a uma disputa com o próprio fornecedor.

Prova de governança tem preço de tabela e precisa estar orçada. E precisa morar fora da plataforma auditada, porque registro que só existe dentro do fornecedor vale pouco no dia em que a discussão for com ele.

Guardrail

O que faz uma política morrer em noventa dias

As causas de morte são poucas e repetidas. Nenhuma delas é falta de conteúdo: são falhas de propriedade, de data e de gatilho. Verifique as sete linhas antes de assinar, porque depois da assinatura o custo de corrigir sobe.

• Cada seção tem dono nomeado, e nenhum nome aparece em mais de duas seções.
• Toda afirmação numérica da política carrega a data de verificação ao lado, para que a próxima revisão saiba o que revalidar.
• A data da próxima revisão está na agenda de quem assina, e não apenas escrita no documento.
• Existem gatilhos escritos que obrigam revisão antecipada, incluindo incidente com dever de notificar e mudança de arquitetura que toque dado pessoal.
• As alçadas estão em números, não em adjetivos como relevante, crítico ou estratégico.
• Cada exceção aprovada tem justificativa nominal e data de encerramento, e alguém verifica essas datas.
• A política está versionada em local que exige revisão para alterar, e não numa pasta compartilhada em que qualquer pessoa edita sem rastro.

Rotina real

A revisão dos noventa dias, na prática

Chefe de gabinete da CEO da Nortis, responsável pela pauta trimestral de plataforma · Reunião trimestral de noventa minutos, com pauta fechada uma semana antes e material distribuído em quarenta e oito horas.

Situação: Passaram-se noventa dias da assinatura. Duas datas do calendário de obsolescência venceram, a fatura variou dentro da régua, houve um incidente sem dever de notificar e um cliente novo do setor financeiro entrou na carteira.

Entradas: A política assinada, a lista de pendências datadas, a fatura dos três últimos ciclos, o registro dos incidentes do período e as mudanças de arquitetura aprovadas.

Processo: Percorrer as sete seções na ordem, marcar cada linha como cumprida, atrasada ou superada, revalidar as afirmações numéricas com data e decidir o que muda em razão do cliente novo.

Saída: Política em nova versão, com as pendências fechadas ou reagendadas com novo responsável, e a pauta do trimestre seguinte já escrita.

Verificação humana: Nenhuma linha é marcada como cumprida sem evidência anexada. Quem responde pela seção apresenta a evidência, e não a intenção. Linha sem evidência permanece em aberto, com o novo prazo declarado na reunião.

Como se mede: Percentual de pendências fechadas dentro do prazo original, medido trimestre a trimestre, com o denominador visível.

Conexão com o portal

Da gestão de projetos: rubrica antes da entrega, não depois

Critério de aceite combinado antes do trabalho começar transforma entrega em fato verificável. Combinado depois, ele vira negociação sobre esforço, e vence quem argumenta melhor.

Tradução executiva: Cada seção da política tem uma rubrica de aceite escrita antes: o que precisa estar preenchido, com qual evidência anexada e assinado por quem. É isso que permite dizer, na revisão dos noventa dias, se a seção está pronta ou não, sem discutir quanto trabalho deu.

Use quando: distribuir as sete seções entre donos diferentes, ou ao contratar consultoria para produzir qualquer um dos artefatos.

Fronteira: Rubrica avalia completude e evidência, nunca qualidade de julgamento. Uma matriz de risco pode estar completa, datada e assinada, e ainda assim conter uma avaliação errada. Rubrica não substitui revisão por alguém que entenda do assunto.

Gestão de Projetos de GEO

Laboratório de decisão

Assinar agora com lacunas ou esperar o documento ficar completo

Faltam duas semanas para o encerramento do trimestre. Cinco das sete seções estão prontas com evidência anexada. A trilha de auditoria depende de uma decisão de contratação de plano e o checklist de acessibilidade ainda não passou por verificação técnica.

A política é assinada agora, com duas seções em aberto, ou espera o trimestre seguinte?

• A. Esperar as sete seções ficarem completas para assinar uma versão definitiva.: Adia o efeito das cinco seções prontas por um trimestre inteiro. Na prática, adia também as outras duas, porque documento não assinado não entra em pauta e não gera cobrança de prazo.
• B. Assinar as sete seções mesmo assim, marcando as duas incompletas como cumpridas para não travar o processo.: Produz registro de conformidade sem conformidade, que é o pior resultado possível: cria confiança falsa dentro da empresa e vira passivo diante de auditor que peça a evidência.
• C. Assinar as cinco seções prontas e registrar as duas como pendências datadas, com responsável nomeado e prazo dentro dos noventa dias.: Coloca em vigor o que já pode valer e transforma o que falta em item com nome e data. Exige a disciplina de tratar pendência datada como parte da política, e não como rodapé.

Recomendação: A terceira opção, com as duas pendências levadas para a revisão dos noventa dias como primeiro item da pauta.

A primeira opção confunde completude com utilidade e paga com um trimestre de exposição desnecessária. A segunda troca risco operacional por risco reputacional e regulatório, porque a evidência ausente vai ser pedida exatamente quando doer mais. A terceira reconhece o que qualquer executivo experiente já sabe: documento de governança nunca fica pronto, ele fica vigente, com lacunas declaradas e datadas. O que separa uma política viva de uma pasta esquecida é a data de revisão na agenda de quem assinou.

Caso Nortis · Semana 13

Marina abre a reunião de encerramento com dezenove artefatos produzidos ao longo do trimestre espalhados em pastas diferentes, cada um com um dono, nenhum com data de revisão.

Documento que não é assinado nem tem data de revalidação envelhece em silêncio, e a próxima decisão de plataforma volta a depender de quem fala mais alto na sala.

Consolidar tudo numa política de publicação assinada: alçadas de aprovação, matriz de risco com dono e prazo, orçamento de plataforma com teto de alerta, calendário de obsolescência, painel de quatro métricas, trilha de auditoria com destino e retenção, e a data marcada da próxima revisão.

Exemplo trabalhado

Dezenove artefatos em pastas diferentes, nenhum com data de revisão

CEO da Nortis, na reunião de encerramento do trimestre

O trimestre produziu mapa do caminho do código, glossário de decisão, ficha de execução, linha de base de métricas, fatura decomposta, parecer de região, orçamento de build e observabilidade, política de gasto, matriz de fornecedor, tradução do contrato, calendário de obsolescência, plano de saída, inventário de credenciais, política de dependências, fronteira da proveniência, matriz de publicação, cartão de incidente, plano de notificação e fichas de transferência. Cada um com um dono, nenhum com data de revisão, todos em pastas diferentes.

Resultado: A pauta trimestral de plataforma passa a existir com nome, dono e data. A reunião seguinte começa pela lista de pendências datadas, e não pela reconstrução do contexto.

Continua sob responsabilidade humana: Documento assinado não executa nada sozinho. Ele só produz efeito se cada seção tiver dono nomeado com tempo alocado e se a revisão dos noventa dias acontecer de fato. Política revisada uma vez e abandonada é pior que ausência de política, porque cria a sensação de controle sem o controle.

• Eu tenho a política de publicação assinada, datada e com um dono nomeado por seção.
• Eu sei dizer quanto custa por mês manter a trilha de auditoria fora do fornecedor, com preço verificado e datado.
• Eu tenho a revisão dos noventa dias na minha agenda, com os gatilhos que obrigam reabrir o documento antes dela.

O curso termina onde a operação começa: com a pauta trimestral de plataforma já escrita e a próxima fatura chegando com as perguntas certas ao lado.