Gestão de TI

📦 Visão geral

O Gestão de TI organiza os custos de TI e a gestão/governança da TI da empresa. Na parte financeira ele cruza fornecedor × classe contábil e atribui um nome padronizado baseado em frameworks de mercado (TBM, COBIT, ITIL, ISO). Serve de base para relatórios, controle de orçamento de TI, gestão de lançamentos recorrentes e a conformidade (ISO, Risco, Inventário).

Os dados do sistema ficam isolados no schema admti (tabelas ti_*), separados das tabelas originais do ERP — veja Arquitetura & schema admti. Para reprocessar dados use a aba Manutenção.

Acesso: o app abre numa tela de login (e-mail corporativo + senha) e só carrega os dados depois de autenticar. No primeiro acesso ele pede a troca de senha. Quem está logado aparece no topo (👤) e é gravado na trilha de auditoria.

A tela inicial é o 📊 Dashboard: custo de TI do mês, por centro de custo (showback), por categoria e evolução de 12 meses.

O sistema se divide em cinco áreas (botões no topo):

• 💰 Custos & Pagamentos — o financeiro: Dashboard, De-Para, Recorrentes, APs, Auditoria, Calendário, Orçamento, Categorias, Anomalias.
• 🛠️ Gestão de TI — a operação/governança: Inventário de Ativos, ISO/Conformidade, Matriz de Risco, Procedimentos e Treinamentos.
• 🤝 Reuniões — atas executivas (análise crítica pela direção): a reunião vira registro e converte cada tema em tarefa, risco, decisão ou projeto.
• ⚙️ Sistema — Pessoas, Histórico (trilha de auditoria), Manutenção e Configurações (agentes de IA).
• ✅ Tarefas — o hub único de tarefas de todos os módulos (também aparece filtrado dentro de Custos e de Gestão).

No cabeçalho ainda há a lente 👁️ Visão (Empresa ou um departamento) que filtra as telas de ISO e Matriz de Risco. A Ajuda fica sempre visível.

🔐 Entrar no sistema (login)

O acesso ao sistema é protegido por login. Antes de qualquer tela aparecer, você precisa entrar com o seu e-mail corporativo e uma senha. Enquanto não fizer login, nenhum dado do sistema é carregado.

Como entrar

• Abra o endereço do sistema no navegador. A tela de login aparece primeiro.
• Digite o seu e-mail corporativo (o mesmo do diretório da empresa) e a sua senha.
• Se e-mail e senha estiverem certos, você entra direto no 📊 Dashboard.
• Você continua logado por 30 dias naquele navegador — não precisa digitar a senha toda vez. Depois desse prazo (ou se você sair), o sistema pede o login de novo.

Primeiro acesso — trocar a senha

No seu primeiro acesso, use a senha padrão informada pela TI. Assim que você entra pela primeira vez, o sistema obriga a trocar a senha antes de liberar as telas: escolha uma senha nova com no mínimo 8 caracteres. A partir daí, é essa a sua senha. A senha nunca é guardada em texto — o sistema só guarda uma versão embaralhada dela, então nem a TI consegue ver a sua senha.

Sair

No canto superior direito, ao lado do seu nome, há o botão Sair. Clique nele para encerrar a sessão — útil em computador compartilhado. Depois de sair, o sistema volta a pedir e-mail e senha.

Acesso restrito (só liberados)

O sistema é de uso interno e restrito: apenas pessoas previamente liberadas conseguem entrar. Se você tentar logar sem liberação, verá a mensagem "E-mail ou senha inválidos, ou acesso não liberado" (a mensagem é a mesma para senha errada ou acesso não liberado, por segurança). Para pedir liberação ou se estiver com problema para entrar (esqueceu a senha, e-mail não reconhecido), fale com a TI — ela libera o seu e-mail e, se preciso, reseta a sua senha para a senha padrão (aí você troca de novo no acesso seguinte).

📊 Como usar: Dashboard

Visão executiva do custo de TI, com seletor de mês de referência no topo. É a tela inicial.

De onde vem o valor

A medida é o valor rateado por centro de custo (cost_center_value) dos lançamentos classificados como TI no de-para. Esse valor é aditivo: a soma por centro de custo, por categoria e por mês fecha sempre no mesmo total. Pode divergir ~1% do "realizado" da tela de Orçamento, que usa outra dedup — os dois estão certos, só medem de formas diferentes.

Competência vs. caixa (o detalhe dos atrasos)

O mês é por competência (mês do vencimento). O custo do mês se divide em:

O KPI "Saiu do caixa no mês" mostra o desembolso real do mês (por data de pagamento) e quanto dele era de contas atrasadas de meses anteriores — assim você vê tanto a competência quanto o caixa.

OPEX × CAPEX

O KPI "OPEX × CAPEX" separa o gasto operacional (⚙️ recorrente + avulso) do financiamento (💳 parcelamento de compras — Dell, Aymoré...). É a leitura que o board espera: custeio vs. investimento. Os dois somados batem com a competência do mês.

As visões

• 🏢 Por Centro de Custo (showback): quanto cada área da empresa consome de TI. As barras separam pago (verde) de em aberto (hachura). É o jeito de saber quem usa o orçamento de TI e ratear.
• 🏷️ Por Categoria / Pool (TBM): o tipo de gasto, agrupado pela taxonomia de 3 níveis (Software, Nuvem, Telecom... e subcategorias). As barras usam o nome curto da categoria (definido na aba Categorias); o nome completo aparece no tooltip.
• 📈 Evolução 12 meses: barras empilhadas por competência mostrando pago em dia · pago atrasado · em aberto, mês a mês — enxerga tendência e meses com muito atraso.

📋 Como usar: De-Para

• Buscar: digite fornecedor, classe, código ou nome novo.
• Filtrar: por categoria, motivo (Categoria/Centro de Custo) ou status de revisão.
• Editar (✏️): escolher a categoria de cada par fornecedor×classe. Ao escolher, o campo "Nome padrão" se preenche sozinho com o nome da categoria (mantém o padrão). Só edite esse campo se quiser um rótulo próprio.
• Tipo do gasto: na edição, o seletor 🔄 Normal / 💳 Financiamento. Marque Financiamento para parcelamentos (Dell, Aymoré...) — eles ficam com o badge 💳 e nunca entram na recorrência (sai automaticamente ao salvar).
• Dois nomes — não confunda: o "Nome padrão" (ao lado da categoria) é o nome padronizado daquela classificação e segue a categoria. Já o "Apelido do fornecedor" (na coluna do fornecedor) é um nome amigável do fornecedor inteiro — outra coisa.
• A recorrência segue o de-para: quando você muda a categoria de um fornecedor aqui, as contas recorrentes dele são realinhadas automaticamente para a nova categoria (e o status Pago/Faltando se corrige). Se precisar forçar tudo de uma vez, use Manutenção › Sincronizar categorias.
• Revisar: marque o checkbox quando a regra estiver conferida.
• Motivo: Categoria = a classe já é de TI por natureza; Centro de Custo = só é TI quando lançada no centro de custo 23 (TI).
• Apelido do fornecedor: ao editar, dá pra dar um nome amigável (ex: "Felipe (Equipe TI)"). Ele aparece em destaque com a razão social embaixo, em todas as telas. Fica numa tabela separada — não altera o cadastro original do ERP.

🔁 Como usar: Recorrentes

Controle das contas que se repetem todo mês (sistemas, internet, telefonia...), uma linha por conta de cada local. O objetivo é não deixar nada vencer.

Como entram na lista: só (fornecedor + categoria + local) que aparecem em ≥3 meses, ainda ativos e com cadência mensal. Compra avulsa não entra.

Status do mês (calculado dos pagamentos reais)

Atraso acumulado (⏳ Xm)

Conta há quantos meses consecutivos a conta está sem pagamento, do mês atual pra trás até o último pagamento. Ex: último pagamento em abril + faltando em junho = ⏳ 2m (maio e junho). Quem está atrasado há mais tempo sobe no topo.

Minha ação (registro da equipe)

O seletor "Minha ação" deixa você registrar o que já fez, mesmo antes do ERP saber: ✅ Paguei · 📅 Agendei · 🔍 Em análise · ⏸️ Segurado. Fica salvo por mês e tira a conta dos alertas.

Atalho: ver as APs do fornecedor

Clique no nome do fornecedor (fica sublinhado ao passar o mouse) para abrir a aba 🧾 APs já filtrada por ele — você vê todos os lançamentos dele. De lá, o botão ✏️ Corrigir no De-Para leva à classificação se precisar ajustar.

Dados do contrato

Ao editar (✏️) uma conta, você pode guardar valor do contrato, data de renovação, contato e telefone do fornecedor — útil pra renegociar e saber com quem falar.

✂️ Risco de corte e criticidade

Na edição você define, por conta:

• Corta após (dias) — depois de quantos dias de atraso o fornecedor corta o serviço
• Criticidade — o impacto se o serviço parar (🔴 Crítica / 🟠 Alta / 🟡 Média / 🟢 Baixa)

O sistema cruza os dias de atraso com o limite de corte e mostra um selo: ⚠️ perto do corte (passou de 60% do prazo) ou ✂️ RISCO DE CORTE (já passou do limite). Esses casos sobem nos Alertas, priorizados pela criticidade — primeiro os críticos prestes a serem cortados.

🏢 Filial e 📍 Projeto

São duas dimensões diferentes:

• Filial = a dona da conta (entidade com CNPJ que paga). Vem automática da tabela de filiais — mostra nome fantasia + razão social + CNPJ.
• Projeto = onde o custo é usado (o empreendimento). É manual: você associa na edição (✏️), escolhendo da lista de empreendimentos. Enquanto vazio, mostra "— associar —".

Os dois podem diferir (ex: internet de uma obra lançada na matriz). Use o filtro 📍 Sem projeto pra ver o que falta associar.

🔄 Ciclo de vida da conta (ativa → tratativa → encerrada)

Da tratativa, a tarefa tem dois botões que resolvem tudo num clique: ↩️ Manter (volta pra ativa) ou 🚫 Encerrar (vai pro histórico). O botão 🚫 Encerrar direto na lista também funciona — e sempre gera uma tarefa concluída de registro, com o motivo. Encerrou por engano? ↩️ reativa.

Filtros e marcadores

• Chips por categoria — Internet, Nuvem, Telefonia... troca num clique
• 📍 Local — vê só as contas de uma filial
• 🔴 Só faltando — mostra só o que está faltando ou em atraso (sua lista de "pagar agora")
• 💳 Só cartão — só faturas pagas no cartão de crédito (útil pra conciliar a fatura)
• 📍 Sem projeto — contas que ainda não têm projeto associado
• 🔧 Em tratativa / 🗄️ Encerrados — as contas fora da lista ativa
• 🔔 Alertas — abre o painel de contas que precisam de atenção
• 📥 Excel / 📅 Matriz mensal — exporta / grade ✓✗ dos últimos 6 meses

Importante: "Faltando" = "não encontrei pagamento" — pode ser não-pago de verdade, ou pago mas ainda não carregado/lançado em outro lugar. É um radar de atenção, não uma certeza.

🧾 Como usar: APs

Lista as APs (lançamentos individuais) de TI — as notas a pagar e pagas, uma linha por nota/classe. É o detalhe por trás dos números agregados.

Filtros

• Período: mês atual · últimos 3 meses · 12 meses · tudo (por data de vencimento).
• Tipo: Todos · 🔁 Recorrentes · ⚡ Avulsos · 💳 Financiamento. Use Avulsos para compras pontuais; Financiamento para parcelamentos (Dell, Aymoré...).
• Busca: por fornecedor, classe ou código.

As três naturezas

Para marcar um fornecedor como financiamento: edite-o no De-Para e escolha 💳 Financiamento no seletor de tipo. Ele sai da recorrência automaticamente.

Resumo e colunas

No topo: total de lançamentos e valor, separando 🔁 recorrente, ⚡ avulso e 💳 financiamento. A tabela mostra vencimento, status (✅ pago · ⏰ pago atrasado · ⌛ em aberto), fornecedor, classe de origem, categoria, filial, centro de custo e valor. O valor é o da linha da nota (class_value).

Navegação cruzada

• Clicar no nome do fornecedor (na Recorrência) abre as APs dele já filtradas.
• Na barra do fornecedor há o atalho ✏️ Corrigir no De-Para.
• Numa AP que é recorrência, o ícone 🔁 leva para a Recorrência correspondente.

📏 Regras de leitura das APs (importante)

Para os números baterem com a realidade, o sistema aplica estas regras ao ler as APs do ERP (valem para APs, Dashboard, Auditoria, Orçamento e Recorrências):

Essas regras existem porque a base é um espelho do ERP e tem ruído. Quando um número parecer estranho, comece pela Auditoria do fornecedor — ela mostra classes, meses e valores lado a lado.

🔎 Como usar: Auditoria

Visão consolidada de um fornecedor numa tela só — pra investigar/auditar gastos.

• Escolher o fornecedor: digite no campo de busca (nome ou código) e selecione; ou clique no 🔎 de uma recorrência, que abre a auditoria já naquele fornecedor.
• O que mostra: cabeçalho com total histórico, nº de lançamentos, classes e filiais; lista de recorrências; classes utilizadas (com categoria e valor); e filiais onde aparece.
• ⚠️ Classes não classificadas: se o fornecedor tem gasto em classes que não estão no De-Para (ex: a empresa lança tudo em "764 Adiantamento a fornecedores" e não reclassifica), elas aparecem num painel de aviso — com a marca CC 23 · TI quando foram lançadas no centro de custo de TI. Dá pra classificar na hora: escolha a categoria no seletor e ela vira regra no De-Para, passando a contar no controle de TI. É o jeito de capturar gasto de TI que estava escondido em adiantamentos.
  Obs.: essas classes só aparecem aqui — na aba APs não, porque aquela tela só lista classes que já estão no De-Para.
• ⚠️ Fornecedor dividido em N categorias: quando o fornecedor foi lançado em classes que caem em categorias diferentes (ex: a Vercel ficou meses como "Suporte" e depois virou "Compute" quando o financeiro corrigiu a classe), a recorrência racha (uma vira recorrente, a outra avulsa). O painel mostra as categorias e oferece 🔗 Unificar: escolha a categoria certa (já sugere a mais recente) e todas as classes do fornecedor passam pra ela — a recorrência se junta sozinha.
• 📋 Todos os lançamentos: no fim da tela, a lista completa e crua do fornecedor — pagos, em aberto, zerados/cancelados e classes não mapeadas, sem filtro. Mostra Valor (classe) e Pago (baixa) lado a lado, então dá pra ver os registros com valor de classe mas baixa zerada (cancelados/reclassificações). É a visão de auditoria forense.
• Atalhos: botões 🧾 Ver APs (lista filtrada/limpa, em outra aba) e ✏️ Corrigir no De-Para.
• 🤖 Assistente de IA (painel à direita): um mini chat para perguntar sobre o fornecedor. O agente é ligado em ⚙️ Config — enquanto não estiver, o chat avisa. Depois de configurado, ele responde com base nos dados do fornecedor.

⚙️ Configurações — Agentes de IA

Onde se cadastra os agentes de IA usados na Auditoria (e futuras telas). Cada agente guarda: nome, provider (anthropic/openai/custom), modelo, API URL, API Key (fica local e aparece mascarada), funções/ferramentas que ele pode usar, escopo e se está ativo.

A ligação real com a API do agente será feita depois — a estrutura já está pronta: ao cadastrar e ativar um agente de escopo auditoria, o chat da Auditoria passa a usá-lo. Por enquanto o chat responde em modo prévia. A chave de API não é sobrescrita ao editar se você deixar o campo em branco.

✅ Como usar: Tarefas

Onde você registra e acompanha os casos a tratar — achados avulsos da operação (ex: "a Alta Vista trocou de CNPJ?") e tratativas que precisam de um próximo passo e não podem se perder. É o hub único de tarefas de todo o sistema.

• ➕ Nova tarefa — título, descrição, prioridade (🔴🟡🟢), status, prazo, Área da TI responsável e código do fornecedor relacionado
• Concluir — marque o checkbox; a tarefa fica riscada e sai das pendências
• Editar — clique no corpo da tarefa
• Filtros — por situação (abertas / em andamento / concluídas / tudo), por módulo e por Área da TI. O botão ✅ Tarefas no topo (ao lado de Custos / Gestão / Sistema) é o hub com todas as tarefas do sistema.

Cada tarefa tem duas dimensões independentes:

• Tarefas dentro de cada área — além do hub, há uma aba ✅ Tarefas em 💰 Custos (já filtrada em financeiro) e em 🛠️ Gestão (em risco). Nelas o filtro de módulo fica travado e a ➕ Nova tarefa já entra com aquele módulo.
• ⚠️ Incluir na matriz de risco — no modal da tarefa, vincule-a a um risco existente (vira tratativa dele) ou crie um risco novo na hora. Tarefas geradas dentro de um risco/tratativa aparecem com o módulo risco.
• Vem de outras telas — há botão ➕ Gerar tarefa no controle ISO (módulo iso, mostra 📐 código), no Inventário de Ativos (módulo infra, vinculada ao ativo) e nos temas de reunião (módulo reunião, mostra 🤝). O botão 📌 Virar tarefa nos Recorrentes e nas Anomalias cria a tarefa já preenchida (fornecedor, contexto e achado).
• Prazo vencido aparece em vermelho ("atrasada"); o badge na aba mostra quantas estão abertas.
• Tarefa de uma conta recorrente (mostra 🔗 no lugar do checkbox): a conta fica em tratativa e você conclui pelos botões ↩️ Manter (volta pra ativa) ou 🚫 Encerrar — que resolvem a conta e a tarefa juntos. Não use o checkbox nesse caso (por isso ele some).

As tarefas são ordenadas por prioridade e prazo. Ideal para o fluxo: achou algo estranho → cria a tarefa → resolve no próximo dia na empresa → conclui.

📅 Como usar: Calendário

Mostra os vencimentos dos recorrentes no mês, cada conta no seu dia de vencimento. Navegue entre meses com ◀ ▶.

As cores seguem o status: 🟢 pago · 🔵 previsto · 🔴 faltando · 🟡 aguardando. Passe o mouse numa conta pra ver fornecedor, local e valor.

💰 Como usar: Orçamento

Compara o orçamento de TI do mês com o que está acontecendo de verdade.

A barra mostra o % do orçamento já gasto. Se o comprometido passar do orçado, aparece um alerta vermelho (os contratos fixos sozinhos estouram o mês). Embaixo, o realizado por categoria.

Navegue entre meses com ◀ ▶. Cada mês tem seu próprio orçamento.

🔔 Como usar: Alertas

Acessível pelo botão 🔔 Alertas na aba Recorrentes. Lista as contas que precisam de atenção: faltando ou vencendo em X dias, que ainda não receberam ação de "Paguei/Agendei".

• Dias antes — quantos dias antes do vencimento começar a alertar (padrão 3)
• Webhook do WhatsApp — cole aqui o endpoint da sua API quando tiver
• 📤 Enviar agora — dispara os alertas pro webhook configurado

A estrutura já está pronta. Sem webhook configurado, o botão só mostra quantos alertas existem. Com o endpoint colado, ele envia de verdade.

🚩 Como usar: Anomalias

Detecção automática de inconsistências no de-para (roda a cada acesso — cargas novas geram anomalias novas aqui).

Tratativas (a decisão fica gravada)

• ✔ Ignorar — é falso positivo ou está ok; sai das pendências
• 🛠 Origem — precisa corrigir no sistema de origem (ERP Mega/Senior); registra observação
• 🗑 Remover — tira a regra do de-para de vez

O badge vermelho na aba mostra quantas estão pendentes. O que você já tratou não volta a incomodar.

🏷️ Como usar: Categorias

É a taxonomia — o catálogo de nomes padronizados. Segue a estrutura TBM de 3 níveis:

• O de-para sempre aponta para a folha (o nível mais específico). Os relatórios somam pra cima sozinhos — você vê o total de "SaaS › IA", o total de "SaaS" e o total do pool "Software".
• Uma categoria de nível 2 pode ser uma folha (ex: Internet) ou um agrupador (ex: SaaS, que tem subcategorias). Agrupadores aparecem destacados, com as folhas indentadas (└).
• ➕ Nova categoria: escolha o pai — um Pool (cria categoria) ou uma Categoria (cria subcategoria). O nível é calculado automaticamente.
• Editar (✏️): ajusta nome e referências de framework (com sugestões automáticas).
• Nome curto (coluna "Curto"): apelido opcional que aparece nos gráficos do Dashboard no lugar do nome completo (ex: "ERP / Gestão" em vez de "Gestão / ERP & Vertical Imobiliário"). O nome completo TBM continua sendo o padrão; o curto é só pra leitura. Deixe vazio para usar o nome completo.
• Uso: quantas regras do de-para usam aquela folha.
• Não dá pra excluir categoria em uso nem agrupador com subcategorias (proteção contra quebra).
• Por que separar Nuvem de SaaS? O comportamento de custo é diferente — nuvem (AWS, Google Cloud) é variável/sob demanda; SaaS é assinatura. O TBM v4 trata Cloud como pool próprio. E o SaaS é dividido por função de negócio (Produtividade, Design, IA, ERP, Assinatura, Dados&APIs), como fazem as ferramentas de SaaS Management — assim dá pra gerir custo com precisão.
• 📌 A subcategoria "A classificar (revisar)" é um balde temporário: quem cai aí (ex: notas fiscais de retenção, distribuidores genéricos) precisa de revisão manual sua. Use o filtro "Não revisados" no de-para para encontrar tudo que foi reclassificado e conferir.

🛠️ Como usar: Manutenção

Tela para reprocessar e atualizar os dados quando você mexe no de-para ou chegam lançamentos novos no mês — tudo por botão, sem precisar de terminal. As ações rodam dentro do servidor e escrevem somente nas nossas tabelas (schema admti); nunca tocam nas tabelas originais do ERP.

Painel de status (topo): visão rápida do datalake — schema, nº de categorias, de-para (e quantos revisados), recorrentes ativas/em tratativa/encerradas e locais.

• 🔁 Re-detectar pagamentos recorrentes: varre todas as APs (lançadas + baixadas) cruzando com o de-para e adiciona ao catálogo só as contas novas (fornecedor + categoria + local com ≥3 meses e cadência mensal). É não-destrutivo: nunca apaga — projeto, encerrados e dados manuais são preservados (usa ON CONFLICT DO NOTHING). Rode depois de editar o de-para ou no começo do mês.
• 🔄 Sincronizar categorias das recorrentes: realinha a categoria das recorrentes com o de-para atual. Ao editar a categoria de um fornecedor no de-para, a recorrência dele já é realinhada na hora — este botão é a versão "tudo de uma vez" (útil após editar vários, ou por garantia). Junta duplicatas do mesmo fornecedor+local preservando projeto, contrato e demais dados manuais.
• 🖨️ Reclassificar empresas de impressão: reaplica a categoria Impressão / Outsourcing a todas as classes da Copymaq, Demphis/Printer Magazine, Premiun Print/Rework e INK REY. Útil quando aparecem notas dessas empresas em classes novas. As recorrentes existentes são realinhadas sem perder dados manuais. Depois rode o "Re-detectar" para pegar locais novos.
• 👥 Sincronizar pessoas (intranet): importa o diretório de pessoas da empresa (nome, cargo, departamento e contato corporativo) da intranet para a fundação GRC — alimenta os responsáveis de ISO/Risco/Ativos, a trilha de auditoria e a lente por área (os departamentos viram as áreas). Idempotente e não-destrutivo: atualiza quem já existe, adota cadastros manuais pelo e-mail e inativa (não apaga) quem saiu — preservando a trilha. Importa só o telefone corporativo (minimização LGPD). Requer INTRANET_USERS_URL e INTRANET_API_TOKEN configurados no .env.

Cada card mostra a data/hora da última execução e, ao rodar, exibe um log do que aconteceu. As ações são idempotentes: rodar de novo não duplica nada.

🛠️ Gestão de TI: Procedimentos & Treinamentos

A área 🛠️ Gestão de TI é a operação/governança além do financeiro: Inventário de Ativos, ISO/Conformidade, Matriz de Risco (COSO), Procedimentos e Treinamentos. (As cinco áreas do sistema estão descritas na Visão geral.)

📐 ISO / Conformidade

Projetos de implementação das normas, com gap analysis vivo: cada norma tem seus controles/requisitos, cada um com status ⚪ Não iniciado · 🟡 Em andamento · 🟢 Implementado · ⚫ N/A. O % de progresso é calculado sozinho (implementados ÷ aplicáveis). Tela master-detail: escolha a norma no menu lateral (com barra de progresso) e veja os controles agrupados por categoria à direita; mude o status direto no seletor de cada linha. Vincule um procedimento como evidência do controle (ex: o controle de conscientização A.6.3 aponta para o PROC de atendimento). Já vem com dois projetos: ISO/IEC 27001:2022 com o Anexo A completo (93 controles) e ISO 9001:2015 (cláusulas principais) — edite/complete conforme sua realidade.

Cláusulas introdutórias (1, 2, 3): aparecem no topo marcadas como ℹ️ informativo — são Escopo, Referências normativas e Termos e definições. Não são requisitos (não têm "a organização deve...") e por isso não contam no progresso nem têm seletor de status; servem só para o time entender por que a implementação começa na cláusula 4. (Mesma lógica no Anexo A da 27001, que começa em A.5.)

Além do Anexo A, a ISO/IEC 27001:2022 traz as cláusulas 4 a 10 do Sistema de Gestão (SGSI) — contexto, liderança, planejamento, apoio, operação, avaliação de desempenho e melhoria — na categoria "Sistema de Gestão (cláusulas 4–10)". Ao todo são 103 itens (100 aplicáveis): a certificação cobre tanto os controles (Anexo A) quanto a gestão (cláusulas), cada um com status e progresso.

📄 SoA — Declaração de Aplicabilidade: no ✏️ de cada controle há a marca Aplicável e, quando não se aplica, uma justificativa; o botão 📄 Exportar SoA (no topo da norma) baixa o CSV completo — o documento nº 1 do auditor. Detalhes em Pessoas, Áreas & SoA.

Filtro por status: acima da lista de controles há chips — Todos · ✅ Onde atuamos · 🟢 Implementado · 🟡 Em andamento · ⚪ Não iniciado · ⚫ N/A. Use "Onde atuamos" para focar no que já está em andamento/implementado. Para iniciar um controle manualmente, é só mudar o seletor de status da linha (⚪ → 🟡) ou abrir o ✏️ para registrar responsável e evidência. O botão ➕ Adicionar controle cria um controle fora do catálogo padrão.

🔗 Evidências — visão 360: ao abrir um controle (✏️), a seção Evidências mostra tudo que sustenta aquele requisito num só lugar: os procedimentos que o operacionalizam, os treinamentos que conscientizam, os riscos que ele mitiga e os ativos (servidores/serviços) onde ele se aplica. Cada vínculo é um chip — clique no ✖ para desvincular. Para adicionar, escolha o tipo (📐/📋/🎓/⚠️/🖥️), o item e clique vincular. É a evidência que o auditor pede: "prove que este controle existe na prática" → aqui está a cadeia controle → procedimento → treinamento → risco → ativo. Os vínculos antigos (procedimento do controle, risco ligado ao controle) já aparecem aqui automaticamente.

A mesma seção 360 aparece nas 5 telas da cadeia — controle ISO, Procedimento, Treinamento, Risco e Ativo (botão ✏️ de cada um) — sempre mostrando o que sustenta aquele item, dos dois lados da relação (se você ligou o controle a um risco, o vínculo aparece tanto no controle quanto no risco). Assim você pode partir de um risco e ligar o controle ISO (📐) que o mitiga, abrir um ativo e ver os controles/procedimentos que se aplicam a ele, ou amarrar um treinamento ao controle que ele evidencia. O item nunca se vincula a si mesmo (o próprio tipo some da lista).

📋 Procedimentos & Boas Práticas

Padrões de conduta e operação (atendimento, segurança, infraestrutura). A tela tem um menu lateral com os procedimentos agrupados por área (a bolinha indica o status); clique em um para abrir o conteúdo à direita — nada inicia aberto. Use a busca para filtrar. Cada procedimento guarda o conteúdo (passos) e as normas ISO e frameworks que ele atende. No editor, use ## para títulos de seção e - para itens. Botões de editar/excluir ficam no rodapé do procedimento aberto.

O primeiro já vem pronto: PROC-ATD-01 — Atendimento Presencial ao Usuário, com a postura correta (pedir licença, sentar no lugar do usuário em vez de ficar em pé com o braço esticado por trás, preservar privacidade/LGPD, nunca pedir a senha). Referencia ITIL 4 (Service Desk), HDI, ISO 9001, ISO 20000 e ISO 27001/LGPD.

🎓 Treinamentos

Registro das capacitações — planejadas e realizadas — vinculadas à norma que atendem e, opcionalmente, a um procedimento. Serve de evidência para auditoria: a ISO 9001 (7.2) exige competência registrada e a ISO 27001 exige conscientização. Campos: objetivo, norma, datas (prevista/realizada), responsável, público-alvo, participantes e evidência (ex: lista de presença).

Fluxo típico: crie o treinamento como 🗓️ Planejado com data prevista → quando ocorrer, edite para ✅ Realizado, preencha a data e a evidência. Os números no topo mostram quantos estão planejados e realizados.

📊 Eficácia: no ✏️ de um treinamento já salvo há a seção Eficácia — registre cada participante (aprovado + nota) e o sistema calcula o % de eficácia, provando que o treino funcionou (ISO 9001 7.2 / ISO 27001 A.6.3), não só que aconteceu.

⚠️ Matriz de Risco (framework COSO)

Mapa dos riscos de TI no formato clássico do COSO: uma heatmap 5×5 de Probabilidade × Impacto. O nível de cada risco é Probabilidade × Impacto (1 a 25), classificado em Baixo (1–4) · Moderado (5–9) · Alto (10–14) · Crítico (15–25) — daí as cores verde → vermelho da matriz.

• Matriz (esquerda): cada célula mostra quantos riscos caem naquele cruzamento. Clique numa célula para filtrar a lista ao lado; clique de novo (ou em "ver todos") para limpar. Os KPIs no topo somam críticos, altos e em aberto.
• Lista (direita): cada risco traz o nível colorido, categoria, a resposta e o status, o controle/ação mitigatória e o responsável. O ✏️ abre para editar.
• ➕ Adicionar risco: botão no topo da lista. Você define título, descrição, categoria (objetivo COSO: Estratégico, Operacional, Reporte ou Conformidade), componente COSO ERM (opcional), Probabilidade e Impacto (1–5), a resposta ao risco (Evitar / Mitigar / Transferir / Aceitar) e o controle mitigatório.

Já vem com 8 riscos de TI de exemplo (vazamento de dados/LGPD, ransomware, falha de backup, dependência de fornecedor, acessos não revisados, custos de nuvem, link sem redundância, phishing) — todos editáveis. Vários citam o controle ISO que os trata (ex: backup → A.8.13), conectando a matriz de risco com a aba de ISO/Conformidade.

📝 Avaliação de riscos (questionário guiado)

Botão 📝 Avaliar riscos. Um questionário com ~23 perguntas (agrupadas por domínio: governança, acessos, LGPD, backup, proteção, fornecedores, pessoas, físico, incidentes, custos) ancoradas em COSO, ISO 27001 e LGPD. Você responde ou pula cada pergunta; tudo salva sozinho — se sair e voltar, continua de onde parou. Cada resposta tem um peso (Probabilidade × Impacto). Em cada pergunta há um campo de 📝 observação — anote ali o contexto na hora, enquanto está fresco (ex: "backup é manual, sem teste"). Essas observações viajam junto: ao aplicar, entram nas notas do risco gerado (aparecem ao abrir o risco), evitando ter que reabrir cada risco depois pra preencher. Ao terminar, clique Revisar e aplicar: aparece um preview dos riscos que serão criados/atualizados (novo / atualiza), e só depois de confirmar eles entram na matriz (marcados como origem: avaliação). Seus riscos manuais não são tocados. Cada avaliação é uma rodada com data — dá pra refazer periodicamente e comparar a evolução (evidência de auditoria).

🏢 Área / Setor — visão da empresa toda

O sistema cresceu de "só TI" para a empresa toda. No topo há a lente 👁️ Visão: 🏢 Empresa (tudo) ou um dos departamentos reais da empresa — a lista vem do diretório da intranet (sincronizado, ~33 departamentos: Tecnologia da Informação, Recursos Humanos, Financeiro, Presidência, Qualidade, Comercial, Jurídico, Engenharia, Marketing, Suprimentos…) — e filtra a Matriz de Risco e a ISO. Cada risco e cada controle têm uma Área/Setor dono + um Âmbito (💻 TI ou 🏢 Corporativo). Assim dá pra separar o risco da TI do risco da empresa: a TI vê a fatia dela, a Qualidade vê o todo. Tudo que já existia entrou como Tecnologia da Informação por padrão — é só reclassificar o que for de outra área no ✏️. (A importação do material que a Qualidade já tem entra quando eles passarem o formato.)

🛠️ Tratativas e tarefas

Clique em um risco (no card) para abrir o plano de tratamento. Ali você cria tratativas (estratégia COSO — evitar/mitigar/transferir/aceitar —, responsável, prazo, custo, status) e, dentro de cada uma, gera tarefas (a prioridade já entra conforme o nível do risco). Conclua as tarefas marcando o check; quando o plano estiver resolvido, mude o status do risco para mitigado.

As tarefas de risco vivem na mesma aba Tarefas do resto do sistema (hub único, com filtro por módulo: 💰 Financeiro / ⚠️ Risco / 📐 ISO / 🖥️ Infraestrutura — e por área da TI: 🏗️ Infraestrutura, 💻 Desenvolvimento, 📊 Dados & IA, 🔒 Segurança, 🎧 Suporte, 📋 Governança). E o contrário também: ao criar/editar uma tarefa do financeiro, há a opção "incluir na matriz de risco" — vincula a tarefa a um risco existente ou cria um risco novo na hora.

🤝 Reuniões / Atas executivas

A área 🤝 Reuniões transforma a reunião de alinhamento (ex: a semanal com a diretoria/CEO) em governança auditável. Tecnicamente, ela é a "Análise Crítica pela Direção" que a ISO 9001 e a ISO/IEC 27001 (cláusula 9.3) exigem — então cada ata aqui já é evidência de certificação.

Como funciona: você cria uma reunião (data, tipo, participantes, departamentos envolvidos, resumo executivo) e dentro dela registra os temas / pautas. Cada tema tem um tipo — 📦 Projeto, ⚡ Demanda, 🔁 Item Contínuo, 🧭 Alinhamento, ⚖️ Decisão, 🟢 Aprovação, ⚠️ Risco/Problema, 💡 Brainstorm — além de prioridade, status, departamento, responsável, previsão e frequência de retorno.

O coração — o conversor: dentro de cada tema, os botões ➕ Tarefa / ⚠️ Risco / ⚖️ Decisão / 📦 Projeto transformam a pauta na entidade certa do sistema, sem retrabalho: a tarefa cai no hub de Tarefas já roteada pro responsável do departamento; o risco entra na Matriz de Risco; a decisão vira um registro pro CEO; e o projeto entra no portfólio. Nada se perde entre o "foi falado" e o "vira ação".

Roteamento por líder (RACI): no botão ⚙️ Líderes por área você define o líder de cada departamento (do diretório de pessoas). Aí, quando um tema daquele departamento vira tarefa, ela já nasce no líder certo — ou no responsável que você escreveu no tema. Assim a demanda chega direto em quem resolve.

Ações da reunião inteira: no topo da ata, o botão 📤 Enviar p/ Tarefas cria uma tarefa para cada tema de uma vez (roteada pro responsável/líder; pula os temas que já viraram tarefa). O botão 📄 Exportar ata baixa a ata em Markdown (resumo + pautas por prioridade + decisões) — o artefato para circular com a diretoria.

As abas ⚖️ Decisões e 📦 Projetos (no topo da área Reuniões) mostram tudo que os temas geraram: as decisões pendentes do CEO (com botões aprovar/reprovar/adiar) e o portfólio de projetos (com status editável).

Já vem com a 1ª reunião TI + Edinho semeada (22 temas), pra você ver o modelo. Abra um tema e clique nos botões de gerar conforme a reunião acontece. Em evolução: dashboard executivo, exportação em PDF e "pauta viva" (itens recorrentes reaparecem na próxima reunião).

👤 Pessoas, Áreas & SoA

Base da virada para gestão corporativa e do accountability (quem responde por quê). Em ⚙️ Sistema → 👤 Pessoas você vê o diretório da empresa — e ele não é digitado à mão: é sincronizado da intranet. Na 🛠️ Manutenção, o card 👥 Sincronizar pessoas (intranet) importa os ~458 funcionários (nome, cargo, departamento, contato corporativo). É idempotente e não-destrutivo: atualiza quem já existe, adota cadastros manuais pelo e-mail, cria os departamentos novos como áreas, e inativa (não apaga) quem saiu — preservando a trilha. Por LGPD, importamos só o telefone corporativo (nunca o pessoal). Você ainda pode cadastrar/editar pessoas na tela (➕ Nova pessoa) para complementar.

As áreas/setores deixaram de ser uma lista fixa no código e viraram dado: hoje são os departamentos reais da empresa (Tecnologia da Informação, Qualidade, Recursos Humanos, Financeiro, Presidência…), vindos do próprio diretório. É a mesma lista que a lente 👁️ Visão usa para filtrar ISO e Risco.

📋 Responsável = pessoa real (RACI)

Os campos Responsável de ISO, Matriz de Risco, Tratativas, Treinamentos, Projetos e Ativos sugerem as pessoas do diretório (digite p/ buscar), evitando grafias diferentes da mesma pessoa. Mais que texto: o responsável é vinculado à pessoa real (RACI), então na lista de Pessoas cada uma exibe o badge 📋 com quantos itens de governança ela responde — o começo do "minhas responsabilidades".

📄 SoA — Declaração de Aplicabilidade (ISO 27001)

É o documento nº 1 que o auditor pede na certificação 27001. No ✏️ de cada controle há a marca Aplicável (entra ou não na SoA) e, quando não se aplica, uma justificativa (exigência da cláusula 6.1.3 d). Na tela da norma, o botão 📄 Exportar SoA baixa um CSV com todos os controles, sua aplicabilidade, justificativa, status de implementação e responsável — pronto para anexar à auditoria. (As cláusulas introdutórias informativas não entram na SoA.)

📜 Trilha de auditoria

Quem está logado é automaticamente o autor — toda alteração que você fizer em risco, controle ISO, ativo, tarefa, pessoa, reunião, tema, decisão ou projeto é gravada na 📜 Histórico (Sistema): quem mudou o quê, de → para, e quando. É a evidência do controle A.8.15 (registro de eventos) — e já salvou a pele restaurando um campo sobrescrito. Como o autor vem do login, não dá pra forjar.

📊 Eficácia de treinamento + 📐 Tarefa do controle

No ✏️ de um treinamento (já salvo) há a seção Eficácia: registre cada participante (aprovado + nota) e o sistema calcula o % de eficácia — prova que o treino funcionou (ISO 9001 7.2 / A.6.3), não só que aconteceu. E no ✏️ de um controle ISO, o botão ➕ Gerar tarefa cria uma tarefa já vinculada ao controle (fecha controle → ação), que aparece no hub de Tarefas com o selo 📐.

🖥️ Inventário de Ativos

Mapa da infraestrutura de TI em camadas, em cascata: Provedor (Hetzner, Hostinger, AWS, SkyOne, HostGator, Local…) → Servidor/VPS → Painel (Portainer, Coolify, pgAdmin…) → Serviço (PostgreSQL, n8n, Chatwoot, MinIO…) → conteúdo do serviço (os bancos que o PostgreSQL controla, as contas de um Chatwoot…) → Aplicação final. Cada nó só diz o seu tipo (a camada) e quem é o pai; a profundidade é livre. Construir este inventário evidencia o controle ISO 27001 A.5.9 (Inventário de informações e outros ativos). No Coolify, a cascata é 🎛️ Painel → 📁 Projeto → 🚀 Aplicação (o projeto é a pasta que agrupa os apps).

⚠️ Não guardamos senha nem segredo aqui — só metadados: nome, tipo, IP, URL do painel, criticidade, status, responsável, área, e a postura de segurança. Cofre de senha é ferramenta separada (Bitwarden/Vault).

🆕 Novo projeto (intake) · 🏷️ ambiente

Botão 🆕 Novo projeto: ao iniciar um projeto, abra o formulário — nome, tipo (criação/desenvolvimento mostra os servidores), onde vai começar (o servidor/painel de homologação/dev — ex.: o Coolify da homologação, escolhido pelo caminho, com busca por digitação) e o servidor de produção (opcional, pode definir depois) — além do banco de homologação e de produção (mesma regra). Marque “Não terá homologação” quando o projeto for direto para produção — aí ele nasce no servidor de produção (ambiente 🟢). Ao criar, o projeto aparece na árvore exatamente no nó escolhido, em estado “a provisionar” (cinza/tracejado, badge ⏳ a montar), e o sistema gera a tarefa de montagem para a Infra (hub de Tarefas, área Infraestrutura). Quando a infra terminar, clique ▶️ iniciar no nó (marca como ativo).

Pra escolher com clareza, servidores e serviços têm etiqueta de ambiente: 🟢 Produção · 🟡 Homologação · 🔵 Dev · 💻 Local · ⚪ Interno (campo Ambiente no ✏️). É o que separa "onde se desenvolve" de "onde vai pro ar".

🌳 Árvore

• Navegue a cascata; o ▸/▾ recolhe/expande um ramo. Cada linha mostra o ícone do tipo, o nome, a criticidade e — se for um ponto de acesso — o selo de 2FA; 🌐 marca o que está exposto.
• ➕ (na linha) adiciona um item dentro daquele nó (já preenche o pai); ✏️ edita. O botão ➕ Adicionar no topo cria um nó na raiz (ex.: um provedor novo).
• Cada ativo pode apontar para um controle ISO e um procedimento (vínculo com a alta gestão), e pode gerar tarefa (módulo 🖥️ Infraestrutura) no hub de Tarefas.

🛡️ Postura de acesso (cobrar o 2FA)

Lista todos os pontos de acesso (qualquer login/painel — conta do provedor, Portainer, Coolify, pgAdmin…) e cobra o 2FA em cada um: um toggle (2FA ativado?) e onde é o 2FA (📧 e-mail / 📱 app / ✉️ SMS / 🔑 hardware), além da exposição e da observação de acesso. O que está sem 2FA aparece em destaque no topo, e dá pra gerar a tarefa "ativar 2FA" num clique. É a régua de "todo acesso deve ter 2FA".

🚀 Aplicações (onde cada produto roda)

Lista as aplicações finais (o produto que uma área usa), agrupadas por plataforma de deploy: 📦 Coolify (rodam dentro de um projeto Coolify) × 🐳 Portainer (containers diretos, como a landing da Porsche). A plataforma é derivada da árvore (o painel acima do app) — zero manutenção; quando a árvore não basta, dá pra definir manualmente no campo "Plataforma (deploy)" do ✏️. Cada app também aparece na árvore com esse selo. São 3 dimensões distintas, não confunda: onde roda (📦/🐳 plataforma) · está exposta? (🌐 segurança de rede) · é app ou serviço? (🚀 vs ⚙️ tipo).

Qualquer nó pode receber a etiqueta selecionável ⭐ Aplicação final (checkbox no ✏️) — marca o que é produto entregue a uma área usuária, e a etiqueta aparece na frente do nome (na árvore e nesta aba). Já vem com as aplicações marcadas (revise / desmarque o que não for produto final).

🔒 LGPD (mapa de dados pessoais)

No ✏️ de qualquer nó (tipicamente um banco ou app) há a marca 🔒 Contém dado pessoal/sensível (LGPD) + uma nota (que dado, base legal, retenção). A etiqueta sobe por toda a cadeia anterior: o serviço, o painel, o servidor e o provedor que hospedam aquele dado ganham o selo 🔒 cadeia, delimitando o escopo de tratamento. A aba 🔒 LGPD mostra o mapa (cada base sensível + o caminho completo) — base do RoPA (registro das operações de tratamento) e evidência dos controles ISO 27001 A.5.12 (classificação da informação) e A.5.34 (privacidade e proteção de dados pessoais). Já vem com uma sugestão inicial das bases de clientes/leads marcadas — revise a base legal e a retenção de cada uma.

Já vem semeado com o levantamento de infra da INC (Hetzner: CLOUDINC-PRD/Portainer + os 32 bancos do PostgreSQL, COOLIFYINC/Coolify e seus projetos; Hostinger: VPS Coolify, Links Meu INC, Seven WordPress) + placeholders de SkyOne, AWS, HostGator e Local para preencher. Tudo editável.

🏛️ Frameworks

Estrutura TBM em 3 camadas (padrão de empresas de capital aberto): o gasto é classificado em Pool → Categoria → Subcategoria, permitindo subtotais limpos por camada (ex: total da nuvem vs. total de SaaS vs. total por função de SaaS). Seguindo o TBM v4, Nuvem (Cloud) é um pool separado de Software, porque o custo de nuvem é variável/sob demanda e o de SaaS é assinatura.

🏗️ Arquitetura & schema admti

O banco é um espelho do ERP (Mega/Senior) com os lançamentos de contas a pagar. Para não misturar os nossos dados com os dados originais, tudo que este sistema cria fica num schema separado chamado admti (de admti.appinc.com.br).

• Schema public: tabelas originais do ERP — aps, aps_baixadas, agents, financial_classes, cost_centers, branches, projects. Somente leitura; o sistema nunca as altera.
• Schema admti: nossas tabelas ti_* (padrão de classificação, recorrentes, tarefas, orçamento, configs). É o nosso "datalake".

A conexão usa search_path = admti, public: por isso as consultas funcionam sem prefixo — um ti_recurring_payments resolve em admti e um aps resolve em public, automaticamente. Separar em schema facilita backup, permissões e deixa claro o que é nosso versus o que é do ERP.

🗺️ Diagrama do banco (UML / ER)

Estrutura das tabelas e relacionamentos. As tabelas ti_* (schema admti) são o nosso padrão de TI; as demais (schema public) vêm do ERP / contas a pagar (AP).

📚 Dicionário de tabelas

Nossas tabelas vivem no schema admti; as do ERP ficam em public (somente leitura).

Nossas — schema admti

RACI: o campo "responsável" das 8 tabelas de GRC (ISO, risco, tratativa, avaliação, treinamento, ativo, projeto, tarefa) tem a coluna responsavel_id (FK ti_pessoas), preenchida automaticamente a partir do nome pelo trigger set_responsavel_id.

ERP / origem — schema public (somente leitura)