O que a equipe mostra ao auditor para provar que o SAP está pronto em cada ano da transição?

Dúvida pontual, e discordo do último ponto: o auditor interno assinar o critério antes pode comprometer a independência dele. Ele avalia, não define o que está certo.

Prefiro que o fiscal escreva o critério e o auditor revise se é verificável. Se ele disser que não dá para verificar, o critério volta para reescrita. Bem, olhando o log de um projeto anterior, esse acordo evitou discussão no fim do ano.

Para situar vocês, e completando: pense num quadro com uma linha por exigência do ano. Cada linha tem quatro colunas: a exigência e quem a definiu, o teste que a cobre, a evidência guardada e o dono.

A coluna "quem definiu" é a que mais falta. Se a exigência vem de leitura de norma, escreva a data da leitura, porque o auditor vai perguntar se a regra ainda vale. E o pulo do gato, né: o auditor assina junto o critério de aceite, antes de o teste rodar.

Em outras palavras, tá: o auditor não quer saber se a tarefa foi feita, quer ver o resultado do sistema. Para cada ano, a equipe define o que o sistema precisa mostrar e guarda a prova de que mostrou.

Prova, aqui, é um documento de teste com data, o resultado esperado ao lado do obtido e o nome de quem executou. Lista de tarefa diz o que a equipe fez. Evidência diz o que o sistema faz.