Dynamic quartile calibration

Faixas estáticas vs quartis dinâmicos

O Aranis opera em dois modos de calibração para a classificação de Prob_Ref e Impacto_Ref (1 a 4) usados no Risk Score. No modo estático (padrão inicial), as faixas são fixas e predefinidas — qualquer organização com poucos fornecedores recebe classificações baseadas em limites absolutos. No modo dinâmico, os quartis são recalculados com base na distribuição real dos scores da própria organização.

Ativação do modo dinâmico

Os quartis dinâmicos são ativados automaticamente quando a organização atinge 10 fornecedores avaliados. O threshold de 10 é o mínimo estatisticamente razoável para que quartis sejam significativos — abaixo disso, a distribuição tem poucos pontos para dividir em quatro grupos representativos.

O threshold é configurável em org_scoring_config (campo dynamic_quartile_threshold, padrão=10). Organizações com carteira de fornecedores muito especializada podem optar por um threshold menor se sua distribuição for suficientemente representativa antes de 10 fornecedores.

O que acontece ao atingir o threshold

Ao atingir o threshold, o sistema recalcula retrospectivamente todos os Risk Scores existentes usando os novos quartis dinâmicos. Isso significa que fornecedores avaliados antes da ativação têm seus scores reclassificados — um fornecedor que estava em Prob_Ref=3 pode passar para Prob_Ref=2 se sua probabilidade estiver abaixo da mediana do seu grupo. Uma notificação única é exibida ao usuário informando que a calibração dinâmica foi ativada e os scores foram recalculados.

Benefícios da calibração dinâmica

O principal benefício é a relevância contextual: o que é alto risco para a sua organização é medido relativo ao seu próprio portfolio, não a um benchmark universal. Uma empresa com fornecedores altamente maduros terá quartis mais exigentes — um fornecedor mediano do mercado pode aparecer como alto risco no contexto dela. Isso torna os scores mais acionáveis e comparáveis entre os seus próprios fornecedores.

A calibração dinâmica também age como proteção contra gaming: uma organização não pode manipular seus scores agregados cadastrando muitos fornecedores de baixo risco, pois os quartis se recalibram para a nova distribuição e mantêm a comparabilidade relativa. Os scores MITRE ATT&CK associados aos controles servem como contexto analítico adicional nos relatórios, mas não entram diretamente nas fórmulas de scoring.