Interpretando los resultados

As três maturidades do fornecedor

Ao concluir uma avaliação, você verá até três maturidades no perfil do fornecedor — uma para cada domínio incluído na avaliação. Cada maturidade é apresentada em dois formatos: a escala 0–4 (raw) que preserva a grandeza absoluta, e a normalizada 0–1 usada nos cálculos de risco. A banda qualitativa associada é: Imaturo (0–0,25), Básico (0,25–0,50), Operacional (0,50–0,75) e Avançado (0,75–1,00).

As maturidades são independentes e não colapsa em um único número. Um fornecedor pode ter Maturidade Cyber = 0,72 (Operacional), Maturidade Privacidade = 0,41 (Básico) e Maturidade BCN = 0,28 (Básico). Esse perfil revela um fornecedor técnico com lacunas significativas em conformidade de privacidade e continuidade — informação muito mais acionável do que uma média única de 0,47.

Penalidade de governança (RC10)

Antes de exibir as maturidades finais, o sistema verifica o GV_norm do fornecedor (maturidade dos controles GV.*). Se GV_norm < 0,40, duas coisas acontecem: as maturidades são ajustadas com a fórmula Maturidade_Ajustada = Maturidade × (1 − 0,20 × (1 − GV_norm)), e um bloco de alerta vermelho aparece no relatório indicando que a governança fraca reduz a credibilidade dos demais scores. Exemplo: GV_norm = 0,20 gera penalidade de 0,20 × 0,80 = 16% sobre cada maturidade.

Risk Score do fornecedor

O RiskScore individual do fornecedor é um valor 0–1 que representa a exposição total. Sem scanner: RiskScore = 1 − Maturidade_Normalizada. Com scanner ativo: RiskScore = (1 − MatNorm) × 0,6 + (1 − ScannerNorm) × 0,4. As bandas de risco são: Baixo (<0,25), Médio (0,25–0,50), Alto (0,50–0,75) e Crítico (>0,75). Uma maturidade alta com scanner reprovado pode resultar em risco Médio ou Alto — o scanner valida o que o questionário declara.

Risk Scores por categoria (RC01–RC10)

Além dos scores individuais do fornecedor, o relatório mostra os 10 Risk Scores organizacionais (um por categoria RC01–RC10). Esses scores são calculados sobre o portfolio inteiro de fornecedores avaliados da organização, não sobre o fornecedor individual. Eles respondem à pergunta: ‘Em quais categorias de ameacha o conjunto dos meus fornecedores me expõe mais?’

Cada categoria exibe Prob_Ref (1–4) e Impacto_Ref (1–4) separadamente, permitindo entender se o risco vem de muitos fornecedores com gaps frequentes (Prob alta) ou de poucos fornecedores muito críticos (Impacto alto). Um risk score de 3,2 com Prob=2 e Impacto=4 indica risco concentrado em fornecedores críticos — exige ação imediata sobre esses fornecedores específicos.

Comparando resultados ao longo do tempo

O schema de avaliações é append-only — avaliações anteriores nunca são sobrescritas. A view vendor_current_status seleciona a avaliação mais recente dentro do prazo de validade configurado pela organização (padrão global com override por perfil). Avaliações expiradas são visíveis no histórico, mas não contribuem para os scores organizacionais vigentes. Isso permite rastrear a evolução de maturidade de cada fornecedor ao longo de ciclos de avaliação.