RCA, compliance e setor regulado: na saúde e no governo, auditoria e LGPD não são boas práticas, são a lei

O custo de um RCA ruim muda quando o setor é regulado

No varejo, um pós-incidente mal documentado é um problema interno: o cliente reclama, a equipe corre atrás e, na pior das hipóteses, você perde a conta. É chato, mas é reversível com uma boa relação comercial.

Na saúde e no setor público, a conta é outra. Quando um sistema hospitalar fica indisponível, quando um dado de paciente vaza ou quando um serviço de prefeitura para, o pós-incidente não é só uma conversa entre fornecedor e cliente — é uma peça que pode ser exigida pela ANPD, por um órgão de controle, por uma auditoria interna ou pelo próprio contrato. Não ter o relatório, ou tê-lo mal feito, deixa de ser apenas uma falha de processo e passa a ser uma exposição legal.

É por isso que esses setores não improvisam pós-incidente. Eles precisam de um RCA (Root Cause Analysis, ou análise de causa raiz) padronizado, datado, rastreável e arquivável. E é exatamente esse o problema que o Relatório de Causa-Raiz da Service Up ajuda a resolver dentro do Znuny.

• Varejo: RCA ruim = cliente insatisfeito (risco comercial).
• Saúde/Governo: RCA ruim = apontamento, multa ou sanção (risco legal e reputacional).
• A diferença não está na técnica do RCA — está em quem pode cobrar o documento depois.

RCA, compliance e setor regulado: o que muda na prática

Falar de RCA, compliance e setor regulado não é jargão de consultoria. É reconhecer que, nesses ambientes, o relatório de causa-raiz precisa nascer já adequado a auditoria — com data, autor, linha do tempo verificável e recomendações registradas.

Um auditor não avalia o esforço da equipe; ele avalia a evidência. Se a análise do incidente existiu só na cabeça do analista ou num e-mail perdido, para efeito de compliance ela praticamente não existiu. O que sobrevive a uma auditoria é o documento estruturado, gerado de forma consistente para todo incidente relevante — não só para o que deu mais barulho.

O Copilot da Service Up entrega isso por construção: cada chamado vira um PDF de RCA com a mesma estrutura de 8 seções (resumo executivo, linha do tempo, análise de gaps e causa raiz, sentimento, status técnico, recomendações, métricas e conclusão). Padronização é o coração do compliance — e padronizar à mão, em escala, é justamente o que não acontece.

Saúde: LGPD com dado sensível e o relógio do incidente

Na saúde, o dado de paciente é dado pessoal sensível pela LGPD — a categoria de maior proteção legal. Qualquer incidente que envolva acesso indevido, indisponibilidade de prontuário ou falha em sistema clínico carrega um componente de privacidade que o varejo raramente tem.

Quando há suspeita de incidente de segurança com dados pessoais, a organização normalmente precisa avaliar e documentar o ocorrido para sustentar a decisão sobre comunicação à ANPD e aos titulares. Isso exige saber o que aconteceu, quando começou, quanto tempo durou e o que foi feito — exatamente a linha do tempo e a análise de gaps que o RCA da Service Up monta automaticamente.

O detalhe que mais pega quem improvisa é o tempo. O módulo já evidencia gaps de inação em chamados reais — há, por exemplo, um chamado com gap de cerca de 29 dias entre eventos. Em saúde, um gap desses não é só ineficiência operacional: é a diferença entre demonstrar diligência e ter que explicar para um regulador por que ninguém agiu.

• Dado de paciente = dado sensível (proteção máxima na LGPD).
• O RCA ajuda a fundamentar a decisão de notificar (ou não) a ANPD.
• Linha do tempo e gaps deixam de ser métrica de gestão e viram prova de diligência.

Setor público: contrato, controle e a régua do documento

No governo, a régua é o contrato e o órgão de controle. Contratos públicos de TI frequentemente preveem SLA com penalidade, obrigação de reporte de incidentes e exigência de documentação formal — e tudo isso pode ser cobrado em auditoria interna, externa ou pelos tribunais de contas.

A pergunta que aparece numa fiscalização é sempre a mesma: ‘mostre a evidência’. Mostre que o incidente foi analisado, que a causa raiz foi identificada, que houve recomendação e que o SLA foi medido. Resposta verbal não conta; planilha solta gera dúvida; o que fecha o ponto é um relatório consistente, com data e estrutura repetível.

O painel agregado do módulo ajuda exatamente nessa visão de prestação de contas: ele agrupa os chamados do período por serviço vinculado e mostra a causa raiz da IA como detalhe. Para um gestor público que precisa reportar ‘o que aconteceu com cada serviço neste mês’, isso aproxima o relatório de gestão de algo pronto — e não um fim de mês inteiro consolidando planilha.

Por que o formato de 8 seções é, na prática, um formato de auditoria

O que torna o RCA da Service Up adequado a setor regulado não é mágica de IA — é disciplina de formato. As 8 seções do PDF cobrem a sequência que qualquer auditor reconhece: o que houve, quando houve, por que houve, o que sentiu o solicitante, qual o estado técnico, o que recomendar, quanto custou em tempo e qual a conclusão.

Padronização significa que o incidente nº 1 e o incidente nº 974 saem com a mesma anatomia. Isso elimina o maior inimigo do compliance: o relatório que depende do humor, da pressa ou da senioridade de quem escreveu naquele dia. Com 974 chamados em 30 dias e 647 já analisados, o ganho de consistência é o que viabiliza auditoria em escala.

E há um ponto de cobertura honesto: 66% de cobertura e 84% de RCA identificado significam que a IA não fecha 100% — e está tudo bem. O que ela faz é garantir que a esmagadora maioria dos incidentes já chegue ao analista com o esqueleto pronto, deixando o esforço humano para os casos que realmente precisam de julgamento.

• Resumo executivo + linha do tempo: o ‘o quê’ e o ‘quando’ que o auditor abre primeiro.
• Análise de gaps e causa raiz: o ‘porquê’, com os atrasos explícitos.
• Recomendações + métricas + conclusão: a prova de que houve ação e medição.

A IA acelera; o humano assina embaixo

Em ambiente regulado, ninguém quer ouvir que ‘a IA decidiu’. E não é isso que acontece. A tese do Copilot da Service Up é clara: a IA acelera, o humano decide. O motor DeepSeek (deepseek-chat) redige o rascunho da causa raiz, monta a linha do tempo e calcula as métricas em segundos — mas a responsabilidade pela peça continua sendo de uma pessoa.

Isso é o oposto de risco: é redução de risco. O analista deixa de gastar a energia escrevendo do zero e passa a gastar onde importa — validando se a causa raiz faz sentido, se a recomendação é viável e se o documento está pronto para virar evidência. Em compliance, revisão humana sobre conteúdo padronizado é muito mais defensável do que texto artesanal feito sob pressão de SLA.

O processamento se encaixa na rotina do setor: você roda sob demanda com o botão ‘Processar agora’ ou agenda em lote via console com bin/znuny.Console.pl Maint::AICopilot::RCAScan. Para uma equipe que precisa fechar o RCA do mês de todos os serviços antes de uma auditoria, isso é a diferença entre uma tarde e uma semana.

Onde a Service Up entra (e como começar)

O Relatório de Causa-Raiz é um módulo da Service Up, construído sobre o Znuny (ITSM/help desk), na linha das soluções que entregamos como parceira Znuny/OTOBO no Brasil. Ele não é um plugin solto: é parte do Copilot que também faz busca semântica, análise de sentimento, tempo vs SLA e gráficos sob demanda dentro da mesma central de atendimento.

Se a sua operação está em saúde, governo ou qualquer vertical onde ‘mostre a evidência’ é uma pergunta real, o caminho é tratar o RCA como artefato de compliance desde o primeiro chamado — não como algo que você reconstrói correndo na véspera da auditoria.

Quer ver o módulo rodando com os seus próprios chamados e entender como ele se encaixa na sua exigência regulatória? Fale com a gente pelo WhatsApp (+55 11 5192-3351) — a Service Up mostra na prática como o RCA sai pronto para apoiar a auditoria.