# Auditoria de API - Auditoria de APIs para conformidade e qualidade

Canonical page: https://apiopscycles.com/pt/stations/api-audit

Language: pt

Entity ID: api-audit

## Description

Rever a prontidão para lançamento usando evidências de desenho, testes, operações, permissões, monitorização, suporte, fallback, rollback, risco e ownership antes do uso em produção.

## Why it matters

Uma decisão formal de prontidão impede que soluções de automação sejam lançadas sem evidências claras, riscos aceites, ações de remediação e ownership de negócio e operacional.

## Apply in work

Use a evidência de prontidão para tomar uma decisão explícita de avançar, avançar com condições ou não avançar antes do uso em produção.

## Outcomes

- Decisão formal de prontidão
- Evidências, achados bloqueantes, riscos residuais aceites e ações de correção revistos
- Decisão de lançamento registada como pronto, pronto com condições, correção necessária ou não aprovado
- Propriedade de negócio e operacional confirmada antes do lançamento

## Steps

1. Rever o desenho concluído, evidências de teste, modelo operacional, permissões, credenciais, monitorização, suporte, fallback e rollback.
2. Verificar se riscos conhecidos, exceções, ações inseguras, supervisão humana, requisitos de conformidade e suposições não resolvidas foram tratados ou explicitamente aceites.
3. Registar achados bloqueantes, riscos residuais aceites, condições de lançamento e ações de remediação necessárias.
4. Decidir se o lançamento está pronto, pronto com condições, requer remediação ou não é aprovado.
5. Registar o owner da decisão, a data da decisão e as evidências usadas.
6. Confirmar que nada avança para lançamento sem ownership de negócio e operacional claro.

## Questions

- Rever o desenho concluído, evidências de teste, modelo operacional, permissões, credenciais, monitorização, suporte, fallback e rollback.
- Verificar se riscos conhecidos, exceções, ações inseguras, supervisão humana, requisitos de conformidade e suposições não resolvidas foram tratados ou explicitamente aceites.
- Registar achados bloqueantes, riscos residuais aceites, condições de lançamento e ações de remediação necessárias.
- Decidir se o lançamento está pronto, pronto com condições, requer remediação ou não é aprovado.
- Registar o owner da decisão, a data da decisão e as evidências usadas.
- Confirmar que nada avança para lançamento sem ownership de negócio e operacional claro.
- Use a evidência de prontidão para tomar uma decisão explícita de avançar, avançar com condições ou não avançar antes do uso em produção.
- Uma decisão formal de prontidão impede que soluções de automação sejam lançadas sem evidências claras, riscos aceites, ações de remediação e ownership de negócio e operacional.

## Evidence

- audit-report
- compliance-report
- security-report
- test-report

## Completion criteria

- A arquitetura, plataforma e estilo de implementação escolhidos foram validados com as partes interessadas relevantes de arquitetura, segurança e plataforma. — The chosen API architecture and platform patterns have been validated with the relevant architecture, security, and platform stakeholders. (ID: architecture-patterns-validated)
- O desenho da interface e as capacidades expostas são rastreáveis ao valor de negócio e às necessidades dos utilizadores. — The API design and exposed capabilities clearly trace back to business value and user needs. (ID: design-reflects-business-value)
- A interface e as suas capacidades estão documentadas de forma suficientemente clara para revisão, auditoria e onboarding. — The API and its exposed capabilities are described clearly enough for review, audit, and onboarding. (ID: api-description-available)
- O desenho da interface segue os standards e convenções de desenho acordados. — The API design follows our shared API product and design conventions. (ID: api-consistency)
- O contrato de interface foi validado e testado face aos requisitos funcionais e não funcionais. — The API contract is tested and meets functional and non-functional requirements. (ID: api-contract-tested)

## Role participation and responsibilities

- [Responsável pela governação API](https://apiopscycles.com/pt/roles/governance-specialist.md) (lead): Representa práticas de revisão, auditoria e governação em toda a organização para qualidade e conformidade das APIs.
- [Arquiteto de integração](https://apiopscycles.com/pt/roles/integration-architect.md) (core): Desenha abordagens de integração e estilos de implementação que ligam a capacidade ou API a outros sistemas.
- [Designer API](https://apiopscycles.com/pt/roles/api-designer.md) (core): Modela o contrato de interface, o modelo de interação, a consistência e a usabilidade das capacidades expostas.
- [Engenheiro de entrega](https://apiopscycles.com/pt/roles/api-engineer.md) (core): Responsável pela implementação, automatização, testes e fluxo de publicação necessários para entregar a capacidade, API ou automatização de forma fiável.
- [Especialista em conformidade e jurídico](https://apiopscycles.com/pt/roles/compliance-specialist.md) (core): Esclarece requisitos legais, de privacidade, regulamentares e contratuais que afetam a capacidade, API, interface ou automatização.
- [Especialista em segurança](https://apiopscycles.com/pt/roles/security-specialist.md) (core): Garante que os riscos de segurança, controlos e fronteiras de confiança são tratados ao longo de todo o ciclo de vida.
- [Responsável pela automatização](https://apiopscycles.com/pt/roles/automation-owner.md) (core): Responsável pelos objetivos, valor de negócio, prioridades, controlos e resultados do ciclo de vida da automatização.
- [Responsável pela capacidade](https://apiopscycles.com/pt/roles/capability-owner.md) (core): Responsável pela visão, valor, prioridades, ciclo de vida e reutilização da capacidade junto dos utilizadores.
- [Responsável pelo processo](https://apiopscycles.com/pt/roles/process-owner.md) (core): Responsável pelo processo de negócio a automatizar, incluindo objetivos, regras, resultados e prioridades de melhoria.
- [Responsável por suporte e operações](https://apiopscycles.com/pt/roles/operations-specialist.md) (core): Representa o suporte em execução, tratamento de incidentes, observabilidade e prontidão operacional da capacidade, API ou automatização.
- [Arquiteto de plataforma](https://apiopscycles.com/pt/roles/platform-architect.md) (consulted): Orienta decisões de plataforma, integração, escalabilidade e arquitetura que moldam como a capacidade ou API é construída e operada.
- [Engenheiro de automatização](https://apiopscycles.com/pt/roles/automation-engineer.md) (consulted): Implementa, testa, integra e mantém soluções de automatização e workflows de suporte.
- [Responsável de negócio](https://apiopscycles.com/pt/roles/business-owner.md) (consulted): Representa os objetivos de negócio, o financiamento e os resultados esperados da iniciativa de capacidade, API ou automatização.
- [Responsável pelo produto API](https://apiopscycles.com/pt/roles/api-product-owner.md) (consulted): Conduz a oportunidade API, a priorização e as decisões ao nível do produto ao longo do ciclo de vida.

## Cycle-specific guidance

- [Ciclo de Produto de Capacidades](https://apiopscycles.com/pt/cycles/capability-productization-cycle/stations/api-audit.md)
- [Ciclo de Produto de API](https://apiopscycles.com/pt/cycles/api-productization-cycle/stations/api-audit.md)
- [Ciclo de Produto de Integração](https://apiopscycles.com/pt/cycles/integration-productization-cycle/stations/api-audit.md)
- [Ciclo de Automação](https://apiopscycles.com/pt/cycles/automation-cycle/stations/api-audit.md)