Quando faz sentido realizar uma auditoria interna?
- Quando pretende avaliar um SGSI em preparação para uma auditoria de certificação.
- Quando precisa de executar o programa de auditorias internas de um sistema já certificado.
- Quando ocorreram alterações relevantes nos processos, serviços, tecnologias ou riscos.
- Quando procura uma avaliação por um auditor externo à equipa responsável pelos processos auditados.
A auditoria interna é uma auditoria de primeira parte, mesmo quando realizada por um profissional contratado externamente. O seu objetivo é avaliar o sistema e apoiar a melhoria.
O que é avaliado no seu SGSI?
O âmbito é definido antes do início do trabalho. A avaliação toma como referência a ISO/IEC 27001:2022, os requisitos aplicáveis ao SGSI e os critérios acordados para a auditoria.
- Contexto da organização, partes interessadas e âmbito do sistema.
- Liderança, responsabilidades, objetivos e recursos.
- Avaliação e tratamento de riscos de segurança da informação.
- Declaração de Aplicabilidade e justificação dos controlos necessários.
- Aplicação dos controlos selecionados e evidências da sua eficácia.
- Monitorização, revisão pela gestão, não conformidades e ações corretivas.
A auditoria utiliza amostragem e não constitui uma verificação exaustiva de todos os ativos ou eventos. Testes de intrusão e outras avaliações técnicas específicas só fazem parte do trabalho quando expressamente contratados.
Como decorre a auditoria interna?
- Definição do trabalho. Clarificamos objetivos, âmbito, critérios, processos, locais e disponibilidade das equipas.
- Preparação. Analiso a documentação relevante e preparo o plano de auditoria.
- Execução. Realizo entrevistas, observo processos e analiso amostras de registos e outras evidências.
- Conclusões. Apresento os resultados e esclareço as constatações com os responsáveis.
- Relatório e seguimento. Entrego o relatório e, se incluído na proposta, verifico posteriormente as evidências das ações corretivas.
A modalidade presencial, remota ou combinada é acordada em função do âmbito e do acesso às evidências. A proposta identifica a duração e as condições do trabalho.
O que recebe no final?
- Plano de auditoria com âmbito e critérios definidos.
- Relatório com conclusões, evidências de suporte e constatações face aos critérios.
- Identificação das não conformidades e, quando aplicável, oportunidades de melhoria.
- Apresentação dos resultados para apoiar a definição de prioridades pela organização.
A organização mantém a responsabilidade por analisar causas, definir responsáveis e prazos e implementar ações corretivas. O seguimento é delimitado na proposta.
Independência, experiência e confidencialidade
A minha atividade combina auditoria, consultoria e formação em sistemas de gestão. Pode conhecer o meu percurso e experiência no perfil profissional no LinkedIn.
Antes de aceitar o trabalho, avalio eventuais conflitos de interesse e a minha participação anterior nos processos a auditar. O âmbito e a equipa devem salvaguardar a objetividade e a imparcialidade da avaliação.
As condições de confidencialidade e de acesso à documentação são acordadas antes da auditoria. No pedido inicial, envie apenas informação geral sobre a organização e o âmbito pretendido.
Perguntas frequentes
Uma auditoria interna permite obter a certificação ISO 27001?
A auditoria interna avalia o SGSI e apoia a sua melhoria. Não emite um certificado ISO/IEC 27001. A auditoria e a decisão de certificação cabem a um organismo de certificação.
Uma organização certificada continua a precisar de auditorias internas?
Sim. As auditorias internas fazem parte da avaliação do desempenho do SGSI e devem ser planeadas em função da importância dos processos e dos resultados de auditorias anteriores. A periodicidade é definida no programa da organização.
A auditoria pode ser realizada à distância?
Pode ser utilizada uma modalidade remota ou combinada quando permite obter evidências suficientes e adequadas. As necessidades de presença nos locais são avaliadas no planeamento.
Quanto custa e quanto tempo demora?
Depende do âmbito do SGSI, dimensão e complexidade da organização, locais envolvidos e modalidade de execução. A proposta define o esforço, calendário e entregáveis.
Que informação devo preparar para pedir uma proposta?
Indique o setor, dimensão aproximada, âmbito do SGSI, locais abrangidos, estado da certificação e prazo pretendido. Não é necessário enviar documentos confidenciais nesta fase.
Vamos definir a auditoria adequada à sua organização?
Partilhe o contexto e os objetivos do trabalho. A partir dessa informação, podemos clarificar o âmbito e preparar uma proposta de auditoria interna ISO/IEC 27001 em Portugal.