Sumário:
- A auditoria interna ISO 27001 é uma avaliação do Sistema de Gestão de Segurança da Informação (SGSI), exigida pela própria norma, que verifica se o sistema atende aos requisitos da empresa (e da ISO/IEC 27001) e se funciona de forma eficaz. A auditoria interna não emite o certificado ISO 27001, que depende da auditoria externa de um organismo certificador.
- A auditoria interna pode ser feita por alguém da própria empresa ou por um profissional contratado, desde que essa pessoa não audite o próprio trabalho e conduza a avaliação com imparcialidade.
- As evidências mais relevantes (como políticas aprovadas, registros de riscos, operação dos controles, treinamentos e incidentes) dependem do escopo do SGSI e precisam estar organizadas antes do início da auditoria interna.
- Cada não conformidade encontrada na auditoria interna precisa de um responsável, uma ação corretiva, um prazo e uma evidência de tratamento antes da auditoria de certificação.
A auditoria interna ISO 27001 é a avaliação que a própria empresa realiza sobre o seu Sistema de Gestão de Segurança da Informação (SGSI). A ISO/IEC 27001 exige que ela ocorra em intervalos planejados, para verificar se o SGSI está em conformidade com os requisitos definidos pela empresa e com os requisitos da norma, e se está implementado e mantido de forma eficaz.
Ou seja, a auditoria interna funciona como um ensaio rigoroso antes da auditoria de certificação: ela mostra o que já está funcionando, aponta o que precisa ser corrigido e prepara o SGSI para a próxima etapa. O maior desafio é chegar à auditoria interna com o escopo, os responsáveis e as evidências organizados. Para o passo a passo completo de implementação da norma, consulte o nosso guia de implementação da ISO 27001.
Auditoria interna vs. auditoria de certificação vs. auditorias de manutenção
Um dos erros mais comuns é tratar a auditoria interna como a auditoria que concede o certificado. As três auditorias envolvidas no ciclo da ISO 27001 têm papéis diferentes:
Aspecto | Auditoria interna | Auditoria de certificação (estágios 1 e 2) | Auditorias de manutenção |
|---|---|---|---|
Quem conduz | Um auditor imparcial escolhido pela empresa, interno ou contratado. | Um organismo certificador. | O mesmo organismo certificador. |
Objetivo | Verificar se o SGSI atende à norma e aos requisitos da empresa, e corrigir lacunas. | Avaliar se o SGSI está pronto (estágio 1) e se funciona na prática (estágio 2) para conceder o certificado. | Confirmar que o SGSI continua funcionando e melhorando ao longo da validade do certificado. |
Quando acontece | Em intervalos planejados pela empresa, antes da certificação e ao longo dos anos seguintes. | Depois que o SGSI já está em operação. | Anualmente, nos anos seguintes à certificação. |
Resultado | Relatório para a direção e plano de ações corretivas. | Decisão sobre a concessão do certificado. | Manutenção (ou não) do certificado. |
A auditoria interna e a auditoria de certificação se conectam: segundo a ISOQAR, organismo certificador, o estágio 1 da certificação verifica a situação das auditorias internas e das análises críticas pela direção, e o estágio 2 é a avaliação final antes da certificação. Dessa forma, uma auditoria interna mal conduzida costuma reaparecer como problema na auditoria externa.
A auditoria interna ISO 27001 é obrigatória?
Sim, a auditoria interna é um requisito da própria ISO/IEC 27001. A norma exige que a empresa mantenha um programa de auditoria, com frequência, métodos, responsabilidades, planejamento e forma de relato definidos, considerando a importância dos processos e os resultados de auditorias anteriores.
Os resultados da auditoria interna precisam ser reportados à direção e alimentam a análise crítica do SGSI pela direção. As não conformidades encontradas seguem para o processo de tratamento de não conformidades e ações corretivas exigido pela norma. A empresa também precisa guardar registros que comprovem que o programa de auditoria foi executado e quais foram os resultados.
Quando fazer a primeira auditoria interna
A primeira auditoria interna faz mais sentido quando o SGSI já está em operação, com políticas aprovadas, riscos avaliados e controles gerando registros. Antes disso, haveria pouco a avaliar além de documentos. Ao mesmo tempo, ela precisa acontecer com antecedência suficiente para que a equipe trate os achados antes da certificação. A ISOQAR informa, por exemplo, que o estágio 2 da certificação normalmente exige que o sistema esteja funcionando há pelo menos três meses, e que o estágio 1 já verifica a situação das auditorias internas.
Quem pode realizar a auditoria interna e como garantir a imparcialidade
A ISO 27001 permite que a auditoria interna seja feita por alguém da própria empresa ou por um profissional contratado, desde que os auditores sejam selecionados e conduzam a auditoria de forma a garantir a objetividade e a imparcialidade do processo. Na prática, há três caminhos:
- Profissional interno de outra área: Uma pessoa com conhecimento da norma, que não tenha participado da implementação dos controles que vai auditar.
- Auditoria cruzada entre áreas: Em empresas com mais de um responsável por segurança, cada pessoa audita os processos sob responsabilidade da outra.
- Profissional contratado: Um auditor ou consultor externo, comum em startups em que a mesma pessoa implementou quase todo o SGSI.
O cuidado central é que ninguém audite o próprio trabalho. A ISO 19011, norma de diretrizes para auditoria de sistemas de gestão, é uma boa referência sobre princípios como independência, abordagem baseada em evidências e competência do auditor. Ao contratar ajuda externa, combine antes o escopo, o prazo e as entregas (como o plano de auditoria, o relatório e a lista de achados).
Etapas da auditoria interna ISO 27001
A auditoria interna pode ser organizada em cinco etapas, que vão do planejamento ao tratamento dos achados.
1. Planejar o programa e o escopo
Defina os objetivos da auditoria, os critérios (requisitos da norma, controles aplicáveis e políticas internas), as áreas e os processos auditados, o auditor responsável, o cronograma e a forma de registro. O escopo da auditoria interna precisa cobrir o escopo do SGSI ao longo do programa planejado.
2. Reunir as evidências
Organize as evidências antes da auditoria começar, para que o tempo do auditor seja dedicado a avaliar o funcionamento do SGSI. Os tipos de evidência abaixo costumam ser relevantes, mas a lista exata depende do escopo do SGSI:
Tipo de evidência | Exemplos |
|---|---|
Escopo e contexto | Documento de escopo do SGSI, com limites e exclusões justificadas. |
Política e papéis | Política de segurança da informação aprovada pela direção e papéis atribuídos a pessoas. |
Gestão de riscos | Metodologia, avaliação de riscos, Declaração de Aplicabilidade e plano de tratamento. |
Operação dos controles | Registros de revisões de acesso, testes de backup, logs e gestão de mudanças. |
Pessoas | Registros de treinamentos e ações de conscientização. |
Incidentes | Registros de incidentes de segurança e das lições aprendidas. |
Revisões e melhoria | Indicadores do SGSI, análises críticas anteriores e ações corretivas em andamento. |
Para conferir item por item, o nosso checklist de pré-auditoria ISO 27001 organiza os principais pontos de verificação por requisito e por grupo de controles.
3. Executar a auditoria
O auditor analisa documentos, entrevista os responsáveis e verifica amostras de registros para confirmar que os controles funcionam na prática. Uma política aprovada mostra a intenção da empresa, mas são os registros de operação (como uma revisão de acessos realizada no prazo) que demonstram que o controle está ativo.
4. Relatar os resultados à direção
O relatório da auditoria interna reúne os achados, classificados, por exemplo, como não conformidades, observações ou oportunidades de melhoria. Ele deve ser apresentado à direção e usado na análise crítica do SGSI.
5. Tratar as não conformidades
Para cada não conformidade, a empresa precisa:
- Registrar o achado, com a descrição do problema e o requisito que não foi atendido.
- Analisar a causa, para corrigir a origem do problema e evitar que ele se repita.
- Definir a ação corretiva, com um responsável e um prazo.
- Guardar a evidência de que a ação foi executada.
- Verificar se a ação corretiva funcionou.
Veja um exemplo ilustrativo de como registrar uma não conformidade:
Campo | Exemplo |
|---|---|
Achado | A revisão trimestral de acessos aos sistemas de produção não foi realizada no último trimestre. |
Requisito | Controle de direitos de acesso previsto na Declaração de Aplicabilidade e na política de controle de acesso. |
Causa | A revisão dependia de um lembrete pessoal do responsável, que estava de férias no período. |
Ação corretiva | Realizar a revisão pendente e criar uma tarefa recorrente com responsável titular e substituto. |
Responsável e prazo | Responsável pela segurança da informação, com prazo de 15 dias. |
Evidência de tratamento | Registro da revisão concluída e configuração da tarefa recorrente. |
Nenhuma lista fixa garante a aprovação na auditoria de certificação, mas chegar a ela com os achados da auditoria interna tratados e documentados mostra ao organismo certificador que o SGSI corrige os próprios problemas, o que é justamente o que a norma espera.
Erros que podem atrasar a certificação ISO 27001
Na nossa experiência, cinco erros aparecem com frequência na preparação para a auditoria interna e acabam gerando retrabalho:
- Confundir auditoria interna com auditoria externa: A empresa trata a auditoria interna como uma formalidade, ou espera dela o certificado, e chega à certificação sem ter corrigido as lacunas.
- Contratar ajuda sem combinar entregas: A consultoria ou o auditor é contratado sem prazo, escopo e entregas definidos, e o trabalho se estende sem um resultado claro.
- Depender de uma única pessoa: Todo o conhecimento do SGSI fica concentrado em um profissional e, quando ele sai ou se afasta, ninguém sabe dar continuidade.
- Centralizar as evidências tarde demais: As evidências só são reunidas nas semanas anteriores à auditoria, espalhadas entre drives, e-mails e conversas.
- Não definir responsáveis nem prazos: Os achados são registrados, mas ficam sem dono e sem data, e reaparecem na auditoria de certificação.
Como o acesso controlado do auditor simplifica a preparação
Quando o auditor recebe as evidências por e-mail ou em pastas compartilhadas, cada pedido vira uma nova rodada de busca, exportação e envio, e fica difícil saber qual versão de cada documento foi analisada. Com um acesso controlado ao ambiente em que o SGSI é gerido, o auditor consulta as evidências, o histórico dos controles e os registros sem depender de exportações, e a equipe acompanha o que já foi verificado.
Esse acesso precisa ser restrito ao que o auditor precisa consultar e ficar registrado, para preservar a confidencialidade das informações e a rastreabilidade do trabalho.
Como a Imara organiza a preparação para a auditoria interna
Somos uma plataforma brasileira de automação de compliance e reunimos, em um único ambiente, o que a sua empresa precisa para chegar à auditoria interna com o SGSI organizado:
- Painel de auditoria: Disponível desde o plano inicial.
- Gestão de evidências: Coleta automatizada por meio de integrações com a stack da empresa e registro manual quando necessário.
- Monitoramento contínuo: Testes periódicos dos controles, que sinalizam desvios antes da auditoria.
- Acesso para auditores: Os auditores trabalham dentro da plataforma, com acesso ao histórico do projeto e à trilha de auditoria, e registram o próprio trabalho no mesmo ambiente.
Com controles, evidências e históricos organizados desde o início, a preparação para a auditoria interna fica consideravelmente mais rápida e com menos retrabalho.
Cada parte continua com o seu papel: a empresa é responsável pelo SGSI e pelas decisões sobre riscos, a plataforma organiza e automatiza o trabalho, o especialista ou auditor interno avalia com imparcialidade e o organismo certificador decide sobre a certificação. Para conhecer como organizamos esse trabalho na prática, solicite uma demonstração ou avalie a maturidade do seu SGSI com nosso diagnóstico gratuito.
FAQ: Perguntas frequentes
Com que frequência a auditoria interna deve ser feita?
A ISO 27001 não estabelece uma frequência específica. A norma exige apenas que a auditoria aconteça em intervalos planejados, definidos pela empresa no programa de auditoria, considerando a importância dos processos e os resultados de auditorias anteriores. O programa precisa estar em andamento antes da certificação e continuar durante os anos de manutenção do certificado.
A auditoria interna precisa cobrir todo o SGSI de uma vez?
Não, o programa pode distribuir a auditoria de diferentes processos e controles ao longo do tempo (desde que todo o escopo do SGSI seja coberto no ciclo planejado). Antes da certificação, porém, a empresa precisa conseguir demonstrar que o escopo foi auditado por alguém imparcial.
Um software pode realizar a auditoria interna?
Não, a auditoria interna exige o julgamento de um auditor imparcial, que avalia evidências, entrevista pessoas e decide o que é ou não conformidade. Uma plataforma de compliance organiza as evidências, dá acesso controlado ao auditor e pode registrar os achados e as ações corretivas, mas a avaliação continua sendo trabalho de alguém.
Quais documentos são necessários para a auditoria interna ISO 27001?
Os documentos necessários dependem do escopo do SGSI, mas geralmente incluem a política de segurança da informação, a avaliação de riscos, a Declaração de Aplicabilidade (SoA), o plano de tratamento de riscos e os registros de operação dos controles. O importante é que as evidências demonstrem que os controles estão funcionando na prática, além de estarem documentados.
O que acontece quando uma não conformidade é encontrada na auditoria interna ISO 27001?
A empresa deve registrar a não conformidade, identificar a causa, definir uma ação corretiva com responsável e prazo e verificar se a ação foi eficaz. Esse processo ajuda a corrigir as lacunas do SGSI antes da auditoria de certificação.
Quanto tempo antes da auditoria de certificação devo realizar a auditoria interna ISO 27001?
A ISO 27001 não estabelece um prazo entre as duas auditorias. Por isso, a auditoria interna deve acontecer com antecedência suficiente para que a empresa trate as não conformidades e documente as ações corretivas antes da auditoria externa, considerando a maturidade do SGSI e a complexidade dos processos.
