A auditoria interna na ISO 27001 é um dos mecanismos utilizados pela organização para verificar se o Sistema de Gestão de Segurança da Informação (SGSI) está em conformidade com os requisitos estabelecidos e com os próprios critérios, políticas e processos da empresa.

Mais do que uma etapa burocrática antes da certificação, a auditoria interna permite identificar não conformidades, falhas de implementação, oportunidades de melhoria e controles que precisam ser aprimorados.

Por isso, ela desempenha papel importante tanto na preparação para a certificação quanto na manutenção do SGSI.

O que é a auditoria interna da ISO 27001?

A auditoria interna é uma avaliação sistemática, independente e documentada realizada pela própria organização ou em seu nome.

Seu objetivo é verificar se o SGSI:

• está em conformidade com os requisitos aplicáveis;
• está em conformidade com os requisitos definidos pela própria organização;
• está implementado;
• está sendo mantido;
• e está funcionando de acordo com o que foi planejado.

A cláusula 9.2 da ISO/IEC 27001 estabelece requisitos específicos para o programa de auditoria interna. A organização deve planejar, estabelecer, implementar e manter programas de auditoria, considerando fatores como importância dos processos, mudanças que afetem a organização e resultados de auditorias anteriores.

A auditoria interna é obrigatória?

Sim.

A ISO/IEC 27001 estabelece a necessidade de realizar auditorias internas em intervalos planejados.

Isso não significa necessariamente que todos os processos precisem ser auditados na mesma frequência ou que exista um calendário universal aplicável a todas as empresas.

A organização deve estabelecer seu programa considerando seu contexto, riscos, importância dos processos e resultados anteriores.

Essa abordagem permite que a auditoria seja proporcional à realidade do SGSI.

Auditoria interna é a mesma coisa que auditoria de certificação?

Não.

Essa diferença é fundamental.

A auditoria interna é realizada pela organização ou em seu nome para avaliar seu próprio SGSI.

Já a auditoria de certificação é realizada por um organismo de certificação independente, com o objetivo de avaliar a conformidade do sistema para fins de certificação.

A auditoria interna funciona, portanto, como um mecanismo de avaliação e melhoria antes e durante a manutenção do sistema.

Ela não substitui a auditoria externa de certificação.

O que deve ser auditado?

A auditoria deve considerar o escopo e os requisitos aplicáveis ao SGSI.

Dependendo do contexto, podem ser avaliados:

• políticas de segurança da informação;
• gestão de riscos;
• Declaração de Aplicabilidade (SoA);
• controles de acesso;
• gestão de ativos;
• segurança de fornecedores;
• gestão de incidentes;
• continuidade;
• segurança de recursos humanos;
• controles tecnológicos;
• processos de monitoramento;
• gestão de documentos e registros;
• cumprimento dos objetivos do SGSI.

O foco não deve ser simplesmente verificar se existe documentação.

É necessário avaliar se aquilo que foi estabelecido está realmente sendo executado.

Documentação não é evidência suficiente

Esse é um dos principais erros encontrados em implementações imaturas.

A empresa possui uma política dizendo que determinados acessos devem ser revisados periodicamente.

Mas, quando a auditoria solicita evidências, não existem registros que demonstrem que a revisão foi realizada.

Nesse caso, existe uma diferença entre:

“a empresa estabeleceu o processo”

e

“a empresa executa o processo”.

A auditoria interna deve justamente ajudar a identificar essa diferença.

Independência e imparcialidade

A auditoria interna precisa ser conduzida de maneira que preserve objetividade e imparcialidade.

Um profissional não deve auditar seu próprio trabalho de maneira que comprometa a objetividade da avaliação.

Em organizações menores, isso pode exigir planejamento específico para separar responsabilidades ou utilização de auditor independente externo.

O objetivo é reduzir conflitos de interesse e aumentar a confiabilidade dos resultados.

Como funciona uma auditoria interna ISO 27001?

Um programa de auditoria pode envolver diferentes etapas:

1. Planejamento

Definição do escopo, critérios, objetivos, equipe, processos e período da auditoria.

2. Preparação

Análise de documentos, riscos, resultados anteriores, controles e informações relevantes.

3. Execução

Entrevistas, análise documental, observação de processos e verificação de evidências.

4. Identificação das constatações

Registro de conformidades, não conformidades e oportunidades de melhoria, conforme os critérios utilizados.

5. Relatório

Consolidação dos resultados e comunicação às partes responsáveis.

6. Tratamento

Definição e acompanhamento das ações necessárias para tratar não conformidades ou outros pontos identificados.

A auditoria não termina simplesmente com a emissão do relatório.

Os resultados precisam alimentar o ciclo de melhoria do SGSI.

O que são não conformidades na auditoria?

Uma não conformidade ocorre quando existe uma falha em relação a um requisito aplicável.

Esse requisito pode decorrer da própria ISO 27001, de requisitos legais ou contratuais aplicáveis, ou ainda de regras e processos que a própria organização estabeleceu para seu SGSI.

É importante diferenciar uma não conformidade de uma simples observação ou oportunidade de melhoria.

A classificação dependerá dos critérios definidos para a auditoria e da natureza da constatação.

Auditoria interna antes da certificação

Realizar uma auditoria interna antes da auditoria de certificação permite que a organização tenha uma visão mais realista sobre o estágio de seu SGSI.

Ela pode revelar, por exemplo:

• controles ainda não implementados;
• processos que funcionam de maneira diferente do procedimento documentado;
• ausência de evidências;
• riscos sem tratamento adequado;
• documentos desatualizados;
• responsabilidades pouco claras;
• falhas na gestão de fornecedores;
• problemas no acompanhamento de indicadores.

Dessa forma, a empresa tem a oportunidade de tratar essas questões antes de submetê-las à avaliação externa.

Auditoria interna depois da certificação

A auditoria interna continua sendo necessária após a certificação.

O SGSI está inserido em um ambiente que muda constantemente.

Novas tecnologias, fornecedores, processos, colaboradores, ameaças e requisitos podem alterar o cenário de riscos.

Por isso, a auditoria interna contribui para verificar se o sistema continua adequado e implementado.

A certificação não transforma o SGSI em uma estrutura permanente e imutável.

Um erro comum: transformar a auditoria em checklist

Uma auditoria baseada exclusivamente em checklist pode verificar se determinados documentos existem, mas não necessariamente se o sistema funciona.

Uma abordagem mais consistente conecta:

requisito → processo → controle → evidência → resultado.

Por exemplo, não basta verificar se existe uma política de gestão de acessos.

É necessário verificar como ela é aplicada, quem executa o processo, quais registros são produzidos, quais exceções existem e como eventuais falhas são tratadas.

Esse tipo de análise torna a auditoria mais útil para a gestão.

Conclusão

A auditoria interna na ISO 27001 não deve ser encarada apenas como uma formalidade anterior à certificação.

Ela é um instrumento de avaliação do SGSI e uma importante fonte de informações para a melhoria contínua.

Uma auditoria bem estruturada verifica não apenas se os documentos existem, mas se os processos estão implementados, se os controles estão sendo executados e se existem evidências suficientes para demonstrar sua operação.

Por isso, uma pergunta deve orientar todo o processo:

“O que a empresa afirma fazer está efetivamente acontecendo?”

Quando a resposta é sustentada por processos, evidências e resultados verificáveis, a auditoria interna deixa de ser apenas uma preparação para a certificação e passa a cumprir uma função real de governança e gestão de riscos.

📞 (11) 97981-2035
✉️ juridico@advogadosbarbosa.com

SOLICITE SUA AVALIAÇÃO DE MATURIDADE
https://form.respondi.app/7jYlVSe7