Auditoria Interna do SGSI — Como Planejar, Conduzir e Documentar conforme a ISO/IEC 27001:2022

Quando uma organização decide obter a certificação ISO/IEC 27001 — a norma internacional para segurança da informação —, ela contrata um Organismo de Certificação (OC): uma empresa credenciada e independente que audita o seu Sistema de Gestão da Segurança da Informação (SGSI) e, se tudo estiver em ordem, emite o certificado. Esse processo de certificação ocorre em duas etapas: a Estágio 1, em que o OC analisa a documentação do SGSI para verificar se está adequada; e a Estágio 2, em que o OC vai a campo verificar se o sistema está efetivamente implementado e funcionando. Somente após a Estágio 2 — e a resolução de eventuais não conformidades — o certificado é emitido.

É nesse contexto que a auditoria interna se torna estratégica. Antes de o OC chegar, a própria organização precisa auditar a si mesma — verificar, de forma independente e sistemática, se o seu SGSI está funcionando conforme planejado. Não é uma boa prática: é um requisito explícito da norma ISO/IEC 27001, e um dos primeiros documentos que o OC solicita na Estágio 1. Se o programa de auditoria interna não existe, se os relatórios estão incompletos ou se os resultados nunca chegaram à alta direção, isso gera não conformidade antes mesmo de o auditor externo visitar a organização.

Este artigo é um guia completo sobre como planejar, conduzir e documentar a auditoria interna do SGSI em conformidade com a cláusula 9.2 da norma — com o suporte metodológico da ISO 19011:2018, que é a referência de mercado para qualquer auditoria de sistema de gestão.

O que a norma ISO/IEC 27001 realmente exige — cláusula 9.2 na íntegra

A cláusula 9.2 da ISO/IEC 27001:2022 não deixa margem de interpretação: a auditoria interna é obrigatória, documentada e deve cobrir tanto a conformidade com os requisitos da norma quanto a eficácia da implementação. Abaixo, o texto normativo completo e sem adaptações:

Cada elemento desse texto tem uma implicação prática direta:

O programa de auditoria interna do SGSI — com exemplo simplificado

Uma distinção fundamental: o programa de auditoria é o planejamento de longo prazo — define o que será auditado ao longo do ano, com que frequência e por quem. O plano de auditoria é o cronograma de uma visita específica. A cláusula 9.2.2 exige o programa. A ISO 19011, Seção 5.5, detalha o que ele deve conter.

Como definir a frequência

A norma não especifica uma frequência mínima — ela deve ser baseada na importância dos processos e nos resultados de auditorias anteriores. Na prática:

• Processos críticos de SI (gestão de riscos, controle de acesso, incidentes): pelo menos anualmente
• Requisitos de gestão (cláusulas 4–10): cobertura completa a cada ciclo de certificação
• Controles do Anexo A: rotação ao longo do ano, priorizando os de maior risco
• Áreas com NCs anteriores: aumento de frequência até confirmação de eficácia

Exemplo de Programa de Auditoria Interna — 12 meses

A tabela abaixo mostra como um programa real distribui a cobertura ao longo do ano. Cada linha representa uma área auditável com sua frequência, o mês planejado, o auditor designado e o status atual. O OC verifica se essa distribuição é sistemática — não concentrada em um único momento antes da certificação.

Importante: A estrutura do programa a seguir é um exemplo didático. A norma não prescreve como as áreas auditáveis devem ser agrupadas — cada organização define o recorte que fizer mais sentido para o seu contexto, porte e equipe de auditores. O que o OC verifica não é o formato do programa, mas se ele cobre todos os requisitos aplicáveis, tem frequência definida com base em risco e está sendo efetivamente executado.

Programa referente ao ciclo 2025 · Versão: PAI-SGSI-2025-001 · Aprovado em: [dd/mm/aaaa] · Auditor Líder responsável: [Nome]

Como registrar evidências — a estrutura do corpo do relatório

Para cada requisito auditado, a estrutura de registro é sempre a mesma. É essa qualidade de evidência que o Organismo de Certificação vai verificar na Estágio 1:

Como estruturar uma NC — o padrão RED e o que diz a ISO 19011

Não existe um formato único e obrigatório para redigir uma não conformidade. O que a norma define são os elementos que devem estar presentes, não o layout do formulário. A ISO 19011:2018, no Anexo A, seção A.18.3, estabelece que o registro de uma NC deve conter:

Um dos padrões de mercado mais utilizados para organizar esses elementos é o RED — um mnemônico que estrutura a NC em três campos sequenciais:

Os exemplos abaixo aplicam o padrão RED. Note que o campo Requisito traz o texto literal da norma — não uma interpretação — e que a Deficiência conecta explicitamente a evidência ao requisito violado, sem sugerir solução.

O que o OC verifica — e os 5 erros mais comuns

Quando o Organismo de Certificação realiza a auditoria de Estágio 1, a auditoria interna é um dos primeiros pontos de verificação. Na Estágio 2, o auditor externo verifica se as NCs identificadas internamente foram tratadas e se a eficácia das ações foi comprovada.

O que o OC vai pedir

• O programa de auditoria — documento formal com frequência, escopo e responsabilidades
• Os relatórios das auditorias realizadas — evidência de que foram conduzidas
• Evidência de que os resultados chegaram à direção — ata, e-mail formal, apresentação
• Registro das NCs e das ações corretivas — com evidência de eficácia
• Evidência de independência — quem auditou o quê e qual é sua posição na organização

Os 5 erros que geram NC de certificação

Conclusão

A auditoria interna do SGSI não é uma formalidade para agradar o auditor externo. É o mecanismo pelo qual a organização verifica, de forma independente e sistemática, se o seu sistema de gestão está funcionando de fato — não apenas no papel.

Quando bem conduzida, ela entrega três resultados concretos: identifica problemas antes que o auditor externo os encontre, gera evidências que alimentam a análise crítica pela direção, e demonstra ao Organismo de Certificação que a organização tem maturidade para manter o seu certificado.

A ISO/IEC 27001 exige que ela exista. A ISO 19011 oferece o guia de como fazê-la com profissionalismo. O resto é disciplina e consistência ao longo do tempo.