O gestor abriu o relatório da primeira auditoria interna. A empresa vinha estruturando o SGSI havia meses. Políticas publicadas, processos documentados, um time que se dizia pronto para a certificação. Ele esperava o que todo mundo espera na primeira rodada: alguns apontamentos, talvez uma observação, nada grave.
O relatório tinha 42 não conformidades.
Quarenta e duas. Ele fechou a tela, respirou fundo e soltou a frase que eu ouço em quase toda primeira auditoria interna: "Eu achei que a gente estava melhor do que isso."
Aí está a graça: eles não estavam piores do que imaginavam. Só nunca tinham parado para olhar o próprio sistema com a lupa de um auditor. E é exatamente essa a função de uma auditoria interna. Olhar antes que o auditor externo olhe.
Este artigo explica por que a auditoria interna é o ensaio geral mais importante da certificação, como ela funciona na prática e o que ela encontra que a auditoria externa não perdoa. Sem rodeio.
O que é auditoria interna (e por que não é só checklist)
Auditoria interna é uma avaliação sistemática e independente do Sistema de Gestão de Segurança da Informação. Na prática, é você examinando o próprio sistema com o mesmo rigor que um auditor externo usaria. Só que sem o risco de reprovar.
Tem uma confusão comum aqui. Muita gente acha que auditoria interna é abrir o checklist da norma, marcar conforme ou não conforme e encerrar. Checklist ajuda, mas não é auditoria. Auditoria de verdade cruza evidência com requisito e descobre onde o sistema funciona no papel e falha na operação.
A regra do jogo: a auditoria interna é o único momento em que você encontra um problema sem pagar caro por ele. Na auditoria externa, cada achado vira não conformidade formal, e não conformidade formal coloca o certificado em risco.
Por que a primeira auditoria interna assusta: os números que contam a história
Já conduzi uma implantação em que a primeira auditoria interna fechou com 42 não conformidades. Não era empresa desleixada. Era uma empresa em fase de estruturação que nunca tinha passado por um olhar crítico daquele nível.
A primeira reação foi de susto. A segunda foi a pergunta certa: "Como a gente chega daqui até a certificação sem reprovar?" A resposta não foi esconder problema. Foi tratar cada um.
Na segunda rodada, 10 não conformidades. Na terceira, 2. Mesma empresa, mesmo time, mesma norma. O que mudou não foi o auditor interno aliviando a mão. Foi o sistema amadurecendo entre uma rodada e outra.
A verdade incômoda: a primeira auditoria interna quase nunca termina bonita. E é por isso que ela existe. Você quer descobrir 42 problemas antes da certificação, não depois que o certificado está em jogo.
O que a auditoria interna encontra que a externa não perdoa
Uma auditoria interna bem feita encontra exatamente o que a auditoria externa encontraria. A diferença é que você ganha tempo para corrigir. Os achados mais comuns que vejo se repetindo em implantação de ISO 27001:
- Política aprovada, mas publicada em um drive que ninguém acessa
- Análise de risco executada uma vez e nunca revisada
- Acesso de ex-colaborador ainda ativo
- Backup configurado, mas nunca testado
- Treinamento realizado, mas sem registro
- Fornecedor crítico sem contrato com cláusula de segurança
- Incidente resolvido na conversa, sem registro formal
Perceba o padrão: nada disso é falha de tecnologia. É falha de gestão. E é isso que a auditoria externa reprova, porque para ela falta evidência.
Como funciona uma auditoria interna séria (sem virar burocracia)
Uma auditoria interna boa tem quatro etapas. Nada complexo, mas todas precisam existir.
1. Definir o escopo
Você não audita tudo de uma vez. Define o que será avaliado: processos, áreas, controles. Na ISO 27001, a auditoria interna precisa cobrir o SGSI como um todo, mas pode ser dividida em ciclos. O que importa é que nada fique de fora ao longo do período.
2. Planejar com base no risco
Áreas mais críticas merecem mais profundidade. Controle de acesso, gestão de incidentes e backup costumam aparecer em todo apontamento de auditoria externa. O planejamento precisa concentrar esforço aí.
3. Coletar evidência, não opinião
O auditor interno não aceita "a gente faz sim" como resposta. Precisa ver o documento, o registro, o log. Foi essa diferença entre opinião e evidência que encontrou os 42 apontamentos da história lá de cima. Muita gente jura que testa backup. Na hora de mostrar o teste, não mostra.
4. Reportar com clareza
O relatório precisa dizer três coisas para cada achado: o que foi encontrado, por que é uma não conformidade e qual requisito foi violado. Sem isso, achado vira discussão. E discussão não trata nada.
Auditoria interna x auditoria externa
| Aspecto | Auditoria interna | Auditoria externa |
|---|---|---|
| Objetivo | Melhorar o sistema | Verificar conformidade |
| Quem executa | Equipe interna ou consultor | Organismo de certificação independente |
| Consequência do achado | Plano de ação interno | Não conformidade formal, risco ao certificado |
| Momento | Antes da certificação e na manutenção | Para emitir ou manter o certificado |
| Custo do erro | Tempo para corrigir | Possibilidade de reprovação |
O custo de pular a auditoria interna
Quando a empresa pula a auditoria interna e vai direto para a externa, o auditor externo vira o primeiro auditor de verdade. E ele cobra caro por esse papel. Não em dinheiro, em consequência.
Cada não conformidade maior encontrada na auditoria externa precisa ser tratada em prazo curto, com evidência formal, e o certificado pode ficar pendente. Em muitos casos, a certificação não sai naquela rodada. A empresa remarca, paga nova auditoria e perde meses. O certificado que sairia em setembro sai em fevereiro.
Auditoria interna não é custo. É seguro.
Checklist: sua empresa passaria numa auditoria interna hoje?
Responda honestamente:
- Você consegue mostrar evidência de que a política de segurança foi comunicada a todos?
- Sua análise de risco está datada e tem responsável definido?
- O controle de acesso foi revisado nos últimos meses?
- O último teste de recuperação de backup tem registro?
- As não conformidades anteriores foram tratadas com ação corretiva, não só correção?
- Existe um plano de auditoria interna cobrindo todo o escopo do SGSI?
Se você hesitou em mais de duas, a auditoria interna vai encontrar mais do que você imagina. E melhor ela do que a externa.
Vale para a ISO 27701 também
Este artigo fala em ISO 27001, mas a lógica é idêntica na ISO 27701. Como a 27701 é a extensão de privacidade da 27001, a auditoria interna passa a cobrir também os controles de proteção de dados pessoais, a aderência à LGPD, os registros de consentimento e o tratamento dos direitos dos titulares. O escopo aumenta. O valor do ensaio geral continua o mesmo.