Depois de ler, poderá planear um programa de auditoria, realizar uma auditoria do início ao fim e acompanhar o que ela encontra.
Definição
A ISO 19011 define a auditoria como um processo sistemático, independente e documentado para obter evidências e avaliá-las objetivamente, de modo a determinar em que medida os critérios são cumpridos. A cláusula 9.2 da ISO/IEC 27001 exige auditorias internas em intervalos planeados.
As Normas Globais de Auditoria Interna do IIA regem a própria profissão, que vai mais longe na governação e na gestão de riscos.
Porque é importante
Encontra os problemas enquanto ainda lhe cabe a si corrigi-los, antes que o faça um organismo de certificação, uma autoridade ou um incidente.
Também dá à direção uma visão que não vem das pessoas que asseguram o processo.
Como funciona
Construa primeiro o programa: que áreas, com que frequência e porquê. Dê prioridade ao que tem mais risco ou mudou recentemente, e escolha auditores que não vão verificar o seu próprio trabalho.
Para cada auditoria, fixe os objetivos, o âmbito e os critérios. Leia os documentos, depois entreviste as pessoas, observe o trabalho e recolha amostras dos registos.
Reporte as constatações com as suas evidências e faça uma reunião de encerramento. Depois acompanhe as ações corretivas até ao fim e verifique que resultaram.
Um caso prático
Uma empresa de 150 pessoas audita a gestão de acessos segundo a ISO/IEC 27001, com um auditor da sua equipa financeira. O plano abrange três sistemas em dois dias.
De 25 saídas amostradas, 2 mantiveram os acessos mais de um mês. A constatação expõe o critério, a evidência e o efeito. O responsável de informática compromete-se com uma ação corretiva até 30 de abril, e o auditor verifica-a em junho.
Boas práticas
- Comunique antecipadamente o âmbito e as datas à equipa auditada. Uma auditoria não é uma emboscada.
- Registe a amostra e a forma como a escolheu, para que outra pessoa a possa repetir.
- Reporte as boas práticas tanto quanto as lacunas. As pessoas cooperam mais facilmente com um auditor que repara no que funciona.
- Espere um período de funcionamento antes de verificar uma ação corretiva.
Erros frequentes
- Deixar as pessoas auditarem o seu próprio trabalho, por mais pequena que seja a equipa.
- Apoiar-se em entrevistas sem registos por trás.
- Reportar opiniões sem critério associado, o que transforma a reunião de encerramento num debate.
- Fechar uma ação porque alguém diz que está feita.
Perguntas
- Com que frequência deve haver uma auditoria interna?
- Em intervalos planeados que fixa. A ISO/IEC 27001 não define um número, embora seja comum um programa anual que cubra todo o sistema dentro do ciclo de certificação.
- Uma pequena empresa pode auditar-se a si própria?
- Sim, se o auditor for objetivo e imparcial. Servem tanto pessoas de outro departamento como um auditor externo.
- Qual a diferença entre auditoria interna e externa?
- A primeira é encomendada pela empresa para si própria. A segunda é realizada por um cliente, uma autoridade ou um organismo de certificação.
- O que é o modelo das três linhas?
- Um modelo do IIA em que a direção é dona dos riscos, as funções de segunda linha os apoiam e supervisionam, e a auditoria interna dá uma garantia independente.
- Que extensão deve ter um relatório de auditoria?
- Tão curto quanto a clareza permitir: âmbito, critérios, conclusão, constatações com as suas evidências e ações acordadas.