Lista de verificação de auditoria

Definição

A ISO 19011 trata as listas de verificação como documentos de trabalho que ajudam o auditor a não perder o fio, e avisa que não devem restringir a auditoria. O que surgir pelo caminho continua a merecer acompanhamento.

Porque é importante

Garante que o âmbito é coberto e, depois, mostra o que foi e o que não foi verificado.

Um auditor menos experiente ganha também uma estrutura que mantém o seu trabalho coerente.

Como funciona

Pegue nos critérios do âmbito. Para cada um, escreva o que espera ver na prática, os documentos e registos a pedir e as pessoas a encontrar.

Decida as amostras com antecedência: quantas, de que período e como serão escolhidas.

Durante a auditoria, registe as evidências com precisão, com o nome do documento, a versão, a data e os números dos registos vistos. Termine cada linha com um resultado.

Um caso prático

Critério: controlo 5.18 da ISO/IEC 27001, direitos de acesso. O auditor espera uma revisão anual assinada pelos donos dos sistemas, e pede a última revisão do sistema financeiro e a lista das 15 pessoas que entraram ou mudaram de função este ano.

A evidência é uma revisão de 14 de fevereiro assinada pelo diretor financeiro, e 15 de 15 alterações de acesso aprovadas. Resultado: conforme.

Boas práticas

• Descreva a prática que espera ver. Copiar o texto da norma não acrescenta nada.
• Deixe espaço em cada linha para registar a evidência.
• Prepare uma versão nova para cada auditoria, partindo do que a anterior encontrou.
• Siga o que descobrir, mesmo que não esteja na lista.

Erros frequentes

• Reutilizar a lista do ano passado sem ver o que mudou.
• Fazer perguntas fechadas e aceitar um sim. As pessoas tendem a responder o que parece querer ouvir.
• Transformar a auditoria no preenchimento de um formulário, de modo que o auditor deixa de levantar os olhos da folha.
• Escrever «verificado» sem referência, o que não deixa nada em que se apoiar depois.

Perguntas

Uma lista de verificação de auditoria é obrigatória?

Não. A ISO 19011 inclui-a entre os documentos de trabalho que um auditor pode preparar.

A lista deve ser partilhada com antecedência?

O plano de auditoria é partilhado. Enviar a lista de registos a preparar poupa tempo, desde que o auditor continue a escolher as amostras no local.

Quantas linhas precisa uma lista de verificação de auditoria?

Tantas quantas o âmbito e o tempo permitam verificar bem, normalmente muito menos do que o texto completo da norma.

Que dimensão de amostra é adequada numa auditoria?

Nenhum número único serve. Depende da população, do risco e da frequência do controlo. Registe como escolheu.

Os resultados podem ser algo além de conforme ou não conforme?

Sim: conforme, não conforme, oportunidade de melhoria e não auditado são todos resultados úteis.