Auditoria interna independente
para os seus sistemas de TIC
e segurança física.
Uma auditoria interna aos sistemas de TIC e à segurança física é o mecanismo que permite à sua organização determinar, com certeza e com base em provas objetivas, se o seu sistema de gestão funciona efetivamente ou se existe apenas no papel. Trata-se de um serviço especializado prestado por profissionais independentes, com um nível de imparcialidade que nenhuma equipa interna pode garantir por si própria.
Todas as normas relevantes em matéria de TIC — ISO 27001, ENS, TISAX, ISO 22301, ISO 20000 — exigem auditorias internas periódicas como parte do ciclo de melhoria contínua. Trata-se de um requisito formal. No entanto, reduzir a auditoria interna a uma mera formalidade de conformidade é um dos erros mais comuns e dispendiosos que as organizações cometem.
Uma auditoria interna bem executada permite-lhe: detetar lacunas reais entre os procedimentos documentados e a prática efetiva; identificar riscos imprevistos que surgiram ao longo do tempo; verificar a eficácia real dos controlos, e não apenas a sua existência formal; antecipar as constatações que o auditor externo irá revelar, dando tempo para as corrigir; demonstrar a situação real à gestão com evidências objetivas; e alimentar o ciclo de melhoria contínua exigido por todas as normas.
Este é o princípio fundamental — e, ao mesmo tempo, o mais frequentemente ignorado — quando as organizações tentam abordar a conformidade utilizando os seus próprios recursos.
Um auditor não pode auditar o seu próprio trabalho. Não por falta de conhecimentos técnicos, mas porque a ausência de independência distorce inevitavelmente o processo: o que é revisto, como as conclusões são interpretadas, o que é documentado como conclusão e o que é ignorado. Isto não é necessariamente intencional. Trata-se de uma limitação inerente que as normas reconhecem e exigem que seja mitigada.
A norma ISO 19011 estabelece claramente que os auditores devem ser objetivos e independentes da atividade que estão a auditar. As normas ISO/IEC 27001, ENS, TISAX, ISO 22301 e ISO 20000 referem-no explicitamente.
Situações em que a independência é comprometida: o gestor do sistema audita os controlos que ele próprio concebeu; o departamento de TI audita os seus próprios processos; o gestor de segurança revê o seu próprio plano; um consultor que participou na implementação realiza posteriormente a auditoria interna.
Um auditor de sistemas de TIC pode ser formalmente independente — não tendo participado na atividade auditada — e, ainda assim, carecer de imparcialidade se tiver algum interesse no resultado.
Um auditor imparcial: não tem interesse em que o resultado seja favorável ou desfavorável; não adapta as suas conclusões ao que a gestão quer ouvir; não formula conclusões com base em relações pessoais com os auditados; documenta o que constata, e não o que é conveniente documentar; aplica os mesmos critérios, independentemente do departamento, cargo ou antiguidade.
A imparcialidade é especialmente crítica em organizações de pequena e média dimensão, onde as relações pessoais entre o auditor interno e os auditados são inevitavelmente mais próximas. Nesse contexto, um auditor externo independente não é uma opção de luxo: é a única forma de garantir resultados fiáveis.
Revisão do SGSI em conformidade com a norma ISO/IEC 27001 e o seu Anexo A. Verificação da eficácia dos controlos, da conformidade com as políticas, da gestão de riscos, do tratamento de incidentes e da revisão pela direção.
Avaliação da conformidade com a ENS, em conformidade com o Decreto Real n.º 311/2022 e as diretrizes do CCN-STIC. Verificação com base na categoria do sistema (básica, média, elevada), análise de lacunas e relatório no formato exigido.
Análise em conformidade com o questionário VDA ISA e os critérios de avaliação TISAX. Preparação para a avaliação oficial por parte de um prestador acreditado pela ENX.
Revisão do SGCN. Verificação dos planos de continuidade, das análises de impacto nos negócios (BIAs), dos exercícios e testes, bem como da capacidade real de resposta em caso de falha.
Revisão do SMS em conformidade com a norma ISO/IEC 20000-1. Verificação dos processos de prestação e apoio, gestão de incidentes, gestão de alterações, níveis de serviço e melhoria contínua.
Análise independente do controlo de acesso físico, videovigilância, deteção de intrusões, proteção ambiental e procedimentos. A segurança física e a segurança lógica são indissociáveis.
Âmbito, critérios, calendário e áreas a analisar.
Análise de políticas, procedimentos, registos e riscos.
Entrevistas, observação direta, verificação de provas.
Não-conformidades graves, não-conformidades menores, observações.
Documento de referência para a gestão.
Reunião de encerramento com a direção e os responsáveis de equipa.
Verificação da resolução das não-conformidades e da eficácia das ações corretivas.
Esta é uma das decisões estruturais que define o modo de funcionamento da IMTS e que é aplicada sem exceção, independentemente do projeto, do cliente ou da urgência.
A IMTS não se limita a prestar um serviço pontual. O seu compromisso é ser um parceiro fiável e especializado nas áreas da segurança, conformidade e inteligência. Quinze anos a apoiar empresas e organismos públicos comprovam isso mesmo.
Para marcar uma reunião inicial sem custos e sem compromisso. Total discrição desde o primeiro contacto.
