{"id":206533,"date":"2026-11-04T13:11:15","date_gmt":"2026-11-04T11:11:15","guid":{"rendered":"https:\/\/factorial.com\/blog\/?p=206533"},"modified":"2026-11-04T13:34:41","modified_gmt":"2026-11-04T11:34:41","slug":"auditoria-iso-27001","status":"publish","type":"post","link":"https:\/\/factorial.com\/blog\/pt-pt\/auditoria-iso-27001\/","title":{"rendered":"Auditoria ISO 27001: o que verifica o auditor e como te preparares"},"content":{"rendered":"

Numa auditoria ISO 27001, um auditor externo verifica se o sistema de gest\u00e3o da seguran\u00e7a da informa\u00e7\u00e3o da tua empresa cumpre a norma. Para isso, analisa a documenta\u00e7\u00e3o, entrevista a tua equipa e pede para ver, nos pr\u00f3prios sistemas, as evid\u00eancias de que os controlos funcionam no dia a dia<\/strong>.<\/p>\n

Muitas empresas preparam a auditoria como se fosse um exame \u00e0 documenta\u00e7\u00e3o. Chegam com pol\u00edticas impec\u00e1veis e descobrem na fase 2 que o auditor quer ver o registo da \u00faltima sa\u00edda de um colaborador, a data do \u00faltimo teste de reposi\u00e7\u00e3o de uma c\u00f3pia de seguran\u00e7a ou a percentagem de port\u00e1teis com a encripta\u00e7\u00e3o ativa nesse dia.<\/p>\n

Neste artigo vais ver que tipos de auditoria ISO 27001 existem<\/strong>, como decorre o processo, quanto tempo demora, o que \u00e9 que o auditor verifica ao certo e o que acontece se encontrar n\u00e3o conformidades.<\/p>\n

O que \u00e9 uma auditoria ISO 27001?<\/h2>\n

Uma auditoria ISO 27001 \u00e9 um processo sistem\u00e1tico, independente e documentado<\/strong> em que um auditor recolhe evid\u00eancias e as avalia de forma objetiva para determinar at\u00e9 que ponto a tua organiza\u00e7\u00e3o cumpre os requisitos da norma. O que \u00e9 auditado \u00e9 o teu sistema de gest\u00e3o da seguran\u00e7a da informa\u00e7\u00e3o (SGSI)<\/a>, dentro do \u00e2mbito que definiste, e n\u00e3o a empresa inteira.<\/p>\n

O auditor procura responder a duas perguntas. A primeira \u00e9 se o SGSI cumpre os requisitos das cl\u00e1usulas 4 a 10 da ISO 27001<\/a>, que tratam do contexto, da lideran\u00e7a, do planeamento, do suporte, da opera\u00e7\u00e3o, da avalia\u00e7\u00e3o do desempenho e da melhoria. A segunda \u00e9 se os controlos do Anexo A que consideraste aplic\u00e1veis na tua Declara\u00e7\u00e3o de Aplicabilidade<\/a> est\u00e3o implementados e a funcionar.<\/p>\n

Tipos de auditoria ISO 27001<\/h2>\n

Uma organiza\u00e7\u00e3o certificada passa por v\u00e1rias auditorias em cada ciclo de tr\u00eas anos. Umas s\u00e3o feitas pela pr\u00f3pria empresa e outras por um organismo de certifica\u00e7\u00e3o acreditado.<\/p>\n

\n\n\n\n\n\n\n\n\n
Tipo de auditoria<\/th>\nQuem a faz?<\/th>\nQuando?<\/th>\nO que verifica?<\/th>\n<\/tr>\n<\/thead>\n
Auditoria interna<\/strong><\/td>\nA pr\u00f3pria empresa, com uma pessoa independente ou um auditor contratado<\/td>\nEm intervalos planeados, e pelo menos uma vez antes da certifica\u00e7\u00e3o<\/td>\nTodo o SGSI ao longo do programa de auditoria<\/td>\n<\/tr>\n
Auditoria de concess\u00e3o<\/strong><\/td>\nOrganismo de certifica\u00e7\u00e3o acreditado<\/td>\nAno 0, em duas fases<\/td>\nA documenta\u00e7\u00e3o na fase 1 e o funcionamento real na fase 2<\/td>\n<\/tr>\n
Auditoria de acompanhamento<\/strong><\/td>\nOrganismo de certifica\u00e7\u00e3o acreditado<\/td>\nAnos 1 e 2 do ciclo<\/td>\nUma parte do sistema, as altera\u00e7\u00f5es e as constata\u00e7\u00f5es anteriores<\/td>\n<\/tr>\n
Auditoria de renova\u00e7\u00e3o<\/strong><\/td>\nOrganismo de certifica\u00e7\u00e3o acreditado<\/td>\nAno 3, antes de o certificado caducar<\/td>\nTodo o SGSI e a sua evolu\u00e7\u00e3o ao longo do ciclo<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/figure>\n

1. Auditoria interna<\/h3>\n

A cl\u00e1usula 9.2 da norma obriga a realizar auditorias internas em intervalos planeados<\/strong>, no \u00e2mbito de um programa que defina a frequ\u00eancia, os m\u00e9todos, as responsabilidades e o \u00e2mbito de cada uma. O objetivo \u00e9 detetar n\u00e3o conformidades antes do organismo de certifica\u00e7\u00e3o. E sem uma auditoria interna completa, n\u00e3o \u00e9 poss\u00edvel avan\u00e7ar para a certifica\u00e7\u00e3o.<\/p>\n

Quem a realiza tem de ser competente e imparcial<\/strong>, ou seja, n\u00e3o pode auditar processos que desenhou ou que gere. Numa empresa com 40 pessoas, isto costuma ser um problema real, porque quem mais sabe do SGSI \u00e9 precisamente quem o montou. A solu\u00e7\u00e3o mais comum \u00e9 contratar um auditor externo para a auditoria interna, que ainda traz uma segunda opini\u00e3o sobre os processos e a an\u00e1lise de riscos.<\/p>\n

Al\u00e9m da auditoria interna, a cl\u00e1usula 9.3 exige a revis\u00e3o pela gest\u00e3o<\/strong>. Ambas t\u00eam de estar feitas e documentadas antes da fase 1, e o auditor externo vai perguntar o que se decidiu em cada uma.<\/p>\n

2. Auditoria de concess\u00e3o<\/h3>\n

\u00c9 a auditoria que d\u00e1 acesso ao certificado e a mais exigente<\/strong>, porque \u00e9 a primeira vez que algu\u00e9m de fora analisa o sistema completo. Divide-se em duas fases.<\/p>\n

Na fase 1<\/strong>, o auditor confirma que a documenta\u00e7\u00e3o est\u00e1 completa e que a organiza\u00e7\u00e3o est\u00e1 preparada. Na fase 2<\/strong>, verifica se o que est\u00e1 documentado \u00e9 cumprido na pr\u00e1tica. Se correr bem, a empresa recebe um certificado v\u00e1lido por tr\u00eas anos. O percurso completo at\u00e9 chegar aqui est\u00e1 no guia sobre como obter a certifica\u00e7\u00e3o ISO 27001<\/a>.<\/p>\n

3. Auditorias de acompanhamento<\/h3>\n

Durante a validade do certificado, o organismo volta pelo menos uma vez por ano<\/strong>. A primeira auditoria de acompanhamento tem de acontecer nos 12 meses seguintes \u00e0 decis\u00e3o de certifica\u00e7\u00e3o. S\u00e3o mais curtas do que a inicial e n\u00e3o abrangem o sistema todo. Em cada visita, o auditor escolhe uma parte dos controlos e, ao longo do ciclo, acaba por passar por todos.<\/p>\n

H\u00e1 aspetos que verifica em todas as visitas.<\/p>\n