Checklist de auditoria interna ISO 27001: estrutura, classificação e modelo
A auditoria interna é obrigatória na ISO/IEC 27001:2022 (cláusula 9.2): a organização audita o seu SGSI a intervalos planejados, segundo um programa de auditoria definido, com critérios e escopo estabelecidos, auditores objetivos e imparciais, resultados relatados à direção pertinente e evidências retidas. O checklist organiza esse trabalho: uma linha por requisito das cláusulas 4 a 10 e por controle aplicável do Anexo A, com o que verificar, a evidência analisada, o resultado (conforme, NC maior ou menor, observação, oportunidade de melhoria) e a constatação. O checklist ISMS-AUD-03 do kit NexoDocs em português tem 29 linhas para as cláusulas e todos os 93 controles.
O que a norma exige da auditoria interna
A cláusula 9.2 tem duas partes. A 9.2.1 pede auditorias que mostrem se o SGSI atende aos requisitos da própria organização e aos da norma e se está implementado e mantido de forma eficaz. A 9.2.2 pede um programa de auditoria (frequência, métodos, responsabilidades, planejamento e relato) que considere a importância dos processos e os resultados de auditorias anteriores.
- Definir critérios e escopo de cada auditoria.
- Escolher auditores que assegurem objetividade e imparcialidade: ninguém audita o próprio trabalho.
- Relatar os resultados à direção pertinente.
- Reter informação documentada como evidência do programa e dos resultados.
A ABNT NBR ISO 19011 traz diretrizes gerais para auditoria de sistemas de gestão (amostragem, entrevistas, redação de constatações) e é uma boa referência de método.
Programa, plano, checklist e relatório: para que serve cada um
| Documento do kit | Para que serve | Quando se usa |
|---|---|---|
| ISMS-AUD-01 Procedimento de Auditoria Interna | As regras: quem audita, como se garante a independência, como as constatações são classificadas e acompanhadas | Uma vez, revisado todo ano |
| ISMS-AUD-02 Programa de Auditoria Interna | O calendário anual: quais processos, quando e com que prioridade (com o exemplo preenchido da empresa fictícia NubeSur) | No início do ciclo |
| ISMS-AUD-05 Plano de Auditoria | Uma auditoria específica: escopo, critérios, agenda, auditores e entrevistados | Antes de cada auditoria |
| ISMS-AUD-03 Checklist de Auditoria Interna | A ferramenta de trabalho do auditor: requisito por requisito, o que foi verificado e constatado | Durante a auditoria |
| ISMS-AUD-04 Relatório de Auditoria Interna | O resultado formal: constatações, conclusões e não conformidades a tratar | No encerramento da auditoria |
Kit de documentação SGSI ISO 27001
84 arquivos para documentar seu SGSI segundo a ISO/IEC 27001:2022.
Ver o kit de documentação ISO 27001 (pagamento único)As colunas do checklist
| Coluna do ISMS-AUD-03 | Conteúdo | Exemplo |
|---|---|---|
| ID | Cláusula ou controle | 6.1.3 |
| Requisito a verificar | A pergunta respondida | A Declaração de Aplicabilidade justifica inclusões e exclusões? |
| O que verificar | Sugestão de amostra | Revisar a Declaração de Aplicabilidade vigente e 3 controles excluídos |
| Evidências analisadas | Documentos, registros, entrevistas ou amostras, com sua identificação | Declaração de Aplicabilidade v2.1 aprovada em 12 de março; entrevista com o gestor do SGSI |
| Resultado | Escolha em lista fechada | Conforme, NC maior, NC menor, Observação, Oportunidade de melhoria |
| Constatação (requisito · evidência · declaração) | A constatação em três partes | A exclusão do controle 8.28 não está justificada (Declaração v2.1) |
| Auditado | Área ou pessoa entrevistada | Operação de TI |
Como o resultado vem de uma lista fechada, a aba «Resumo» conta automaticamente cada tipo de constatação, separando cláusulas e Anexo A, e mostra quantas linhas ainda estão «Não preenchido». São esses números que a direção quer ver na análise crítica.
Como classificar as constatações
- NC maior: falta um requisito inteiro ou uma falha põe em dúvida a eficácia do SGSI (por exemplo, nunca foi feita uma avaliação de riscos).
- NC menor: um desvio isolado que não compromete o sistema (por exemplo, um registro de treinamento sem assinatura).
- Observação: ainda conforme, mas pode virar não conformidade se não for tratada.
- Oportunidade de melhoria: uma sugestão para fazer melhor, sem não conformidade.
- Não auditado: só para controles do Anexo A fora do escopo desta auditoria. Nas cláusulas 4 a 10 essa opção não existe de propósito.
Cada não conformidade vai para o registro de não conformidades e ações corretivas (cláusula 10.2) com causa, ação, responsável e prazo.
Auditoria interna no Brasil: o que certificadoras e reguladores observam
Um organismo de certificação acreditado pela Cgcre/Inmetro verifica nas auditorias de estágio 1 e 2 se há pelo menos uma auditoria interna completa, com relatório, e uma análise crítica pela direção; constatações sem evidência documentada não ajudam. Se a organização trata dados pessoais, a auditoria interna também ajuda a demonstrar as medidas de segurança do art. 46 da LGPD e o programa de governança do art. 50, mas não substitui as obrigações legais, como a comunicação de incidentes à ANPD.
Erros comuns na auditoria interna
- Auditar com um checklist genérico sem olhar os riscos e as mudanças do ano.
- Marcar «Conforme» sem anotar a evidência analisada: o auditor de certificação não poderá confiar na auditoria.
- Deixar o gestor do SGSI auditar os próprios documentos.
- Revisar só documentos, sem amostras reais (logs de acesso, mudanças, incidentes).
- Não levar os resultados à análise crítica pela direção (cláusula 9.3).
- Esquecer a nova pergunta sobre mudança do clima da emenda de 2024 (cláusula 4.1).
Modelo: o checklist do kit ISO 27001
O kit ISO 27001 da NexoDocs em português do Brasil traz o checklist ISMS-AUD-03 em Excel sem macros, com as abas «Cláusulas» (29 linhas de 4.1 a 10.2, incluindo a pergunta sobre mudança do clima da Amd 1:2024), «Anexo A» (os 93 controles com sugestão de verificação) e «Resumo» (contagem automática por resultado). Completam a série o procedimento ISMS-AUD-01, o programa ISMS-AUD-02 com exemplo preenchido, o plano ISMS-AUD-05 e o relatório ISMS-AUD-04, todos com os mesmos dados da organização informados na aba «CONFIGURAÇÃO».
Próximo passo
Teste grátis ou vá direto à solução completa.
Kit de documentação SGSI ISO 27001
84 arquivos para documentar seu SGSI segundo a ISO/IEC 27001:2022.
Ver o kit de documentação ISO 27001 (pagamento único)
Amostra grátis
Baixe gratuitamente uma versão reduzida da matriz de riscos do kit (Excel, 10 cenários, mapa de calor; amostra em inglês). Veja como o nível e a categoria são calculados antes de decidir.
Baixar a amostra grátis (em inglês)Perguntas frequentes
Com que frequência fazer a auditoria interna ISO 27001?
A norma pede intervalos planejados sem fixar prazo. Na prática, a maioria das organizações audita o SGSI inteiro pelo menos uma vez por ano, antes da análise crítica pela direção e da auditoria de certificação ou de manutenção.
Alguém da própria empresa pode fazer?
Sim, desde que seja objetivo e imparcial e não audite o próprio trabalho. Organizações pequenas costumam trocar áreas entre si ou contratar um auditor externo só para essa tarefa.
É preciso auditar os 93 controles do Anexo A em toda auditoria?
O programa de auditoria deve cobrir os controles declarados aplicáveis na Declaração de Aplicabilidade. Eles podem ser distribuídos por risco em várias auditorias do ciclo, marcando «Não auditado» os que não forem examinados.
Qual a diferença entre NC maior e NC menor?
A NC maior envolve um requisito ausente ou uma falha que põe em dúvida a eficácia do SGSI; a NC menor é um desvio pontual sem efeito no sistema como um todo.
O checklist basta para a auditoria de certificação?
Não. Ele é a ferramenta de trabalho; a certificadora vai querer ver também o programa de auditoria, o relatório, o tratamento das não conformidades e a análise crítica pela direção.
Guias relacionados
Documentos obrigatórios da ISO 27001:2022: lista por cláusula
As informações documentadas exigidas pela ISO/IEC 27001:2022, cláusula por cláusula (política, riscos, DA, objetivos, auditoria), e os documentos do Anexo A.
Ler o guia →Quanto tempo leva a ISO 27001? Plano de projeto em 8 fases para PMEs
Quanto tempo leva implementar e certificar a ISO/IEC 27001:2022 em uma PME: as 8 fases semana a semana, o que atrasa o projeto e como encurtar com segurança.
Ler o guia →Declaração de Aplicabilidade ISO 27001 (SoA): o que é e como elaborar
O que a Declaração de Aplicabilidade da ISO/IEC 27001:2022 deve conter para os 93 controles, como justificar exclusões e erros comuns. Com modelo em Excel.
Ler o guia →Atualizado: 2026-10-29