O que é um auditor interno ISO 27001?
Um auditor interno ISO 27001 é o profissional que audita o Sistema de Gestão de Segurança da Informação (SGSI) da própria organização em intervalos planejados, como exige a cláusula 9.2 da ISO/IEC 27001:2022, para verificar se ele está em conformidade com a norma e com as regras da própria organização e se funciona na prática.
Este guia explica o que faz um auditor interno, como funciona uma auditoria interna do SGSI, como a função se compara à do auditor líder e à do implementador líder e como se certificar.
- ISO/IEC 27001:2022
- Sem pré-requisitos formais
- Exame em 3 idiomas
O que faz um auditor interno ISO 27001?
Os auditores internos são o sistema de alerta precoce da própria organização. Eles encontram lacunas no SGSI antes que um organismo de certificação externo o faça e fornecem à alta direção informações objetivas para suas decisões. Podem ser colaboradores de outra área ou um consultor externo contratado para conduzir a auditoria interna, desde que sejam objetivos e imparciais.
- Ajudar a planejar o programa de auditoria interna e o escopo de cada auditoria
- Preparar listas de verificação e planos de amostragem com base na norma e nos documentos do SGSI da organização
- Entrevistar pessoas, observar o trabalho e revisar registros como evidência objetiva
- Registrar não conformidades e oportunidades de melhoria
- Relatar os resultados aos gestores pertinentes
- Verificar se as ações corretivas foram tomadas e são eficazes
Onde a auditoria interna se encaixa no SGSI
- Cláusula 9.2Auditoria interna
Verifica, em intervalos planejados, se o SGSI está em conformidade e se é implementado e mantido de forma eficaz.
- Cláusula 9.3Análise crítica pela direção
A alta direção analisa os resultados das auditorias, entre outras entradas, e decide sobre mudanças no SGSI.
- Cláusula 10.2Ação corretiva
Cada não conformidade é corrigida, sua causa é analisada e são tomadas ações para que ela não se repita.
O que exige a cláusula 9.2 da ISO/IEC 27001:2022
A auditoria interna é obrigatória: uma organização não pode estar em conformidade com a ISO/IEC 27001, nem ser certificada, sem ela. Na versão 2022, a cláusula 9.2 tem duas partes, 9.2.1 Generalidades e 9.2.2 Programa de auditoria interna. Juntas, elas pedem que a organização:
- Audite o SGSI em intervalos planejados
- Planeje e mantenha um programa de auditoria, com frequência, métodos, responsabilidades e relato
- Defina os critérios e o escopo de cada auditoria
- Selecione auditores que mantenham a auditoria objetiva e imparcial
- Relate os resultados à direção pertinente
- Mantenha evidência documentada do programa e de seus resultados
A norma não fixa com que frequência auditar. Muitas organizações cobrem todo o escopo do SGSI a cada ano, para que os resultados estejam prontos para a análise crítica pela direção e para a auditoria externa de manutenção.
O que um auditor interno verifica
A ISO/IEC 27001 é a norma internacional para sistemas de gestão de segurança da informação, publicada pela ISO e pela IEC. Ao longo do programa de auditoria, o auditor interno verifica os requisitos das cláusulas 4 a 10 e os controles que a organização escolheu do Anexo A.
- 4Contexto da organização
- 5Liderança
- 6Planejamento
- 7Apoio
- 8Operação
- 9Avaliação de desempenho
- 10Melhoria
Anexo A: 93 controles em quatro temas
- 37
- Controles organizacionais
- 8
- Controles de pessoas
- 14
- Controles físicos
- 34
- Controles tecnológicos
A organização decide quais controles se aplicam e justifica isso na sua Declaração de Aplicabilidade, um documento-chave em toda auditoria. A versão 2022 substituiu a ISO/IEC 27001:2013, cujos 114 controles foram reagrupados e atualizados.
Como funciona uma auditoria interna do SGSI
A ISO 19011 fornece as diretrizes para auditoria de sistemas de gestão. Uma auditoria interna costuma seguir estas cinco etapas.
- 1
Planejar o programa de auditoria
Decidir quais processos, locais e cláusulas auditar e quando, dando mais atenção às áreas de alto risco e aos resultados de auditorias anteriores.
- 2
Preparar a auditoria
Combinar o escopo e os critérios, ler as políticas, os procedimentos e os registros de risco pertinentes e preparar uma lista de verificação e um plano de amostragem.
- 3
Coletar evidências
Fazer uma breve reunião de abertura e, em seguida, entrevistar pessoas, observar atividades e amostrar registros para ver se os controles funcionam como descrito.
- 4
Relatar as constatações
Comparar as evidências com os critérios, registrar não conformidades e oportunidades de melhoria, apresentá-las na reunião de encerramento e enviar o relatório à direção.
- 5
Fazer o acompanhamento
Verificar se as ações corretivas eliminam a causa de cada não conformidade. Os resultados alimentam a análise crítica pela direção.
Auditor interno vs. auditor líder vs. implementador líder
| Característica | Auditor interno | Auditor líder | Implementador líder |
|---|---|---|---|
| Objetivo principal | Verifica se o SGSI da própria organização está em conformidade com suas regras e com a ISO/IEC 27001 | Lidera auditorias, incluindo auditorias de fornecedores e de certificação, e dirige a equipe auditora | Projeta, implementa e mantém o SGSI |
| Pergunta-chave | “Estamos fazendo o que o nosso SGSI diz, e isso funciona?” | “Este SGSI está em conformidade com a ISO/IEC 27001 e funciona na prática?” | “Como construímos um SGSI que atenda à ISO/IEC 27001?” |
| Resultado típico | Relatório de auditoria interna para a análise crítica pela direção | Plano de auditoria, constatações, não conformidades e conclusão da auditoria | Escopo, avaliação de riscos, Declaração de Aplicabilidade, políticas e controles |
| Independência | Não deve auditar o próprio trabalho | Independente da organização auditada | Faz parte da equipe que constrói o SGSI |
| Certificação CertiProf | I27001IA | I27001LA | I27001LI |
Habilidades de que um auditor interno ISO 27001 precisa
- Requisitos da ISO/IEC 27001:2022
- Interpretar as cláusulas 4 a 10
- Conhecer os 93 controles do Anexo A
- Princípios de auditoria
- Aplicar as diretrizes da ISO 19011
- Manter a objetividade e basear-se em evidências
- Evidências e amostragem
- Entrevistar, observar e revisar registros
- Avaliar se os controles são eficazes
- Relato
- Redigir não conformidades claras e objetivas
- Explicar as constatações aos gestores
Como se tornar um auditor interno ISO 27001
- Aprenda a ISO/IEC 27001
Entenda os requisitos do SGSI e os controles do Anexo A. O guia ISO 27001 Foundation da CertiProf é um bom ponto de partida.
- Aprenda como funcionam as auditorias
Estude os princípios e as etapas de auditoria da ISO 19011: planejamento, evidências, amostragem, constatações e acompanhamento.
- Certifique-se como auditor interno
Valide seus conhecimentos com o exame online I27001IA da CertiProf. Não há pré-requisitos formais.
- Pratique em auditorias reais
Participe das auditorias internas da sua organização como membro da equipe e, depois, audite processos por conta própria.
- Continue evoluindo
A certificação é válida por 3 anos e é renovada pelo processo de renovação da CertiProf. Muitos auditores internos depois avançam para auditor líder.
A trilha de certificação ISO 27001 na CertiProf
Quatro certificações cobrem as principais funções do SGSI. Vai fazer três? O pacote ISO 27001 inclui Foundation, Internal Auditor e Lead Auditor por USD 350. Veja todas na página ISO/IEC 27001.
Para quem é e perspectivas de carreira
As habilidades de auditoria interna são úteis em qualquer organização que tenha ou busque a certificação ISO/IEC 27001. Cargos típicos incluem auditor interno, auditor de TI, coordenador de SGSI, analista de compliance e especialista em GRC.
Salário-base mediano de auditores de TI nos Estados Unidos, com base em 234 perfis salariais. Fonte: Payscale, atualizado em 16 de julho de 2026. A remuneração varia conforme o país, a experiência e o empregador.
Quem faz esta certificação
- Membros da equipe do SGSI
- Auditores internos e de TI
- Analistas de compliance e GRC
- Responsáveis pela segurança da informação
- Gestores de riscos
- Auditores de qualidade e de sistemas de gestão
- Gestores de TI e de processos
- Consultores que conduzem auditorias internas
Obtenha sua certificação ISO 27001 Internal Auditor
CertiProf ISO 27001 Internal Auditor (I27001IA)
40 questões de múltipla escolha · 60 minutos · 80% para aprovação (32 de 40) · sem pré-requisitos formais.
- 100% online, em qualquer dia
- Inglês, espanhol ou português
- 2 tentativas de exame
- Voucher na hora por e-mail
- Open Badges 3.0, válido por 3 anos
USD 1302 tentativas · voucher válido por 6 meses
Comprar agora · ir ao pagamentoVer todos os detalhes do examePensa em fazer 3 certificações ISO 27001? Pacote: USD 350Empresas com profissionais certificados pela CertiProf
Perguntas frequentes
O que faz um auditor interno ISO 27001?
Um auditor interno ISO 27001 audita o Sistema de Gestão de Segurança da Informação (SGSI) da própria organização em intervalos planejados. Ele prepara a auditoria, coleta evidências por meio de entrevistas, observação e registros, relata não conformidades e oportunidades de melhoria à direção e verifica se as ações corretivas funcionam.
A auditoria interna é obrigatória pela ISO/IEC 27001?
Sim. A cláusula 9.2 da ISO/IEC 27001:2022 exige auditorias internas em intervalos planejados, um programa de auditoria, critérios e escopo definidos para cada auditoria, auditores objetivos e imparciais, relato à direção e evidência documentada dos resultados. Uma organização não pode ser certificada sem ela.
Com que frequência as auditorias internas ISO 27001 devem ser feitas?
A ISO/IEC 27001 não define uma frequência fixa; ela pede auditorias em intervalos planejados, com base na importância dos processos e nos resultados anteriores. Muitas organizações auditam todo o escopo do SGSI a cada ano, em uma única auditoria ou distribuída em várias, para que os resultados estejam prontos para a análise crítica pela direção e para a auditoria externa de manutenção.
Quem pode ser auditor interno ISO 27001?
Qualquer pessoa competente que consiga manter a auditoria objetiva e imparcial, como um colaborador de outro departamento ou um consultor externo. Os auditores não devem auditar o próprio trabalho. O que mais importa é conhecer a ISO/IEC 27001 e as diretrizes de auditoria da ISO 19011.
Qual é a diferença entre um auditor interno ISO 27001 e um auditor líder?
O auditor interno audita o SGSI da própria organização. O auditor líder lidera auditorias, incluindo auditorias de fornecedores e de certificação, e dirige a equipe auditora. A CertiProf oferece as duas certificações: I27001IA para auditores internos e I27001LA para auditores líderes.
Preciso de experiência para fazer o exame ISO 27001 Internal Auditor?
Não. O exame I27001IA da CertiProf não tem pré-requisitos formais e não exige experiência prévia em auditoria, mas você deve entender os requisitos da ISO/IEC 27001 e os conceitos básicos de auditoria. Se a norma é nova para você, comece pela ISO 27001 Foundation (I27001F).
Como obtenho a certificação ISO 27001 Internal Auditor com a CertiProf?
Compre o voucher do exame I27001IA (USD 130) e faça o exame online em inglês, espanhol ou português. Ele tem 40 questões de múltipla escolha, dura 60 minutos e exige 80% para aprovação. O voucher inclui 2 tentativas e é válido por 6 meses; a certificação é válida por 3 anos.
A ISO/IEC 27001 é uma norma publicada pela ISO e pela IEC, e a ISO 19011 é publicada pela ISO. A CertiProf não é afiliada a nenhuma das duas organizações.