Se é um leitor fanático – ou menos fanático – dos nossos artigos, provavelmente já sabe da importância de garantir a segurança da informação e a conformidade regulamentar. Por conseguinte, a avaliação do desempenho e a gestão dos riscos neste domínio são extremamente importantes para as organizações. Estamos a progredir em direção aos nossos objectivos de conformidade? Vamos ver o que está a acontecer com a Auditoria Interna.
O risco está a ser gerido eficazmente? As políticas e procedimentos estão a ser aplicados corretamente, ou podem ser melhorados? Há uma resposta para todas as perguntas acima: A auditoria interna.
As auditorias internas são uma ferramenta útil para empresas de todos os tipos. Ajudam uma organização a definir as áreas em que pode melhorar, ao mesmo tempo que fornecem as informações necessárias para atingir os seus objectivos. Normalmente, as auditorias internas devem ser efectuadas por alguém que não seja um responsável pela conformidade designado para uma empresa. Por outras palavras, a auditoria interna é realizada de forma independente e objetiva, o que garante que alguém possa analisar toda a documentação e controlos com um novo olhar. Neste caso, este novo olhar chama-se Compleye. Este artigo dir-lhe-á tudo o que precisa de saber sobre a forma como realizamos as auditorias internas.
Verificar, verificar, verificar duas vezes
Deixe-nos explicar-lhe a forma como internamente – está a ver o que fizemos? – realizamos auditorias internas, a fim de que as empresas se preparem para a certificação ISO 27001. Estabelecemos critérios para cada capítulo e controlo, uma vez que cada uma das normas e padrões ISO 27001 tem critérios pré-estabelecidos. Um a um, verificamos cada documento, cada controlo e tudo o que a empresa faz ou não faz.
Desabafo – Auditoria Interna
Como um detetive que descobre pormenores sumarentos e um cão de trufas que encontra delícias na floresta, depois de passarmos por todos estes critérios, identificamos descobertas. Posteriormente, investigamos essas constatações e – dependendo da gravidade e da seriedade – elas podem ser classificadas como não conformidades ou áreas de preocupação. A não conformidade é uma designação de auditoria que indica que o sistema de segurança da informação (ou uma parte dele) não atende aos requisitos estabelecidos pela ISO 27001. Em palavras simples, as não conformidades significam que a sua empresa não está em conformidade. Áreas de preocupação, por outro lado, significam que sua empresa está em conformidade, mas ainda precisa melhorar certas coisas.
Suporte e relatório
Mais tarde, emitimos o nosso relatório com todas as nossas conclusões. Estas são definidas e divididas em não conformidades e áreas de preocupação. Enviamos este relatório à Direção e à equipa do SGSI para revisão e aprovação. Depois de aprovado, registamos todas as nossas constatações na secção de melhorias da nossa plataforma Compleye Online.
A auditoria interna é obrigatória?
Sejamos breves: sim. A auditoria interna é um desempenho obrigatório para obter a certificação ISO 27001. Se você não fizer a auditoria interna uma vez por ano, pode dizer adeus à certificação.
Auditoria em tempo real da Completeye
A auditoria interna compreende muitos passos e controlos – e com muito, queremos dizer muito – e por isso demora algum tempo. Não seria ótimo se houvesse algo que pudesse tornar este processo um pouco mais fácil e rápido? Que coincidência! Estamos a conceber a nossa próxima etapa no Compleye Online: a auditoria em tempo real. Esta automatiza e simplifica certos passos que serão úteis tanto para o cliente como para o auditor interno. No entanto, sempre haverá etapas que continuaremos a fazer manualmente.
Para concluir, o principal objetivo de uma auditoria interna é preparar uma empresa para a auditoria externa obrigatória. Analisamos todas as políticas e documentos, o que permite à empresa melhorar o seu status quo. Pode ser vista como um controlo adicional. A abordagem objetiva permite olhar para tudo de uma perspetiva diferente, pelo que é útil ter alguém a fazer a auditoria interna que não esteja diretamente envolvido na empresa. Encare-a como uma lista de controlo inteligente para avançar com a certificação. A vida, por vezes, não precisa de ser assim tão complicada.
