ISO/IEC 27001:2022 Internal Auditor - AI

Os propósitos e as partes envolvidas na auditoria de sistemas de gestão, os princípios da ISO 19011 e como interagem sob tensão, a objetividade e a competência do auditor, e o limite entre o que a ISO 19011 orienta, o que a ISO/IEC 27001 requer e o que a ISO/IEC 17021-1 governa.

Derivação dos objetivos do programa a partir dos objetivos do SGSI da organização, dos riscos e do histórico de auditorias; frequência e prioridade baseadas em risco; definição do escopo e dos critérios de uma auditoria individual; seleção de métodos de auditoria presencial, remota ou híbrida; composição da equipe; e verificação de um programa em relação à Seção 9.2 da ISO/IEC 27001.

Determinação do grau de verificação que uma informação comporta e da confiança que uma constatação pode depositar nela; adequação da amostragem; evidências obtidas por métodos de auditoria remota; seleção de métodos de coleta; verificação de um controle do Anexo A em relação à sua afirmação na Declaração de Aplicabilidade; o limite de uma auditoria do SGSI; e o que um processo de evidências assistido por IA estabelece e deixa não verificado.

Auditoria das Seções 4 a 10 como critério de referência, e não como programa de estudos — escopo, liderança, a integralidade da Seção 6, a Declaração de Aplicabilidade, suporte, operação e medição — juntamente com sistemas de IA dentro do escopo do SGSI, eficácia de controles sob não determinismo, e o limite entre a conformidade do SGSI e a do sistema de gestão de IA.

Determinação de se uma evidência constitui uma não conformidade e se as constatações são sistêmicas; classificação em relação a um esquema declarado; redação de uma declaração de não conformidade defensável; divulgação do método assistido por IA no relatório de auditoria; avaliação da adequação da ação corretiva; verificação e encerramento; e o que deve chegar à análise crítica pela direção da Seção 9.3.