Um auditor interno redige uma constatação. As revisões de acessos não são realizadas regularmente.
O auditado lê e faz três perguntas. Onde é que a norma diz «regularmente»? Qual dos nossos próprios documentos define a frequência? Em que se baseou para concluir que falhamos?
O auditor tem bons instintos e não tem respostas. A constatação é retirada.
O problema era real. As revisões de acessos genuinamente não estavam a acontecer. Mas a constatação não foi construída, por isso não sobreviveu ao primeiro contacto.
Qualquer pessoa consegue identificar um problema. Uma constatação é um problema que se consegue defender.
Essa lacuna é todo o curso Lead Auditor.
Não é o curso que pensa que é
O Lead Auditor era para quem queria trabalhar num organismo de certificação. Isso já não é verdade há anos, e não é por isso que as pessoas aparecem na minha sala.
Hoje, surgem três razões.
A cláusula 9.2 não se audita a si própria. Todas as organizações certificadas devem auditorias internas, e a maioria é conduzida por quem ficou com o trabalho. Produzem um documento. Não produzem constatações sobre as quais alguém age.
NIS 2 e DORA transformaram a avaliação de fornecedores numa ocupação a tempo inteiro. Se está a avaliar terceiros, está a auditar. Simplesmente não tem um método, por isso faz isso com um questionário e um palpite.
E há quem venha porque está farto de ser surpreendido. Está do lado do auditado. A forma mais rápida de deixar de acumular constatações é aprender como elas são redigidas.
O que consegue fazer na sexta-feira que não conseguia na segunda-feira
Planear uma auditoria que resiste ao alargamento de âmbito. Objetivos, critérios, âmbito, amostra. Registados antes de entrar, porque no momento em que improvisa, o auditado define a agenda.
Definir a amostra e defendê-la. A norma nunca diz quanto de evidência é suficiente. Esse julgamento é o trabalho, e é o que ninguém ensina. Aprenderá a dimensionar uma amostra e a explicá-la quando alguém a questionar.
Distinguir um documento de um registo. Uma política diz o que deve acontecer. Um registo prova que aconteceu. A maior parte do tempo desperdiçado em auditoria é um auditor a ler políticas e a considerar isso como evidência.
Entrevistar. Perguntas abertas. Silêncio. O que fazer quando a resposta não corresponde ao registo que tem à frente, que é o momento em que a auditoria realmente começa.
Redigir uma constatação em três partes. Requisito, evidência, lacuna. Falta uma e é retirada, exatamente como a do exemplo acima. Irá redigir constatações reais e eu vou desconstruí-las em frente ao grupo.
Classificar e manter a posição. Maior, menor, observação, oportunidade de melhoria. A classificação é o argumento, e é onde quase todas as disputas aterram. Errar em qualquer direção custa-lhe credibilidade.
Usar a Declaração de Aplicabilidade como espinha dorsal. Excluiu um controlo? Justifique-o. Essa coluna é o caminho mais rápido através de qualquer SGSI, a partir de qualquer posição.
Conduzir uma reunião de encerramento quando a sala discorda de si. Incluindo quando a discordância vem de alguém consideravelmente mais sénior do que si.
Os cinco dias
Estrutura PECB, e é uma estrutura sensata. O dia 1 cobre o SGSI e a própria ISO/IEC 27001. O dia 2 é sobre princípios de auditoria, preparação e iniciação. O dia 3 é a condução da auditoria. O dia 4 é o encerramento e a gestão de um programa de auditoria. O dia 5 é o exame.
O método provém da ISO 19011 e da ISO/IEC 17021-1, que é a referência dos organismos de certificação. Aprende, portanto, as regras reais, não uma versão simplificada delas.
O dia 1 é trabalho de base. Os dias 2 a 4 são o curso.
A parte que ninguém lhe diz antes de pagar
Passar no exame não o torna automaticamente Lead Auditor.
A PECB emite três credenciais a partir deste único exame: Provisional Auditor, Auditor e Lead Auditor. Mesmo exame, mesma formação. O que as separa é a experiência profissional documentada e as horas de auditoria registadas.
A maioria das pessoas que faz o seu primeiro exame de auditoria de SGSI sai como Provisional Auditor e sobe à medida que vai registando auditorias reais.
Não é uma armadilha nem uma despromoção. É assim que funciona um esquema sério de certificação de pessoas, e deve ouvi-lo de mim agora, em vez de o descobrir no formulário de candidatura mais tarde. Se quiser saber para que nível se qualifica, envie-me um e-mail antes de reservar e digo-lhe diretamente.
Seis pessoas, e isso é deliberado
Não se aprende a auditar a ver slides.
Ao longo da semana, planeia uma auditoria, conduz entrevistas, recolhe evidências e redige constatações sobre um caso de estudo. Depois, essas constatações são questionadas, em voz alta, por mim e pelo grupo. É essa parte que muda a forma como trabalha, e não funciona com trinta pessoas ligadas.
Por isso, a turma está limitada a seis. Não é uma táctica de escassez. É o número máximo de pessoas cujas constatações consigo desconstruir adequadamente em cinco dias.
Sou também CISO em exercício. Conduzo implementações, sou auditado e audito sistemas de terceiros. Terá a norma, e terá o que realmente acontece quando a evidência não existe e alguém tem de decidir o que isso significa.
Quem não deve reservar este curso
Se nunca contactou com um SGSI, comece pelo Foundation ou pelo Lead Implementer. Este curso assume que sabe o que é uma Declaração de Aplicabilidade e por que razão a cláusula 6.1.3 é relevante.
Se quer um certificado para uma página de perfil, há formas mais baratas de o obter. Isto são cinco dias a ser questionado sobre o seu raciocínio.
Os detalhes
ISO/IEC 27001 Lead Auditor · 28 de setembro a 2 de outubro de 2026
Cinco dias. Certificação PECB. 31 créditos CPD. €2.999 com exame incluído.
Seis lugares. Os descontos começam a partir de três participantes da mesma organização.
Certificado ou Reembolsado. Faça o exame, e se reprovar duas vezes, recebe o seu dinheiro de volta na totalidade. Não uma nota de crédito. Não uma repetição gratuita. O seu dinheiro.
Posso assumir essa garantia por causa da forma como a semana é conduzida. Seis pessoas, constatações reais, e ninguém sai de uma sessão com um equívoco que eu não tenha detetado.
«Mostre-me onde está escrito isso» é a pergunta que acaba com as más auditorias.
Passe cinco dias a aprender a ter a resposta pronta.