Auditoria ao PIMS ISO 27701:2025 e evidência para o RGPD da UE
Sarah, Responsável de Conformidade no prestador de serviços fintech InnovatePay, abriu um e-mail do seu Diretor Executivo que parecia simples, mas que alterou todo o programa de privacidade.
“Excelente trabalho nas novas políticas PIMS para a nossa iniciativa ISO 27701. Agora, como sabemos que isto está efetivamente a funcionar? E como o demonstramos a auditores, clientes bancários e reguladores?”
Esse é o momento em que um Sistema de Gestão de Informação de Privacidade tem sucesso ou falha.
A InnovatePay já tinha um Sistema de Gestão de Segurança da Informação certificado segundo a ISO/IEC 27001:2022. A sua equipa de privacidade tinha criado modelos de AIPD, registos de subcontratantes, regras de retenção, procedimentos de violação de dados pessoais e fluxos de trabalho para pedidos de exercício de direitos dos titulares dos dados. O conjunto de políticas parecia maduro. O problema era a evidência.
O Article 5(2) do RGPD da UE torna explícita a responsabilização. Os responsáveis pelo tratamento são responsáveis pelos princípios de privacidade e devem conseguir demonstrar o cumprimento. Os clientes bancários empresariais faziam perguntas mais aprofundadas sobre risco de terceiros por causa do DORA. A Diretiva NIS2 da UE aumentou a preocupação executiva com as obrigações do órgão de administração. A liderança interna queria confiança de que a privacidade não era apenas um dossiê de boas intenções.
Sarah não precisava de outra política. Precisava de um mecanismo de garantia.
Esse é o verdadeiro valor da governação da auditoria ao PIMS ISO 27701:2025 e da revisão pela gestão. Transforma as operações de privacidade em evidência. As auditorias internas verificam se os controlos funcionam. A revisão pela gestão transforma constatações, risco de privacidade, questões de fornecedores, resultados de monitorização e alterações regulamentares em decisões. A ação corretiva corrige causas raiz. Os registos de evidência tornam a narrativa rastreável.
Para SaaS, fintech, tecnologia de Recursos Humanos, serviços geridos, plataformas de saúde e PME com elevada intensidade de dados, esta é a diferença entre dizer “temos controlos de privacidade” e demonstrar “o nosso sistema de gestão da privacidade está em funcionamento, é revisto e está a melhorar”.
A lacuna de garantia do PIMS na responsabilização ao abrigo do RGPD da UE
A maioria dos programas de privacidade consegue responder a perguntas operacionais básicas:
- Temos um processo de AIPD?
- Mantemos um registo de subcontratantes?
- Respondemos a pedidos de exercício de direitos dos titulares dos dados?
- Temos um procedimento de violação de dados pessoais?
- Mantemos avisos de privacidade e regras de retenção?
Menos programas conseguem responder às perguntas que auditores e clientes empresariais realmente colocam:
- Quando foi a última auditoria ao PIMS?
- Quem a auditou e essa pessoa tinha independência suficiente?
- Que requisitos, políticas e obrigações do RGPD da UE foram testados?
- Que evidência foi sujeita a amostragem?
- Que constatações foram levantadas?
- O que decidiu a gestão?
- As ações corretivas foram verificadas quanto à eficácia?
- Conseguimos rastrear a evidência desde o requisito até ao controlo e à revisão?
Essa é a lacuna de garantia do PIMS.
A ISO/IEC 27001:2022 fornece a base do sistema de gestão através da avaliação de riscos, objetivos, auditoria interna nos termos da Cláusula 9.2, revisão pela gestão nos termos da Cláusula 9.3 e ação corretiva nos termos da Cláusula 10.2. A ISO 27701:2025 estende essa lógica de garantia à governação da privacidade e do tratamento de dados pessoais. O RGPD da UE fornece então a razão jurídica pela qual a evidência importa, em especial através do Article 5(2), Article 24 e, quando está envolvida a segurança do tratamento, Article 32.
Um PIMS deve demonstrar que a organização:
- Sabe se atua como responsável pelo tratamento, subcontratante, corresponsável pelo tratamento ou subcontratante subsequente
- Acompanha requisitos de privacidade legais, regulamentares, contratuais e de clientes
- Testa os controlos de privacidade através de auditorias planeadas e monitorização
- Regista lacunas de evidência e não conformidades
- Escalona questões materiais à liderança
- Revê objetivos de privacidade, riscos e garantia de fornecedores
- Verifica ações corretivas após o encerramento
- Retém evidência num formato em que os auditores possam confiar
O modelo da Clarysec é construído em torno deste ciclo fechado.
REG12 como eixo da governação da auditoria ao PIMS ISO 27701:2025
O centro prático do modelo de garantia PIMS da Clarysec é o REG12, o registo de evidência para monitorização, auditoria, ação corretiva e revisão pela gestão do PIMS.
A primeira obrigação de política relacionada é deliberadamente direta. Na Política de Monitorização, Auditoria e Melhoria do PIMS, a cláusula 4.2.1 declara:
“[Todos] O Revisor de Auditoria Interna / Conformidade DEVE preparar anualmente um programa de auditoria interna PIMS baseado no risco em REG12 antes do primeiro ciclo de auditoria PIMS planeado.”
Isto evita a falha comum em que o programa de auditoria é criado duas semanas antes da certificação ou apenas depois de um cliente pedir evidência. Um programa de auditoria ao PIMS deve ser baseado no risco, aprovado, documentado e disponível antes do início do primeiro ciclo de auditoria.
A mesma política transforma a independência do auditor em evidência. A cláusula 4.2.3 declara:
“[Todos] O Revisor de Auditoria Interna / Conformidade DEVE registar em REG12 as verificações de independência do auditor e de conflito de interesses antes de cada trabalho de auditoria.”
Isto é especialmente importante para PME, onde uma pessoa pode conceber processos de privacidade, operá-los e sentir-se tentada a auditá-los. Independência nem sempre significa um grande departamento de auditoria interna. Significa objetividade, consciência de conflitos e uma fundamentação documentada para justificar por que razão o revisor designado pode realizar a auditoria de forma imparcial.
Um ciclo de garantia robusto orientado pelo REG12 segue dez passos:
- Planear um programa de auditoria interna ao PIMS baseado no risco
- Definir âmbito, critérios, objetivos e requisitos de evidência
- Confirmar a independência do auditor e os conflitos de interesses
- Executar amostragem, entrevistas e revisão de evidência
- Registar constatações, lacunas de evidência e não conformidades
- Atribuir ações corretivas com responsáveis e datas-limite
- Verificar a eficácia das ações corretivas
- Integrar os resultados na revisão pela gestão
- Atualizar objetivos, riscos, recursos e controlos
- Reter evidência rastreável para ISO, RGPD da UE e garantia para clientes
É assim que a governação da privacidade se torna operacionalmente credível.
Construir um programa de auditoria interna ao PIMS baseado no risco
O Zenith Blueprint: roteiro de 30 passos para auditores coloca a auditoria interna na fase de Auditoria, Revisão e Melhoria, Passo 25: Programa de Auditoria Interna. Reforça que as auditorias internas devem ser planeadas em intervalos definidos, abranger processos importantes e resultados de auditorias anteriores, assegurar objetividade e imparcialidade, e reportar os resultados à gestão.
O seu conselho prático é simples:
“Ao planear auditorias, considere concentrar mais esforço nas áreas críticas ou que tenham tido problemas no passado.”
Para a InnovatePay, isto significou priorizar dados de autenticação biométrica, transferências transfronteiriças para um subcontratante subsequente sediado nos EUA, cumprimento dos direitos dos titulares dos dados e garantia de fornecedores para clientes bancários. Para outro prestador SaaS, poderia significar integração de subcontratantes, escalonamentos de privacidade em tickets de suporte, fluxos de trabalho de eliminação e avaliação de violação de dados pessoais.
Um programa de auditoria ao PIMS utilizável deve incluir os seguintes componentes.
| Componente da auditoria | O que definir | Exemplo para ISO 27701:2025 e RGPD da UE |
|---|---|---|
| Âmbito | Processos, locais, produtos, sistemas e papéis PIMS | Tratamento de marketing como responsável pelo tratamento, plataforma de clientes como subcontratante, integração de subcontratantes subsequentes |
| Critérios | Políticas, requisitos da ISO 27701:2025, obrigações do RGPD da UE, contratos e procedimentos | Políticas PIMS, acordos de tratamento de dados, procedimento de AIPD, política de retenção |
| Frequência | Auditoria completa anual e verificações por amostragem baseadas no risco | Auditoria PIMS completa anualmente, verificações trimestrais para pedidos de exercício de direitos e alterações de subcontratantes |
| Independência | Designação do auditor e verificação de conflitos | Revisão por pares de governação da segurança sobre evidência de privacidade, consultor externo audita processo de AIPD de alto risco |
| Evidência | Registos, tickets, registos de eventos, aprovações, atas de reunião e relatórios | REG12, registo de AIPD, registo de subcontratantes, registo de violações de dados pessoais, atas da revisão pela gestão |
| Reporte | Constatações, severidade, responsáveis e prazos | Não conformidade menor por rastreabilidade incompleta da evidência, CAPA atribuída ao responsável de privacidade |
| Seguimento | Verificação da eficácia | Amostrar três registos corrigidos no prazo de 30 dias após o encerramento |
As políticas de auditoria mais amplas da Clarysec suportam a mesma estrutura. A Política de Auditoria e Monitorização da Conformidade - PME, cláusula 5.1.1 declara:
“O Diretor-Geral (GM) deve aprovar um plano anual de auditoria.”
A cláusula 5.2.3 acrescenta:
“Cada auditoria deve incluir um âmbito definido, objetivos, pessoal responsável e evidência necessária.”
Para organizações de maior dimensão, a Política de Auditoria e Monitorização da Conformidade, cláusula 5.2 declara:
“Deve ser desenvolvido e aprovado anualmente um Plano de Auditoria baseado no risco, tendo em conta:”
A cláusula 5.4 declara:
“A organização deve manter um Registo de Auditoria que contenha:”
O objetivo não é a burocracia. O objetivo é a rastreabilidade. Um programa de auditoria planeado, um plano de auditoria aprovado e um registo de auditoria mantido criam a primeira camada de evidência de que o PIMS é governado, e não improvisado.
Executar a auditoria: amostragem, entrevistas e qualidade da evidência
O Zenith Blueprint, Passo 26: Execução da Auditoria, recomenda entrevistas, revisão documental, observação, amostragem e registo factual da evidência. Declara:
“À medida que recolhe evidência, registe as suas constatações. Assinale onde as práticas estão conformes com o requisito (constatações positivas) e onde não estão (potenciais não conformidades ou observações).”
Uma auditoria ao PIMS não deve limitar-se a perguntar se existe um processo. Deve testar se o processo funciona.
A equipa de Sarah selecionou a plataforma CRM da InnovatePay. O mapa de dados do PIMS indicava que contas de clientes inativas deveriam ser anonimizadas após dois anos. O auditor solicitou o relatório de anonimização do último trimestre, amostrou cinco registos e verificou que os dados pessoais já não eram recuperáveis. Essa amostra criou evidência objetiva.
A mesma abordagem pode ser aplicada em vários domínios de privacidade:
- Selecionar uma AIPD e verificar aprovação, tratamento de riscos, aceitação do risco residual e acompanhamento de ações
- Selecionar um subcontratante e verificar cláusulas contratuais, diligência prévia e monitorização contínua
- Selecionar um pedido de exercício de direitos e verificar controlos de identidade, acompanhamento de prazos e aprovação da resposta
- Selecionar uma avaliação de violação de dados pessoais e verificar se foi aplicada a definição de violação de dados pessoais do RGPD da UE
- Selecionar uma regra de retenção e verificar evidência de eliminação ou anonimização
- Selecionar um objetivo de privacidade e verificar evidência de medição
As políticas de privacidade da Clarysec suportam esta disciplina de auditoria. A Política de Proteção de Dados e Privacidade - PME, cláusula 5.3.3 declara:
“Devem ser realizadas e registadas auditorias de privacidade ou verificações de controlo regulares”
A Política de Proteção de Dados e Privacidade empresarial, cláusula 5.4 declara:
“Deve ser realizada anualmente uma auditoria interna de conformidade em privacidade, ou quando ocorram alterações organizacionais ou regulamentares relevantes. O âmbito da auditoria deve incluir:”
Esse desencadeador de alteração é importante. Um programa de auditoria ao PIMS deve responder a novas funcionalidades de IA, novos países, novos subcontratantes subsequentes, novas categorias de dados pessoais, incidentes materiais, aquisições, alterações regulamentares e compromissos relevantes com clientes.
Durante a auditoria da InnovatePay, a equipa identificou uma não conformidade menor. As ações corretivas relativas a incidentes de privacidade estavam a ser registadas, mas a verificação da eficácia não era documentada de forma consistente. Algumas ações estavam assinaladas como concluídas, mas não havia evidência independente de que a causa raiz tivesse sido eliminada.
Isto não foi uma falha de privacidade. Foi o sistema de garantia a cumprir a sua função.
A Política de Gestão de Informação Documentada e Evidência do PIMS, cláusula 4.3.4 exige precisamente que este tipo de lacuna seja capturado:
“[Todos] O Revisor de Auditoria Interna / Conformidade DEVE registar em REG12 lacunas de completude, exatidão ou rastreabilidade da evidência durante cada auditoria ou revisão de conformidade programada.”
A qualidade da evidência faz parte da responsabilização. Se um controlo opera mas não pode ser rastreado, amostrado ou ligado a um requisito, pode ser tratado como não demonstrado por auditores, clientes ou reguladores.
Um exemplo prático de auditoria REG12 para pedidos de exercício de direitos e subcontratantes
Considere um prestador SaaS B2B que atua como subcontratante para dados de contas de clientes e como responsável pelo tratamento para dados de trabalhadores e marketing. Está a preparar a avaliação de prontidão para a ISO 27701:2025 e recebe um questionário de cliente a solicitar evidência da responsabilização ao abrigo do RGPD da UE.
A equipa de privacidade cria uma entrada de auditoria REG12:
- Nome da auditoria: auditoria interna PIMS do 2.º trimestre, pedidos de exercício de direitos e governação de subcontratantes
- Cobertura de papéis PIMS: obrigações de responsável pelo tratamento e de subcontratante
- Âmbito: fluxo de trabalho de pedidos de exercício de direitos dos titulares dos dados, escalonamento de suporte ao cliente, registo de subcontratantes, aprovação de subcontratantes subsequentes e evidência de monitorização de privacidade
- Critérios: Política PIMS de Proteção de Dados e Privacidade, Política de Monitorização, Auditoria e Melhoria do PIMS, obrigações relativas aos direitos no RGPD da UE, obrigações de responsabilização do subcontratante e requisitos do Acordo de Tratamento de Dados do cliente
- Auditor: revisor de conformidade das operações de segurança, com verificação de conflitos registada
- Amostragem: cinco pedidos de exercício de direitos, três tickets de clientes envolvendo suporte de privacidade, cinco subcontratantes subsequentes, duas revisões de risco de fornecedor e duas aprovações de alteração ao Acordo de Tratamento de Dados
- Evidência necessária: tickets, carimbos temporais, aprovações de resposta, verificações de identidade, diligência prévia de fornecedores, avisos aos clientes e entradas REG
- Constatações: um pedido de exercício de direitos tinha evidência completa no ticket, mas não tinha aprovação de encerramento associada. Uma revisão de subcontratante subsequente tinha evidência de garantia expirada.
- CAPA: atualizar a lista de verificação de encerramento de pedidos de exercício de direitos, atribuir responsável pelas operações de privacidade, renovar a evidência de garantia de fornecedores e verificar no prazo de 30 dias
- Entrada para revisão pela gestão: incluir a questão de qualidade da evidência dos direitos e a tendência de garantia de fornecedores
Essa entrada única cria uma narrativa de auditoria defensável. Demonstra planeamento, âmbito, critérios, independência, amostragem, constatações, ações corretivas e escalonamento para revisão pela gestão.
Revisão pela gestão: onde a privacidade se torna governação executiva
A auditoria interna informa a organização sobre o que está a funcionar e o que não está. A revisão pela gestão decide o que fazer em relação a isso.
Muitas organizações enfraquecem a governação da privacidade neste ponto. Tratam a revisão pela gestão como uma apresentação, e não como um fórum de decisão. As atas são redigidas, mas não há um registo claro de decisões de risco de privacidade, aprovações de recursos, estado das ações corretivas, questões de fornecedores, objetivos ou alterações relativas às partes interessadas.
A Política de Monitorização, Auditoria e Melhoria do PIMS, cláusula 4.3.5 torna explícitas as entradas necessárias:
“[Ambos] A Alta direção DEVE rever em REG12 as entradas relativas a não conformidades PIMS, ações corretivas, resultados de monitorização, resultados de auditoria, risco de privacidade, garantia de fornecedores e alterações de partes interessadas durante cada revisão pela gestão.”
O Zenith Blueprint, Passo 28: Revisão pela Gestão, recomenda entradas como ações anteriores, alterações internas e externas, desempenho e eficácia, resultados de auditoria, resultados de monitorização, objetivos, incidentes, não conformidades, oportunidades de melhoria e necessidades de recursos.
A sua mensagem principal é direta:
“Isto é crucial: a revisão pela gestão não é apenas uma apresentação; trata-se de tomar decisões.”
Na InnovatePay, Sarah estruturou a revisão pela gestão em torno de decisões executivas, e não de teatro de conformidade:
- Estado das ações anteriores, embora esta fosse a primeira revisão
- Alterações de contexto, incluindo expectativas DORA de clientes bancários
- Objetivos de privacidade, incluindo tempo médio de resposta a pedidos de exercício de direitos dos titulares dos dados
- Resultados de monitorização, incluindo estado de violações de dados pessoais e incidentes
- Resultados da auditoria interna e a constatação menor de verificação CAPA
- Garantia de fornecedores, incluindo revisão de subcontratante subsequente transfronteiriço
- Necessidades de recursos, incluindo alterações no fluxo de trabalho de gestão de tickets
- Melhoria contínua, incluindo automatização da gestão de fornecedores
O Diretor Executivo aprovou uma alteração menor à configuração do sistema de tickets para acrescentar um passo obrigatório de verificação das ações corretivas de incidentes de privacidade. Essa decisão foi registada na ata e associada ao registo CAPA em REG12.
Para organizações que integram governação de SGSI e PIMS, a Política de Segurança da Informação, cláusula 5.3 também suporta a periodicidade da revisão pela gestão:
“As atividades de revisão pela gestão (nos termos da ISO/IEC 27001 Cláusula 9.3) devem ser realizadas pelo menos anualmente e devem incluir:”
Uma revisão combinada de SGSI e PIMS pode ser eficiente, mas apenas se a privacidade não desaparecer no reporte genérico de segurança. A agenda deve preservar entradas específicas do PIMS, como papéis no tratamento, direitos dos titulares dos dados, AIPD, garantia de subcontratantes, retenção, avaliação de violação de dados pessoais, objetivos de privacidade e obrigações do RGPD da UE.
CAPA: encerrar constatações corrigindo causas raiz
Ação corretiva e preventiva é onde a garantia se transforma em melhoria. Uma constatação não deve morrer como “documento atualizado”. A organização deve identificar a causa raiz, implementar uma correção significativa, atribuir responsabilidade, definir prazos, verificar a eficácia e reter evidência.
O Zenith Blueprint, Passo 29: Melhoria Contínua, declara:
“Uma ação corretiva é um passo (ou passos) que irá tomar para eliminar a causa raiz da não conformidade, de modo que esta não se repita.”
A diferença entre uma correção fraca e uma ação corretiva forte é visível na evidência.
| Constatação | Correção fraca | Ação corretiva forte |
|---|---|---|
| Aprovação de encerramento de pedido de exercício de direitos em falta | Adicionar aprovação a um ticket | Atualizar a lista de verificação de encerramento, formar responsáveis de suporte, acrescentar campo obrigatório no fluxo de trabalho e amostrar tickets futuros |
| Garantia de subcontratante subsequente expirada | Carregar novo relatório SOC | Acrescentar acompanhamento da expiração de evidência de fornecedores, atribuir responsável e rever todos os subcontratantes subsequentes críticos |
| Tratamento do risco da AIPD não ligado ao trabalho de engenharia | Acrescentar uma nota à AIPD | Criar ligação obrigatória entre ações da AIPD e backlog do produto e, depois, verificar evidência de encerramento |
| Revisão pela gestão omitiu objetivos de privacidade | Acrescentar slide no próximo ano | Atualizar o modelo de agenda da revisão pela gestão e a lista de verificação de entradas obrigatórias REG12 |
| Evidência não rastreável | Renomear ficheiros | Implementar regras de nomenclatura da evidência, ligações no registo e requisitos de amostragem de auditoria |
A Política de Auditoria e Monitorização da Conformidade - PME reforça a responsabilidade da gestão sobre a ação corretiva. A cláusula 5.4.2 declara:
“O GM deve aprovar um plano de ação corretiva e acompanhar a sua implementação.”
A cláusula 5.4.3 acrescenta:
“As constatações de auditoria e as atualizações de estado devem ser incluídas no processo de revisão pela gestão do SGSI.”
Para verificação específica do PIMS, a Política de Monitorização, Auditoria e Melhoria do PIMS, cláusula 4.4.7 exige:
“[Todos] O Revisor de Auditoria Interna / Conformidade DEVE verificar em REG12 a eficácia das ações corretivas no prazo de 30 dias após o reporte do encerramento da ação corretiva.”
Sarah aplicou isto exatamente. A sua equipa começou por realizar uma correção, verificando retrospetivamente as últimas três ações corretivas de incidentes de privacidade. Depois, a TI implementou a ação corretiva da causa raiz, tornando a verificação um passo obrigatório do fluxo de trabalho. Trinta dias depois, o auditor amostrou três novos tickets relacionados com privacidade e confirmou que cada um tinha a verificação concluída. Só então a CAPA foi encerrada.
Esta é a narrativa em que os auditores confiam: constatação, causa raiz, decisão, correção, verificação.
Mapeamento de conformidade cruzada para a garantia PIMS ISO 27701
O Zenith Controls: guia de conformidade cruzada da Clarysec ajuda as equipas a compreender como os conceitos de controlo da ISO/IEC 27002:2022 se mapeiam entre RGPD da UE, NIS2, DORA, NIST CSF 2.0 e prática de auditoria. É um guia de conformidade cruzada, não um referencial de controlo separado.
Três controlos ISO/IEC 27002:2022 são especialmente relevantes para a governação da auditoria ao PIMS:
- 5.4 Responsabilidades da gestão
- 5.35 Revisão independente da segurança da informação
- 5.36 Conformidade com políticas, regras e normas de segurança da informação
A entrada do Zenith Controls para o controlo 5.4 da ISO/IEC 27002:2022, Responsabilidades da gestão, liga a responsabilização da gestão a papéis, recursos, promoção da política, revisão independente e aplicação. Aplicado à ISO 27701:2025, a alta direção pode atribuir deveres de privacidade, mas deve ainda rever o desempenho do PIMS, decisões de risco e necessidades de recursos.
A entrada do Zenith Controls para 5.35, Revisão independente da segurança da informação, suporta o mecanismo de auditoria. Para privacidade, a revisão independente pode testar se as lições de violações de dados pessoais foram incorporadas, se a eliminação funciona, se os registos estão protegidos e se os registos de eventos suportam a investigação.
A entrada do Zenith Controls para 5.36, Conformidade com políticas, regras e normas de segurança da informação, suporta a monitorização contínua. As políticas de privacidade definem expectativas. A monitorização da conformidade verifica-as. A revisão independente valida os resultados. A revisão pela gestão atua sobre eles.
Um único ciclo de garantia PIMS pode então suportar vários referenciais.
| Referencial | O que espera | Como a auditoria PIMS e a revisão pela gestão ajudam |
|---|---|---|
| RGPD da UE | Responsabilização demonstrável, tratamento lícito, segurança, retenção, governação de violações de dados pessoais e clareza de papéis | O REG12 regista auditorias de privacidade, lacunas de evidência, ações corretivas, riscos de privacidade e decisões da gestão |
| NIS2 | Supervisão pela gestão, medidas de risco aprovadas, gestão de incidentes, continuidade, segurança de fornecedores e avaliação da eficácia | As constatações de auditoria e atas da revisão pela gestão demonstram supervisão da liderança, garantia de fornecedores e eficácia dos controlos |
| DORA | Disposições de governação e controlo, gestão do risco das TIC, auditoria interna, testes de resiliência, aprendizagem com incidentes e supervisão do risco de terceiros | A revisão integrada de SGSI e PIMS suporta evidência de resiliência operacional para entidades financeiras e prestadores TIC |
| NIST CSF 2.0 | Resultados GOVERN para obrigações, papéis, políticas, estratégia de risco, supervisão e risco de terceiros | As saídas da auditoria PIMS alimentam a análise do estado atual, resultados-alvo, registos de riscos e planos de ação |
| Perspetiva de auditoria COBIT e ISACA | Objetivos de governação, capacidade de processo, desenho de controlos, medição de desempenho e evidência de garantia | Os registos de revisão PIMS demonstram direitos de decisão, objetivos, métricas, remediação de questões e rastreabilidade da evidência |
O Article 20 da NIS2 coloca a aprovação e supervisão da gestão de riscos de cibersegurança ao nível do órgão de administração. O Article 21 exige medidas técnicas, operacionais e organizacionais baseadas no risco, incluindo gestão de incidentes, continuidade de negócio, segurança da cadeia de fornecimento, avaliação da eficácia, formação, criptografia, segurança de Recursos Humanos, controlo de acesso, gestão de ativos e autenticação, quando aplicável.
O DORA aplica-se desde 17 de janeiro de 2025 e é especialmente importante para entidades financeiras e prestadores TIC no ecossistema financeiro. O Article 5 torna o órgão de administração responsável por definir, aprovar e supervisionar a gestão do risco das TIC. O Article 6 exige que o quadro de gestão do risco das TIC seja revisto, melhorado através de lições aprendidas e sujeito a auditoria interna.
O NIST CSF 2.0 é útil para comunicar maturidade. A função GOVERN inclui contexto organizacional, requisitos legais e regulamentares, estratégia de gestão de riscos, papéis, políticas, supervisão e gestão do risco de cibersegurança da cadeia de fornecimento. As constatações da auditoria PIMS e as decisões da revisão pela gestão são entradas robustas para perfis atuais e alvo.
Como diferentes auditores testarão a mesma evidência PIMS
A mesma evidência PIMS será examinada de forma diferente consoante a perspetiva do auditor.
| Perfil do auditor | Foco principal | Perguntas-chave e pedidos de evidência |
|---|---|---|
| Auditor ISO 27001 e ISO 27701 | Conformidade do sistema de gestão | Mostrar o programa de auditoria interna PIMS, relatórios de auditoria, evidência de imparcialidade, registos de não conformidades, atas da revisão pela gestão e verificação de ações corretivas |
| Avaliador RGPD da UE ou de proteção de dados | Responsabilização demonstrável nos termos dos Articles 5(2) e 24 do RGPD da UE | Mostrar como os controlos de privacidade são testados, como a evidência é retida e como a gestão atua sobre as constatações |
| Avaliador DORA ou de cliente financeiro | Responsabilidade do órgão de administração, risco das TIC e resiliência | Mostrar relatórios de auditoria, saídas da revisão pela gestão, garantia de fornecedores, aprendizagem com incidentes e decisões que afetam a resiliência dos dados de clientes |
| Implementador NIST CSF 2.0 | Governação, supervisão e melhoria do desempenho | Mostrar como obrigações, papéis, políticas, estratégia de risco, supervisão e ações de melhoria são monitorizados e ajustados |
| Auditor COBIT ou ISACA | Objetivos de governação, capacidade de processo e evidência de garantia | Mostrar objetivos, responsáveis pela prestação de contas, métricas, evidência de controlo, remediação de questões e rastreabilidade de decisões |
O objetivo não é criar cinco sistemas de garantia. O objetivo é criar um ciclo de governação PIMS rico em evidência que possa ser interpretado entre referenciais.
Objetivos e métricas de privacidade que a gestão deve rever
Uma revisão pela gestão torna-se muito mais útil quando os objetivos de privacidade são mensuráveis. A ISO/IEC 27001:2022 exige que os objetivos de segurança da informação sejam mensuráveis quando praticável, monitorizados, comunicados e atualizados. A mesma disciplina deve ser aplicada aos objetivos PIMS.
Objetivos de privacidade úteis incluem:
- 100 por cento dos pedidos de exercício de direitos dos titulares dos dados concluídos dentro do SLA interno
- 95 por cento dos subcontratantes de alto risco revistos antes da assinatura do contrato
- 100 por cento das ações de alto risco da AIPD com responsável e data-limite atribuídos
- Zero registos de garantia expirados para subcontratantes subsequentes críticos
- 100 por cento das violações de dados pessoais avaliadas dentro do objetivo interno de escalonamento
- 90 por cento de conclusão da formação em privacidade baseada em funções para suporte, Recursos Humanos, engenharia e vendas
- 100 por cento das exceções de retenção revistas trimestralmente
- Redução de 50 por cento nas lacunas de rastreabilidade da evidência ao longo de dois trimestres
O objetivo não são métricas de vaidade. O objetivo é a qualidade da decisão. Se o desempenho dos pedidos de exercício de direitos é forte, mas a evidência de fornecedores é fraca, a gestão pode direcionar recursos. Se as ações da AIPD permanecem abertas, a liderança de produto pode ser envolvida. Se as avaliações de violação de dados pessoais são tempestivas, mas as causas raiz se repetem, a liderança pode exigir uma ação corretiva mais profunda.
Padrões de falha comuns antes de auditorias ao PIMS ISO 27701
A Clarysec observa frequentemente os mesmos problemas antes de revisões externas de garantia de privacidade:
- O plano de auditoria interna existe, mas não é baseado no risco
- O auditor audita o seu próprio trabalho e não é registada qualquer fundamentação de independência
- As constatações de auditoria não têm referências de evidência
- A evidência existe, mas não é rastreável a um requisito
- A CAPA corrige documentos, mas não causas raiz
- As atas da revisão pela gestão listam tópicos, mas não decisões
- Os objetivos de privacidade são vagos ou não são medidos
- A garantia de fornecedores é revista apenas na integração
- As ações da AIPD não são acompanhadas após aprovação
- As constatações de auditoria não são integradas na revisão pela gestão
- As ações corretivas são encerradas sem testes de eficácia
Estas falhas não são invulgares. Acontecem quando a governação da privacidade cresce através de folhas de cálculo, e-mails e documentos de política isolados. O REG12 e o conjunto de políticas PIMS da Clarysec foram concebidos para transformar atividade fragmentada num sistema de garantia coerente.
Uma agenda de 60 minutos para revisão pela gestão do PIMS
Se a sua organização está a preparar-se para a ISO 27701:2025, responsabilização ao abrigo do RGPD da UE, diligência prévia de clientes DORA ou supervisão executiva NIS2, comece com uma agenda focada de revisão pela gestão:
- Confirmar o âmbito do PIMS, papéis e alterações relevantes
- Rever objetivos e métricas de privacidade
- Rever resultados da auditoria interna e lacunas de qualidade da evidência
- Rever não conformidades e estado da CAPA
- Rever o registo de riscos de privacidade e tendências de AIPD
- Rever a garantia de fornecedores e subcontratantes subsequentes
- Rever incidentes, avaliações de violação de dados pessoais e lições aprendidas
- Rever alterações regulamentares, contratuais e de partes interessadas
- Aprovar necessidades de recursos, decisões de risco e ações de melhoria
- Registar decisões, responsáveis e prazos em REG12
Não espere pela certificação para realizar esta reunião. Uma revisão pela gestão completa, mas leve, agora é mais valiosa do que uma revisão perfeita depois de fechada a janela de auditoria.
Torne o seu PIMS ISO 27701:2025 demonstrável
A governação PIMS ISO 27701:2025 ao abrigo do RGPD da UE é, em última análise, sobre demonstração. Não demonstração teórica, mas demonstração operacional: auditorias planeadas, revisão independente, evidência fiável, decisões da gestão, ações corretivas e melhoria mensurável.
A Clarysec ajuda as organizações a construir essa evidência sem burocracia desnecessária. Comece por:
- Política de Monitorização, Auditoria e Melhoria do PIMS para governação de auditoria REG12, revisão pela gestão e CAPA
- Política de Gestão de Informação Documentada e Evidência do PIMS para qualidade e rastreabilidade da evidência
- Zenith Blueprint: roteiro de 30 passos para auditores para execução de auditoria interna, revisão pela gestão e melhoria contínua
- Zenith Controls: guia de conformidade cruzada para mapear conceitos de governação da ISO/IEC 27002:2022 entre RGPD da UE, DORA, NIS2, NIST CSF 2.0 e prática de auditoria
Se o seu programa de privacidade já tem AIPD, controlos de subcontratantes, fluxos de trabalho de pedidos de exercício de direitos e procedimentos de violação de dados pessoais, o próximo passo é demonstrar que funcionam como um sistema. Construa o programa de auditoria, execute a revisão REG12, trate as constatações com seriedade e coloque o desempenho da privacidade perante a gestão.
Descarregue o pacote de políticas PIMS da Clarysec, use o Zenith Blueprint para executar o seu primeiro ciclo de auditoria e use o Zenith Controls para transformar um trilho de evidência em garantia multirreferencial. É assim que um PIMS se torna preparado para auditoria, responsável perante o RGPD da UE e credível para clientes, reguladores e liderança.
Frequently Asked Questions
About the Author
Igor Petreski
Compliance Systems Architect, Clarysec LLC
Igor Petreski is a cybersecurity leader with over 30 years of experience in information technology and a dedicated decade specializing in global Governance, Risk, and Compliance (GRC).Core Credentials & Qualifications:• MSc in Cyber Security from Royal Holloway, University of London• PECB-Certified ISO/IEC 27001 Lead Auditor & Trainer• Certified Information Systems Auditor (CISA) from ISACA• Certified Information Security Manager (CISM) from ISACA • Certified Ethical Hacker from EC-Council
