O que um auditor pede, controle por controle, numa auditoria ISO 42001

O que um auditor pede, controle por controle, numa auditoria ISO 42001

Numa auditoria ISO 42001, o auditor não avalia se o seu modelo de IA é bom. Ele avalia se existe um sistema de gestão documentado por trás de cada sistema de IA em produção: política assinada, inventário, avaliação de impacto, controle sobre o dado de treinamento e evidência de que a cláusula 9.2 e o Anexo A foram cumpridos na prática, não só escritos num documento.
Quem se prepara pensando em "o que escrever" quase sempre erra o alvo. O auditor não lê a política, ele testa se ela é seguida, com registro, dono e data.

As duas perguntas que a cláusula 9.2 responde

Simplifico a cláusula 9.2 em duas perguntas, porque é literalmente para isso que ela existe. Primeira: o sistema de gestão de IA cumpre o que a própria empresa prometeu e o que a norma exige? Segunda: esse sistema está implementado de verdade e mantido, não só criado uma vez para passar na primeira auditoria?
A auditoria interna precisa responder as duas, com programa cobrindo todo o ciclo, plano por auditoria, relatório com achado e evidência, e prova de que quem auditou não avaliou o próprio trabalho. Esse último ponto trava empresa pequena: se a mesma pessoa que escreveu a política também assina o relatório que a aprova, a independência exigida pela norma não existe, e é o primeiro ponto que um auditor de certificação testa.

O Anexo A: nove grupos, uma pergunta cada

O Anexo A organiza nove grupos de controle, de A.2 a A.10, e cada um tem um tipo de evidência esperada diferente. O auditor não lê o Anexo A inteiro de uma vez: percorre grupo por grupo pedindo o documento que prova aquele ponto específico.
Em nenhum grupo a resposta certa é "o sistema funciona bem". A resposta certa é "existe prova de que alguém decidiu, revisou e documentou isso". É a diferença entre auditoria de qualidade de modelo, que não é o escopo da 42001, e auditoria de gestão, que é o escopo inteiro da norma.
Uma ordem se repete em quase toda auditoria: o auditor raramente começa pelo A.2, política, porque política bem escrita é fácil de produzir sob pressão, na véspera da visita. Ele começa pelo A.5, avaliação de impacto, porque esse é o controle que mais frequentemente existe só de nome. Uma empresa pode ter política de dez páginas e zero avaliação de impacto preenchida; o contrário eu nunca vi.

O mesmo Anexo A pesa diferente por setor

O texto do Anexo A é igual para qualquer setor, mas o peso da pergunta muda com quem é afetado pela decisão do sistema.
Num banco ou numa empresa de crédito digital, o peso pesado cai sobre A.5 e A.9: o critério usado para negar crédito está documentado de um jeito que resiste a uma reclamação formal? Já vi avaliação de impacto de crédito descrever o modelo em termos técnicos perfeitos e não dizer uma palavra sobre o efeito da decisão sobre quem foi negado.
Na saúde, o peso se desloca para A.4 e A.6: existe gente qualificada para validar clinicamente a recomendação, e controle sobre o que acontece quando o sistema erra com paciente real do outro lado? Na indústria, pesa A.7 e A.10: a origem do dado de sensor está documentada o suficiente para explicar por que o sistema recomendou parar uma linha, e o fornecedor do modelo preditivo responde contratualmente por um erro que causa parada não planejada?
Numa empresa de tecnologia que vende software, o peso recai sobre A.8 e A.10: o cliente recebe informação clara sobre onde a IA entra na decisão que o produto apoia? Empresa de tecnologia costuma documentar bem o que o produto faz, e mal o que ele não garante, que é exatamente o que A.8 cobra.

As cinco perguntas que mais pegam quem não se preparou

Na prática, cinco perguntas derrubam quem chega sem organização:

1. Quantos sistemas de IA operam hoje na empresa? Rodar essa pergunta num comitê de risco costuma revelar um número maior do que qualquer um esperava.2. O sistema decide ou só apoia quem decide? A ficha técnica quase sempre diz "apoia". O log de uso, quando existe, frequentemente mostra outra coisa.3. Dá para reconstruir quem aprovou o modelo e qual dado alimentou uma decisão específica? É o que decide se a empresa se defende numa disputa judicial.4. Existe due diligence documentada do fornecedor do modelo? A responsabilidade pelo Anexo A.10 é de quem usa o modelo, não só de quem vendeu.5. A avaliação de impacto foi revisada na última mudança relevante, ou ficou congelada na versão da primeira auditoria? ## A ISO 42006: o auditor também está sendo testado Até 2025, quem conduzia a auditoria era avaliado pela regra geral de competência de auditor de sistema de gestão, a mesma usada para ISO 9001. A ISO/IEC 42006:2025 muda isso: fixa requisito específico de competência para o organismo de certificação, não para a empresa auditada. A exigência central é competência coletiva da equipe, não de uma pessoa só: o time precisa somar conhecimento de tecnologia de IA, governança, Anexo A, prática de auditoria e obrigação legal do setor. A norma também muda o cálculo do tempo de auditoria, baseado no número de sistemas de IA, na complexidade, no risco regulatório e na existência de fornecedor terceirizado. Na prática, o organismo de certificação passa a pedir o inventário de sistemas de IA antes de fechar o orçamento da auditoria, não depois. Sem inventário e sem classificação de risco de cada sistema, ele não tem base para calcular quanto tempo a auditoria vai levar nem quanto vai custar. ## Por onde eu começaria Eu começaria pelo inventário de sistemas de IA, antes de qualquer controle do Anexo A, porque nenhuma das perguntas acima tem resposta sem saber quantos sistemas existem e quem é dono de cada um. Depois priorizaria a avaliação de impacto dos sistemas de maior risco, não a política geral, porque é ali que a maioria das empresas descobre a lacuna mais cara de fechar depois. Só então eu trataria do resto do Anexo A, na ordem em que o auditor realmente vai perguntar, não na ordem em que a norma está numerada no papel. Se a sua empresa fosse auditada na próxima segunda-feira, quantas dessas cinco perguntas você conseguiria responder com documento na mão, não de memória? --- Este texto é uma versão condensada de uma análise mais longa que publiquei em https://iso42001.com.br/artigos/o-que-auditor-pergunta-iso-42001/