A ISO publicou em 27 de maio de 2026 a quarta edição da ISO 19011, a norma que orienta como auditorias de sistemas de gestão são planejadas, conduzidas e avaliadas — incluindo auditorias de SGSI como a ISO 27001. A nova edição cancela e substitui o texto de 2018 e afeta três frentes de uma operação defensiva: o programa de auditoria interna, a preparação para auditorias de certificação e a forma como evidência de conformidade é coletada e protegida. A ação prioritária é revisar o desenho do programa interno antes da próxima auditoria de vigilância, cobrindo métodos remotos, localizações virtuais e as competências que passam a ser esperadas do auditor.
O que muda na norma
A revisão não é uma ruptura estrutural: os sete princípios de auditoria — integridade, apresentação justa, devido cuidado profissional, confidencialidade, independência, abordagem baseada em evidência e abordagem baseada em risco — permanecem os mesmos. O que muda é o entorno técnico que a norma reconhece. Segundo o anúncio do comitê técnico da ISO, a edição de 2026 responde ao impacto crescente de tecnologia, digitalização e ambientes virtuais sobre as operações das organizações, com foco ampliado em análise e mitigação de riscos.
A análise técnica da nova edição identifica uma atualização substantiva em vez de cosmética: a metodologia de auditoria remota recebe definição formal na cláusula 3.4, importada da ISO/IEC TS 17012:2024; a auditoria híbrida — atividades presenciais e remotas simultâneas — passa a constar da matriz do anexo A.1; e o tratamento de auditorias combinadas, quando dois ou mais sistemas de gestão de disciplinas diferentes são auditados juntos, ganha reconhecimento explícito na introdução. Para quem audita ISO 27001 junto com ISO 27701 ou ISO 22301 no mesmo cliente, isso deixa de ser arranjo informal e passa a ter base normativa.
Um esclarecimento que evita decisões erradas: a ISO 19011 é diretriz e não conduz à certificação. Ela orienta quem audita; os requisitos para organismos certificadores ficam na ISO/IEC 17021-1. O efeito prático chega pelo mercado — organismos certificadores atualizam procedimentos e passam a esperar que auditores internos e consultores dominem a nova abordagem.
Auditoria remota e híbrida
A base conceitual da mudança está na ISO/IEC TS 17012:2024, publicada em julho de 2024 pelo comitê ISO/CASCO. O documento é direto sobre o papel do método: os métodos remotos não substituem a auditoria presencial; funcionam como ferramenta para conduzir a auditoria com eficácia e eficiência. Essa formulação importa para a decisão operacional — a escolha entre remoto, presencial ou híbrido passa a ser decisão de desenho do programa, tratada na cláusula 5, e não improviso da semana da auditoria.
A avaliação de viabilidade ganhou item explícito sobre eventos ou circunstâncias locais, regionais ou mundiais que afetariam a auditoria agendada — aprendizado direto da pandemia, mas aplicável a eventos climáticos, geopolíticos ou de segurança local. A cláusula 6.2.2 também endurece o lado de confidencialidade: o auditor líder deve confirmar com o auditado o acordo sobre a extensão da divulgação e o tratamento — armazenamento, transferência e liberação — de informação confidencial. Quando evidência trafega por videoconferência, capturas de tela e plataformas de compartilhamento, esse acordo deixou de ser boa prática e virou exigência do método.
Para a equipe defensiva, isso cria uma consequência direta: a infraestrutura usada para receber e conduzir auditorias remotas — plataformas, controles de acesso, retenção de gravações — passa a ser objeto de escrutínio. A lista de riscos do programa na cláusula 5.3 agora inclui a seleção inadequada do método de auditoria e a segurança das plataformas de TIC escolhidas. Plataforma mal selecionada ou insegura é risco documentado do programa, não detalhe logístico.
Escopo e localizações virtuais
A cláusula 3.6 traz nota que muda o alcance do trabalho: o escopo da auditoria geralmente inclui uma descrição das localizações físicas e virtuais. Ambientes de nuvem, plataformas SaaS e workspaces digitais podem — e devem — entrar no escopo. Para operações com cargas distribuídas entre nuvens públicas, isso significa que o mapa de escopo desenhado apenas sobre data centers e escritórios está incompleto. A mesma lógica vale para evidência: logs e artefatos que sustentam controles frequentemente vivem em ambientes virtuais, e a auditoria precisa alcançá-los com integridade preservada — tema alinhado ao que já se espera em dossiês de evidência para fiscalização.
Competências exigidas do auditor
A mudança com efeito mais duradouro está na cláusula 7.2.3.2. O item 7.2.3.2.a.10 acrescenta a necessidade de compreender a adequação e as consequências do uso de ferramentas de tecnologia da informação e comunicação e de tecnologias emergentes para conduzir auditorias — o texto cita explicitamente ferramentas de avaliação baseadas em inteligência artificial. A norma não obriga o uso de IA; exige entendimento crítico sobre quando essas ferramentas são apropriadas e quais são suas limitações. Para quem contrata auditores ou mantém equipe interna, a pergunta de qualificação muda: não é só se o auditor sabe usar a ferramenta, é se ele sabe julgar o resultado.
O item 7.2.3.2.d soma outro conhecimento regulatório ao perfil: proteção de dados e segurança da informação. É o reflexo direto de marcos como a LGPD e o GDPR sobre qualquer auditoria moderna. Em termos práticos, a evidência de auditoria quase sempre contém dado pessoal ou informação sensível de segurança — inventários, acessos, logs — e o auditor precisa saber tratá-la conforme a legislação, complementando o que já se pratica no registro de operações de tratamento exigido pela LGPD.
Checklist de adaptação
A tabela abaixo resume as frentes de adaptação e a ordem sugerida de execução, com prioridades P1 para as ações que condicionam a próxima auditoria e P2 para as que podem seguir no ciclo seguinte.
| Mudança na ISO 19011:2026 | Ação prática | Prioridade |
|---|---|---|
| Método remoto como decisão de programa (cláusula 5) | Documentar critérios de escolha entre remoto, presencial e híbrido por tipo de controle auditado | P1 |
| Acordo de confidencialidade da evidência (6.2.2) | Revisar contrato e procedimento de tratamento de informação confidencial em auditorias remotas | P1 |
| Escopo com localizações virtuais (3.6) | Atualizar mapa de escopo para incluir nuvem, SaaS e ambientes digitais | P1 |
| Competência em IA e proteção de dados (7.2.3.2) | Incluir avaliação de qualificação e plano de treinamento dos auditores internos | P2 |
| Viabilidade com eventos externos (6.2.3) | Escrever plano de contingência tecnológica para a auditoria remota | P2 |
| Auditorias combinadas (introdução) | Identificar sobreposições entre SGSI, privacidade e continuidade para planejar auditoria combinada | P2 |
Dois sinais indicam que a adaptação ficou para trás: a próxima auditoria de vigilância chega com plataforma remota sem acordo de confidencialidade assinado, e o programa interno continua descrevendo escopo apenas em endereços físicos. Nesses casos, a correção começa pelo documento de programa — é ele que o auditor líder e o organismo certificador vão ler primeiro.
Para leitura completa, a ISO 19011:2026 está disponível na página oficial da norma, e a ISO/IEC TS 17012:2024 complementa o quadro sobre métodos remotos. A versão brasileira ABNT NBR ISO 19011:2026 deve seguir o ciclo histórico de tradução da ABNT, sem data confirmada até agora — quem precisa antecipar a adaptação trabalha com o texto em inglês.