Certificação ISO para equipas remotas e distribuídas
«Não temos escritório — as pessoas trabalham de vários países. Podemos sequer ser certificados?» Podem, e hoje é o quotidiano: grande parte das minhas auditorias é totalmente remota e as empresas são distribuídas. Mas há nuances a acautelar desde o início.
Âmbito de certificação sem escritório
O âmbito liga-se à entidade jurídica, aos processos e às localizações. Para uma equipa distribuída, a «localização» pode ser o modelo de trabalho remoto — mas as entidades jurídicas e os países de registo importam: acorde com o organismo de certificação quais entram no âmbito.
Riscos específicos do trabalho remoto
- Redes e dispositivos domésticos: política de trabalho remoto, cifragem de discos, MDM ou pelo menos requisitos básicos para dispositivos pessoais (BYOD);
- segurança física em casa: bloqueio de ecrã, trabalho com informação confidencial em locais públicos;
- onboarding/offboarding sem escritório: envio e devolução de equipamento, revogação remota de acessos;
- jurisdições dos dados: de onde as pessoas realmente trabalham e o que isso significa para o RGPD.
Como decorre a auditoria remota
Tudo por videochamada: entrevistas, partilha de ecrã, análise de sistemas. O auditor pode pedir para mostrar o posto de trabalho pela câmara. Tecnicamente é até mais rápido do que a auditoria presencial — mas exige disciplina: ligação estável, slots agendados com as pessoas, acessos preparados. Como é uma auditoria em geral — descrevi no artigo sobre a auditoria por dentro.
Conselho para equipas distribuídas
Não inventem um «escritório virtual» para o auditor — descrevam a realidade: onde estão as pessoas, que dispositivos usam, como se controlam os acessos. Um sistema que corresponde à realidade é o único que passa auditorias durante anos. Comece pelo caminho padrão da ISO 27001, acrescentando a especificidade remota à avaliação de riscos.
Leia também
Autor — Kyrylo Proskurnya, Auditor Principal ISO e especialista internacional em sistemas de gestão. Realizo auditorias de certificação e auditorias internas ISO 27001, ISO 9001, ISO 27701 e ISO 42001 para empresas em Portugal, na Europa e nos EUA. Sobre mim · Pedir uma consulta