Resposta rápida

Consultoria de ISO 27001 entrega método — diagnóstico, escopo, sistemática de riscos, Declaração de Aplicabilidade, documentação e preparação para a auditoria —, não o certificado: esse só um organismo acreditado emite, e por regra de imparcialidade ele não pode ser quem consultou. Continuam com a sua equipe as decisões (escopo e aceitação de risco), o conhecimento da operação, a execução dos controles com registro e as respostas ao auditor no estágio 2. Antes de assinar, pergunte quem faz a avaliação de riscos e com qual método, quantas horas da sua equipe o projeto consome por semana e o que fica quando o consultor sair. Consultoria e certificação são duas contas separadas, e a maior linha do projeto — as horas internas — não aparece em nenhuma proposta.

Neste artigo 8 seções
  1. O que uma consultoria de ISO 27001 faz
  2. O que ela não faz (e não pode fazer)
  3. O que continua sendo trabalho da sua equipe
  4. Como funciona a consultoria da Templum
  5. Como escolher: 8 perguntas antes de assinar
  6. Sinais de alerta
  7. Quanto custa e como comparar propostas
  8. Perguntas frequentes

Consultoria de ISO 27001 é a contratação de quem já implantou o sistema muitas vezes para encurtar a curva de quem vai implantar pela primeira vez. O que ela entrega não é o certificado — esse só um organismo certificador emite, e por regra ele não pode ser o mesmo que consultou. O que ela entrega é método: escopo bem recortado, avaliação de riscos que sustenta a Declaração de Aplicabilidade, documentação que descreve a operação real e uma empresa preparada para o que o auditor vai pedir.

Este artigo explica o que a consultoria faz, o que continua obrigatoriamente com a sua equipe, como escolher — com as perguntas que separam método de discurso — e como funciona o modelo da Templum.

O que uma consultoria de ISO 27001 faz

  • Diagnóstico. Compara a operação atual com os requisitos da norma e devolve uma lista de lacunas com esforço estimado — que é o que vira cronograma;
  • Escopo. Ajuda a recortar o que entra no SGSI. É a decisão mais cara de errar: estreita demais entrega um certificado que não atende ao cliente que o exigiu; larga demais multiplica esforço e dias de auditoria;
  • Sistemática de riscos. Critérios, escalas e método de avaliação definidos antes dos resultados — a parte que mais gera achado quando é improvisada;
  • Tratamento de riscos e Declaração de Aplicabilidade. Conduz a escolha dos controles a partir do risco e a justificativa de cada um dos 93 controles do Anexo A;
  • Documentação. Política, procedimentos e registros no formato que a norma exige e no tamanho que a sua empresa consegue manter;
  • Transferência de conhecimento. Treinamento do time, formação de auditor interno e conscientização — o sistema vai continuar existindo depois que o consultor sair;
  • Preparação para a auditoria. Auditoria interna conduzida ou acompanhada, simulação de entrevista, revisão de evidência e apoio no tratamento das não conformidades.

O passo a passo completo do projeto, etapa por etapa, está em como implementar a ISO 27001.

O que ela não faz (e não pode fazer)

Não emite certificado. Quem emite é o organismo de certificação acreditado, depois de auditoria em dois estágios. E existe uma regra de imparcialidade que vale conhecer antes de negociar: o organismo que certifica não pode prestar consultoria a quem ele audita. Quem oferece "consultoria e certificação no mesmo pacote" está oferecendo um certificado que o mercado não aceita.

Não implanta controle sozinha. Revisar acessos, testar restauração de backup, cifrar o que precisa ser cifrado, avaliar fornecedor, registrar incidente — isso acontece dentro da sua operação, com as suas pessoas.

Não gera evidência retroativa. A norma pede registro de operação, e alguns registros só existem com o passar do calendário. Consultoria que promete certificação em prazo fixo curto está prometendo o que não depende dela.

O que continua sendo trabalho da sua equipe

Vale dizer isso antes do contrato, e não durante o projeto:

  • Decidir. Escopo, apetite de risco e aceitação do risco residual são decisões da direção — a norma exige que sejam;
  • Conhecer a operação. Só quem executa sabe onde a informação realmente passa. O levantamento de ativos é a etapa mais trabalhosa do projeto e a que mais depende de gente de dentro;
  • Operar os controles. Com registro, no dia a dia;
  • Responder ao auditor. No estágio 2, o auditor entrevista quem executa. Consultor não responde por eles;
  • Manter o sistema depois. O ciclo é de três anos, com auditorias de manutenção. O que fazer entre elas está em como manter o SGSI depois da certificação.

Uma consultoria honesta diz isso na primeira reunião. A que promete "deixa tudo com a gente" está vendendo um sistema que não vai sobreviver à primeira auditoria de manutenção.

Como funciona a consultoria da Templum

O modelo tem oito elementos, e todos existem por causa de um problema real que consultoria de norma costuma criar.

  • Diagnóstico antes da proposta. O plano parte do que a sua empresa já tem, e não de um roteiro padrão aplicado igual a todo mundo;
  • Cronograma sob medida. Construído a partir do diagnóstico e do ritmo real da sua equipe — porque disponibilidade de gente é o que mais atrasa certificação, não complexidade técnica;
  • Documentos elaborados junto. Você não recebe uma lista de tarefas: recebe a documentação estruturada e adaptada à sua operação, para revisar e aprovar;
  • Checkpoints de validação. Cada etapa é verificada antes de a próxima começar, o que evita descobrir na auditoria interna que a avaliação de riscos precisa ser refeita;
  • Consultor disponível em horário comercial. Dúvida de implantação resolvida no dia em que aparece, em vez de esperar a reunião quinzenal;
  • Selo de implementação. Enquanto o projeto corre, você tem como comprovar ao mercado que a implantação está em andamento — útil quando a exigência do cliente chegou antes do certificado;
  • Garantia de certificação em contrato. Cumprido o método, se a certificação não sair, o valor investido volta — em dobro. As condições exatas estão na proposta;
  • Gestão em software, não em planilha. Documento versionado, risco atualizado, ação com prazo e evidência ao alcance da mão — o que separa a empresa que passa na certificação da que chega bagunçada na primeira manutenção.

São mais de 1.900 empresas certificadas com esse método. A comparação entre esse modelo e o de pacote fechado, que é o que o mercado costuma vender para a 27001, está em pacote fechado x novo modelo.

Olívia, especialista Templum
Quer isso avaliado na sua empresa?

Diagnóstico gratuito do seu SGSI: onde estão as lacunas de controle, antes de o auditor apontar.

Falar com a Olívia

Como escolher: 8 perguntas antes de assinar

  1. Vocês certificam também? Se a resposta for sim, encerre. Consultoria e certificação são contratações separadas por regra de imparcialidade;
  2. Quem faz a avaliação de riscos, e com qual método? Se a resposta for um modelo pronto que não olha para os seus processos, o sistema vai descrever outra empresa;
  3. Que documentos vocês entregam prontos e o que a minha equipe escreve? Divisão explícita evita a briga do terceiro mês;
  4. Quantas horas da minha equipe o projeto consome por semana? Consultoria que responde "quase nenhuma" está omitindo a maior linha de custo;
  5. Vocês formam auditor interno na minha equipe? A auditoria interna é requisito (9.2) e exige competência comprovada e imparcialidade;
  6. O que acontece se aparecer não conformidade na auditoria? Tratar achado com análise de causa precisa estar no escopo, não virar um novo contrato;
  7. Vocês já implantaram a 27001 em empresa parecida com a minha? Desenvolvimento de software, saúde, financeiro e serviço público têm controles e exigências bem diferentes;
  8. O que fica comigo quando o projeto acabar? Documentação viva, gente treinada e um sistema que a próxima auditoria encontre operando.

Sinais de alerta

  • "Certificação garantida em X meses", sem conhecer seu escopo. Prazo depende de maturidade, tamanho do escopo e disponibilidade da equipe;
  • Documentação genérica. Política que serviria para qualquer empresa de qualquer setor é o achado mais fácil de um auditor experiente;
  • Foco no Anexo A desde o primeiro dia. Controle escolhido antes do risco é controle sem justificativa na SoA;
  • Proposta sem transferência de conhecimento. O SGSI vai precisar viver sem o consultor;
  • Indicação de certificador "parceiro" com desconto. A escolha do organismo é sua, e o que importa nela é a acreditação — no Brasil, o Inmetro/Cgcre — com escopo que cubra a ISO/IEC 27001;
  • Material desatualizado. Se o conteúdo ainda fala em 114 controles e 14 seções, é da edição de 2013, cuja validade terminou em outubro de 2025. A vigente é a ISO/IEC 27001:2022 com a Emenda 1:2024.

Quanto custa e como comparar propostas

São duas contas separadas, e confundi-las distorce qualquer comparação:

  • A consultoria, que varia com o tamanho do escopo, a maturidade de partida, a quantidade de unidades e o quanto da documentação você quer receber pronto;
  • A certificação, cobrada pelo organismo e calculada essencialmente por dias de auditoria — com piso normativo definido na ISO/IEC 27006-1, a partir do número de pessoas dentro do escopo e de fatores de complexidade. É por isso que recortar bem o escopo é a alavanca de custo mais forte que existe. O detalhamento está em certificação ISO 27001: etapas, prazo e custo.

Há ainda o custo que nenhuma proposta mostra: as horas internas em levantamento de ativos, avaliação de riscos, conscientização, auditoria interna e reuniões de análise crítica. É a maior linha do projeto e a que estoura o orçamento quando o cronograma atrasa.

Ao comparar propostas, ponha lado a lado quatro coisas: o que está incluso em documentação, se auditoria interna e formação de auditor entram, o que acontece com não conformidade depois da auditoria, e o horizonte — proposta que cobre só a certificação inicial esconde as manutenções do ciclo de três anos.

Se o que você precisa é o número da sua operação, o caminho curto é descrever o cenário — quantas pessoas no escopo, quantas unidades, o que a empresa faz — e receber uma estimativa em cima disso.

Leia mais

Perguntas frequentes

A consultoria pode emitir o certificado ISO 27001?

Não. O certificado é emitido por um organismo de certificação acreditado, depois de auditoria em dois estágios — e esse organismo não pode prestar consultoria a quem ele audita. A separação é regra de imparcialidade, não preferência comercial: quem oferece "consultoria e certificação no mesmo pacote" está oferecendo um certificado que o mercado não aceita.

O que continua sendo trabalho da minha equipe?

Decidir escopo e aceitar risco residual (a norma exige que seja a direção), fornecer o conhecimento da operação no levantamento de ativos, operar os controles com registro no dia a dia, responder ao auditor no estágio 2 — ele entrevista quem executa — e manter o sistema depois, ao longo do ciclo de três anos. Consultoria que promete "deixa tudo com a gente" está vendendo um sistema que não sobrevive à primeira auditoria de manutenção.

Como escolher uma consultoria de ISO 27001?

Comece perguntando se ela também certifica — se sim, encerre. Depois: quem faz a avaliação de riscos e com qual método, que documentos vêm prontos e o que a sua equipe escreve, quantas horas por semana o projeto consome, se há formação de auditor interno, o que acontece se aparecer não conformidade, se já implantaram em empresa parecida com a sua e o que fica quando o projeto acabar. Respostas vagas nessas perguntas custam meses depois.

Quanto custa uma consultoria de ISO 27001?

Varia com o tamanho do escopo, a maturidade de partida, o número de unidades e quanto da documentação você quer receber pronto. O importante é não confundir com o custo da certificação, que é cobrado pelo organismo e calculado por dias de auditoria, com piso normativo na ISO/IEC 27006-1. E existe uma terceira conta, que nenhuma proposta mostra: as horas internas da equipe, que costumam ser a maior linha do projeto.

Dá para certificar sem consultoria?

Dá, principalmente em empresa que já tem sistema de gestão certificado, alguém com competência em segurança da informação e hora alocada de verdade. A consultoria encurta a curva onde ela é mais cara — sistemática de risco, SoA, documentação e preparação para a auditoria — e evita o retrabalho de descobrir na auditoria interna que a avaliação de riscos precisa ser refeita.

A consultoria da Templum tem garantia?

Tem. Cumprido o método, se a certificação não sair, o valor investido volta em dobro — as condições exatas ficam na proposta. Além da garantia, o modelo inclui diagnóstico antes da proposta, cronograma sob medida, documentação elaborada em conjunto, checkpoints de validação a cada etapa, consultor disponível em horário comercial, selo que comprova a implantação em andamento e gestão do sistema em software em vez de planilha.

Webinar gratuito: Gestão de Indicadores — quarta, 16/09, às 16h Webinar gratuito · ao vivoGestão de IndicadoresQuarta, 16/09, às 16h (Brasília)Quero minha vaga
Consultoria Templum

Precisa de consultoria para ISO 27001?

Fale com nosso especialista. Conte o cenário da sua empresa e a gente responde com o caminho até a certificação — sem custo e sem compromisso.

Ao enviar, você concorda em receber contato da Templum sobre a certificação ISO 27001. Seus dados são protegidos conforme a LGPD e não são compartilhados com terceiros.