Consultoria ISO 27001: o que ela faz, o que é seu e como escolher

Consultoria de ISO 27001 é a contratação de quem já implantou o sistema muitas vezes para encurtar a curva de quem vai implantar pela primeira vez. O que ela entrega não é o certificado — esse só um organismo certificador emite, e por regra ele não pode ser o mesmo que consultou. O que ela entrega é método: escopo bem recortado, avaliação de riscos que sustenta a Declaração de Aplicabilidade, documentação que descreve a operação real e uma empresa preparada para o que o auditor vai pedir.

Este artigo explica o que a consultoria faz, o que continua com a sua equipe e como escolher. Certificação: etapas, prazo e custo · implementar ISO 27001 · quanto custa.

Consultoria e organismo certificador: qual a diferença?

A consultoria prepara o SGSI ou SGPI; o organismo acreditado audita e emite o certificado. Contratos separados: quem consulta não certifica a mesma empresa no mesmo ciclo.

Consultoria ISO 27001 para pequenas empresas (PME)

PME certifica SGSI quando o escopo é enxuto (unidade, produto ou área clara), há dono interno de TI ou operação e a Declaração de Aplicabilidade exclui o que não se aplica, com justificativa auditável. Consultoria remota funciona como na ISO 9001: reuniões por vídeo, revisão de evidência digital, sem eliminar controles nem auditoria externa.

• O que reduz esforço: escopo bem recortado, SoA enxuta, priorizar riscos altos primeiro, usar políticas proporcionais ao porte.
• O que não muda: avaliação de riscos, operação de controles com registro, auditoria interna, estágios 1 e 2 do organismo certificador.
• Guia de requisitos enxutos: ISO 27001 para pequenas empresas.
• Hub de escolha: como escolher consultoria ISO.

Respostas diretas: consultoria ISO 27001

Resumo para quem vai contratar: o que a consultoria entrega, o que continua com sua equipe, prazo e custo. Itens em frase inteira; checklist longo em como escolher.

• O que a consultoria ISO 27001 faz: conduz diagnóstico, define escopo do SGSI, estrutura avaliação e tratamento de riscos, monta a Declaração de Aplicabilidade (SoA), apoia documentação, forma equipe, assiste auditoria interna e prepara a organização para estágios 1 e 2 do organismo. Entregáveis comentados em o que a consultoria faz.
• A consultoria emite certificado ISO 27001? Não. Quem audita e emite é o organismo de certificação acreditado. Consultoria e certificação são contratos separados; quem consultou não pode certificar a mesma empresa.
• Consultoria para PME: escopo enxuto e SoA proporcional ao risco real; trabalho remoto é comum quando a operação permite. Leia consultoria para pequenas empresas e requisitos PME.
• Quanto custa: varia com escopo, sites, maturidade e método; compare propostas com os mesmos entregáveis. Comparar propostas · custo da certificação.
• Prazo típico: em torno de 6 a 12 meses até certificar, se a equipe interna dedicar tempo suficiente para operar controles e gerar evidência (alguns registros só existem com o passar do calendário).
• ISO 27701: consultoria de privacidade (SGPI) é linha distinta da 27001. Quando o foco é dados pessoais, veja consultoria ISO 27701.
• Próximo passo: após implantar, etapas, prazo e custo da certificação ISO 27001 · Diagnóstico gratuito.

Consultoria ISO 27001 para obter a certificação

Consultoria ISO 27001 estrutura escopo, riscos, SoA, documentação e preparação para estágios 1 e 2. Não emite certificado. Caminho: certificação ISO 27001: etapas, prazo e custo · como implementar a ISO 27001.

O que uma consultoria de ISO 27001 faz

Entregáveis típicos de um projeto de certificação. A consultoria conduz método; sua equipe opera controles e responde ao auditor.

• Diagnóstico. Compara a operação atual com os requisitos da norma e devolve uma lista de lacunas com esforço estimado — que é o que vira cronograma;
• Escopo. Ajuda a recortar o que entra no SGSI. É a decisão mais cara de errar: estreita demais entrega um certificado que não atende ao cliente que o exigiu; larga demais multiplica esforço e dias de auditoria;
• Sistemática de riscos. Critérios, escalas e método de avaliação definidos antes dos resultados — a parte que mais gera achado quando é improvisada;
• Tratamento de riscos e Declaração de Aplicabilidade. Conduz a escolha dos controles a partir do risco e a justificativa de cada um dos 93 controles do Anexo A;
• Documentação. Política, procedimentos e registros no formato que a norma exige e no tamanho que a sua empresa consegue manter;
• Transferência de conhecimento. Treinamento do time, formação de auditor interno e conscientização — o sistema vai continuar existindo depois que o consultor sair;
• Preparação para a auditoria. Auditoria interna conduzida ou acompanhada, simulação de entrevista, revisão de evidência e apoio no tratamento das não conformidades.

O passo a passo completo do projeto, etapa por etapa, está em como implementar a ISO 27001.

O que ela não faz (e não pode fazer)

Não emite certificado. Quem emite é o organismo de certificação acreditado, depois de auditoria em dois estágios. E existe uma regra de imparcialidade que vale conhecer antes de negociar: o organismo que certifica não pode prestar consultoria a quem ele audita. Quem oferece "consultoria e certificação no mesmo pacote" está oferecendo um certificado que o mercado não aceita.

Não implanta controle sozinha. Revisar acessos, testar restauração de backup, cifrar o que precisa ser cifrado, avaliar fornecedor, registrar incidente — isso acontece dentro da sua operação, com as suas pessoas.

Não gera evidência retroativa. A norma pede registro de operação, e alguns registros só existem com o passar do calendário. Consultoria que promete certificação em prazo fixo curto está prometendo o que não depende dela.

O que continua sendo trabalho da sua equipe

Vale dizer isso antes do contrato, e não durante o projeto:

• Decidir. Escopo, apetite de risco e aceitação do risco residual são decisões da direção — a norma exige que sejam;
• Conhecer a operação. Só quem executa sabe onde a informação realmente passa. O levantamento de ativos é a etapa mais trabalhosa do projeto e a que mais depende de gente de dentro;
• Operar os controles. Com registro, no dia a dia;
• Responder ao auditor. No estágio 2, o auditor entrevista quem executa. Consultor não responde por eles;
• Manter o sistema depois. O ciclo é de três anos, com auditorias de manutenção. O que fazer entre elas está em como manter o SGSI depois da certificação.

Uma consultoria honesta diz isso na primeira reunião. A que promete "deixa tudo com a gente" está vendendo um sistema que não vai sobreviver à primeira auditoria de manutenção.

Como funciona a consultoria da Templum

O modelo tem oito elementos, e todos existem por causa de um problema real que consultoria de norma costuma criar.

• Diagnóstico antes da proposta. O plano parte do que a sua empresa já tem, e não de um roteiro padrão aplicado igual a todo mundo;
• Cronograma sob medida. Construído a partir do diagnóstico e do ritmo real da sua equipe — porque disponibilidade de gente é o que mais atrasa certificação, não complexidade técnica;
• Documentos elaborados junto. Você não recebe uma lista de tarefas: recebe a documentação estruturada e adaptada à sua operação, para revisar e aprovar;
• Checkpoints de validação. Cada etapa é verificada antes de a próxima começar, o que evita descobrir na auditoria interna que a avaliação de riscos precisa ser refeita;
• Consultor disponível em horário comercial. Dúvida de implantação resolvida no dia em que aparece, em vez de esperar a reunião quinzenal;
• Selo de implementação. Enquanto o projeto corre, você tem como comprovar ao mercado que a implantação está em andamento — útil quando a exigência do cliente chegou antes do certificado;
• Garantia de certificação em contrato. Cumprido o método, se a certificação não sair, o valor investido volta — em dobro. As condições exatas estão na proposta;
• Gestão em software, não em planilha. Documento versionado, risco atualizado, ação com prazo e evidência ao alcance da mão — o que separa a empresa que passa na certificação da que chega bagunçada na primeira manutenção.

São mais de 1.900 empresas certificadas com esse método. A comparação entre esse modelo e o de pacote fechado, que é o que o mercado costuma vender para a 27001, está em pacote fechado x novo modelo.

Como escolher: 8 perguntas antes de assinar

1. Vocês certificam também? Se a resposta for sim, encerre. Consultoria e certificação são contratações separadas por regra de imparcialidade;
2. Quem faz a avaliação de riscos, e com qual método? Se a resposta for um modelo pronto que não olha para os seus processos, o sistema vai descrever outra empresa;
3. Que documentos vocês entregam prontos e o que a minha equipe escreve? Divisão explícita evita a briga do terceiro mês;
4. Quantas horas da minha equipe o projeto consome por semana? Consultoria que responde "quase nenhuma" está omitindo a maior linha de custo;
5. Vocês formam auditor interno na minha equipe? A auditoria interna é requisito (9.2) e exige competência comprovada e imparcialidade;
6. O que acontece se aparecer não conformidade na auditoria? Tratar achado com análise de causa precisa estar no escopo, não virar um novo contrato;
7. Vocês já implantaram a 27001 em empresa parecida com a minha? Desenvolvimento de software, saúde, financeiro e serviço público têm controles e exigências bem diferentes;
8. O que fica comigo quando o projeto acabar? Documentação viva, gente treinada e um sistema que a próxima auditoria encontre operando.

Sinais de alerta

• "Certificação garantida em X meses", sem conhecer seu escopo. Prazo depende de maturidade, tamanho do escopo e disponibilidade da equipe;
• Documentação genérica. Política que serviria para qualquer empresa de qualquer setor é o achado mais fácil de um auditor experiente;
• Foco no Anexo A desde o primeiro dia. Controle escolhido antes do risco é controle sem justificativa na SoA;
• Proposta sem transferência de conhecimento. O SGSI vai precisar viver sem o consultor;
• Indicação de certificador "parceiro" com desconto. A escolha do organismo é sua, e o que importa nela é a acreditação — no Brasil, o Inmetro/Cgcre — com escopo que cubra a ISO/IEC 27001;
• Material desatualizado. Se o conteúdo ainda fala em 114 controles e 14 seções, é da edição de 2013, cuja validade terminou em outubro de 2025. A vigente é a ISO/IEC 27001:2022 com a Emenda 1:2024.

Quanto custa e como comparar propostas

São duas contas separadas, e confundi-las distorce qualquer comparação:

• A consultoria, que varia com o tamanho do escopo, a maturidade de partida, a quantidade de unidades e o quanto da documentação você quer receber pronto;
• A certificação, cobrada pelo organismo e calculada essencialmente por dias de auditoria — com piso normativo definido na ISO/IEC 27006-1, a partir do número de pessoas dentro do escopo e de fatores de complexidade. É por isso que recortar bem o escopo é a alavanca de custo mais forte que existe. O detalhamento está em certificação ISO 27001: etapas, prazo e custo.

Há ainda o custo que nenhuma proposta mostra: as horas internas em levantamento de ativos, avaliação de riscos, conscientização, auditoria interna e reuniões de análise crítica. É a maior linha do projeto e a que estoura o orçamento quando o cronograma atrasa.

Ao comparar propostas, ponha lado a lado quatro coisas: o que está incluso em documentação, se auditoria interna e formação de auditor entram, o que acontece com não conformidade depois da auditoria, e o horizonte — proposta que cobre só a certificação inicial esconde as manutenções do ciclo de três anos.

Se o que você precisa é o número da sua operação, o caminho curto é descrever o cenário — quantas pessoas no escopo, quantas unidades, o que a empresa faz — e receber uma estimativa em cima disso.

Falar com consultor: Consultoria Templum ISO 27001 · Diagnóstico gratuito · Guia de certificação

Leia mais

• ISO 27001: o que é, requisitos e como certificar
• Como implementar a ISO 27001: o passo a passo
• Certificação ISO 27001: etapas, prazo e custo
• Requisitos da ISO 27001: as cláusulas 4 a 10 explicadas
• Auditoria ISO 27001: o que o auditor pede
• Como definir o escopo do SGSI
• SGSI: o que é o Sistema de Gestão da Segurança da Informação
• Quais empresas precisam da ISO 27001
• ISO 27001 para pequenas empresas
• Como escolher consultoria ISO