Uma auditoria anual pode descrever corretamente um sistema de IA e, meses depois, deixar de fora mudanças materiais em modelos, dados ou fornecedores. Este alerta, com data de corte das evidências em maio de 2026, examina essa lacuna a partir da prática de auditoria. O ciclo formal mantém seu valor; o problema aparece quando a organização usa o calendário como única frequência de controle para uma operação que muda antes da visita seguinte.
O dado operacional · verifique você mesmo
A cadência de atualização varia por fornecedor e por trimestre; este alerta não a substitui por uma média alheia. Propõe uma verificação que qualquer conselho de administração pode fazer: contar as mudanças materiais informadas por seus fornecedores durante o último trimestre e compará-las com as revisões internas documentadas no mesmo período. A proporção não demonstra conformidade, mas torna visível a diferença entre o ritmo técnico e a capacidade real de revisão. Essa diferença define onde é necessário controle adicional.
As três patologias documentadas
O certificado válido sobre uma operação obsoleta
O certificado emitido em janeiro mantém a vigência e o escopo que lhe correspondem. Se em outubro mudaram o modelo-base, os dados ou um fornecedor crítico sem revisão equivalente, o documento já não basta para descrever a operação atual.
A auditoria-evento que congela a operação
Algumas organizações restringem mudanças antes da visita e retomam depois o ritmo habitual. A amostra auditada pode ser coerente e, ainda assim, não representar o ciclo operacional completo. A observação não atribui intenção de enganar: aponta um desenho de auditoria que premia a estabilidade temporária, embora o risco esteja na mudança.
A equipe técnica que opera sem auditoria real
Entre uma auditoria e outra, a equipe técnica executa mudanças. Algumas são registradas; outras, não. Quando chega a auditoria seguinte, documenta-se apenas o que é registrável. O que não foi registrado fica fora do escopo da auditoria — até gerar o incidente que o torna visível.
A métrica · dívida de auditoria
O Critério 09 propõe uma métrica de trabalho. Pergunte ao responsável pelo sistema quantas mudanças materiais ocorreram desde a última auditoria externa e quantas foram registradas com agente, data, critério, escopo e vigência. A diferença é a dívida de auditoria contínua acumulada. Não mede por si só a eficácia dos controles; mas identifica mudanças que ainda não têm uma revisão rastreável.
O que a auditoria contínua acrescenta
A auditoria contínua complementa o ciclo formal. Pode combinar telemetria auditável, revisões acionadas por mudanças relevantes e verificação da versão efetivamente operada. Cada mecanismo deixa evidências distintas.
| Componente | O que acrescenta | Evidência que gera |
|---|---|---|
| Telemetria auditável | Observação do sistema em operação, além de sua documentação | Registros estruturados — acessos, versões, configurações, decisões automatizadas — legíveis por um auditor independente, com integridade protegida |
| Revisões de frequência variável | Verificação independente acionada por mudança relevante, além do ciclo fixo | Ata de revisão por evento, com o gatilho, o escopo revisado e o signatário documentados |
| Verificação baseada em gatilhos | Avaliação da versão do sistema quando muda o modelo-base, o conjunto de dados de treinamento, o prompt de sistema ou um fornecedor | Registro do evento técnico com agente, data, critério, escopo e vigência |
Referencial profissional e limite
A ISO/IEC 42001 exige monitoramento, medição, análise e avaliação do sistema de gestão; não prescreve uma modalidade denominada «auditoria contínua». As Normas Globais de Auditoria Interna do IIA são obrigatórias para a prática profissional de auditoria interna, enquanto seu guia sobre auditoria e monitoramento contínuos, vigente desde setembro de 2025, apresenta essa modalidade como prática recomendada. Norma e guia cumprem funções distintas.
Este relatório não estima a adoção do método nem transforma uma orientação em requisito normativo. Propõe uma decisão baseada em risco: documentar quais mudanças exigem revisão, quem pode acionar a revisão e quais evidências demonstram que a versão em produção permanece dentro do escopo governado.
A dívida de auditoria identifica as mudanças materiais que ainda não têm revisão rastreável.