ISO/IEC 42001 Lead Auditor

Dez questões de exemplo tiradas do simulado

Uma por área de competência, exatamente como no simulador.

1. D3 Conceitos e princípios fundamentais de auditoria

   Uma equipe de auditoria que prepara uma auditoria de certificação de um sistema de gestão de IA pretende executar uma ferramenta de análise de texto sobre a documentação dos modelos do auditado, alimentá-la com uma extração produzida por um script de automação e utilizar um assistente generativo para redigir os resumos dos papéis de trabalho. Que posição o líder da equipe de auditoria deve adotar?

   1. Permitir as ferramentas, exigindo que toda saída seja verificada nos próprios registros do auditado antes de ser incluída em um papel de trabalho ou fundamentar uma constatação, pois a equipe é responsável pela conclusão.
   2. Proibir as três ferramentas, porque o material produzido com auxílio automatizado está fora do que uma auditoria de certificação pode considerar, e somente se pode confiar em registros lidos pessoalmente por um auditor.
   3. Tratar a saída da plataforma de análise como evidência documental por si só, mencionar no relatório a ferramenta, seu fornecedor e sua versão e reduzir proporcionalmente o teste dos registros subjacentes.
   4. Enviar a documentação dos modelos a um serviço público de IA generativa, obter consentimento posteriormente e registrar a ferramenta, o prompt e a data.

2. D4 Preparação para uma auditoria ISO/IEC 42001

   Um organismo de certificação oferece quatro dias no local para a auditoria de Fase 2 de uma organização que opera onze sistemas de IA em três locais, sendo um deles um modelo de triagem clínica. O líder da equipe de auditoria conclui que quatro dias não permitem uma avaliação adequada do sistema de gestão de IA. Qual é a linha de ação defensável?

   1. Realizar a auditoria nos quatro dias programados e registrar a falta de tempo como uma limitação no relatório de auditoria.
   2. Aceitar os quatro dias como adequados, porque a duração de uma auditoria de certificação decorre apenas do número de empregados da organização auditada; portanto, o número de sistemas de IA em operação, a diversidade das tecnologias subjacentes e o número de locais envolvidos não têm qualquer influência.
   3. Restringir unilateralmente o escopo da auditoria aos sistemas de IA que a equipe consiga cobrir adequadamente nos quatro dias disponíveis.
   4. A equipe de auditoria pode recusar o trabalho, porque uma duração proposta que não permita uma avaliação adequada do sistema de gestão torna a auditoria inviável; a insuficiência é primeiramente apresentada ao organismo de certificação, e uma alternativa é proposta ao cliente de auditoria.

3. D5 Condução de uma auditoria ISO/IEC 42001

   Durante uma auditoria de Fase 2, um auditor está coletando evidência sobre como os dados de treinamento são rotulados e verificados antes do uso. O anotador de dados responde em termos genéricos e, então, passa a reclamar do orçamento da equipe de anotação. Que técnica de entrevista o auditor deve aplicar durante o restante da sessão?

   1. Aceitar a resposta genérica, deixar o relato sobre o orçamento prosseguir e depois ler o procedimento escrito de rotulagem para obter os detalhes que a sessão não produziu.
   2. Fazer perguntas abertas de acompanhamento para obter os detalhes ausentes, reconduzir a sessão à rotulagem e, então, reformular as respostas e pedir ao anotador que as confirme.
   3. Percorrer a lista preparada em sua ordem fixa, registrar literalmente cada resposta e deixar tudo o que não estiver claro para a reunião de encerramento.
   4. Refazer a pergunta de modo que já contenha a resposta esperada, para que o anotador retorne às etapas documentadas, e registrar a resposta como confirmação.

4. D6 Encerramento de uma auditoria ISO/IEC 42001

   Enquanto a equipe de auditoria prepara suas conclusões, a diretora de ética em IA do auditado pede ao líder da equipe que registre duas das quatro não conformidades como oportunidades de melhoria, oferecendo-se para corrigir ambas dentro de uma semana. Em seguida, ela apresenta um registro assinado de liberação do modelo que a equipe não havia visto e que demonstra que uma terceira não conformidade se baseia em uma amostra incompleta. O que o líder da equipe deve fazer?

   1. Recusar a reclassificação e examinar o novo registro, revisando essa constatação caso ela não se sustente mais.
   2. Encaminhar toda a discordância ao comitê de certificação sem apresentar conclusões, deixando que o comitê decida quais constatações permanecem.
   3. Recusar ambas as solicitações e apresentar as quatro não conformidades sem alterações, pois evidências produzidas após a fase de coleta de evidências não podem influenciar as conclusões de auditoria.
   4. Concordar em reclassificar as duas não conformidades, porque uma correção concluída durante a semana da auditoria elimina a necessidade de relatá-las, e desconsiderar o registro de liberação por ser uma evidência apresentada tarde demais para ser considerada.

5. D1 Princípios e conceitos de um sistema de gestão de IA

   Uma empresa de logística desenvolve internamente um modelo de roteamento, adquire outros dois de fornecedores e utiliza um assistente generativo em suas atividades administrativas. O escopo documentado de seu sistema de gestão de IA abrange apenas o modelo de roteamento. Considerando que a norma se aplica a qualquer organização, independentemente de porte, tipo e natureza, esse escopo é aceitável e como ele se relaciona com a abrangência da própria norma?

   1. O escopo é inválido, porque a norma se aplica a qualquer organização que desenvolva, forneça ou utilize sistemas de IA; portanto, todos os sistemas de IA da empresa estão incluídos no sistema de gestão por força da própria norma.
   2. A organização determina os limites de seu próprio sistema de gestão; assim, um escopo restrito pode ser mantido quando corresponder ao que a empresa realmente faz, desde que o relatório deixe claro o que foi excluído.
   3. O escopo é aceitável como está, e os dois modelos adquiridos, o assistente e seus fornecedores estão totalmente fora da auditoria; portanto, nenhuma evidência sobre eles pode ser examinada, solicitada ou registrada.
   4. O auditor deve definir os limites durante a auditoria, ampliando-os para incluir os modelos adquiridos, o assistente e qualquer sistema adquirido posteriormente, pois a determinação do escopo faz parte da auditoria de certificação.

6. D7 Gestão de um programa de auditoria ISO/IEC 42001

   A pessoa que gerencia o programa de auditoria de SGIA de um organismo de certificação relata sua eficácia uma vez por ano utilizando um único indicador: o percentual de auditorias realizadas nas datas planejadas. No ano passado, o valor foi de 98 por cento. No mesmo período, dois clientes certificados sofreram incidentes de IA posteriormente atribuídos a controles que as auditorias haviam amostrado e aprovado. Qual avaliação do programa é a mais fundamentada?

   1. O programa não está sendo efetivamente avaliado, e os incidentes são um sinal para modificá-lo e reavaliar os auditores envolvidos.
   2. É necessário um programa substituto: os incidentes em clientes certificados demonstram que seus objetivos eram inalcançáveis desde o início e não podem ser recuperados por meio de análise.
   3. O indicador é adequado para o monitoramento, e os incidentes são reclamações; portanto, a única ação necessária é acrescentar ao programa um processo de tratamento de reclamações.
   4. O programa é eficaz, pois a execução conforme o cronograma é o resultado que o gestor do programa controla, e os incidentes continuam sendo responsabilidade das organizações certificadas.

7. D2 Requisitos do sistema de gestão de IA

   Na Fase 2, o auditor examina o controle do Anexo A sobre verificação e validação de sistemas de IA, que a organização declarou aplicável em sua Declaração de Aplicabilidade. A organização implementou o controle por meio de uma abordagem própria que difere, em vários aspectos, das orientações para implementação do Anexo B; os resultados estão documentados e os critérios de aceitação definidos pela organização foram atendidos. Como o auditor deve tratar esse desvio?

   1. Levantar uma não conformidade menor, pois o Anexo B estabelece como os controles do Anexo A são implementados, e outra via não pode ser considerada como atendimento.
   2. Levantar uma oportunidade de melhoria recomendando alinhamento com o Anexo B, registrar a divergência no relatório e solicitar que os critérios de aceitação sejam reescritos com as palavras das orientações.
   3. Testar o controle em relação ao requisito declarado e à abordagem documentada da organização e verificar se as orientações para implementação do Anexo B foram consideradas conforme exige a cláusula 6.1.3; o desvio de uma via de implementação sugerida não constitui, por si só, uma não conformidade.
   4. Registrar o controle como excluído, pois implementá-lo por outra via equivale, em essência, a uma exclusão, e solicitar que a organização justifique essa exclusão na Declaração de Aplicabilidade.

8. D3 Conceitos e princípios fundamentais de auditoria

   Durante uma análise da qualidade de uma auditoria de SGIA concluída, o revisor pergunta ao líder da equipe de auditoria por que o arquivo não pode declarar que um registro de avaliação de modelo deliberadamente falsificado certamente teria sido detectado. O que determina o nível de asseguração que uma equipe de auditoria é capaz de oferecer?

   1. A equipe poderia ter oferecido certeza e o teria feito se tivesse selecionado uma amostra maior, pois falhas de detecção são sempre uma questão de tamanho da amostra.
   2. A certeza decorre da independência do auditor; portanto, uma equipe livre de conflitos de interesse, de ameaças de familiaridade e de ameaças de autorrevisão detecta tudo o que tenha sido ocultado.
   3. O nível é estabelecido pelo organismo de certificação em seu programa de auditoria, que fixa para cada cliente a confiança conferida por seus certificados, e a equipe de auditoria aplica o valor que recebe.
   4. Nenhuma amostra jamais proporciona certeza: os testes podem não revelar uma declaração falsa, os processos internos do auditado podem ser comprometidos por conluio e a maior parte da evidência é persuasiva.

9. D4 Preparação para uma auditoria ISO/IEC 42001

   Duas semanas antes de uma auditoria de Fase 2, o auditado informa ao líder da equipe de auditoria que os registros de dados de treinamento e os resultados da avaliação do modelo de seu sistema de IA de pontuação de crédito não serão disponibilizados, pois os considera sensíveis demais para divulgação a uma parte externa. Como o líder da equipe deve caracterizar essa situação?

   1. Como uma questão de confidencialidade já resolvida, pois os auditores estão sujeitos a um compromisso de confidencialidade e, portanto, podem examinar os registros sem acordos adicionais.
   2. Como uma questão de escopo, resolvida mediante a exclusão dos processos de gestão de dados desta auditoria.
   3. Como uma questão de viabilidade da auditoria, porque esses controles não podem ser validados sem acesso às informações, a ser resolvida antes de a auditoria prosseguir.
   4. Como uma não conformidade em relação à ISO/IEC 42001, cláusula 7.5, levantada imediatamente, porque reter informação documentada de um auditor constitui, por si só, o não atendimento a um requisito.

10. D5 Condução de uma auditoria ISO/IEC 42001

    Para a auditoria de Fase 2 de uma organização cujo pessoal trabalha principalmente em casa, uma equipe de auditoria propõe analisar a informação documentada nas instalações do organismo de certificação e realizar uma única videochamada com o gerente de governança de IA, sem visitar os locais da organização. Como essa proposta deve ser avaliada?

    1. É aceitável, porque métodos remotos como análise de documentos, entrevistas por vídeo, compartilhamento de tela e acesso remoto à plataforma são reconhecidos, o pessoal do auditado de fato trabalha em casa, os registros de projeto, desenvolvimento e implantação são mantidos eletronicamente, e as entrevistas, a amostragem e a coleta de evidências podem ser todas realizadas nas instalações do organismo de certificação.
    2. A condução remota é aceitável desde que a equipe de auditoria registre a escolha dos métodos de auditoria no plano de auditoria e no relatório de auditoria.
    3. Trabalhar fora do local é aceitável para uma auditoria de supervisão, mas não para a auditoria de certificação inicial de um sistema de gestão de IA.
    4. A proposta é inadequada: a Fase 2 ocorre nos locais do cliente e deve abordar evidências de conformidade com todos os requisitos, desempenho em relação aos objetivos e metas, conformidade com requisitos legais e contratuais, controle operacional dos processos, auditorias internas e análise crítica pela direção, além da responsabilidade da direção pelas políticas.

Responda às mesmas dez questões no simulador e leia a explicação de cada opção, inclusive das incorretas. Abre sem cadastro →

Sobre o exame oficial: o formato, a duração e o número de questões são definidos pelo organismo de certificação e podem mudar; por favor, confira nos documentos dele antes de se inscrever. Este material treina com base na norma, não no exame de um organismo específico, e por isso também é útil para se certificar em outro lugar.