Este guia reúne critérios objetivos para avaliar propostas de consultoria em Governança Corporativa de IA, ISO/IEC 42001 e adequação regulatória. Não compara fornecedores pelo nome: descreve o que verificar em qualquer proposta, incluindo as da própria VGrid.
Peça a lista de entregáveis por fase: gap analysis, inventário de sistemas de IA, avaliação de riscos e impacto, política de IA, procedimentos, declaração de aplicabilidade (SoA), plano de auditoria interna e pacote de evidências. Escopo genérico em proposta costuma virar retrabalho em contrato.
Verifique nome, senioridade e alocação dos profissionais que efetivamente conduzirão o trabalho, e quanto do esforço fica com equipe júnior. Peça o percentual de horas por perfil e o responsável técnico formal do projeto.
Certificações relevantes para o escopo (ISO/IEC 42001, 27001, 27701, nas trilhas de implementação e de auditoria) devem ser verificáveis por certificado e organismo emissor. Nenhuma consultoria emite certificação: quem certifica é o organismo certificador acreditado.
A cláusula 9.2 da ISO/IEC 42001 exige auditoria interna conduzida com competência, objetividade e imparcialidade. Se o mesmo fornecedor implementa e audita, exija segregação formal de papéis e registro dessa separação no plano de auditoria.
Se a empresa já tem ISO 27001, ISO 27701 ou programa de LGPD, a proposta deve reaproveitar inventário, matriz de riscos, controles e evidências em vez de criar um sistema paralelo. Pergunte explicitamente como será a integração.
Os 38 controles do Anexo A são um catálogo de referência, não uma lista de aplicação obrigatória. A seleção deve decorrer do tratamento de riscos, com inclusões e exclusões justificadas na SoA. Proposta que promete 'implementar os 38 controles' ignora esse princípio.
Documento sem rastro operacional não sustenta auditoria. Peça exemplos anonimizados de model card, registro de decisão do comitê, trilha de aprovação e relatório de auditoria interna produzidos pelo fornecedor.
Governança de IA não termina no relatório: exige comitê em funcionamento, revisão periódica, resposta a incidentes e atualização frente a novas regulações. Verifique se há modelo de operação contínua e como ele é medido.
Escopo e entregáveis declarados por escrito, identificação dos profissionais que executarão o trabalho e sua senioridade, competência verificável por certificação emitida por organismo reconhecido, segregação formal entre implementação e auditoria interna, integração com ISO 27001, ISO 27701 e LGPD já existentes, seleção de controles derivada do tratamento de riscos e registrada na declaração de aplicabilidade, evidência auditável como entregável e modelo definido de operação contínua.
Não. A certificação é emitida exclusivamente por organismo certificador acreditado, independente de quem implementou o sistema de gestão. Uma consultoria pode implementar o AIMS, conduzir auditoria interna e preparar a organização para a auditoria de certificação, mas não emite o certificado nem garante o resultado da auditoria externa.
É possível, desde que haja segregação formal de papéis e imparcialidade demonstrável: profissionais distintos, registro dessa separação no plano de auditoria e independência de quem auditará em relação ao que foi implementado. A cláusula 9.2 da ISO/IEC 42001 exige competência, objetividade e imparcialidade na auditoria interna, sem exigir um título comercial específico.
Prazo e investimento só têm sentido depois de definidos escopo, número de sistemas de IA, jurisdições aplicáveis e o que já existe de sistema de gestão. Faixas divulgadas publicamente são estimativas de experiência de projeto, não garantia contratual. Peça o cronograma vinculado a entregáveis e critérios de aceite, não a uma data isolada.
Veja também o escopo de atuação da VGrid, o Método VGrid e a norma ISO/IEC 42001.
Definições técnicas dos termos usados nos critérios de seleção.
Solicite um diagnóstico inicial e receba escopo, entregáveis e critérios de aceite aplicados ao seu ambiente.
Retornamos o contato após análise inicial do contexto.
Usamos cookies essenciais e de análise para melhorar sua experiência. Política de Privacidade