Os normativos da Infraestrutura de Chaves Públicas Brasileira – ICP-Brasil não estabelecem que as auditorias pré-operacionais devam ser efetuadas in loco nem regulamentam o tipo ou forma de se coletar evidências. Desta forma, diversas técnicas de auditoria podem ser aplicadas a exemplo de inspeção física, amostragem, observação, confirmação de terceiros.

A diretora da DAFN, Ângela de Oliveira, explica que “no atual momento de restrição de convívio social para evitar o contágio pela COVID-19 não vamos impedir, limitar ou exigir das empresas de auditoria a utilização específica de quaisquer recursos ou técnicas de auditoria, desde que sejam asseguradas todas as informações necessárias para embasar e fundamentar suas avaliações”.

Ressalta-se que a coleta, a análise e o relatório de conclusão são de responsabilidade do auditor e fazem parte do seu plano de trabalho, que deve buscar as evidências necessárias para avaliar tudo o que envolve as etapas do ciclo de vida da emissão dos certificados.

As empresas de auditoria são responsáveis pelas opiniões emitidas nos relatórios de auditoria, que devem ser embasados nas técnicas, procedimentos e nas evidências coletadas. Mesmo assim, quando da análise da documentação pela área técnica do ITI poderão ser solicitadas outras evidências, caso necessárias.