"A análise crítica pela direção e relatórios de auditoria também fornecem informações sobre a eficácia dos controles existentes.
Convém que os controles que estão planejados para serem implementados de acordo com os planos de implementação de tratamento do risco também sejam considerados, juntamente com aqueles que já estão implementados.”
Para a identificação dos controles existentes ou planejados, as seguintes atividades podem ser úteis:
(…)
Verificar com as pessoas responsáveis pela segurança da informação (por exemplo, o responsável pela segurança da informação, o responsável pela segurança do sistema da informação, o gerente das instalações prediais, o gerente de operações) e com os usuários quais controles, relacionados ao processo de informação ou ao sistema de informação sob consideração, estão realmente implementados;
(…)
Portanto, fica claro que não está limitado apenas aos documentos. Gab C.
Fonte:ISO/IEC 27005