Si se define el cumplimiento de OWASP en la compañía, ¿esto debería estar documentado como lineamiento en la Política de Desarrollo Seguro?

Efectivamente @rognark alinear tus procedimientos de desarrollo seguro bajo este estándar es una práctica recomendada. No es una exigencia de la ISO, pero si lo defines bajo este estándar si lo debes dejar documentado en tus procedimientos.