Programas de conformidade produzem políticas, aprovações, registros, comunicações, indicadores e decisões distribuídos por diferentes áreas da organização. Quando surge uma dúvida sobre o funcionamento desses mecanismos, a questão técnica não se resolve apenas pela leitura de uma norma interna ou pela existência formal de um controle. É necessário examinar como os processos foram estruturados, quais evidências foram produzidas e em que medida os registros disponíveis correspondem às atividades observadas.
Esse exame pode apoiar avaliações corporativas, investigações internas, auditorias técnicas e controvérsias administrativas, arbitrais ou judiciais. Seu objeto é identificar, organizar e analisar fatos tecnicamente verificáveis. A qualificação jurídica de condutas, a interpretação de normas e contratos e a definição de responsabilidade permanecem fora do alcance da análise técnica.
Conformidade como objeto tecnicamente examinável
O termo compliance pode designar estruturas bastante diferentes. Em uma organização, pode envolver regras internas, requisitos técnicos, controles de acesso, autorizações, segregação de funções, gestão de terceiros, proteção de informações, segurança operacional ou monitoramento de atividades. Cada contexto produz perguntas e evidências próprias.
Uma política publicada demonstra que determinada orientação foi formalizada. Ela não demonstra, isoladamente, que os destinatários a conheceram, que os processos foram ajustados ou que os controles funcionaram durante o período examinado. Da mesma forma, uma ocorrência divergente não permite concluir automaticamente que todo o sistema seja ineficaz.
O exame técnico busca reduzir essa distância entre o desenho documentado e o funcionamento observável. Para isso, transforma afirmações amplas em perguntas delimitadas sobre processos, sistemas, pessoas, datas, eventos e registros.
Delimitação da pergunta e do período
Um trabalho metodologicamente controlado começa pela definição do objeto. Expressões como “avaliar o compliance”, “investigar irregularidades” ou “verificar a conformidade da empresa” são amplas demais para orientar coleta e análise.
A delimitação pode identificar:
- o processo, unidade, sistema ou operação abrangidos;
- o período relevante;
- os controles e eventos que serão examinados;
- as fontes inicialmente conhecidas;
- os critérios técnicos fornecidos para comparação;
- as questões que não integram o trabalho;
- as limitações de acesso, qualidade ou conservação das informações.
O escopo pode ser ajustado quando surgem novas fontes ou relações entre eventos. Alterações devem ser documentadas para que o leitor compreenda por que determinados exames foram incluídos e outros permaneceram fora do trabalho.
Critérios de referência
Uma conclusão técnica depende do critério utilizado. O exame pode considerar procedimentos internos, especificações, matrizes de autorização, requisitos de sistemas, normas técnicas ou parâmetros expressamente definidos para o trabalho. Esses referenciais precisam ser identificados por versão, data de vigência e abrangência.
Textos legais, regulatórios e contratuais também podem ser recebidos como referências externas. Nesse caso, a análise técnica utiliza os requisitos e premissas indicados pelos profissionais ou autoridades competentes, sem decidir sua interpretação, validade, incidência ou consequência jurídica.
Quando existirem critérios concorrentes, o relatório pode apresentar os resultados correspondentes a cada hipótese. Essa abordagem preserva a utilidade do exame sem converter uma escolha jurídica ou administrativa em conclusão do especialista técnico.
Mapeamento do processo e dos controles
Antes dos testes, é útil representar o funcionamento esperado do processo. O mapeamento pode registrar entradas, atividades, decisões, responsáveis funcionais, sistemas, aprovações, saídas e pontos de controle.
Os controles podem ser preventivos, detectivos ou corretivos; manuais, automatizados ou híbridos; contínuos ou periódicos. Essas classificações não estabelecem superioridade entre mecanismos. Elas ajudam a compreender quando o controle deveria atuar, que evidência seria esperada e quais limitações podem afetá-lo.
Um fluxo documentado permite comparar três dimensões:
- o processo formalmente previsto;
- o processo descrito pelos participantes;
- o processo reconstruído a partir dos registros.
Divergências entre essas dimensões são achados que exigem contextualização. Podem decorrer de mudanças não documentadas, exceções autorizadas, falhas de registro, configurações de sistema ou execução diferente da prevista.
Matriz entre critério, controle e evidência
Uma matriz de rastreabilidade pode relacionar cada questão do escopo ao critério de referência, ao controle examinado, à fonte de evidência, ao procedimento aplicado e ao resultado observado.
Essa estrutura reduz o risco de conclusões genéricas. Também permite identificar critérios sem controle associado, controles sem evidência verificável e testes que não cobrem integralmente o período ou a população analisada.
A matriz não precisa ser apresentada integralmente no corpo do relatório. Pode integrar os papéis de trabalho ou um anexo, desde que a conclusão permaneça rastreável aos elementos que a sustentam.
Identificação das fontes de evidência
As informações podem estar distribuídas em documentos, correio eletrônico, plataformas colaborativas, sistemas corporativos, bases transacionais, dispositivos, registros de acesso, chamados, gravações, imagens e arquivos mantidos por terceiros.
O inventário inicial registra onde cada fonte está localizada, quem a administra, qual período conserva, como pode ser acessada e quais transformações ocorrem antes de sua apresentação ao analista. Também deve distinguir documentos contemporâneos aos fatos de materiais preparados posteriormente para explicar o ocorrido.
Uma fonte não é necessariamente completa ou neutra. Sistemas podem reter apenas parte dos eventos; relatórios podem aplicar filtros; planilhas podem conter valores copiados; mensagens podem ter sido exportadas sem determinados metadados. A força de uma inferência depende da procedência, cobertura e qualidade do material examinado.
Preservação e cadeia de custódia
Quando a confiabilidade dos registros pode ser questionada, a preservação precisa anteceder a análise. Os procedimentos variam conforme a natureza da fonte, o risco de alteração e a finalidade do trabalho.
Em materiais digitais, podem ser documentados responsáveis, datas, métodos de coleta, ferramentas, identificadores, valores de hash, formatos de exportação, transferências e condições de armazenamento. Nem todo exame exige aquisição forense integral, mas a opção adotada e suas limitações devem ser explicitadas.
A cadeia de custódia não demonstra que o conteúdo de uma informação seja verdadeiro. Ela documenta o percurso do material e auxilia a verificar se a evidência analisada corresponde àquela identificada ou coletada.
Exame documental
Políticas, procedimentos, atas, aprovações, contratos, relatórios e formulários podem ser examinados quanto à identificação, autoria aparente, versão, data, completude e coerência com outras fontes. O objetivo é compreender o que o documento registra e como ele se relaciona ao processo examinado.
Quando autenticidade, integridade ou autoria constituírem questões relevantes, podem ser necessários métodos próprios de documentoscopia, grafoscopia ou análise de arquivos digitais. A leitura do conteúdo não substitui esses exames especializados.
Contratos podem fornecer prazos, quantidades, níveis de serviço, requisitos técnicos e critérios indicados no escopo. Seu uso como fonte não compreende interpretação jurídica de cláusulas, caracterização de inadimplemento ou determinação de direitos e obrigações.
Registros de sistemas e trilhas de eventos
Sistemas corporativos podem registrar autenticações, mudanças de perfil, aprovações, alterações de dados, transações, falhas e intervenções administrativas. Esses registros auxiliam a reconstruir sequências e comparar o processo previsto com as ações efetivamente registradas.
A interpretação exige conhecer a arquitetura e as regras de geração dos logs. Horários podem utilizar fusos distintos; identificadores podem representar contas compartilhadas ou integrações; eventos podem ser agregados; períodos de retenção podem produzir lacunas. A associação entre uma conta e uma pessoa também não deve ser presumida sem elementos adicionais.
A cronologia técnica reúne eventos de diferentes fontes e conserva as incertezas existentes. Ela não deve produzir precisão maior do que a suportada pelos registros.
Análise de dados, padrões e anomalias
Métodos quantitativos podem ser utilizados para examinar populações numerosas. Distribuições, frequências, duplicidades, sequências, horários, relacionamentos, exceções e mudanças de comportamento podem revelar grupos que merecem exame mais detalhado.
Regras determinísticas selecionam registros que atendem a condições previamente definidas. Técnicas estatísticas identificam ocorrências distantes de padrões observados. Análises de redes exploram relações entre pessoas, contas, dispositivos ou transações. Modelos temporais verificam concentração, repetição e mudança ao longo do período.
Nenhuma anomalia demonstra, isoladamente, violação ou fraude. Um valor incomum pode resultar de evento legítimo, erro de cadastro, mudança operacional ou limitação da base. O resultado analítico funciona como indicação para investigação, não como qualificação automática da conduta.
Amostragem e cobertura
Quando não for possível examinar toda a população, a seleção de itens pode seguir critérios estatísticos, baseados em risco, direcionados por eventos ou combinados. Cada método responde a perguntas diferentes e possui limitações próprias.
Uma amostra probabilística pode permitir inferências sobre a população, desde que o desenho e os pressupostos sejam atendidos. Uma amostra dirigida pode concentrar-se em ocorrências de maior relevância, mas não representa necessariamente o comportamento geral. Amostras por disponibilidade possuem alcance ainda mais limitado.
O relatório deve informar população, período, critérios de inclusão e exclusão, tamanho da amostra e cobertura obtida. Resultados da amostra não devem ser generalizados além do que o método permite.
Testes sobre desenho e funcionamento
O desenho de um controle procura responder se o mecanismo, caso executado conforme previsto, seria capaz de tratar o risco ou o objetivo indicado. O teste de funcionamento examina se o controle operou no período e nas condições selecionadas.
Um controle pode estar adequadamente desenhado, mas não ter sido executado. Também pode funcionar na prática sem documentação suficiente para demonstrá-lo retrospectivamente. Há ainda situações em que controles compensatórios produzem efeitos semelhantes por caminhos diferentes.
Por isso, o resultado deve distinguir deficiência de desenho, falha de execução, ausência de evidência e limitação do teste. Agrupar todas essas situações sob uma única expressão reduz a precisão do relatório.
Entrevistas e declarações
Entrevistas podem esclarecer funções, rotinas, exceções, mudanças e localização de documentos. Elas auxiliam a formular hipóteses e interpretar registros, mas não devem ser tratadas automaticamente como confirmação independente.
O procedimento pode documentar data, participantes, temas, materiais apresentados e pontos sujeitos a verificação. Divergências entre declarações e registros devem ser descritas de maneira proporcional, considerando memória, contexto, diferenças de terminologia e limitações das fontes.
O entrevistador técnico não define responsabilidade nem realiza enquadramento jurídico. Seu papel é obter informações relacionadas às questões examináveis e confrontá-las, quando possível, com outras evidências.
Hipóteses alternativas e testes de robustez
Uma mesma combinação de registros pode admitir explicações diferentes. A análise pode testar hipóteses concorrentes e identificar quais evidências seriam esperadas em cada cenário.
Testes de robustez verificam se a conclusão muda diante de ajustes no período, na amostra, nos filtros, na definição de população ou na exclusão de fontes com qualidade limitada. Resultados sensíveis a pequenas alterações exigem linguagem mais cautelosa.
Hipóteses não confirmadas não devem desaparecer dos papéis de trabalho. Sua documentação demonstra o caminho analítico e reduz o risco de seleção apenas dos elementos compatíveis com uma narrativa inicial.
Integração multidisciplinar
Questões de conformidade podem envolver tecnologia, segurança da informação, engenharia, economia, ambiente, documentos, áudio, imagem ou outras especialidades. A integração ocorre pela definição de interfaces entre os exames, sem permitir que uma área substitua a competência metodológica de outra.
Um especialista em tecnologia pode explicar registros e controles de sistemas. Um profissional de engenharia pode examinar requisitos técnicos e condições operacionais. Métodos econômicos podem analisar incentivos, fluxos e impactos. Exames documentais podem avaliar características materiais ou digitais dos arquivos.
Categorias jurídicas eventualmente presentes no caso permanecem como premissas externas. A equipe técnica descreve fatos, métodos, relações e limitações, enquanto a interpretação jurídica cabe aos profissionais e autoridades competentes.
Documentos contábeis como fontes
Razões, demonstrativos, lançamentos, notas fiscais e registros financeiros podem integrar o conjunto documental quando relacionados ao objeto. O exame técnico pode organizar datas, valores, identificadores e correspondências com sistemas ou documentos de suporte.
Esse uso não corresponde à auditoria ou perícia contábil, não certifica demonstrações, não valida ou reclassifica lançamentos e não conclui sobre reconhecimento, mensuração ou apresentação contábil. Quando o objeto exigir esses procedimentos, será necessária atuação profissional específica na disciplina correspondente.
Linguagem proporcional aos achados
Termos como fraude, corrupção, ilícito, violação, culpa, má-fé e responsabilidade possuem significados que ultrapassam a constatação técnica. O relatório deve preferir descrições relacionadas ao que foi efetivamente observado.
Conforme o contexto, podem ser utilizadas formulações como:
- registro não localizado nas fontes e no período examinados;
- divergência entre o procedimento documentado e a sequência observada;
- aprovação não demonstrada pelos registros disponibilizados;
- evento compatível com mais de uma hipótese;
- anomalia selecionada para exame adicional;
- limitação que impede conclusão técnica mais específica.
Essa linguagem não enfraquece o trabalho. Ao contrário, permite distinguir evidência, inferência e qualificação externa.
Estrutura possível do relatório técnico
O produto pode apresentar objeto, escopo, questões examinadas, critérios recebidos, fontes, métodos, procedimentos, achados, limitações e conclusões. Anexos podem conter cronologias, matrizes de rastreabilidade, diagramas de processos, tabelas de testes e informações sobre preservação.
Cada achado pode relacionar:
- a condição observada;
- o critério técnico utilizado;
- a evidência correspondente;
- o alcance do teste;
- as explicações consideradas;
- as limitações aplicáveis.
Recomendações, quando fizerem parte do escopo corporativo, devem permanecer relacionadas a processos, controles, registros ou preservação técnica. A escolha administrativa, jurídica ou regulatória decorrente dos resultados compete aos responsáveis pela decisão.
Limitações que precisam permanecer visíveis
Exames retrospectivos dependem dos vestígios conservados. Exclusões de fontes, períodos de retenção, acessos incompletos, mudanças de sistemas, dados exportados por terceiros e ausência de documentação podem limitar a conclusão.
Também é possível que controles funcionem sem produzir o registro esperado ou que registros existam sem comprovar a execução substancial do controle. O relatório deve explicar como essas possibilidades foram tratadas.
Uma conclusão tecnicamente defensável não promete certeza absoluta. Ela indica o que os métodos e as evidências permitem afirmar dentro do escopo definido.
Aplicações em ambientes empresariais
A metodologia pode ser aplicada a processos de autorização, gestão de acessos, relacionamento com terceiros, operações tecnológicas, segurança da informação, continuidade, controles técnicos e investigações internas. O desenho do trabalho varia conforme o setor, os sistemas e a decisão que será apoiada.
Em controvérsias, o exame pode fornecer cronologias, matrizes de evidências, análise de registros e pareceres técnicos para utilização pelos profissionais responsáveis. Não compreende elaboração de estratégia de defesa ou acusação, postulação, aconselhamento jurídico ou determinação da ocorrência de ilícitos.
Conformidade técnica como processo verificável
Um programa não se torna verificável apenas pela quantidade de políticas produzidas. Sua análise depende da relação entre critérios, processos, controles, registros e resultados observáveis.
Métodos de mapeamento, preservação, amostragem, análise documental, exame de sistemas e testes de controles oferecem perspectivas complementares. A seleção depende do objeto e das evidências disponíveis; nenhum desses métodos é universalmente superior aos demais.
Ao separar constatação técnica, inferência e qualificação jurídica, o exame produz resultados mais claros para gestores, áreas de governança, especialistas e responsáveis pelas decisões institucionais.
Proposta técnica
A definição do escopo pode começar pela identificação da questão técnica, do período, dos sistemas envolvidos e das fontes de evidência potencialmente disponíveis. No contato inicial, não devem ser enviados nomes, documentos ou detalhes confidenciais do caso.
Nota editorial: Este artigo possui caráter técnico e informativo. Descreve métodos possíveis para examinar processos, controles, registros e evidências, sem indicar uma técnica universalmente preferível. O texto não oferece serviços jurídicos, não define a incidência ou violação de normas, não determina responsabilidades e não constitui auditoria ou perícia contábil. A aplicação dos métodos depende do objeto, das fontes disponíveis e das habilitações profissionais exigíveis em cada disciplina.
Referências técnicas indicativas
- ISO 37301:2021 — Compliance management systems — Requirements with guidance for use.
- ISO 19011:2026 — Guidelines for auditing management systems.
- ISO/IEC 27037:2012 — Guidelines for identification, collection, acquisition and preservation of digital evidence.
- ISO 31000:2018 — Risk management — Guidelines.
- NIST Special Publication 1800-25 — Data Integrity: Identifying and Protecting Assets Against Ransomware and Other Destructive Events.
(arte ©iStock.com/diego_cervo)