A política declara revisão trimestral de acessos. O procedimento existe, o responsável está designado, o ponto do checklist se encerra sozinho. Quando peço o registro técnico do sistema, a última revisão real tem nove meses. Nenhuma etapa do plano de auditoria exigia esse registro. O critério o exigia.
Chamo isso de a ordem do ofício · o auditor precede o método. O método torna a auditoria legível para terceiros. O critério decide o que examinar quando o método fica sem perguntas. Auditor é quem sabe que o checklist completo ainda não é a verdade.
O que o método resolve
O método tem autoria documentada · ISO 19011 para auditoria de sistemas de gestão, as Normas Globais do IIA para auditoria interna e ISO/IEC 17021-1 para certificação. São referenciais publicados, sujeitos a revisão formal. Organizam a obtenção de evidências, a amostragem, a documentação de constatações e o encerramento.
O método cumpre ainda uma função que nenhuma prática individual substitui · torna a auditoria legível para terceiros. Sem método, dois auditores diante do mesmo caso produzem duas auditorias incompatíveis. Com método, um terceiro pode reconstruir o que foi examinado, sob qual critério e com qual resultado. A legibilidade é a metade pública do ofício.
O que a prática profissional resolve
A prática profissional tem autoria acumulada · organizações lidas, atas revisadas, incidentes reconstruídos e memória operacional do que costuma falhar. Não se baixa. Constrói-se com casos, supervisão e assinatura sustentada.
A prática resolve perguntas que o método não formula · que pergunta o comitê está evitando, que evidência falta quando tudo parece estar em conformidade, onde se concentra o risco que ninguém inventariou. A triangulação é o exemplo mais claro da ordem entre os dois. O método determina cruzar documento, registro e depoimento; o critério decide o que fazer quando as três fontes dizem coisas distintas. As fontes divergem quando o problema está mal formulado · por isso a resposta especializada costuma ser reformular a pergunta, não forçar a constatação. Sem esse julgamento, a constatação é opinião emitida com metodologia decorativa.
O caso que o método não pede
Volto à cena inicial · é o caso que este critério deve ao leitor. O plano de amostragem encerrava o ponto com duas evidências · a política vigente e a entrevista com o responsável. As duas estavam em ordem. O desvio consistiu em pedir uma terceira que o plano não exigia · o registro da máquina, com a data real da última revisão de acessos. Nove meses contra os três declarados. A constatação existiu porque o critério determinou ler a distância entre o mapa e o território. A política diz uma frequência, o sistema registra outra · auditar é ler essa distância com honestidade técnica.
O caso inverso é público e foi sancionado. APAS concluiu que houve descumprimentos profissionais nas auditorias de Wirecard: impôs 500.000 euros à firma, multas individuais a cinco auditores e dois anos sem novos trabalhos para entidades de interesse público (APAS, 2023). O processo não autoriza uma leitura confortável: os papéis de trabalho podem existir e o julgamento profissional continuar falhando.
As duas cenas são a mesma tese com sinal oposto. Quando a prática precede, o auditor entra com perguntas e usa o método para sustentá-las. Quando o método precede, o auditor entra com listas, a organização aprende a apresentar o que a lista procura, e o sistema confirma a si mesmo.
Dessa ordem deriva o segundo trabalho do auditor, aquele que nenhum contrato escreve · além de verificar conformidade, vê antes a crise que a organização ainda não nomeou. É prevenção disfarçada de revisão.
A escada rompida
A pergunta desta década tem dois andares. O primeiro · quando o método é um copiloto de IA que pré-preenche o checklist, o risco muda de escala. O copiloto produz método sem critério em velocidade de máquina · completa os pontos, redige constatações plausíveis, encerra o papel de trabalho. Tudo fica legível. O que deixa de fazer é exatamente o que define o auditor · pedir o registro que o plano não exigia. A ferramenta acelera a metade pública do ofício e deixa a outra intacta. Por isso a assinatura continua sendo humana.
O segundo andar é menos visível. Se a ferramenta absorve o trabalho júnior, também reduz o espaço onde se aprende a revisar atas, cruzar registros e errar com supervisão. A profissão precisa decidir onde formará aqueles que, daqui a dez anos, deverão reconhecer quando o plano já não basta.
O teste do critério
Três perguntas de entrevista, antes de contratar um auditor · cada uma com sua resposta esperada.
Pergunta um · peça que descreva uma auditoria em que o método não foi suficiente. Resposta esperada · um caso específico, com a decisão técnica que tomou e a razão pela qual se desviar foi o correto · processo, ano e resultado. Quem responde com generalidades, ou afirma que o método sempre basta, ainda não esteve onde o método termina.
Pergunta dois · peça três padrões que preveem não conformidades futuras no seu setor. Resposta esperada · padrões próprios, formulados com vocabulário de campo e vinculados a casos. O limiar é a especificidade · quem repete os padrões do material de capacitação tem método; quem nomeia os que aprendeu observando tem prática profissional.
Pergunta três · peça que conte o que fez quando detectou algo que a organização preferia não examinar. Resposta esperada · sustentou a pergunta, documentou a constatação e aceitou o custo do incômodo. A descrição orgulhosa de como evitou o conflito responde a outra pergunta · quanto vale sua assinatura sob pressão.
A ordem do ofício se verifica em uma conversa e se constrói em vinte anos de campo. A organização que contrata um auditor contrata essa ordem · primeiro o critério, depois o instrumento que o torna legível.