Produzir um registro convincente — uma ata, um log, uma captura de tela, um relatório com papel timbrado — leva minutos, e o custo cai a cada trimestre. Estabelecer que esse registro é genuíno custa cada vez mais. Essa assimetria redefine o ofício, e a pergunta operacional que introduz em cada auditoria é uma só · como esta evidência chegou até a minha mesa. Todo o edifício da confiança técnica repousa sobre o pressuposto que essa pergunta examina · que a evidência apresentada é o que diz ser.
Este critério desenvolve o pressuposto tácito do Critério 02. Os cinco elementos da evidência verificável — ator, data, critério, escopo, vigência — podem estar todos presentes e ser todos sintéticos · um PDF gerado os traz impressos, um log fabricado os lista em ordem, uma ata produzida ontem traz a data do ano passado. Chamo de integridade da evidência a propriedade que falta, e ela se compõe de três condições do registro · procedência — quem e qual sistema o produziu —, inalterabilidade — ninguém o modificou desde sua produção — e custódia — quem pôde manuseá-lo no caminho até a mesa do auditor. A evidência também é auditada. Onde a integridade do registro fica sem exame, os cinco elementos flutuam sobre o nada.
Evidência operacional e evidência preparada
A evidência operacional costuma anteceder a auditoria · é o rastro que a organização deixa ao trabalhar. Suas datas de geração acompanham a atividade, com pausas e picos que podem ser explicados. Um lote criado pouco antes da visita não prova falsidade; exige corroboração adicional. A data de geração é diferente da data que o registro declara, e a distância entre ambas é investigada antes de se concluir.
Três patologias do registro
Patologia 01 · o registro fornecido sem corroboração. A captura de tela que o próprio sujeito auditado entrega ou o extrato que a área imprime sem acesso do auditor à fonte podem ser evidências úteis, mas mantêm uma dependência evidente da parte interessada. Seu peso aumenta quando são corroborados com uma fonte independente ou com o sistema de origem.
Patologia 02 · o registro gerado em lote. A documentação atribuída a períodos distintos aparece criada em uma mesma semana. Datas concentradas, um mesmo autor para processos diferentes ou versões que já nasceram como finais são sinais para revisão. Também podem ter uma explicação legítima, como uma migração ou consolidação; os metadados orientam a corroboração, não substituem a conclusão.
Patologia 03 · o registro sintético. Atas com assinaturas clonadas, comprovantes gerados, áudio ou vídeo capazes de sustentar uma identidade falsa em uma videochamada. O AI Incident Database reúne incidentes de fraude com esses mecanismos. O registro permite comprovar que o risco existe; não oferece, por si só, uma taxa universal aplicável a toda organização.
O valor probatório migrou para a procedência
A facilidade atual para gerar documentos convincentes reduz o valor de aceitar o conteúdo pela aparência. Procedência, proteção contra alteração e custódia passam a fazer parte da análise. Conforme o risco, a resposta pode incluir corroboração com outra fonte, revisão de metadados, acesso ao sistema de origem ou mecanismos criptográficos de integridade e carimbo de tempo. Nenhum mecanismo isolado autentica por si só o fato documentado.
O padrão se aplica ao próprio auditor
A doutrina ficaria incompleta se terminasse no auditado. Os papéis de trabalho do auditor estão sujeitos à mesma pergunta · de onde saiu cada evidência, quem a manuseou, que proteção teve. A versão pública dessa disciplina é a correção · quem corrige em público um dado próprio demonstra que seu sistema de afirmações funciona — a auditoria contínua aplicada à própria assinatura. O auditor que exige procedência alheia e descuida da própria pede um tratamento que sua doutrina não autoriza.
Uma declaração de limites, porque os limites são parte do argumento. Este critério exige reconstruir a procedência da evidência que tem peso na constatação e declarar com honestidade o grau de corroboração no relatório. A perícia forense caso a caso pertence a outro ofício e é convocada quando o risco a justifica.
O teste do critério
Tome as três evidências de maior peso em sua última auditoria — interna ou externa — ou em sua última análise crítica pela direção. Para cada uma, três perguntas. Quem a produziu e em qual sistema? A data de geração coincide com a data que o documento declara? Que proteção teve contra alteração entre sua produção e esta mesa? Resposta esperada · as três perguntas são respondidas com registro consultável, sem se apoiar na palavra de quem a entregou, e a reconstrução completa leva menos de uma jornada de trabalho. A evidência-chave que se sustenta apenas na palavra do auditado muda de categoria · deixa de fundamentar a constatação e fica pendente de corroboração — e o relatório diz isso com essas palavras.