A auditabilidade como dimensão da governança regulatória

Introdução

Uma auditoria pede a justificativa de uma decisão tomada meses atrás.

A organização tem a ata, o e-mail, o relatório técnico. Os documentos existem. Mas ninguém consegue reconstruir, com segurança, por que aquele caminho foi escolhido e não outro.

Esse cenário, especialmente relevante em ambientes regulados, revela um problema que não se confunde com falta de documentação. É um problema de governança.

Quais informações estavam disponíveis naquele momento? Quais critérios foram considerados? Quais riscos foram identificados? Quais alternativas foram avaliadas? Quem participou? Qual versão do documento serviu de fundamento? Houve alguma exceção? A decisão foi posteriormente alterada? Por quem? Com base em quê?

Se a organização não consegue responder a essas perguntas, talvez possua documentação, mas não possua uma memória decisória suficientemente estruturada.

É nesse ponto que a auditabilidade deixa de ser uma questão meramente operacional e passa a integrar o problema da governança.

A sequência conceitual desenvolvida nos artigos anteriores partiu da tecnologia, passou pela decisão, avançou para a governança e chegou à responsabilidade institucional. O passo seguinte é compreender que responsabilidade, para ser efetivamente exercida, necessita de evidências.

E evidência, em ambientes regulados, precisa permitir reconstrução.

A tese deste artigo é, portanto, que a auditabilidade constitui uma dimensão da governança regulatória porque transforma a memória institucional em capacidade de reconstruir, explicar, fiscalizar e responsabilizar decisões relevantes.

Não se sustenta, contudo, que toda organização esteja submetida a uma obrigação jurídica geral de manter um determinado modelo documental. A exigência concreta dependerá do regime jurídico aplicável, da atividade exercida, do setor regulado e da natureza da decisão.

A questão é outra: quando uma decisão relevante não pode ser reconstruída, existe uma fragilidade de governança que pode permanecer invisível até o momento em que a organização precise prestar contas sobre ela.

1. A decisão que não pode ser reconstruída

A primeira dificuldade está em reconhecer que a decisão institucional não se resume ao seu resultado.

Uma decisão regulatória ou organizacional normalmente representa o ponto final de um processo: informações são produzidas, alternativas consideradas, riscos avaliados, responsabilidades distribuídas e uma determinada opção é escolhida.

Na teoria da regulação, Baldwin, Cave e Lodge (2012) tratam a atividade regulatória como fenômeno institucional complexo, no qual regras, instrumentos, atores e mecanismos de controle interagem. A regulação contemporânea não se reduz, portanto, à existência de uma norma; envolve estruturas e processos capazes de produzir e implementar decisões.

Essa perspectiva é particularmente relevante em ambientes de alta complexidade técnica, como saúde e tecnologia. Uma decisão pode envolver simultaneamente conhecimento médico, dados, sistemas informatizados, requisitos sanitários, análise jurídica, avaliação econômica e gestão de riscos.

O resultado final pode parecer simples. O caminho que levou até ele, não. É justamente esse caminho que precisa permanecer inteligível.

A Lei nº 9.784/1999 oferece um exemplo particularmente importante no campo do Direito Administrativo. Ao estabelecer critérios para o processo administrativo federal, seu art. 2º, parágrafo único, VII, determina a indicação dos pressupostos de fato e de direito que determinaram a decisão, e o art. 50 prevê, para as hipóteses ali elencadas, motivação explícita, clara e congruente.

Essa exigência dialoga com a Lei nº 13.655/2018, que alterou a Lei de Introdução as Normas do Direito Brasileiro (LINDB). O art. 20 trata da consideração das consequências práticas das decisões públicas, enquanto o art. 22 determina que a interpretação de normas sobre gestão pública considere as circunstâncias práticas que impuseram, limitaram ou condicionaram a ação do agente.

Ambos os dispositivos reforçam uma preocupação convergente com a qualidade da decisão pública: sua fundamentação deve considerar as circunstâncias relevantes e, nas hipóteses legais, as consequências práticas da decisão.

A motivação, portanto, não é mero ornamento textual. Ela funciona como elemento de inteligibilidade da decisão. E, quando a decisão precisa ser controlada posteriormente, a inteligibilidade depende da possibilidade de recuperar os elementos que lhe deram origem.

É nesse ponto que surge a questão da auditabilidade.

2. Registrar não é o mesmo que tornar auditável

Documentação, registro, rastreabilidade, justificativa, evidência e auditabilidade são categorias relacionadas, mas não equivalentes.

Registro demonstra que determinado fato ou ato ocorreu. Documentação preserva informações sobre determinada atividade, processo ou decisão. Rastreabilidade permite acompanhar o percurso de informações, eventos ou alterações ao longo do tempo. Justificativa explicita as razões que sustentam determinada escolha. Evidência fornece elementos verificáveis capazes de sustentar uma afirmação sobre aquilo que ocorreu.

Auditabilidade, por sua vez, representa uma capacidade mais ampla: a possibilidade de reconstruir e avaliar, posteriormente, o processo pelo qual determinada decisão foi produzida.

A distinção é fundamental. Uma organização pode possuir milhares de documentos e, ainda assim, não conseguir reconstruir uma decisão. Pode possuir logs sem conseguir compreender seu significado. Pode armazenar versões sem saber qual versão efetivamente fundamentou a escolha. Pode ter uma política interna sem conseguir demonstrar que ela foi considerada no caso concreto. Pode apresentar uma decisão final sem preservar adequadamente os elementos que explicam sua formação.

A documentação responde, em grande medida, à pergunta:

“O que foi registrado?”

A auditabilidade acrescenta perguntas mais difíceis:

“Como essa decisão foi construída?” “Por que essa alternativa foi escolhida?” “Quais informações e critérios estavam disponíveis?” “Quem participou e quais responsabilidades assumiu?”

A distinção encontra paralelo no princípio de responsabilização e prestação de contas previsto na LGPD. O art. 6º, X, estabelece a demonstração da adoção de medidas eficazes capazes de comprovar observância e cumprimento das normas de proteção de dados e a eficácia dessas medidas.

A lógica é relevante para além da proteção de dados. Governança não é apenas fazer corretamente. É possuir condições institucionais para demonstrar, quando necessário, que se buscou fazer corretamente e por quais razões.

3. O que uma decisão auditável precisa preservar

Uma decisão auditável não exige necessariamente a produção de documentos em quantidade ilimitada. Exige coerência entre a importância da decisão, os riscos envolvidos e a qualidade da memória institucional preservada.

Em termos jurídicos e institucionais, alguns elementos assumem especial relevância.

O primeiro é o contexto. Uma decisão somente pode ser adequadamente compreendida quando se conhece o problema que a organização enfrentava naquele momento.

O segundo são as informações utilizadas. É necessário, quando pertinente, conseguir identificar quais dados, estudos, pareceres, relatórios ou informações técnicas estavam disponíveis.

O terceiro são os critérios considerados. Não basta conhecer o resultado. É preciso compreender quais parâmetros foram utilizados para chegar até ele.

O quarto elemento são os responsáveis envolvidos. A decisão institucional precisa permitir a identificação das instâncias que participaram de sua formação, aprovação, revisão ou alteração.

Também são relevantes as versões documentais, as aprovações, as alterações posteriores, as exceções admitidas, os riscos identificados, as medidas de mitigação e o resultado produzido.

Isso não significa converter toda organização em um arquivo permanente de cada interação humana. Significa reconhecer que a memória institucional deve ser proporcional à relevância da decisão e ao risco que ela representa.

A própria LGPD adota lógica semelhante ao tratar da documentação das operações e dos mecanismos de avaliação e mitigação de riscos. A documentação, portanto, não deve ser produzida apenas porque “pode ser útil algum dia”. Ela deve ser pensada em função daquilo que a organização poderá precisar demonstrar.

Essa é uma diferença importante entre acumulação documental e arquitetura de evidências.

4. Auditabilidade e responsabilização

Responsabilização pressupõe possibilidade de atribuição. E atribuição pressupõe conhecimento sobre o processo que produziu determinado resultado.

A relação pode ser representada assim:

decisão → evidência → reconstrução → responsabilização

Sem evidência, a reconstrução torna-se precária. E, sem reconstrução, a responsabilização pode se transformar em mera atribuição retrospectiva de culpa.

Esse problema possui dimensão jurídica, mas também institucional.

Quando uma organização é fiscalizada, não basta afirmar que “o procedimento era esse”. É necessário, dependendo do caso, demonstrar como o procedimento foi aplicado.

Quando uma decisão é questionada, não basta afirmar que “a área técnica avaliou”. É relevante conseguir identificar qual avaliação foi realizada, em que momento e com base em quais informações.

Quando ocorre um incidente, não basta dizer que “havia controles”. É necessário verificar se os controles existiam, se estavam implementados e se eram efetivamente utilizados.

Nesse sentido, a responsabilização e prestação de contas (accountability) não deve ser confundida com punição. Bovens (2007), ao desenvolver uma estrutura conceitual para accountability, destaca a relação entre um ator que deve prestar contas e um fórum perante o qual precisa explicar e justificar sua conduta, estando sujeito a questionamentos e possíveis consequências.

A auditabilidade oferece parte da infraestrutura necessária para essa relação.

Ela permite que a organização não dependa exclusivamente da memória pessoal dos envolvidos. Isso é particularmente importante em estruturas complexas, nas quais pessoas mudam de função, sistemas são substituídos, fornecedores são trocados e decisões precisam ser compreendidas muito tempo depois de sua adoção.

5. A dimensão regulatória

A relevância da auditabilidade torna-se ainda mais evidente em ambientes regulados.

A regulação contemporânea envolve múltiplos atores, diferentes fontes de conhecimento e mecanismos variados de controle. Black (2008), ao examinar legitimidade e accountability em regimes regulatórios policêntricos, evidencia a complexidade das relações entre diferentes centros de autoridade e os desafios decorrentes dessa configuração.

Nesse contexto, a capacidade de explicar decisões não pertence exclusivamente ao regulador. Também interessa ao regulado.

Uma organização submetida à fiscalização precisa ser capaz de demonstrar sua conformidade, responder a questionamentos e reconstruir decisões relevantes.

Isso é particularmente perceptível no setor da saúde. A Anvisa trabalha com regimes regulatórios que pressupõem documentação técnica, avaliação, monitoramento e rastreabilidade em diferentes contextos. No campo de Software as a Medical Device, a RDC nº 657/2022 estabeleceu requisitos específicos para a regularização de softwares como dispositivos médicos, inserindo tecnologias digitais em um regime regulatório sanitário próprio.

Esses exemplos demonstram uma distinção que precisa ser preservada: há situações em que a rastreabilidade ou determinada documentação constitui obrigação jurídica específica; em outras, a estruturação de memória decisória representa uma prática de governança recomendável.

Não se deve transformar uma boa prática em obrigação legal sem base normativa. Mas também não se deve concluir que, na ausência de uma regra documental específica, a organização esteja dispensada de estruturar sua capacidade de demonstrar racionalidade, conformidade e gestão de riscos.

A Organização para a Cooperação e Desenvolvimento Econômico (OECD), na Recommendation of the Council on Regulatory Policy and Governance (2012), relaciona qualidade regulatória, supervisão institucional, accountability, transparência e tomada de decisão baseada em evidências como elementos de um mesmo sistema.

Em The Governance of Regulators, a OECD aprofunda especificamente a avaliação de desempenho dos órgãos reguladores e a prestação de contas sobre o exercício de suas competências.

A produção e organização de evidências integra, portanto, uma arquitetura mais ampla de qualidade regulatória.

A fiscalização contemporânea tende a perguntar não apenas:

“Qual foi o resultado?”

mas também:

“Como esse resultado foi produzido?”

6. Auditabilidade na era da decisão automatizada

A transformação digital torna o problema ainda mais complexo.

Em decisões automatizadas, a questão já não é apenas identificar o responsável formal pela decisão. É necessário compreender quais evidências permitem demonstrar como o sistema foi configurado, quais dados foram utilizados, quais critérios estavam ativos, qual versão do modelo ou sistema estava em operação, que supervisão humana existia e como eventuais desvios eram tratados.

A LGPD oferece uma referência jurídica concreta.

O art. 20 assegura ao titular o direito de solicitar revisão de decisões tomadas unicamente com base em tratamento automatizado de dados pessoais que afetem seus interesses. O § 1º prevê informações claras e adequadas sobre os critérios e procedimentos utilizados, observados os segredos comercial e industrial, e o § 2º contempla a possibilidade de auditoria pela autoridade nacional na hipótese prevista na lei.

O ponto relevante para este artigo não é repetir o debate sobre responsabilidade por decisões automatizadas.

É avançar um passo.

Se uma organização pretende demonstrar que supervisionou adequadamente uma decisão produzida com auxílio tecnológico, precisa preservar evidências capazes de sustentar essa afirmação.

Uma política de supervisão, de validação ou de revisão humana, isoladamente, pode não ser suficiente. É preciso que exista memória de sua aplicação, evidências sobre a validação efetivamente realizada e a possibilidade de demonstrar quando e como a revisão humana ocorreu.

A auditabilidade desloca, assim, a pergunta:

Quem responde pela decisão?

para uma questão complementar:

Quais evidências permitem demonstrar como a decisão foi produzida, supervisionada e modificada?

Essa mudança é decisiva.

7. A auditabilidade como infraestrutura institucional

A principal consequência da tese aqui desenvolvida é que auditabilidade não deve ser tratada apenas como mecanismo de fiscalização.

Ela deve ser compreendida como infraestrutura institucional de governança.

Governança, em sentido amplo, envolve coordenação de atores, estruturas, processos e mecanismos de decisão. Bevir (2013) enfatiza a governança como forma de compreender processos contemporâneos de coordenação institucional; no campo regulatório, a literatura de Baldwin, Cave e Lodge (2012) demonstra a multiplicidade de instrumentos e atores envolvidos na atividade regulatória.

Essa perspectiva permite compreender a governança regulatória como categoria analítica para examinar coordenação, legitimidade e racionalidade institucional.

A auditabilidade acrescenta uma dimensão temporal a essa estrutura.

Ela cria uma ponte entre o que foi decidido ontem e a capacidade de explicar essa decisão hoje.

Por isso, auditabilidade relaciona-se diretamente com gestão de riscos.

Uma organização que não consegue reconstruir decisões relevantes possui dificuldade não apenas para responder a fiscalizações, mas também para aprender com seus próprios erros.

A memória decisória permite identificar padrões, reconhecer exceções, verificar recorrências e comparar decisões semelhantes; permitindo avaliar se os controles funcionaram, corrigir processos e aperfeiçoar a governança.

Nesse sentido, auditabilidade possui uma função que antecede a fiscalização.

Ela permite que a própria organização exerça controle sobre sua história decisória.

8. Da fiscalização à confiança

A confiança institucional não decorre da ausência de questionamentos.

Instituições confiáveis são aquelas capazes de responder a questionamentos de maneira consistente.

Em The Governance of Regulators, a OECD relaciona accountability e transparência à capacidade de reguladores explicarem decisões, serem submetidos a supervisão e fornecerem condições para revisão e controle.

Essa lógica pode ser transposta, com as devidas cautelas, para organizações reguladas.

Uma organização madura não deve pensar na auditoria como evento excepcional que ocorre quando algo deu errado.

Deve construir, ao longo do tempo, condições para que uma eventual auditoria seja capaz de encontrar uma história inteligível.

Isso muda a própria concepção de conformidade.

Conformidade deixa de significar apenas:

“Temos documentos que demonstram que cumprimos a regra.”

E passa a significar:

“Possuímos evidências suficientes para demonstrar como nossas decisões relevantes foram construídas, quais riscos foram considerados e como nossos controles funcionaram.”

É uma mudança de perspectiva.

No primeiro modelo, a organização responde à fiscalização.

No segundo, ela constrói previamente as condições de resposta.

Essa diferença é particularmente importante para ambientes de inovação em saúde, nos quais decisões tecnológicas podem produzir efeitos regulatórios, sanitários, econômicos e relacionados a direitos fundamentais.

A inovação pode ser rápida.

A responsabilidade institucional, não.

Quando uma decisão precisa ser examinada meses ou anos depois, a organização dependerá da qualidade da memória que construiu no momento em que decidiu.

Conclusão

A pergunta que orienta este artigo pode agora ser retomada:

Uma decisão que não pode ser reconstruída pode ser considerada institucionalmente governada?

A resposta exige uma distinção.

A impossibilidade de reconstrução não significa, automaticamente, que a decisão seja ilegal. Nem toda decisão está sujeita ao mesmo grau de documentação, motivação ou registro. As obrigações jurídicas variam conforme o regime aplicável, a natureza da atividade, o setor e os riscos envolvidos.

Mas a impossibilidade de reconstrução constitui, sim, um sinal relevante de fragilidade institucional.

Uma organização pode ter cumprido formalidades e, ainda assim, possuir uma governança deficiente se não consegue explicar decisões relevantes.

A auditabilidade não substitui a governança.

Ela revela sua maturidade.

Registrar é preservar.

Rastrear é acompanhar.

Justificar é explicar.

Produzir evidência é demonstrar.

Auditar é poder reconstruir, avaliar e demonstrar como uma decisão foi tomada.

É por isso que a auditabilidade deve ser compreendida como dimensão da governança regulatória.

A sequência construída ao longo desta série pode, então, avançar mais um passo:

tecnologia → decisão → governança → responsabilidade → evidência → auditabilidade → fiscalização

E esse percurso revela uma conclusão institucional mais ampla:

responsabilidade sem memória decisória é uma promessa difícil de verificar; governança sem auditabilidade é uma estrutura cuja maturidade pode não sobreviver à primeira fiscalização.

Instituições confiáveis não são aquelas que nunca precisam explicar suas decisões.

São aquelas que, quando precisam explicá-las, conseguem reconstruir o caminho que as produziu.

Referências essenciais

BALDWIN, Robert; CAVE, Martin; LODGE, Martin. Understanding Regulation: Theory, Strategy, and Practice. 2. ed. Oxford: Oxford University Press, 2012.

BEVIR, Mark. Governance: A Very Short Introduction. Oxford: Oxford University Press, 2013.

BLACK, Julia. Constructing and Contesting Legitimacy and Accountability in Polycentric Regulatory Regimes. Regulation & Governance, v. 2, n. 2, p. 137–164, 2008.

BOVENS, Mark. Analysing and Assessing Accountability: A Conceptual Framework. European Law Journal, v. 13, p. 447–468, 2007.

BRASIL. Constituição da Republica Federativa do Brasil de 1988.

BRASIL. Lei nº 9.784, de 29 de janeiro de 1999. Regula o processo administrativo no âmbito da Administração Pública Federal.

BRASIL. Lei nº 13.655, de 25 de abril de 2018. Dispõe sobre segurança jurídica e eficiência na criação e na aplicação do direito público, alterando a LINDB.

BRASIL. Lei nº 13.709, de 14 de agosto de 2018. Lei Geral de Proteçâo de Dados Pessoais.

OECD. Recommendation of the Council on Regulatory Policy and Governance. Paris: OECD, 2012.

OECD. The Governance of Regulators. Paris: OECD.

ANVISA. RDC nº 657, de 24 de março de 2022. Dispõe sobre a regularização de software como dispositivo médico.