Auditoria interna: 6 pontos no tarjamento em lote de relatório
No momento de divulgação de relatório de auditoria, o documento que mais costuma virar dor de cabeça é o relatório final (com anexos) em PDF, já pronto para circular internamente e, em alguns casos, para ser publicado. É nessa etapa que a Auditoria Interna precisa aplicar tarjamento em lote sem deformar o conteúdo que dá suporte às conclusões.
O desafio prático não é “se” deve ocultar o que está restrito, mas “onde” isso aparece quando o relatório é montado: no corpo, nas tabelas, nas imagens inseridas e, principalmente, nos anexos que vêm de outros sistemas. Em auditoria, a inconsistência de critérios entre arquivos é o que faz a informação escapar.
Afirmacao exclusiva: no relatório de auditoria, o tarjamento em lote falha primeiro nos anexos exportados (e não no corpo do texto)
Em relatório de auditoria, a maior parte do conteúdo sensível não está no texto corrido do relatório final: está nos anexos exportados para “evidenciar” achados. Exemplos típicos são extratos de sistemas (CSV para PDF), espelhos de telas, notas técnicas recebidas por e-mail, planilhas com filtros e PDFs escaneados juntados como evidência.
O que torna isso específico do seu fluxo é que o relatório final geralmente passa por revisão editorial (e, por isso, chama atenção), enquanto os anexos entram por conveniência: “só para comprovar”. Quando você roda tarjamento em lote apenas no arquivo do relatório e publica o pacote (relatório + anexos), é nos anexos que o conteúdo restrito aparece intacto.
Há um detalhe técnico que agrava o problema: anexos exportados de sistemas podem trazer o dado em camadas diferentes. Em PDF nativo, o texto é selecionável; desenhar um retângulo preto por cima não remove o conteúdo — ele continua na camada digital e pode reaparecer ao copiar/colar ou ao extrair texto. Já em digitalizados (imagem), “cobrir” a área também não remove nada: sem OCR você não localiza as ocorrências e, mesmo com OCR, é preciso remover o conteúdo de forma definitiva no arquivo final.
6 pontos que a Auditoria Interna revisa no relatório de auditoria
Como o cenário é a divulgação de relatório de auditoria e a palavra-chave é tarjamento em lote, o procedimento funciona melhor como checklist de revisão por tipos de evidência. A ordem abaixo foi pensada para reduzir retrabalho: primeiro você garante que o lote é homogêneo (mesmo critério), depois entra nos pontos onde o vazamento é mais frequente.
- Defina a “unidade de publicação” antes do lote: é só o relatório final em PDF ou é um pacote com anexos (PDFs, planilhas convertidas, imagens)? Se existir pasta/zip com anexos, trate tudo como um único conjunto. O erro comum é tarjar o relatório e esquecer o anexo “Evidências.pdf”.
- Separe anexos por origem:
- Exportados de sistema (texto selecionável)
- Digitalizados (imagem)
- Capturas de tela (imagem com texto pequeno)
- Planilhas convertidas (tabelas longas, às vezes com abas coladas)
Isso evita aplicar o mesmo método em arquivos tecnicamente diferentes.
- No corpo do relatório, revise “identificadores que viajam”: não é só nome/CPF. Em auditoria, confira se o relatório repete em muitos lugares:
- número de processo administrativo associado ao achado (quando não deve ser exposto no contexto de divulgação)
- número de prontuário / matrícula funcional / código interno de sistema que permite reidentificação
- placas, chassi, número de patrimônio e identificadores de equipamento (ex.: prints de inventário)
- assinaturas digitalizadas inseridas como imagem no final
- Nos anexos exportados, procure colunas ocultas “de controle”: anexos que vêm de planilha ou exportação de BI, quando convertidos para PDF, podem levar campos que não aparecem no primeiro olhar, como:
- colunas de e-mail/ramal “para contato”
- colunas de “observação interna” do fiscal/gestor
- campos de autenticação/identificador de sessão
- rodapés automáticos do sistema com usuário e data/hora de extração
No lote, esse tipo de ocorrência se repete em dezenas de páginas e amplia o risco.
- Em PDFs nativos, valide que o tarjamento remove conteúdo (não só cobre): se a sua rotina usa “tarja preta” como desenho, você não está ocultando definitivamente. O teste é simples: após tarjar, tente selecionar o texto sob a tarja, copiar e colar em um bloco de notas. Se o texto aparece, o arquivo não foi removido — está apenas mascarado. Para entender o porquê, vale a leitura: tarja preta não protege e apagar dados de PDF.
- Em digitalizados, trate OCR como etapa obrigatória quando o dado se repete: se o anexo é escaneado (imagem), um lote sem OCR vira “caça manual” página a página. Quando a evidência tem padrões repetidos (ex.: cabeçalho com nome, matrícula, código), use OCR para localizar ocorrências e então aplicar ocultação definitiva no arquivo final. Se a sua equipe trabalha no SEI ou PJe, isso conversa com rotinas já conhecidas (ver: tarjamento no SEI e tarjamento no PJe).
Para quem precisa padronizar o procedimento de ocultação, a referência interna costuma ser: o que é passível de divulgação na transparência, o que é restrito e o que deve ser resguardado por hipótese legal de sigilo. Quando o relatório for publicar parte do conteúdo ativamente, ajuda alinhar com diretrizes de transparência ativa (contexto em transparência ativa na LAI) — mas a execução do tarjamento precisa ser técnica: remover do arquivo, não apenas cobrir.
Verificação prática para hoje: pegue um anexo do seu último relatório de auditoria já “tarjado”, tente selecionar (Ctrl+A) e copiar o texto para um editor. Se aparecer qualquer informação que deveria estar ocultada, o seu método está mascarando, não removendo. Repita o teste em 3 anexos de origens diferentes (exportado, digitalizado e captura de tela).
Perguntas frequentes
1) No relatório de auditoria, eu devo tarjar também os anexos ou basta tarjar o corpo do relatório?
Se os anexos acompanham a divulgação (mesmo que “só internamente”), eles fazem parte do documento publicado na prática. Em auditoria, anexos costumam trazer tabelas completas, prints de sistemas e documentos de evidência com mais dados do que o texto final. Portanto, o padrão seguro é: tarjar o conjunto inteiro (relatório + anexos), com critérios únicos e verificação por amostragem em cada tipo de origem.
2) Como lidar com evidências em captura de tela, onde o texto é pequeno e o dado aparece em vários pontos?
Captura de tela é imagem; cobrir um pedaço pode até esconder visualmente, mas não resolve quando a imagem foi inserida em PDF e replicada. O caminho prático é: (a) se possível, refazer a captura já com filtros no sistema para não exibir campos restritos; (b) quando isso não existe, aplicar OCR para localizar padrões (nome, matrícula, código) e então tarjar/ocultar de forma que o arquivo final não retenha o conteúdo original. Se a captura tiver barras laterais e cabeçalhos com dados repetidos, padronize uma “máscara” por layout, mas finalize o PDF com remoção efetiva.
3) Tarjamento em lote funciona quando cada anexo está em um formato diferente?
Funciona, desde que o lote seja organizado por “famílias” de arquivo e que o critério de saída seja sempre um PDF final com conteúdo removido. O erro é rodar uma única configuração para tudo. Em geral, você terá pelo menos três filas: PDFs nativos (texto), digitalizados (imagem) e híbridos (PDF com páginas de imagem e páginas de texto). Em cada fila, você define como localizar ocorrências (busca textual x OCR) e como validar (teste de copy/paste x revisão visual com zoom alto).
Se a sua Auditoria Interna quer transformar isso em rotina, o próximo passo é criar um kit de publicação: uma pasta padrão do relatório (com subpastas por origem de anexo), um checklist de revisão e um método fixo de validação (teste de extração de texto + amostragem visual). Quando a demanda for alta e recorrente, o MavenDoc pode apoiar no tarjamento em lote com foco em ocultação definitiva no PDF, mantendo consistência entre dezenas de anexos.
