7 pontos que Controle interno revisa no tarjamento de PDF
Na divulgação de relatório de auditoria, o momento que mais gera retrabalho para o controle interno é a versão final do relatório de auditoria em PDF já preparada para publicação (transparência ativa ou envio sob demanda). É aí que aparecem trechos que não deveriam sair: evidências anexadas no corpo do texto, identificadores em tabelas e informações que permanecem “escondidas” na camada digital do arquivo.
Este artigo é um checklist prático, do ponto de vista do Controle interno, para revisar o tarjamento de PDF em relatório de auditoria antes de liberar. Não é uma discussão genérica: os pontos abaixo são os que costumam existir nesse documento específico (achados, matriz de risco, cronologia, anexos e prints).
Em relatório de auditoria, o vazamento mais frequente não está no texto: está nas tabelas de achados e nos anexos embutidos do PDF
Relatório de auditoria normalmente tem um corpo narrativo bem revisado (introdução, objetivo, escopo, metodologia). O problema é que a parte que “carrega dado” costuma ficar em estruturas menos visíveis: tabelas (achados, recomendações, plano de ação), prints (telas de sistemas, e-mails) e anexos embutidos (arquivos dentro do PDF ou apêndices exportados de planilha).
A afirmação prática que orienta sua revisão é esta: se você tarjar apenas o parágrafo, mas não verificar a tabela e os objetos do PDF, você publica o dado do mesmo jeito. Em muitos relatórios, o nome/CPF/matrícula não aparece no corpo; aparece no “Responsável”, “Unidade/Setor”, “Evidência”, “Fonte”, “Nº do processo” ou na referência cruzada para anexos.
Além disso, é comum a equipe “cobrir” um trecho com um retângulo preto e achar que resolveu. Em PDF nativo, desenhar um retângulo não oculta nada: o conteúdo continua na camada digital e pode reaparecer ao selecionar, copiar e colar, pesquisar no texto ou extrair para .txt. Tarjamento seguro é quando o conteúdo é removido do arquivo. Se você precisa de um lembrete institucional sobre isso, vale manter à mão a explicação de por que tarja preta não protege.
7 pontos que o Controle interno revisa no relatório antes de publicar
Use esta lista como procedimento de revisão final do relatório de auditoria em PDF. Ela é pensada para o cenário de divulgação de relatório de auditoria e para o tipo de conteúdo que o controle interno costuma consolidar.
- Matriz de achados e plano de ação: colunas “Responsável”, “Contato” e “Unidade”
Revise a tabela inteira, não só as células “óbvias”. Em muitos modelos, o dado sensível está em colunas laterais (e às vezes ocultas durante a edição e reaparecem na exportação para PDF). Se houver nomes de servidores, telefones/ramais, e-mails ou identificadores internos, defina se é necessário publicar ou se deve sair por hipótese legal de restrição/sigilo aplicável no caso concreto. - Evidências em print: cabeçalho, barra do navegador e rodapé do sistema
Print de sistema costuma carregar usuário logado, URL com parâmetros, número do processo, chave de consulta, código de unidade, horário e IP. O tarjamento precisa cobrir a área correta, mas, em documento digitalizado/imagem, lembre: cobrir a área não remove o conteúdo; é preciso tratar a imagem (e, se você pretende localizar ocorrências automaticamente, precisa de OCR). - Trechos copiados de e-mail: metadados e cadeias de encaminhamento
Quando o relatório traz evidência “conforme e-mail em anexo” e cola o corpo da mensagem, revise campos como “De/Para/CC”, assinaturas automáticas (telefone, lotação) e rodapés corporativos. Muitas vezes a cadeia de encaminhamento contém dados que não aparecem no primeiro bloco. - Referências a processos e documentos: números que viram chave de acesso
Nem todo número de processo é automaticamente publicável em qualquer contexto. O ponto aqui é técnico: certos números, links ou chaves permitem consulta direta em sistemas externos (portais, acompanhamento processual, módulos de compras). Verifique se o relatório está publicando uma “chave de acesso” e não apenas uma referência administrativa. - Anexos embutidos e objetos: arquivos dentro do PDF
Alguns PDFs permitem anexar arquivos (planilhas, imagens, outros PDFs). Antes de publicar, verifique se o arquivo tem anexos incorporados. Eles podem conter dados não tarjados, mesmo que o relatório principal esteja limpo. Se sua ferramenta de leitura permite, procure por “Anexos”/“Attachments” ou propriedades do documento. - Sumário, cabeçalho/rodapé e carimbo de revisão
Relatórios gerados por modelos trazem rodapé com autor, revisores, e-mail, versão e data/hora de exportação. Em auditoria, isso pode expor a equipe ou fluxos internos. Revise também páginas pré-textuais (capa, ficha técnica, histórico de versões), que são esquecidas no tarjamento. - Metadados do PDF: autor, software, títulos anteriores e comentários
Mesmo com o texto “limpo”, propriedades do PDF podem carregar nome do servidor que gerou, caminho de rede, título antigo, ou comentários inseridos durante a revisão. Em PDFs com marcações (anotações), verifique se comentários não ficaram visíveis ou extraíveis.
Se você precisa alinhar o procedimento com a transparência ativa, vale cruzar o que será publicado com os critérios e rotinas institucionais descritos em transparência ativa na LAI. E, quando a discussão for “como fazer corretamente no PDF”, este passo a passo ajuda a diferenciar edição visual de remoção efetiva: como colocar tarja preta em PDF (com o alerta do que não é seguro).
Verificação prática para hoje (leva 2 minutos): abra o PDF final do relatório, selecione com o mouse uma área que foi “tarjada” e tente copiar e colar em um bloco de notas. Depois, use Ctrl+F e pesquise por um nome/CPF/matrícula que deveria ter sido removido. Se o texto aparecer na busca ou no copiar/colar, você não teve ocultação definitiva: você apenas desenhou por cima.
Perguntas frequentes
1) No relatório de auditoria, posso tarjar só os nomes e manter as funções e unidades?
Depende do objetivo da publicação e do conteúdo do achado. Em relatório de auditoria, funções/unidades às vezes já identificam indiretamente a pessoa (por exemplo, quando há apenas um responsável por determinada atribuição). Na revisão do controle interno, trate isso como teste objetivo: se a combinação “função + unidade + data do fato” identifica alguém com facilidade, avalie se deve manter a granularidade ou generalizar a referência (ex.: “servidor da unidade X”).
2) O relatório tem anexos (planilha e prints). Preciso tarjar cada anexo separadamente?
Sim. O erro mais comum é tarjar no corpo do relatório e esquecer que anexo tem vida própria. Se o anexo for planilha exportada para PDF, revise as abas/tabelas completas (linhas fora da área visível podem entrar no PDF). Se for imagem/print digitalizado, lembre que cobrir a área não remove conteúdo da imagem; e, se houver OCR, a informação pode ficar pesquisável mesmo após cobrir visualmente.
3) Como o controle interno valida que o tarjamento no PDF ficou definitivo antes de publicar?
Use validações simples e repetíveis: (a) copiar/colar do trecho tarjado, (b) busca por termos sensíveis (nomes, matrículas, números), (c) extração de texto (quando possível) e inspeção de anexos embutidos. Se o processo exigir padronização, documente esses testes como etapa formal antes da autorização de divulgação.
Se você quer transformar essa revisão em um fluxo previsível (sem depender de “olho clínico” a cada publicação), o próximo passo é padronizar: quais campos sempre saem do relatório, quais podem ficar e quais exigem justificativa. Quando a demanda for volume (múltiplos relatórios e anexos), uma ferramenta ajuda a aplicar remoção efetiva no arquivo e manter rastreabilidade da etapa de ocultação. O MavenDoc é usado nesse tipo de rotina de tarjamento para apoiar a execução e checagem antes da divulgação.
