O que sai e o que fica em relatório de auditoria para tarjamento de PDF

No momento de divulgar um relatório de auditoria, a equipe de Auditoria interna costuma estar entre dois deveres que convivem no mesmo ato: dar transparência ao achado e, ao mesmo tempo, retirar do documento aquilo que pode expor pessoas, rotinas de segurança ou fragilizar uma apuração em andamento.

O problema é que relatório de auditoria raramente é “texto corrido”. Ele vem com anexos, quadros, prints de sistemas, trilhas de evidência e referências cruzadas que reaparecem em mais de um lugar. Se você tarja apenas o trecho “óbvio”, a informação sensível pode continuar aparecendo em tabelas, rodapés, links, comentários do arquivo ou em anexos incorporados no PDF.

Em relatório de auditoria, o dado mais difícil de tarjar é o “identificador repetido” que aparece em quadros, prints e anexos embutidos

A maior fonte de retrabalho na divulgação de relatório de auditoria não é decidir “se deve tarjar”, e sim capturar um tipo específico de informação: identificadores que se repetem em camadas e formatos diferentes. Eles surgem no corpo do texto (ao descrever um caso), reaparecem em um quadro-resumo (para sumarizar amostras), e voltam nos anexos como evidência (print de sistema, PDF exportado, planilha convertida).

Exemplos típicos, que mudam conforme a trilha de evidência do seu trabalho:

• Número de protocolo/registro interno citado no achado e também visível no canto do print do sistema.
• Usuário de rede ou matrícula funcional que aparece no print (topo da tela) e, em seguida, é transcrito em uma tabela de “responsáveis” ou “unidades envolvidas”.
• Chaves de acesso, URLs internas e caminhos de rede que estão no anexo (evidência técnica) e depois são referenciados no parágrafo de recomendação.
• O mesmo nome surgindo no texto e também em comentários/realces deixados durante a revisão do arquivo antes da publicação.

O ponto é operacional: se você não tratar esse “identificador repetido” como um item próprio do seu checklist, você vai tarjar o trecho narrativo e deixar a evidência “contar o resto”. Em publicação, isso vira descoberta por terceiros, republicações com o trecho exposto e necessidade de substituir o arquivo.

Além disso, há um risco técnico específico em PDF: desenhar um retângulo preto por cima do texto não remove o conteúdo. Muitas vezes o texto continua selecionável, pesquisável e extraível. O tarjamento só é seguro quando o conteúdo é removido do arquivo (não apenas coberto).

O que sai e o que fica: roteiro de revisão para divulgação

Para a Auditoria interna, o objetivo ao divulgar é manter a compreensão pública do achado (o “o quê”, “onde”, “impacto” e “recomendação”), retirando identificadores e evidências que não precisam estar expostos para o relatório cumprir sua função. Abaixo está um roteiro prático para tarjamento de PDF aplicado ao documento “relatório final de auditoria”, com foco em onde a informação costuma se esconder.

1) Delimite o que fica para sustentar o achado

Antes de abrir o PDF para tarjar, marque o que precisa permanecer para o texto fazer sentido quando publicado:

• Escopo: unidade auditada, período, objeto e critério (norma, instrução, portaria, contrato).
• Descrição do achado: conduta/processo observado, condição, causa, efeito.
• Recomendação: ação proposta, responsável institucional (cargo/unidade) e prazo em termos gerais.
• Metodologia: tamanho da amostra em nível agregado (ex.: “amostra de processos do período”), sem listar identificadores individuais.

Isso evita um erro comum: tarjar “demais” e publicar um documento que não se sustenta, levando a pedidos complementares e retrabalho.

2) O que normalmente sai (e onde procurar no relatório)

Ao invés de usar categorias genéricas, procure pelos pontos do relatório em que os identificadores repetidos aparecem. Use esta lista como varredura:

1. Quadros de amostra (tabelas): colunas como “protocolo”, “processo”, “documento”, “solicitante”, “responsável”, “usuário”, “matrícula”, “unidade detalhada”.
2. Prints de tela: topo com usuário logado, barra de endereço, breadcrumb do sistema, código do registro, data/hora, nomes em listas e grids.
3. Rodapés e cabeçalhos automáticos: “Gerado por”, “Usuário”, “Matrícula”, “Página X de Y”, nome do arquivo local.
4. Notas de rodapé e anexos: às vezes carregam a identificação completa que no corpo do texto foi abreviada.
5. Metadados do PDF: autor, organização, histórico de revisão (dependendo de como o arquivo foi exportado).
6. Comentários, marcações e trilhas de revisão no PDF: realces e balões com nomes e orientações internas.
7. Links internos/externos no relatório: podem apontar para endereços internos ou páginas com parâmetros que incluem o identificador do caso.

3) Comparativo rápido: “tarja visual” vs. ocultação definitiva

Na pressa da divulgação, é comum alguém “pintar de preto” usando um editor comum. Para relatório de auditoria, isso é especialmente perigoso porque há muito texto em tabelas e anexos exportados. Compare:

• Tarja visual (insegura): um retângulo por cima do conteúdo. O texto pode permanecer na camada digital e ser recuperado ao selecionar/copiar ou ao extrair o conteúdo.
• Ocultação definitiva (segura): a informação é removida do PDF. Ao copiar, pesquisar ou extrair, o conteúdo não aparece.

Se você precisa revisar esse ponto com a equipe, vale manter um link interno de referência: tarja preta não protege. E, se o seu fluxo começa com um PDF nato, o passo a passo de operação ajuda: como colocar tarja preta em PDF (com foco no que realmente remove o conteúdo).

4) Atenção extra quando há anexos digitalizados

Relatórios de auditoria frequentemente juntam evidências em imagem (scan de documento, foto de tela impressa, cópia digitalizada). Nesse caso, cobrir a área com uma tarja não “remove” nada porque não há texto estruturado ali; é uma imagem. Para localizar nomes, matrículas ou números dentro do scan, você precisa de OCR para identificar o conteúdo e, depois, aplicar a ocultação definitiva na camada correta (ou tratar a imagem de forma apropriada).

Quando a equipe trabalha com grande volume de anexos, um processo padronizado (e, se necessário, ferramenta) evita variações entre revisores. Se fizer sentido para o seu fluxo, veja a visão geral em tarjamento e, para o caso de remoção efetiva, apagar dados de PDF.

5) Como organizar o trabalho para não perder “identificador repetido”

Uma forma prática de reduzir falhas é tratar o relatório como um conjunto de “zonas”:

• Zona narrativa: corpo do relatório (achado, critério, análise, recomendação).
• Zona de síntese: quadros e tabelas (amostras, consolidações, trilhas).
• Zona de evidência: anexos e prints.
• Zona técnica: metadados, comentários, links e anexos incorporados.

Faça o tarjamento “de fora para dentro”: primeiro evidências e anexos (onde mora a identificação completa), depois tabelas (onde o identificador volta abreviado) e, por último, o texto narrativo. Essa ordem reduz o risco de você tarjar o texto e esquecer o anexo original.

Se você usa uma ferramenta como o MavenDoc para o tarjamento de PDF, preserve o mesmo padrão: primeiro processe anexos, depois o relatório. A vantagem é manter consistência entre arquivos e evitar que a versão final fique com “ilhas” de conteúdo recuperável.

Verificação prática para hoje: pegue um relatório já publicado (ou um rascunho de divulgação), selecione com o mouse uma área que está “tarjada” e tente copiar/colar em um editor de texto. Se aparecer qualquer parte do conteúdo ocultado, a tarja foi apenas visual e o arquivo precisa ser refeito com remoção efetiva.

Perguntas frequentes

1) No relatório de auditoria, eu devo tarjar o número do processo/protocolo usado na amostra?

Depende do papel desse número na compreensão do achado quando divulgado. Se ele é apenas um identificador para rastrear casos individuais, normalmente ele pode sair, porque o leitor não precisa do código para entender a conclusão. O cuidado é que esse número costuma aparecer em três lugares: no quadro de amostra, no print do sistema e em anexos exportados. Se decidir retirar, retire em todas as ocorrências e verifique também links que carreguem esse parâmetro.

2) Como lidar com prints de tela onde o usuário logado e a URL interna aparecem no topo?

Em evidências técnicas, é comum o print trazer a barra do navegador com endereço interno e o usuário logado no canto superior do sistema. Se essas informações não são essenciais para sustentar o achado, a prática é manter apenas o trecho necessário da tela (o que comprova a condição) e remover o restante. Quando o print está dentro do PDF como imagem, lembre que cobrir a área é apenas “cobertura”; trate a evidência considerando OCR quando for necessário localizar texto e garantir a ocultação definitiva.

3) O relatório tem comentários e marcações internas no PDF. Preciso me preocupar mesmo que elas não apareçam na visualização padrão?

Sim. Comentários, realces e anotações podem ser listados por leitores de PDF e exportados como resumo de comentários. Em relatório de auditoria, eles frequentemente contêm nomes, orientações internas ou referências a outras evidências. Antes de publicar, remova comentários e confirme que a versão final não mantém camadas revisáveis. Se o seu fluxo institucional exige, gere uma versão final “para divulgação” separada da versão de trabalho.

Se o seu próximo passo é padronizar a divulgação para não depender de “memória do revisor”, transforme a lista acima em checklist interno por zona do relatório (narrativa, síntese, evidência e técnica) e faça a checagem por amostragem com copiar/colar e busca no PDF. Quando o volume de anexos for grande, uma ferramenta pode ajudar a manter remoção efetiva e consistência — e você pode testar o fluxo no MavenDoc com um conjunto real de relatórios antes de formalizar o procedimento.

Criar versão de divulgação do meu relatório