Três Auditorias, Um Pressuposto

Como a conformidade em camadas pode amplificar o pressuposto que ninguém escreve

Por vezes um sistema falha apesar de todas as auditorias darem luz verde. Esta forma — a análise post-mortem que não encontra negligência e, ainda assim, encontra uma falha que era visível — é tratada como azar. Não é.

Três auditorias decorreram na mesma organização no mesmo ano. Continuidade de negócio, segurança da informação, governação de IA. Todas bem delimitadas. Todas executadas por firmas competentes. Todas aprovadas. Doze meses depois, a falha que consumiu a atenção dos reguladores era rastreável, com a clareza da retrospetiva, a uma única linha que nenhuma auditoria assinalou: uma definição não escrita do que contava como «crítico».

Como as três auditorias passaram

Na auditoria de continuidade, «processos críticos» tinha sido operacionalizado como processos geradores de receita. Uma escolha defensável. Os objetivos de recuperação de nível 1 seguiram em conformidade.

Na auditoria de segurança da informação, o registo de ativos herdou essa hierarquização. Os sistemas de receita foram reforçados. Os sistemas internos — processamento salarial, recursos humanos, automação dirigida aos colaboradores — foram tratados como nível 2. Uma escolha defensável, dada a hierarquização a montante.

Na auditoria de governação de IA, a pergunta de âmbito era «que sistemas de IA suportam processos críticos». O mapeamento foi diretamente buscar ao nível 1. A IA de maior risco estava nas operações viradas para o cliente, onde a atenção se concentrava.

A ferramenta de IA usada no processamento salarial — nível 2, prioridade de auditoria de quase ninguém — foi a que começou a despedir pessoas que não tinham sido despedidas.

O que as auditorias partilhavam

Cada auditoria era internamente consistente. Cada uma era externamente defensável. O problema delas não estava no que examinavam, mas no que partilhavam: uma definição a montante que nenhuma estava mandatada para questionar, porque a definição estava inscrita dentro de todas elas.

Esta é a forma mais difícil de ver, e a que mais importa: quando três diagnósticos concordam, a pergunta que vale a pena fazer é se concordam porque o mundo é assim, ou porque partilham um pressuposto que nenhum deles testou.

A verificação independente exige pressupostos independentes. O princípio não surpreende na física nem na estatística. No trabalho de auditoria é rotineiramente ignorado. As correspondências entre normas (cross-walks) são apresentadas como uma força, e são — mas apenas contra erros que estão a jusante da fronteira correspondida. Contra erros a montante da fronteira partilhada, as correspondências amplificam em vez de testar.

A mesma lógica aplica-se à própria cognição do auditor. Duas opiniões da mesma cabeça, ainda que de boa-fé, não são duas opiniões. Um assistente de IA treinado no mesmo corpus que produziu as normas contra as quais audita não é um segundo par de olhos. A «segunda opinião» que vive dentro do mesmo pressuposto é decorativa.

A pergunta sem número de cláusula

Apanhar isto exige um movimento que os métodos de auditoria não fazem nativamente. Nomear os pressupostos que sustentam a estrutura — as definições que atravessam múltiplos vetores e não são testadas em nenhum — não é uma técnica que norma alguma exija formalmente. Está mais perto de um instinto. O instinto é: antes de verificar se as respostas são consistentes, verificar se as perguntas partilham algo que torna a consistência das suas respostas não informativa.

Na prática, é um parágrafo em cada auditoria-de-auditorias: que dá esta avaliação como adquirido que avaliações anteriores também deram como adquirido? Esse parágrafo raramente é escrito, porque não tem número de cláusula que o ancore.

Nada disto é um argumento contra realizar múltiplas auditorias. É um argumento a favor do acrescento barato que transforma múltiplas auditorias de uma confirmação empilhada numa triangulação verdadeira: perguntar, em linguagem simples, o que é que todas elas pressupuseram.

Quando três auditorias concordam, a concordância é ou evidência ou eco. O trabalho de as distinguir está onde norma nenhuma o coloca.