Como auditar a guarda de documentos

O que a auditoria de guarda de documentos verifica

Uma auditoria bem conduzida verifica seis dimensões da gestão documental — cada uma com critérios específicos que revelam onde a política está sendo seguida e onde está falhando.

1. Existência: os documentos que a política exige que existam estão no arquivo? A ausência de um documento que deveria existir pode representar descarte prematuro (risco imediato) ou falha de guarda (documento que nunca foi arquivado)
2. Organização: os documentos estão organizados conforme a política — na categoria certa, com a nomenclatura correta, no local definido? Documentos no lugar errado são tão problemáticos quanto documentos ausentes: quando precisar, não será encontrado
3. Prazo de guarda: os documentos que estão no arquivo estão dentro do prazo de guarda obrigatório? Documentos com prazo vencido ainda no acervo representam custo desnecessário e, se contêm dados pessoais, passivo de LGPD
4. Descarte: os documentos que foram eliminados passaram pelo processo correto — autorização formal e registro na lista de eliminação? A ausência de registro de descarte é uma não conformidade grave: não há como provar que o documento foi eliminado dentro do prazo e com autorização
5. Acesso: os documentos estão acessíveis para quem precisa e protegidos de quem não deveria ter acesso? Acesso não controlado a documentos com dados pessoais ou financeiros é risco operacional e de conformidade
6. Segurança: documentos com dados pessoais estão em local de acesso controlado, tanto físico quanto digital? O acesso irrestrito a documentos de funcionários, clientes e fornecedores viola a LGPD

Passo a passo para conduzir a auditoria

A auditoria de guarda de documentos pode ser conduzida internamente sem precisar contratar especialista externo para o nível básico. O roteiro a seguir é aplicável em qualquer porte, com as adaptações de escopo indicadas no bloco de porte.

1. Definir o escopo: decidir quais categorias de documentos serão auditadas neste ciclo. Auditar tudo de uma vez é pouco prático — começar pelas categorias de maior risco (fiscal e trabalhista) ou pelas que apresentaram problemas em auditorias anteriores
2. Preparar a lista de verificação por categoria: para cada categoria no escopo, definir o que verificar: o documento deveria existir? Está no local correto? Está dentro do prazo de guarda? O descarte de períodos anteriores está registrado?
3. Fazer amostragem: não é necessário verificar 100% dos documentos. Uma amostra representativa de cada categoria — por exemplo, 10 a 20% dos documentos de cada tipo — é suficiente para identificar padrões de conformidade e de não conformidade. Para categorias de alto risco, a amostra pode ser maior
4. Comparar o que existe com o que a política define: para cada item verificado na amostra, comparar com o critério da política de guarda. Registrar as diferenças encontradas — não como julgamento, mas como achado a ser endereçado
5. Verificar os prazos de guarda: para os documentos verificados, confirmar que os que estão no arquivo estão dentro do prazo e que não há documentos com prazo vencido sem eliminação pendente
6. Verificar os registros de descarte: confirmar que os descartes do período anterior estão registrados na lista de eliminação, com data, responsável e o que foi eliminado
7. Registrar os achados: listar as não conformidades encontradas — o que estava errado, em qual categoria, qual o critério que foi descumprido. Sem registro, a auditoria não gera melhoria
8. Definir ações corretivas: para cada não conformidade, definir a ação corretiva, o responsável e o prazo. Não conformidades sem plano de ação são problemas que se repetem no próximo ciclo

Com que frequência auditar e o que fazer com os achados

Como referência de mercado, a auditoria anual é o mínimo aceitável para a maioria das categorias de documentos. Categorias com maior risco — fiscal e trabalhista — podem justificar revisão semestral, especialmente em anos de fiscalização mais ativa no setor. A frequência adequada para cada empresa depende do volume, do perfil de risco e dos resultados das auditorias anteriores.

O princípio geral: quanto mais frequente a auditoria, menor a magnitude das não conformidades encontradas. Empresas que auditam anualmente tendem a encontrar problemas menores e mais fáceis de corrigir do que empresas que auditam de três em três anos e encontram volumes de não conformidades que exigem projetos de correção.

O que fazer com os achados é tão importante quanto a auditoria em si:

• Não conformidades críticas (documento que deveria existir e não existe, descarte sem registro de períodos recentes): ação imediata, verificação com contador e jurídico sobre as implicações e plano de prevenção
• Não conformidades de organização (documento no lugar errado, nomenclatura fora do padrão): correção no ciclo de revisão do arquivo, com capacitação do responsável por área
• Documentos com prazo vencido no acervo: verificação com contador e jurídico se há impedimento para eliminação e, se não houver, execução do descarte com registro no próximo ciclo
• Política desatualizada: revisão da política para refletir mudanças na legislação ou na operação da empresa desde a última versão

Não conformidades sem plano de ação e sem acompanhamento são problemas que se repetem. A auditoria só gera valor quando os achados são convertidos em melhoria documentada.