Evidências de conformidade são registros capazes de demonstrar que uma obrigação foi atendida. Podem incluir licenças, laudos, listas de presença, resultados de monitoramento, registros de sistema, fotos, aprovações e históricos de alteração. Para serem úteis, precisam estar relacionadas à obrigação, ser íntegras, rastreáveis, legíveis e disponíveis durante todo o prazo de retenção aplicável.
Cumprir uma obrigação e conseguir comprovar seu cumprimento são problemas diferentes. A empresa pode ter realizado um treinamento, renovado uma licença ou entregue um equipamento de proteção. Se o registro estiver incompleto, sem data, fora do prazo ou impossível de localizar, a demonstração do atendimento fica comprometida.
Na prática observada pela Damatta, parte do retrabalho em auditorias surge desse desencontro: a atividade foi executada, mas a evidência ficou no e-mail de uma pessoa, em uma planilha sem histórico ou em uma pasta sem responsável definido.
Uma boa gestão de evidências de conformidade reduz esse risco ao conectar cada registro à obrigação correspondente.
O que torna um registro uma evidência de conformidade
Um arquivo não se transforma em evidência apenas porque foi armazenado. Ele deve responder, com clareza, a cinco perguntas:
| Critério | Pergunta de verificação |
|---|---|
| Relação com a obrigação | O registro comprova exatamente qual requisito, condição ou controle? |
| Autenticidade | É possível identificar a origem, a autoria e, quando aplicável, a assinatura? |
| Integridade | Há proteção contra alteração indevida e controle das versões? |
| Rastreabilidade | É possível saber quem produziu, aprovou, alterou ou anexou o registro e quando isso ocorreu? |
| Suficiência | O conjunto apresentado é bastante para sustentar a conclusão, sem depender apenas de relato verbal? |
Esses critérios devem ser avaliados conforme o risco e a obrigação. Uma fotografia pode comprovar a instalação de uma proteção em máquina, mas talvez não prove que a inspeção periódica foi realizada. Nesse caso, a foto pode precisar ser combinada com checklist, data, identificação do equipamento e assinatura do responsável.
Três grupos práticos de evidências de conformidade
Não existe umaificação legal única que divida todas as evidências de conformidade em três tipos. Para organizar a operação, porém, é útil agrupá-las da seguinte forma.
1. Documentos formais
São registros emitidos ou aprovados por uma pessoa, organização ou autoridade identificável. Exemplos:
- licenças e autorizações;
- laudos e pareceres técnicos;
- certificados;
- contratos e termos assinados;
- políticas e procedimentos aprovados;
- atas de reunião;
- notas fiscais e comprovantes de recolhimento.
O documento deve estar completo e dentro do período a que se refere. Uma licença vencida pode integrar o histórico, mas não comprova a regularidade atual da atividade.
2. Registros operacionais e dados de sistema
São produzidos durante a execução de um processo. Exemplos:
- registros de inspeção e manutenção;
- medições ambientais e ocupacionais;
- listas de presença e certificados de capacitação;
- fichas de entrega de EPI;
- logs de acesso;
- aprovações eletrônicas;
- histórico de versões;
- trilhas de auditoria.
O fato de um registro ser digital não o torna automaticamente mais confiável. A força da evidência depende dos controles de acesso, da identificação do usuário, da preservação dos dados e da possibilidade de detectar alterações.
3. Evidências visuais e de verificação
Incluem fotografias, vídeos, prints de tela, entrevistas, observações em campo e testes. São úteis para demonstrar uma condição existente em determinado momento.
Esses registros costumam ganhar força quando acompanhados de contexto: data, local, ativo, processo, responsável, coordenadas quando pertinentes e vínculo com a obrigação avaliada. Um print isolado é mais frágil do que o relatório extraído do sistema com seus metadados.
Exemplos por área
| Área | Obrigação ou controle | Possíveis evidências |
|---|---|---|
| Meio ambiente | Destinação de resíduos | Manifesto de transporte, certificado de destinação, nota fiscal, licença do destinador e registros de pesagem, conforme aplicável |
| SST | Entrega e controle de EPI | Ficha ou registro eletrônico com trabalhador, equipamento, CA, data, orientação e confirmação de recebimento |
| SST | Gerenciamento de riscos ocupacionais | Inventário de riscos, plano de ação, avaliações, registros das medidas implementadas e histórico de atualizações |
| Proteção de dados | Atendimento de solicitação de titular | Registro da solicitação, validação de identidade, resposta, data e decisão adotada |
| Proteção de dados | Operações de tratamento | Registro das operações, bases legais, finalidades, compartilhamentos, medidas de segurança e retenção |
| Fiscal e contábil | Operação declarada ao fisco | Documento fiscal, escrituração, comprovante de transmissão e documentos de suporte |
| Qualidade | Controle de processo | Procedimento vigente, registros de inspeção, resultados, desvios, aprovações e ações corretivas |
O Relatório de Impacto à Proteção de Dados Pessoais, por exemplo, pode ser necessário conforme o contexto do tratamento ou por determinação da ANPD. Não deve ser tratado como documento obrigatório para toda empresa e toda operação.
Por quanto tempo guardar as evidências
Não existe prazo único de retenção para evidências de conformidade. O período depende da norma aplicável, do tipo de documento, da finalidade, do contrato, de eventual processo e dos prazos prescricionais ou decadenciais relacionados.
| Evidência | Referência para retenção | Cuidado necessário |
|---|---|---|
| Histórico das atualizações do inventário de riscos ocupacionais | Mínimo de 20 anos ou prazo previsto em norma específica | A NR-1 vigente exige a manutenção do histórico, não apenas da versão atual |
| Prontuário médico individual do PCMSO | Mínimo de 20 anos após o desligamento, salvo previsão diferente nos anexos da NR-7 | Há dados pessoais sensíveis e acesso restrito; consultar a NR-7 |
| Dados pessoais | Até o término do tratamento, com conservação apenas nas hipóteses permitidas | Os artigos 15 e 16 da LGPD não estabelecem um prazo geral fixo em anos |
| Documentos fiscais e contábeis | Prazo definido pela obrigação e pela legislação tributária aplicável | Cinco anos é uma referência frequente, mas a contagem e o documento abrangido devem ser confirmados; o CTN disciplina decadência e prescrição tributárias |
| Documentos relativos a depósitos de FGTS | A análise atual deve considerar a prescrição quinquenal e o prazo de dois anos após o fim do contrato para ajuizamento da ação | A antiga referência geral de 30 anos não deve ser aplicada automaticamente; consulte a orientação do MTE |
| Licenças, condicionantes e monitoramentos ambientais | Prazo indicado no ato, na norma e no processo de licenciamento, acrescido do período necessário à defesa e à rastreabilidade | A imprescritibilidade reconhecida pelo STF se refere à pretensão de reparação civil de dano ambiental, não cria um prazo uniforme de guarda para todo documento |
Uma tabela corporativa de temporalidade deve registrar pelo menos:
- categoria do documento;
- fundamento da retenção;
- evento que inicia a contagem;
- prazo;
- área responsável;
- nível de acesso;
- forma de descarte;
- regra de suspensão do descarte em caso de auditoria, investigação ou processo.
O erro de usar apenas o maior prazo possível
Guardar tudo para sempre parece seguro, mas cria outros riscos. A empresa aumenta o volume de dados pessoais, dificulta a busca, eleva custos e mantém informações sem necessidade. Na LGPD, a retenção precisa estar ligada a uma finalidade ou a uma hipótese legal de conservação.
O caminho adequado é definir prazos por categoria e documentar a justificativa. Casos jurídicos, ambientais, fiscais e trabalhistas devem ser avaliados com as áreas competentes.
Como armazenar evidências de conformidade corretamente
O formato físico ou digital deve ser escolhido conforme a regra aplicável e o uso do documento. A NR-1, por exemplo, admite documentos digitais e estabelece condições para digitalização e preservação de documentos de SST.
Use os controles abaixo como referência:
- Identificação: relacione a evidência à obrigação, unidade, processo, ativo, responsável e período.
- Controle de acesso: conceda acesso conforme função e sensibilidade do conteúdo.
- Versionamento: preserve a versão aprovada e o histórico relevante, sem sobrescrever registros anteriores.
- Autenticidade e integridade: use assinaturas, trilhas de auditoria, hash ou outros controles compatíveis com o risco e a exigência aplicável.
- Disponibilidade: defina indexação e busca que permitam recuperar o registro no tempo exigido.
- Backup testado: mantenha cópias adequadas ao risco e teste a restauração periodicamente.
- Retenção e descarte: aplique a tabela de temporalidade e registre a eliminação segura.
- Continuidade: evite que a evidência dependa da conta pessoal ou do computador de um único empregado.
A Lei nº 14.063/2020 diferencia assinaturas eletrônicas simples, avançadas e qualificadas. O nível adequado depende da interação, do risco e da regra específica. Por isso, a assinatura mais forte nem sempre é obrigatória, e uma assinatura simples nem sempre será suficiente.
Fluxo para transformar obrigação em evidência
| Etapa | Pergunta | Resultado esperado |
|---|---|---|
| 1. Interpretar | O que deve ser feito e a quem se aplica? | Obrigação validada |
| 2. Definir o controle | Qual atividade atenderá à obrigação? | Procedimento, tarefa ou medida |
| 3. Definir a evidência | O que provará a execução e o resultado? | Tipo de registro e campos mínimos |
| 4. Atribuir responsabilidade | Quem produz, aprova e guarda? | Responsáveis definidos |
| 5. Definir retenção | Qual prazo, marco inicial e fundamento? | Regra de temporalidade |
| 6. Verificar | A evidência continua íntegra, válida e recuperável? | Teste periódico e correção de falhas |
Esse fluxo evita um erro comum: criar a obrigação no sistema sem definir antecipadamente qual evidência será aceita. Quando isso acontece, a equipe executa a atividade e só tenta reconstruir a prova na véspera da auditoria.
Erros comuns na gestão de evidências de conformidade
- guardar apenas a versão atual e eliminar o histórico exigido;
- usar um prazo genérico para documentos de naturezas diferentes;
- manter arquivos sem vínculo com a obrigação que deveriam comprovar;
- aceitar print de tela como única prova quando existe relatório ou log original;
- armazenar dados pessoais além do necessário, sem fundamento documentado;
- concentrar evidências de conformidade em e-mails individuais;
- fazer backup sem testar a restauração;
- permitir alteração ou exclusão sem registro de usuário, data e justificativa;
- descartar documentos durante auditoria, investigação, litígio ou fiscalização em andamento.
Checklist para controlar evidências de conformidade
- ☐ Cada obrigação possui evidência esperada definida.
- ☐ O registro identifica unidade, período, responsável e objeto.
- ☐ A versão vigente e o histórico necessário estão preservados.
- ☐ Os prazos possuem fundamento e evento inicial de contagem.
- ☐ Dados pessoais têm acesso restrito e retenção justificada.
- ☐ Evidências digitais possuem controles de integridade e rastreabilidade.
- ☐ Backups são restaurados em testes periódicos.
- ☐ Existe bloqueio de descarte para documentos envolvidos em processos.
- ☐ A equipe consegue localizar uma amostra de evidências de conformidade sem depender de uma pessoa específica.
Perguntas frequentes
Evidência de conformidade e documento são a mesma coisa?
Não. Um documento pode estar relacionado a um tema sem comprovar o atendimento da obrigação. Para funcionar como evidência, precisa ser pertinente, autêntico, íntegro, rastreável e suficiente para a finalidade.
Print de tela serve como evidência?
Pode servir, principalmente como registro complementar. Isoladamente, tende a ser mais frágil por não apresentar todo o contexto ou os metadados. Sempre que possível, preserve também o relatório, o log ou o arquivo original.
É obrigatório guardar documentos físicos?
Depende da legislação aplicável ao documento. A digitalização não autoriza o descarte automático do original. Em SST, a NR-1 permite o arquivamento digital de documentos físicos sob condições específicas e determina a manutenção dos originais quando houver previsão legal.
Quem deve guardar as evidências de conformidade?
A responsabilidade deve ser definida por processo. A área técnica costuma produzir e validar o conteúdo; áreas como compliance, jurídico, privacidade, fiscal ou gestão documental ajudam a estabelecer critérios de retenção e acesso. Um repositório central pode controlar o arquivo sem retirar a responsabilidade técnica da área que gerou a evidência.
Não apresentar a evidência significa que a obrigação não foi cumprida?
Não automaticamente. A ausência ou insuficiência da prova pode dificultar a demonstração do atendimento e produzir consequências diferentes conforme a obrigação, a autoridade, o contrato e o processo aplicável. Não é correto afirmar que todo caso resulta necessariamente em multa ou autuação.
Por onde começar
Selecione dez obrigações críticas e tente localizar a melhor evidência de conformidade de cada uma. Registre quanto tempo a busca levou, se o documento estava vigente, quem era o responsável e se havia histórico. Esse teste simples mostra onde a empresa tem uma falha documental, mesmo quando a atividade operacional está sendo executada.
A Damatta pode apoiar a ligação entre obrigação, responsável, prazo e evidência, mantendo histórico e rastreabilidade sem transformar o processo em arquivo morto.
O objetivo é tornar as evidências de conformidade recuperáveis e úteis durante toda a vida do controle.
Converse com a equipe da Damatta
Fontes oficiais consultadas
- Ministério do Trabalho e Emprego: NR-1 vigente
- Ministério do Trabalho e Emprego: NR-7 vigente
- Presidência da República: Lei Geral de Proteção de Dados Pessoais
- ANPD: orientações sobre o RIPD
- Presidência da República: Código Tributário Nacional
- Ministério do Trabalho e Emprego: prazo para reclamação por falta de recolhimento do FGTS
- Supremo Tribunal Federal: Tema 999
- Presidência da República: Lei nº 14.063/2020
Este conteúdo tem caráter informativo e não substitui a análise técnica ou jurídica das obrigações aplicáveis a uma organização específica.
