Autoria editorial: Vinícius Costa
O data room de auditoria é o repositório controlado em que a empresa disponibiliza documentos, bases, conciliações e respostas ao auditor. Quando estruturado corretamente, ele reduz perda de tempo, evita versões conflitantes e preserva a rastreabilidade. Quando funciona como uma pasta coletiva sem governança, aumenta o risco de informações incompletas, exposição de dados e discussões sobre o que foi efetivamente entregue.
Quais problemas um data room bem estruturado resolve?
- duplicidade de pedidos;
- arquivos enviados por canais diferentes;
- versões contraditórias;
- documentos sem identificação;
- perda de histórico;
- acesso indevido a dados;
- respostas sem suporte;
- falta de vínculo com a PBC list;
- dificuldade de comprovar a data de entrega;
- uso de arquivo preliminar como definitivo.
Taxonomia de pastas
A estrutura pode seguir códigos da PBC list ou áreas de auditoria. Um modelo:
- 00 Governança e cronograma;
- 01 Societário;
- 02 Demonstrações e balancetes;
- 03 Caixa e bancos;
- 04 Receita e contas a receber;
- 05 Estoques e custos;
- 06 Compras e fornecedores;
- 07 Folha;
- 08 Tributos;
- 09 Imobilizado e intangível;
- 10 Empréstimos e instrumentos financeiros;
- 11 Jurídico e contingências;
- 12 Partes relacionadas e consolidação;
- 13 Eventos subsequentes e encerramento.
Pastas precisam refletir a lista do auditor. Criar estruturas paralelas dificulta controle.
Nomenclatura de arquivos
O nome deve permitir compreender o conteúdo sem abrir:
[Código PBC]_[Documento]_[Entidade]_[Período]_[Versão]_[Data].xlsx
Exemplo: PBC-4.03_AgingClientes_EmpresaA_2026-08_V02_20260903.xlsx.
Evite nomes como “final”, “final2” ou “corrigido novo”. Use número de versão e mantenha histórico.
Controle de versões
Quando um arquivo é substituído, registre:
- versão anterior;
- motivo da alteração;
- campos ou valores afetados;
- responsável;
- data;
- se o auditor foi notificado;
- impacto em respostas já concluídas.
| Versão | Alteração | Impacto | Status |
|---|---|---|---|
| V01 | Extração inicial | Saldo não reconciliado | Substituída |
| V02 | Inclusão de filial | + R$ 450 mil | Em revisão |
| V03 | Conciliação aprovada | Versão definitiva | Entregue |
Ligação com a PBC list
A ferramenta de controle deve conter link direto para o arquivo, status, data prometida, data entregue, preparador e revisor. Uma solicitação só deve ser marcada como concluída após validação interna e confirmação de que o documento responde integralmente ao pedido.
Permissões e segregação
Nem todos precisam acessar tudo. Jurídico, folha, investigações e dados pessoais podem exigir grupos específicos. O auditor recebe acesso compatível com o escopo; colaboradores internos recebem somente o necessário para preparar ou revisar.
Use autenticação multifator, logs, prazo de expiração e restrição de compartilhamento externo. Links públicos devem ser evitados.
Dados pessoais e sigilosos
A minimização deve preservar o que é necessário à auditoria. Quando possível, utilize identificadores ou separe arquivos identificados de bases analíticas. Não remova campos necessários sem discutir com o auditor, pois isso pode tornar a evidência insuficiente.
Arquivos estruturados e originais
Planilhas, CSVs e exportações do ERP devem ser entregues em formato que permita testes, acompanhados de:
- descrição dos campos;
- parâmetros de extração;
- data e responsável;
- total de registros;
- reconciliação ao razão;
- hash ou outra identificação quando relevante;
- PDF de suporte somente quando útil.
Converter uma base analítica em PDF destrói parte de sua utilidade.
Respostas e evidências
Uma explicação deve estar no próprio sistema ou em memorando vinculado à solicitação. Mensagens em aplicativos pessoais não devem ser a única memória da decisão. Quando a resposta menciona números, anexe a conciliação e a fonte.
Logs e cadeia de entrega
Registros de upload, download, alteração e acesso ajudam a demonstrar quando o documento foi disponibilizado e quem o consultou. Isso é relevante quando existe discussão sobre atraso, versão ou ausência de informação.
Encerramento e retenção
Ao final, preserve uma cópia do universo entregue, a PBC list final, o histórico de versões e as decisões. Defina prazo de retenção conforme política, legislação e obrigações contratuais. A exclusão deve ser controlada.
Erros recorrentes
- usar e-mail, WhatsApp e data room ao mesmo tempo sem registro central;
- sobrescrever arquivos;
- liberar acesso amplo;
- marcar item concluído sem revisão;
- enviar base sem reconciliação;
- não avisar que o arquivo mudou;
- manter links expirados;
- entregar documento sem código ou período;
- excluir histórico após a auditoria.
Perguntas frequentes
O auditor escolhe a plataforma?
Muitas firmas utilizam portal próprio. A empresa pode manter controle interno espelhado, desde que a versão formal entregue seja claramente identificada.
É necessário guardar todas as versões?
Versões relevantes e o histórico das alterações devem ser preservados para explicar o fluxo e evitar dúvida sobre a evidência usada.
Posso enviar arquivo protegido por senha?
Sim, desde que a senha seja compartilhada por canal seguro e o procedimento esteja alinhado com o auditor.
Fontes técnicas
Conteúdo informativo. Permissões, retenção e segurança devem ser adaptadas à plataforma e aos dados da entidade.