Definir dados de eventos de compras para uma trilha de decisão auditável
“Eu gostaria de ver cada aprovação, exceção e alteração de preço registrada como um evento próprio antes de deixarmos o software redigir uma recomendação de adjudicação, pois é nessa trilha que um revisor confiará mais tarde.”
| Estatística | Fonte |
|---|---|
| A Subparte 4.8 do FAR mantém os contratos federais dos EUA e registros relacionados, incluindo propostas não bem-sucedidas, por 6 anos após o pagamento final. | Subparte 4.8 do FAR, edição de 2026 |
| O GAO constatou que 36 das 70 agências que enviaram dados do ano fiscal de 2023 ao Federal Procurement Data System confirmaram a conclusão de um relatório de qualidade de dados. | GAO, 2025 |
| Os auditores da ONU descobriram que 14 de 30 casos de compras locais amostrados careciam de documentação de avaliação adequada para análise. | UN OIOS, 2024 |
| Um rascunho do NIST define o gerenciamento de logs como a geração, transmissão, armazenamento, acesso e descarte de dados de logs. | Esboço do NIST SP 800-92 Rev. 1, 2023 |
| Um artigo sobre o método de mineração de processos aponta a instância de processo, atividade, recurso e registro de data e hora como o conteúdo principal de um registro de eventos. | Chiu et al., 2019 |
| Uma auditoria de um condado constatou que os departamentos não forneciam consistentemente justificativas suficientes para aquisições de fornecedor único (sole-source). | Auditor do Condado de Cook, 2016 |
As fontes cobrem diferentes jurisdições, organizações, períodos e finalidades. Elas não medem a frequência com que as empresas apresentam essas lacunas, e as diretrizes regulatórias aplicam-se apenas dentro de seu escopo declarado.
O que inclui uma trilha de decisão de compras auditável?
A contratação pública federal dos EUA oferece uma referência útil para o escopo. As regras de arquivos de contratos da FAR exigem que os escritórios de contratação governamental mantenham documentação suficiente para constituir um histórico completo da transação, e listam registros desde a solicitação de compra e justificativas até propostas, ofertas, seleção de fontes, aprovações de adjudicação e modificações. Essas regras regem os arquivos dos próprios escritórios federais, e não as compras de uma empresa, portanto trate a lista como uma verificação de cobertura para o seu próprio design.
Pense na trilha como os eventos que alteram o estado de uma compra, além das evidências em que cada um se baseou: uma solicitação aprovada, uma lista de fornecedores definida, propostas recebidas, uma avaliação assinada, uma adjudicação aprovada, um contrato alterado, mercadorias recebidas e uma fatura paga. Cada momento possui um ator, um horário e um documento, e um revisor deve conseguir navegar entre eles sem precisar pedir a três equipes que procurem em suas caixas de entrada.
Quais campos todo registro de evento de compras deve conter?
Um artigo sobre método de mineração de processos apresenta um mínimo compacto. Chiu, Brown-Liburd e Vasarhelyi descrevem um log de eventos que carrega a instância do processo, a atividade, o recurso que a executou e um registro de data e hora (timestamp). Seus caminhos ilustrativos de procure-to-pay, como pedido de compra, assinatura, recebimento de mercadorias, recebimento de fatura, liberação e pagamento, separam sequências padrão de não padrão, o que depende de cada evento carregar sua instância de processo, atividade e registro de data e hora, enquanto o campo de recursos suporta outros testes, como segregação de funções.
Os eventos de procurement precisam de alguns campos a mais do que um log de sistema genérico, pois um revisor de procurement também questiona sobre autoridade e fundamento. Adicione o sistema de registro e seu número de registro nativo, a regra de aprovação aplicada, o valor e a moeda quando o evento altera um compromisso e um link para a versão armazenada do documento de suporte. Registre o ator como uma pessoa nomeada ou conta de serviço, além da função e delegação em vigor naquele dia, para que os testes de segregação de funções possam identificar um solicitante aprovando sua própria solicitação.
Se os dados forem alimentar ferramentas de mineração de processos ou análises de auditoria, um formato de intercâmbio publicado pode poupar você de um projeto de tradução no futuro. O padrão IEEE 1849-2023 XES define um formato XML para a troca de logs de eventos entre os sistemas que os geram e as ferramentas que os analisam, e seu escopo inclui os sistemas de compras entre essas origens. Mapear o seu esquema para esse formato mantém o significado de cada campo claro quando os dados são transferidos, embora a completude ainda dependa do que cada sistema registra.
Como os registros devem se conectar entre os sistemas de triagem, sourcing, contratos e ERP?
Um rastro pode cruzar vários sistemas: a solicitação em uma ferramenta de entrada, as propostas em uma plataforma de e-sourcing, o acordo no gerenciamento de contratos e o compromisso e pagamento no ERP. O guia introdutório do Padrão de Dados de Contratação Aberta lida com um problema semelhante para contratações públicas com um identificador por processo de contratação. Cada alteração é publicada como uma versão que não pode ser alterada após a publicação, e um registro indexa essas versões e pode incluir uma versão compilada contendo o valor mais recente de cada campo.
O mesmo padrão funciona internamente em uma empresa. Atribua um identificador de caso no recebimento, carregue-o para o evento de sourcing, contrato, pedido de compra e fatura, e armazene uma referência cruzada sempre que um sistema emitir seu próprio número; para acordos-quadro, faça do contrato a âncora para a qual pedidos de liberação, recebimentos e faturas apontam. Mantenha o histórico apenas para inclusão (append-only) e construa a visão atual a partir dele, de modo que o nome ou preço de um fornecedor corrigido apareça como um novo evento acompanhado de sua justificativa, enquanto o valor anterior permaneça legível.
Quais eventos de compras precisam dos controles mais rígidos?
As exceções precisam dos controles mais rigorosos porque o caminho padrão já inclui seus documentos integrados, enquanto uma exceção precisa criar seu próprio registro. Uma auditoria de 2016 do Condado de Cook sobre compras por fonte única e emergenciais ilustra a lacuna: constatou-se que os departamentos de origem nem sempre forneciam justificativa suficiente para aquisições com fornecedor exclusivo. Também foi constatado que o formulário de compra de emergência não exigia justificativa para a não obtenção de três cotações.
Registre cada exceção como seu próprio tipo de evento: uma justificativa de fonte única ou proposta única, uma exigência de concorrência ou cotação dispensada, outra etapa de política dispensada ou uma alteração manual de preço ou quantidade após a adjudicação. Cada uma deve conter a regra da qual se desvia, a justificativa por escrito, o aprovador e sua autoridade, e quando a aprovação ocorreu em relação ao compromisso. Trate os limites de alçada de delegação de autoridade como insuscetíveis de dispensa no registro, de modo que uma aprovação acima do limite de alguém seja registrada seja como um escalonamento, seja como um compromisso não autorizado com sua ratificação e um registro de infração.
Os registros de avaliação merecem o mesmo tratamento. Em uma auditoria interna de 2024 sobre compras locais no Sudão do Sul, os auditores da ONU constataram que as avaliações técnicas e financeiras seguiram os critérios da licitação em 16 dos 30 casos amostrados, enquanto os 14 restantes careciam de documentação adequada para a avaliação. A mesma auditoria constatou que a comissão de abertura de propostas registrou posteriormente o horário de recebimento de cada submissão, que é o tipo de evento com carimbo de data/hora a partir do qual uma trilha de avaliação pode começar.
Por quanto tempo os registros de eventos de compras devem ser mantidos?
A retenção depende da jurisdição e do tipo de registro, portanto, defina-a com o jurídico e o financeiro em vez de escolher um único número para tudo. Para contratos federais dos EUA, a tabela de retenção do FAR mostra os contratos e registros relacionados, incluindo propostas bem-sucedidas e malsucedidas, mantidos por 6 anos após o pagamento final. A mesma subseção exige procedimentos de transferência, armazenamento e recuperação de dados que protejam os dados originais contra alterações.
As regras fiscais alcançam os mesmos registros por outra direção. O procedimento fiscal (Revenue Procedure) 98-25 do Internal Revenue Service exige que os contribuintes sob seu escopo retenham registros legíveis por máquina enquanto seus conteúdos puderem se tornar relevantes para a administração tributária. Também exige que documentem os processos de negócios que criam e modificam esses registros e estabeleçam trilhas de auditoria entre os registros retidos, os livros contábeis e a declaração fiscal, portanto, mantenha seu esquema de eventos e seu histórico de alterações junto com os dados.
Quanto aos logs em si, o rascunho de revisão da norma NIST SP 800-92 define o gerenciamento de logs como a geração, transmissão, armazenamento, acesso e descarte de dados de logs, e lista a manutenção de registros pelo período necessário entre os propósitos. Ele foi escrito para logs de segurança cibernética, portanto, use-o para a disciplina de armazenamento, acesso e descarte em vez de para decidir quais eventos de compras importam.
Como as equipes podem testar a trilha antes de uma auditoria?
Execute os testes que um auditor executaria. Ordene cronologicamente os eventos de cada caso e procure caminhos que violem suas regras, como uma assinatura registrada após o recebimento das mercadorias. No exemplo de Chiu e colaboradores, esse caminho conta como não padrão, e os mesmos autores alertam que um registro de eventos incompleto gera informações que os auditores não podem usar. Em seguida, procure exceções que ninguém declarou, como pedidos acima do limite de concorrência sem nenhum evento de sourcing ou faturas datadas antes de seus pedidos, e verifique se cada exceção declarada possui seu motivo e aprovador.
A qualidade dos campos de dados precisa de sua própria verificação, mesmo em sistemas obrigatórios. Em sua revisão de 2025 dos dados de compras federais, GAO constatou que 36 das 70 agências que reportam ao Federal Procurement Data System para o ano fiscal de 2023 confirmaram ter concluído um relatório de qualidade de dados, enquanto o restante representou cerca de 0.26 por cento das obrigações contratuais. Também constatou que duas agências não haviam documentado planos de ação corretiva para elementos de dados com taxas recorrentes de baixa precisão. Amostre campos-chave a cada período e atribua a um responsável a tarefa de identificar a causa de erros recorrentes.
O que um registro de evento de compras deve conter?
Use o registro abaixo para acordar, sistema por sistema, quais eventos existem, o que cada um deve conter e quem é o responsável por um campo ausente. Comece com uma categoria e um evento de sourcing recente, rastreie-o desde a solicitação até o pagamento e marque cada ponto em que você teve que perguntar a uma pessoa em vez de ler um registro. Se os seus eventos de sourcing já seguirem um fluxo de trabalho estruturado RFQ, suas etapas mapeiam-se para as linhas de sourcing.
| Classe de evento | Campos mínimos a capturar | Evidência e responsável |
|---|---|---|
| Solicitação e aprovação | ID do caso, solicitante, centro de custo, categoria, valor estimado e moeda, necessidade, aprovador, regra de aprovação, carimbo de data/hora | Registro de entrada e histórico de aprovação; responsável pelo orçamento |
| Configuração do evento de sourcing | ID do caso, ID do evento, método de sourcing, fornecedores convidados e excluídos com os respectivos motivos, data de emissão e prazo com eventuais prorrogações e seu aprovador, critérios de avaliação, pesos e método de pontuação definidos no momento da emissão | Configuração do evento e versão da lista de fornecedores; gerente de categoria |
| Perguntas e aditamentos do período de licitação | Perguntas dos licitantes, respostas anonimizadas emitidas para todos os licitantes convidados, versões de adendos | Mensagens de eventos e aditivos; responsável pelo evento |
| Recebimento e abertura de propostas | Fornecedor, horário de envio, versão, status de atraso ou rejeição e motivo | Propostas lacradas e registro de recebimento; responsável pelo evento |
| Esclarecimentos pós-abertura e negociação | Esclarecimentos específicos do licitante mantidos confidenciais e verificados quanto a alterações na proposta, convites para rodadas com justificativas, preços de cada rodada e melhor e final proposta | Registro de esclarecimentos e versão da tabela de propostas utilizada; líder de sourcing |
| Avaliação e adjudicação | Versão do critério, declarações de conflito do avaliador, pontuações individuais e moderadas, recomendação, aprovador da adjudicação e autoridade | Aprovações de avaliação e adjudicação assinadas; líder de sourcing |
| Exceção ou violação | Regra infringida, motivo, aprovador, autoridade, horário da aprovação em relação ao compromisso; ratificação para qualquer compromisso não autorizado | Registro de justificativa ou ratificação; responsável pela política |
| Contrato e aditivo | ID do contrato vinculado ao ID do caso, alteração realizada, valores antes e depois, autoridade signatária, valor cumulativo em relação à adjudicação aprovada | Versões assinadas e revisões com controle de alterações; gestor de contratos |
| Pedido, recebimento e fatura | Aprovador de pedidos, referência de preço em contrato, recebimento ou aceitação de serviço, tipo e tolerância de correspondência, liberação de fatura bloqueada com motivo | Documentos de ERP e exceções de correspondência; responsável por procure-to-pay |
| Pagamento | Ciclo de pagamento, data, valor e a conta bancária do beneficiário para a qual o dinheiro realmente foi | Arquivo de pagamento e confirmação bancária; responsável por contas a pagar |
| Criação de fornecedores e alteração de dados mestres | Verificações de duplicidade e de ID fiscal, triagem de sanções, campos alterados com valores anteriores e posteriores, dados bancários verificados de forma independente da solicitação (um contato já cadastrado para alterações, um contato obtido de forma independente para novos fornecedores), solicitante, aprovador | Solicitação de alteração e evidência de verificação; responsável pelo cadastro mestre de fornecedores sem direitos de compras ou liberação de pagamentos |
Análise especializada de autoria. Adapte as classes de eventos e os campos aos seus sistemas, política de aprovação e regras de guarda de registros aplicáveis. Não se trata de uma lista de verificação jurídica nem de um marco de controle completo.
Os cadastros de fornecedores precisam de dois rastros separados. Quando um novo fornecedor passa por uma avaliação de risco de fornecedores em camadas, registre a versão da avaliação, o resultado e o revisor como eventos nesse fornecedor. Trate toda alteração de dados bancários como um evento de dados mestre de alto risco para todos os fornecedores, independentemente do nível deles, registrando quem solicitou, como foi confirmada por meio de um contato já cadastrado, quem verificou e aprovou, e quando, para que uma revisão de pagamentos possa verificar o que foi checado antes da movimentação de fundos.
Como os agentes AI alteram a trilha de decisão de compras?
Perguntas frequentes
Quais são os dados mínimos de que um log de eventos precisa para uma trilha de auditoria de compras?
Chiu, Brown-Liburd e Vasarhelyi descrevem o núcleo como instância de processo, atividade, recurso e registro de data/hora (timestamp). Para registros de compras, este guia recomenda capturar também o número do registro no sistema, a regra de aprovação aplicada e um link para o documento comprobatório.
Empresas privadas precisam seguir as regras de arquivos de contratos do FAR?
A Subparte 4.8 do FAR estabelece requisitos para os arquivos dos escritórios de contratação do governo dos EUA, e não para as compras de um comprador privado. Ainda assim, é uma referência de cobertura útil, pois lista os registros desde a solicitação de compra até a conclusão do contrato.
O histórico de eventos de compras deveria ser editável?
Registre as correções como novos eventos com um motivo e deixe o lançamento anterior intacto. O guia introdutório do OCDS descreve o mesmo padrão: as versões não podem ser alteradas após a publicação, e um registro as indexa e pode incluir uma visão compilada do valor mais recente de cada campo.
Como uma equipe pode verificar se seus dados de compras permanecem precisos?
Amostre campos-chave regularmente e documente ações corretivas para qualquer campo que continue falhando. A revisão do GAO de 2025 constatou que duas agências não haviam documentado planos de ação corretiva para elementos de dados com taxas de precisão recorrentemente baixas.
Fontes
- Transparência de Gastos Federais: Ações Necessárias para Ajudar a Garantir a Qualidade dos Dados de Compras (GAO-25-107469) — U.S. Government Accountability Office, 2025. Evidência empírica atual (relatório oficial): Conclusão do relatório de qualidade de dados entre as agências de relatórios do FPDS e ação corretiva não documentada para elementos de dados recorrentes de baixa precisão. Participação nas obrigações das agências que não confirmaram a conclusão.
- Auditoria de aquisições locais na Missão das Nações Unidas na República do Sudão do Sul (Relatório 2024/064) — Escritório de Serviços de Supervisão Interna das Nações Unidas, Divisão de Auditoria Interna, Escritório de Serviços de Supervisão Interna das Nações Unidas, 2024. Evidência empírica atual (relatório oficial): Participação dos casos de avaliação amostrados com documentação inadequada e o registro subsequente pelo comitê de abertura de propostas do horário de recebimento de cada submissão.
- Subparte FAR 4.8 - Arquivos de Contratos Governamentais — Conselho de FAR (Administração de Serviços Gerais, Departamento de Defesa, NASA), Acquisition.gov (Administração de Serviços Gerais dos EUA), 2026. Evidência contextual (relatório oficial): Finalidade do histórico completo dos arquivos de contrato, exemplos de conteúdo de arquivos, prazos de retenção e proteção de dados armazenados contra alteração.
- Como os dados do OCDS são publicados? (Guia introdutório do Open Contracting Data Standard v1.1.5) — Open Contracting Partnership, 2020. Evidência contextual (relatório oficial): padrão de divulgações de alterações imutáveis vinculadas por um identificador de processo e um registro compilado dos valores mais recentes.
- Padrão XES IEEE 1849-2023 — IEEE Task Force on Process Mining, IEEE Task Force on Process Mining (xes-standard.org), 2023. Evidência contextual (relatório oficial): Existência, propósito e escopo do padrão de intercâmbio de logs de eventos do IEEE, incluindo sistemas de compras como locais geradores.
- Executando testes de controles internos usando Mineração de Processos: O que pode dar errado? — Tiffany Chiu, Helen L. Brown-Liburd e Miklos A. Vasarhelyi, The CPA Journal (New York State Society of CPAs), 2019. Evidência fundamental (revista revisada por pares): conteúdos principais do log de eventos, separação baseada em variantes de fluxos de procure-to-pay padrão e não padrão, o papel do campo de recursos em questões de segregação de funções e a limitação de logs incompletos.
- NIST SP 800-92 Rev. 1 (Esboço Público Inicial): Guia de Planejamento de Gerenciamento de Logs de Cibersegurança — Karen Scarfone e Murugiah Souppaya, National Institute of Standards and Technology, 2023. Evidência contextual (relatório oficial): definição de gerenciamento de logs e retenção pelo período exigido como uma de suas finalidades.
- Rev. Proc. 98-25 (retenção de registros legíveis por máquina) — Internal Revenue Service, 1998. Evidência fundamental (relatório oficial): Retenção enquanto os registros puderem se tornar relevantes, documentação de processos de criação de registros e trilhas de auditoria entre registros, livros e declarações.
- Auditoria das Contratações Emergenciais e por Fornecedor Exclusivo do Escritório do Diretor de Compras (Office of the Chief Procurement Officer) — Escritório do Auditor do Condado de Cook, Condado de Cook, Illinois, 2016. Evidência histórica (relatório oficial): Justificativa insuficiente para fonte única e ausência do requisito no formulário de emergência para justificar exceções à obtenção de três cotações.