← Todos os artigos

Em alguns locais nenhuma lei exige uma auditoria

Em alguns estados norte-americanos, nenhuma lei exige que alguém verifique se as máquinas contaram o seu voto corretamente — e uma auditoria federal identificou esta lacuna em 2005.

Num escritório do secretário do condado de Wisconsin em outubro de 2021, uma equipa do Gabinete de Auditoria Legislativa do estado tentava reconstruir uma eleição que tinha acontecido quase um ano antes. Não tinham sido aprovados para começar até três meses após o Dia da Eleição. Não conseguiam observar diretamente a contagem. Entrevistaram secretários, recolheram certificados de voto ausente, revistaram registos de testes de equipamento — e descobriram que apenas 50,3 por cento dos testes de equipamento obrigatórios por lei tinham sido concluídos nos dez dias antes da eleição que a lei estadual exigia.

A descoberta não era evidência de fraude. Mas levantava uma questão incómoda: se mais de metade das verificações obrigatórias de equipamento pré-eleição não tinham sido feitas a tempo, o que teria apanhado um problema se tivesse ocorrido?

A resposta, em Wisconsin e em muitos outros locais, é: nada obrigatório.

A lacuna que ninguém colocou na primeira página

Eis a frase que tende a ser enterrada em documentos de política: em algumas jurisdições norte-americanas, nenhuma lei exige uma auditoria pós-eleição.

Não uma auditoria fraca. Não uma auditoria lenta. Nenhuma auditoria. As máquinas contam. Os números são certificados. Ninguém é legalmente obrigado a verificar se as máquinas contaram corretamente.

Isto não é uma teoria da conspiração. É uma lacuna na lei administrativa — uma que auditores federais nomearam por escrito, num relatório de 107 páginas, em 2005.

O GAO-05-956 da Secretaria de Responsabilidade Governamental dos EUA, emitido em 21 de setembro de 2005, concluiu que os esforços federais para melhorar a segurança e fiabilidade dos sistemas de voto eletrónico estavam em curso, mas que "actividades-chave permaneciam incompletas." O GAO recomendou que a Comissão de Assistência Eleitoral estabelecesse procedimentos de certificação, criasse repositórios para software certificado, partilhasse informações sobre vulnerabilidades de sistemas e disseminasse práticas de segurança recomendadas. Relatou que problemas documentados com sistemas de voto eletrónico tinham levantado "questões sobre a sua segurança e fiabilidade."

Auditores federais — profissionais de carreira cujo trabalho é encontrar lacunas, não proteger funcionários — estavam a dizer claramente: as garantias ainda não estão terminadas.

Isso foi em 2005. O Relatório 21-19 do Gabinete de Auditoria Legislativa de Wisconsin, divulgado em outubro de 2021, descobriu que, porque a auditoria não foi aprovada até três meses após a Eleição Geral de novembro de 2020, os auditores "não observaram diretamente o Dia da Eleição e confiaram em evidências disponíveis." Entre os registos que examinaram: 175 testes de equipamento obrigatórios por lei, dos quais apenas 50,3 por cento foram concluídos dentro da janela legal.

Um em cada quatro dos certificados que revistaram — 1.022 de 14.710 certificados de voto ausente — tinha endereços de testemunha parciais. E 59 de 60 resultados de teste examinados com maior detalhe "indicaram que o equipamento contou com precisão os votos presidenciais."

Essa última frase é frequentemente citada como garantia. Mas leia-a novamente. Cinquenta e nove em sessenta. Feito tarde, por auditores que chegaram depois do facto, revendo um subconjunto de registos. Garantia não é o mesmo que uma verificação independente, em tempo real, publicamente verificável.

O que "nenhuma auditoria obrigatória" realmente significa na prática

Uma auditoria soa burocrática. O que realmente é: o único mecanismo que pode confirmar se o número que a máquina reportou é o número que os eleitores votaram.

Sem uma, a contagem é o que a máquina diz que é. Ponto final. Está a confiar no hardware, no software, e nas pessoas que configuraram ambos — e não tem nenhuma forma independente de testar se essa confiança é justificada.

Isto não é um problema hipotético. Em Windham, New Hampshire, um leitor óptico interpretou silenciosamente centenas de votos ausentes incorretamente porque uma máquina dobradora os tinha vinco através dos óvalos de voto. A auditoria forense ordenada pela legislatura de New Hampshire — liderada pelos pesquisadores Harri Hursti, Mark Lindeman, e Philip Stark — traçou o problema até linhas de dobra que os leitores AccuVote interpretavam como óvalos marcados, agravado por uma acumulação de pó branco nas lentes do leitor. Nenhum malware. Nenhuma fraude. Uma particularidade mecânica e pó acumulado.

O erro só era identificável porque votos em papel duradouro existiam e uma contagem manual podia recuperar a intenção do eleitor. Se não houvesse papel e nenhuma auditoria, os totais errados teriam permanecido.

Agora remova o mandato. Sem uma exigência legal de auditoria, as pessoas que ordenariam essa revisão forense podem nunca ordenar. Os números permanecem. A contagem incorreta nunca é encontrada.

A ausência de uma auditoria obrigatória não significa que tudo foi contado corretamente. Significa que não pode saber.

O aviso de 2005 que não desencadeou uma solução federal

O relatório de 2005 do GAO vale a pena pausar, porque não era um documento partidário. A Secretaria de Responsabilidade Governamental é o cão de guarda independente do Congresso — é especificamente desenhada para dizer aos legisladores coisas que preferiam não ouvir, sem se importar qual partido está no poder.

O que disse foi claro: sistemas de voto eletrónico tinham problemas documentados de segurança e fiabilidade, e a máquina federal para resolvê-los estava incompleta. A Comissão de Assistência Eleitoral precisava terminar de construir os seus procedimentos de certificação e começar a partilhar informações sobre vulnerabilidades.

A EAC existe porque a Lei de Ajuda para a América Votar de 2002 — aprovada após a crise do hanging-chad — a criou. HAVA dirigiu o estabelecimento de normas mínimas de administração eleitoral e criou um programa para ajudar os estados a substituir equipamento de votação desatualizado. Mas substituir hardware não cria automaticamente um processo para verificar que o novo hardware está a contar corretamente. Normas e certificação levam tempo a construir. O GAO disse, em 2005, que ainda não estavam terminadas.

O que HAVA não fez — porque o Congresso raramente faz isto — é exigir que todas as jurisdições realizem uma auditoria pós-eleição suficiente para confirmar estatisticamente o resultado reportado. Isso foi deixado para os estados. E os estados, como se revelou, deixaram para si próprios.

O resultado é um mosaico. Alguns estados, como o Colorado, lideraram o caminho. O Colorado tornou-se o primeiro estado norte-americano a completar uma auditoria com limitação de risco a nível estadual em 2017 — um método que liga o tamanho da amostra à proximidade da corrida, entregando uma confiança estatística definida que uma verificação de percentagem fixa simplesmente não consegue. Numa corrida desequilibrada, verifica menos votos. Numa corrida próxima, verifica mais — potencialmente todos.

A contagem manual completa da Geórgia de aproximadamente 5 milhões de votos presidenciais em 2020 — desencadeada porque a margem era estreita o suficiente para exigir nos termos de um quadro com limitação de risco — confirmou o resultado tabulado por máquina com margem de cerca de um décimo de um por cento. Isto é o que uma auditoria real parece: um procedimento capaz de apanhar um resultado errado, realizado por uma jurisdição que tinha um quadro legal exigindo-a.

Outros estados não têm nada equivalente. Nenhuma exigência. Nenhum tamanho de amostra. Nenhum limiar estatístico. Nenhum relatório público.

Por que "a auditoria confirmou" não é o fim da história

Há uma frase que ouvirá após quase todas as controvérsias eleitorais: "A auditoria confirmou o resultado." É pretendida ser o período no fim da frase. Frequentemente, não é.

O episódio do Condado de Antrim, Michigan é a ilustração mais clara. Em 4 de novembro de 2020, o condado publicou resultados não oficiais mostrando um resultado implausível — errado por causa de um erro de configuração humana, apanhado porque os números eram absurdamente fora de passo com o histórico político do condado. O condado corrigiu os seus totais no dia seguinte. Uma auditoria manual de dezembro de todos os votos presidenciais contou 9.759 para Trump e 5.959 para Biden. O Departamento de Estado de Michigan confirmou que o resultado certificado não foi afetado.

Mas a contagem manual diferiu da tabulação por máquina em cerca de uma dúzia de votos de aproximadamente 15.700 votados.

Doze votos. Numa jurisdição desse tamanho, numa corrida que não era particularmente próxima, doze votos não é uma crise. Mas faça uma pergunta mais difícil: numa corrida decidida por doze votos, o que é que um método de contagem manual que ele próprio está fora por doze votos realmente lhe diz? A resposta honesta é: não o suficiente para resolvê-lo. Contagens erradas humanas acontecem. Marcas ambíguas acontecem. Chamadas de julgamento de adjudicação acontecem. A contagem manual não é um oráculo sem erro; é um método diferente falível, e numa corrida muito apertada, uma verificação que carrega o seu próprio erro irredutível não pode servir como prova definitiva.

Isto não é um argumento contra contagens manuais. É um argumento para verificabilidade mais forte, fundamentada criptograficamente, que não se baseia em nenhum processo humano ou de máquina único estar sem erro. O caso para verificabilidade que o público pode verificar independentemente — não através de confiança em funcionários que apanharam o seu próprio erro — é exatamente o que a lacuna de uma dúzia de votos em Antrim aponta para.

O relatório de Wisconsin faz o mesmo ponto de um ângulo diferente. Quando o Gabinete chegou três meses após a eleição, conseguiu reconstruir algumas coisas e não outras. Fez 30 recomendações e levantou 18 questões para consideração legislativa. Esse é um documento útil. Não é uma verificação em direto a correr junto com a contagem.

O que uma auditoria obrigatória realmente exigiria

Uma auditoria pós-eleição que valha a pena tem três propriedades. Tem um limiar estatístico definido — não "verificámos alguns votos" mas "verificámos o suficiente que tínhamos 95 por cento de hipótese de apanhar um resultado errado se um existisse." Audita contra registos independentes, duradouros, criados por eleitores — papel que o eleitor marcou ou confirmou, não um código de barras que a máquina gerou e o eleitor não consegue ler. E é publicamente observável — partidos, observadores, e jornalistas podem assistir, os votos são manuseados de acordo com um protocolo de cadeia de custódia escrito, e os resultados são publicados num nível de detalhe que qualquer um pode verificar.

Remova qualquer um desses três e a auditoria degrada-se. Uma amostra estatística auditada contra códigos de barras gerados por máquina é auditar a máquina contra si mesma. Uma contagem manual feita em privado, sem observadores e sem protocolo publicado, é uma cerimónia. Uma verificação de amostra fixada em cinco por cento numa corrida decidida por 0,01 por cento prova quase nada.

O Tribunal Constitucional Federal Alemão colocou o princípio subjacente de forma mais clara, na sua sentença de março de 2009 invalidando máquinas de voto eletrónico: uma eleição é apenas democrática quando "os passos essenciais da votação e da determinação do resultado podem ser examinados pelo cidadão de forma fiável e sem nenhum conhecimento especializado." Cidadãos, não especialistas. De forma fiável, não ocasionalmente. Sem conhecimento especializado — significando que a verificação não pode depender de descodificar software proprietário ou ler um código de barras.

Esse padrão não exige papel pelo nome. Exige que o artefato que é contado é o mesmo artefato que o eleitor pode inspecionar. Um código QR que o eleitor não consegue descodificar falha. Um sistema de tabulação proprietário cujos registos de auditoria os mesmos funcionários podem apagar falha. O tribunal federal em Curling v. Raffensperger concluiu, em 2020, que o sistema de marcação de voto da Geórgia "não fornece um registo de voto verificável e auditável porque se baseia no código QR para tabulação de votos e esse código em si não pode ser lido e verificado pelo eleitor." Um impresso em papel que o eleitor não consegue verificar não é um registo verificado pelo eleitor. É um registo gerado por máquina impresso em papel.

A lacuna real é estrutural, não partidária

Vale a pena ser preciso sobre que tipo de problema é a lacuna da falta de auditoria obrigatória. Não é um problema Republicano ou Democrata. Não é principalmente um problema de fraude. É um problema de desenho — um sistema construído sem uma verificação independente, da forma que uma instituição financeira poderia operar sem um auditor externo.

Nenhum regulador de bancos aceitaria "verificámos os nossos próprios livros e tudo parecia bem" como base para confiança pública numa instituição financeira. A verificação tem de ser independente, o método tem de ser publicamente conhecido, e os resultados têm de ser publicados numa forma que qualquer parte qualificada possa inspecionar.

As eleições merecem o mesmo padrão. O vilão aqui não é um partido ou um candidato. É a opacidade — a lacuna entre "anunciámos um resultado" e "qualquer um pode verificar como o obtemos."

A solução não é complicada em princípio. Exige:

  • Um mandato legal que cada jurisdição realize uma auditoria pós-eleição com um limiar estatístico definido e publicado
  • Registos de papel verificados pelo eleitor — marcados ou confirmados pelo eleitor — contra os quais a auditoria é realizada
  • Observabilidade pública — aberta a partidos, observadores, e imprensa, com resultados publicados em forma legível por máquina
  • Relatório independente — uma auditoria dirigida ou supervisionada por alguém que não as pessoas que dirigiram a eleição

As recomendações de Wisconsin chegam a 30 itens. O quadro de auditoria com limitação de risco do Colorado fornece um modelo funcional. O GAO disse em 2005 que a máquina federal precisava terminar de ser construída. Vinte anos depois, a questão ainda está a ser decidida jurisdição por jurisdição, eleição por eleição.

O que ainda não é verificável — e o que mudaria isso

Após a próxima eleição na sua jurisdição, aqui estão as questões que vale a pena colocar antes de aceitar uma manchete "a auditoria confirmou":

Uma auditoria era legalmente exigida? Não apenas encorajada, não apenas possível — exigida por lei, com um método definido e um limiar publicado.

Contra o quê foi auditada a amostra? Se a resposta é "o próprio resultado da máquina," não é uma verificação independente. Se a resposta é "votos em papel marcados por eleitores," questione se os votos foram marcados pelo eleitor ou impressos pela máquina.

Quem observou a auditoria? O protocolo foi publicado antecipadamente? Os resultados foram publicados em forma legível por máquina ao nível do local de votação, para que qualquer jornalista ou pesquisador pudesse reconciliá-los contra totais da noite eleitoral?

O que aconteceu a discrepâncias? Uma lacuna de doze votos entre uma contagem de máquina e uma contagem manual não é um erro de arredondamento para afastar. É dados. O que significa depende da margem da corrida — e numa corrida próxima, é exatamente o tipo de dados que deveria desencadear uma análise mais profunda, não um comunicado de imprensa.

Se nenhuma dessas questões têm respostas públicas, a auditoria ainda não aconteceu. O que aconteceu é um anúncio.

Um resultado anunciado não é um resultado verificado. A diferença é um sistema que qualquer um pode verificar — e neste momento, em demasiados locais, esse sistema não tem legalmente que existir.

Veja a frequência desta lacuna no mundo inteiro →

Leia a versão de dois minutos desta lacuna →

Todas as lacunas que monitorizamos →

Fontes

Ver todos os artigosExplorar as lacunas