← Todos os artigos7 de novembro de 2026

Uma auditoria que não pode alterar o resultado é uma cerimónia

Duas das auditorias eleitorais mais celebradas da história americana recente não conseguiram alterar um único resultado. Isso não é uma característica — é uma confissão.

É a manhã de 8 de dezembro de 2007, e um relatório acabou de chegar à secretária de Jennifer Brunner, Secretária de Estado de Ohio. Nove semanas de trabalho de equipas da Universidade Estadual da Pensilvânia, da Universidade da Pensilvânia e da WebWise Security, Inc. — equipas que receberam o código-fonte real e o equipamento dos sistemas de votação utilizados em todo Ohio. A sua conclusão, aplicada a cada sistema que estudaram, não é ambígua.

Todos os sistemas estudados possuem falhas de segurança críticas que tornam os seus controlos técnicos insuficientes para garantir uma eleição fiável.

Nem alguns. Todos. O relatório EVEREST — Evaluation and Validation of Election-Related Equipment, Standards and Testing — documentou falhas comuns: ataques internos que o software não conseguia impedir, criptografia aplicada incorretamente, registos de auditoria que podiam ser falsificados ou apagados pelas mesmas pessoas que se presumia monitorizarem. No caso do sistema ES&S, o relatório observou que nunca tinha recebido anteriormente uma revisão de segurança detalhada de código-fonte e teste de intrusão.

As eleições de Ohio estavam a ser executadas nestas máquinas. E as auditorias destinadas a detetar problemas com essas máquinas? Em todos os condados do estado, eram não vinculativas. A contagem permanecia independentemente do que encontrassem.

Esta é a lacuna sobre a qual este artigo fala.

O que "auditoria não vinculativa" realmente significa

Uma auditoria que não pode alterar o resultado não é uma salvaguarda. É uma cerimónia.

A palavra "auditoria" tem um peso enorme. Implica escrutínio, responsabilidade, a possibilidade de correção. Usamo-la em finanças porque uma auditoria falhada impede algo — pode anular um conjunto de contas, provocar uma reformulação, terminar uma carreira. Quando funcionários eleitorais dizem "realizámos uma auditoria pós-eleitoral", a maioria das pessoas assume que significam a mesma coisa. Normalmente, não significa.

Uma auditoria não vinculativa é uma observação da contagem sem qualquer força. Pode encontrar uma discrepância. Vai arquivar um relatório. O resultado certificado permanece certificado.

Na maioria das jurisdições dos EUA — e muitas democracias em todo o mundo — não existe um limiar automático e predefinido no qual uma discrepância de auditoria desencadeie uma correção, muito menos uma nova votação. O resultado entra num documento. O documento fica arquivado. O vencedor toma posse.

Isto não é um problema hipotético. A revisão EVEREST de Ohio — uma análise de segurança independente, ao nível do código-fonte, adversarial — encontrou falhas críticas em cada sistema que examinou. Foi divulgada ao público sob a Lei de Registos Públicos de Ohio. Ohio continuou a usar esses sistemas. O relatório final EVEREST deixa claro que a auditoria confiável estava ela própria comprometida, com registos "comummente falsificáveis ou apagáveis pelas pessoas que se presumia monitorizarem". Uma auditoria construída sobre registos falsificáveis não é uma auditoria. É apenas burocracia.

Rastreamos esta categoria de lacuna estrutural em jurisdições aqui — /gaps/non-binding-audit.

As duas auditorias que merecem ser estudadas lado a lado

Se quer compreender o que uma auditoria real faz de forma diferente, comece por dois exemplos americanos que realmente merecem exame — não porque provem que as eleições são roubadas, mas porque ilustram, precisamente, o que a palavra "auditoria" pode significar quando tem força, e o que ainda não pode provar por si só.

Colorado, 2017. Após a sua eleição de novembro, o Colorado tornou-se o primeiro estado dos EUA a completar uma auditoria de limitação de risco de âmbito estatal (RLA). O design é matematicamente específico: em vez de verificar uma percentagem fixa de boletins de voto, um RLA dimensiona a sua amostra à proximidade da corrida. Uma corrida decidida por um por cento requer muito mais boletins verificados manualmente para alcançar confiança estatística do que uma decidida por vinte. O Colorado começou com um limite de risco de nove por cento e posteriormente o reduziu para três por cento, o que significa que havia no máximo uma probabilidade de três por cento de a auditoria certificar um vencedor errado. O Secretário de Estado do Colorado anunciou a conclusão em 22 de novembro de 2017. Não foi uma recontagem. Foi um teste estatístico com um nível de confiança definido, com base em boletins de papel verificados manualmente.

Geórgia, 2020. Quando a margem presidencial na Geórgia surgiu com aproximadamente 11 000 votos em cerca de cinco milhões de votos, o primeiro RLA de âmbito estatal do estado teve de se tornar algo maior. Porque a margem era tão estreita, os requisitos estatísticos significavam auditar essencialmente todos os boletins. Então a Geórgia fez exatamente isso: 159 condados, 41 881 lotes, aproximadamente cinco milhões de boletins presidenciais contados manualmente por olhos humanos em menos de seis dias. O resultado diferiu da contagem da máquina em cerca de um décimo de um por cento — bem dentro da gama de variabilidade da contagem humana. A Georgia Public Broadcasting relatou a confirmação em 19 de novembro de 2020.

Ambos os casos são, por qualquer medida, mais sérios do que uma verificação pontual. A questão que merece ser feita é o que ainda não conseguem fazer — e o que acontece nas dezenas de estados que não fazem nenhum deles.

A lacuna entre "verificámos" e "pode verificar"

Aqui está o que as auditorias do Colorado e da Geórgia partilham com todas as outras auditorias pós-eleitorais: são conduzidas pelos mesmos funcionários que dirigiram a eleição. Observadores externos podem assistir. Os candidatos podem enviar representantes. Mas o ato fundamental — puxar os boletins, executar a contagem, reportar os totais — acontece dentro de um processo governamental, controlado por funcionários governamentais, documentado por registos governamentais.

Isto não é uma conspiração. É uma observação estrutural sobre como a confiança flui.

O Tribunal Constitucional Federal Alemão colocou-o claramente em 2009 quando decidiu que as máquinas de votação eletrónica falharam o padrão de legitimidade democrática: os passos essenciais de votação e determinação de resultados devem ser examinosos pelo cidadão sem conhecimento especializado. A decisão do Bundesverfassungsgericht nos casos 2 BvC 3/07 e 2 BvC 4/07 é sobre computadores — mas a sua lógica estende-se diretamente às auditorias. Um processo que não consegue verificar independentemente não é um processo verificável, seja qual for o nome que lhe der.

Os Holandeses chegaram a um lugar similar em 2007, quando a comissão consultiva do próprio governo publicou Stemmen met vertrouwen ("Votar com confiança") e concluiu que a transparência e a verificabilidade — controleerbaarheid — eram fundações não negociáveis de uma eleição confiável. A resposta da comissão não foi máquinas melhores ou auditorias melhores por funcionários; foi um registo de papel legível por humanos que qualquer observador pudesse confirmar. Os Países Baixos abandonaram completamente os seus computadores de votação. O Kiesraad mantém o relatório completo.

Uma auditoria conduzida por funcionários, confirmada por funcionários, reportada a funcionários, e arquivada em registos oficiais é melhor do que nada. Não é a mesma coisa que verificabilidade independente.

O que "confirmado" deixa em aberto

Volte à Geórgia 2020 por um momento, porque é o caso mais forte para auditorias de contagem manual — e mesmo assim tem uma ressalva que merece ser nomeada.

Uma variação de um décimo de um por cento entre a contagem da máquina e a contagem manual em cinco milhões de boletins soa como ruído. Provavelmente é. Mas um décimo de um por cento de cinco milhões são cinco mil votos. A margem vencedora era aproximadamente onze mil. Isso significa que a variação entre os dois métodos foi aproximadamente metade da margem de vitória — numa corrida em que o perdedor exigiu uma recontagem e o resultado foi amargamente contestado em todo o país.

"A contagem manual confirmou a contagem da máquina" e "a contagem manual era idêntica à contagem da máquina" são afirmações diferentes. A contagem manual da Geórgia confirmou o resultado — o mesmo candidato venceu por uma margem suficientemente grande para sobreviver à variação. É exatamente o que um RLA é desenhado para fazer: confirmar o vencedor com confiança estatística, não alcançar precisão zero-erro. O RLA do Colorado faz a mesma coisa.

Mas agora redimensione o problema. Antrim County, Michigan, 2020: um pequeno condado onde o erro humano produziu resultados oficiais obviamente errados. Quando corrigidos e auditados manualmente, a contagem manual final diferiu da tabulação da máquina em cerca de uma dúzia de votos de aproximadamente 15 700 votos. Doze votos. Numa corrida decidida por um punhado de votos, uma contagem manual que está ela própria errada por uma dúzia de votos não é uma prova de precisão. É uma medição com uma margem de erro — e a margem de erro deve ser menor do que a margem de vitória antes de um método conseguir "confirmar" qualquer coisa.

A lição honesta não é que as contagens manuais são pouco confiáveis ou que há algo fraudulento. A lição honesta é que mesmo o padrão-ouro das recontagens manuais leva erro humano irredutível — e o erro sem uma verificação sistemática e independente é apenas erro que consentimos aceitar.

Uma auditoria não vinculativa de um sistema sem papel nem consegue alcançar este nível de incerteza honesta. É simplesmente contar electrões e arquivar um relatório.

A auditoria que realmente mudou algo — porque era adversarial

A revisão EVEREST de Ohio mudou algo. Não porque fosse vinculativa nos resultados — não era — mas porque era genuinamente independente e adversarial, com acesso ao código-fonte real e ao equipamento, dirigida por investigadores que não tinham interesse em defender o sistema existente.

A Califórnia fez algo semelhante em 2007. A Secretária de Estado Debra Bowen encomendou uma revisão de cima para baixo por cientistas de computadores da Universidade da Califórnia que receberam código-fonte para os sistemas de votação certificados no estado. O relatório Diebold constatou que os controlos tecnológicos "não forneciam segurança suficiente para garantir uma eleição confiável" e identificou vulnerabilidades a vírus que poderiam espalhar-se entre máquinas. O relatório Sequoia constatou "fraquezas de segurança significativas em todo o sistema". O relatório Hart InterCivic constatou componentes que "largamente se confiam mutuamente" com interfaces de rede não seguras.

Estas constatações produziram condições vinculativas — requisitos de segurança reforçados anunciados a 3 de agosto de 2007 — porque as revisões eram independentes, os resultados eram publicados, e a Secretária de Estado tinha de responder publicamente ao que o escrutínio público produziu.

Isto é estruturalmente diferente de uma autoridade eleitoral a rever a sua própria contagem e a declarar confirmada. E aponta diretamente para o modelo que funciona: não auditorias por internos, mas inspeccionabilidade por externos — criptográfica, pública, legível por máquina, e contínua.

O Brasil executa um teste formal de segurança adversarial pública antes de cada eleição geral, convidando qualquer investigador qualificado a tentar quebrar a urna eletrônica, com conclusões utilizadas para melhorar o sistema antes de ser implementado. O programa do Tribunal Superior Eleitoral é a versão institucional do que Ohio e a Califórnia encomendaram como revisões pontuais — exceto que é rotineiro, esperado, e integrado no ciclo eleitoral.

A questão de design que as auditorias não conseguem responder

Eis o que nenhuma auditoria pós-eleitoral, vinculativa ou não, consegue responder: O boletim que marquei foi o boletim que foi contado?

Em Curling v. Raffensperger, decidido a 11 de outubro de 2020, o Tribunal Distrital dos EUA para o Distrito Norte da Geórgia registou testemunho de peritos sobre os dispositivos de marcação de boletins Dominion da Geórgia que torna isto vívido. O tribunal constatou que o sistema "não fornece um registo de boletim verificável e auditável porque se baseia no código QR para tabulação de votos e esse código em si não pode ser lido e verificado pelo eleitor." A opinião do tribunal também citou a conclusão das Academias Nacionais de que nenhum mecanismo técnico existe atualmente para garantir que uma aplicação de contagem de votos produz resultados precisos e que o teste sozinho não consegue garantir que os sistemas não foram comprometidos.

Uma recontagem manual na Geórgia em 2020 contou o texto impresso nessas folhas de resultado dos dispositivos de marcação de boletins. Mas as máquinas tabularam a partir dos códigos QR. Se uma máquina imprimisse texto dizendo "Candidato A" enquanto codificava um voto para "Candidato B" no código de barras — um cenário que o tribunal tratou como teoricamente viável — uma recontagem manual do texto legível por humanos confirmaria a manipulação, não a descobriria.

Isto não é uma alegação de que isto aconteceu. É uma descrição de um problema arquitetónico que nenhuma auditoria pós-eleitoral consegue resolver completamente se o artefato auditado não for idêntico ao artefato que foi tabulado. A auditoria forense de Windham, New Hampshire em 2021 ilustrou o inverso: os scanners fizeram leitura errada de boletins dobrados porque uma dobra numa posição errada parecia um óvalo marcado para o sensor. O relatório de auditoria forense SB 43 não encontrou fraude, nenhum malware — apenas física. E o erro só era descobrível porque papel duradouro existia e uma contagem manual podia recuperar a intenção do eleitor. Sem papel, não havia nada de que recuperar.

Um sistema que tabula a partir de um código que o eleitor não consegue ler, auditado por um processo que o eleitor não consegue replicar, confirmado por funcionários que o eleitor deve confiar — isso não é uma eleição verificável. É uma performance de verificação.

O que uma auditoria real exigiria

Uma auditoria vinculativa é aquela que consegue alterar o resultado. Isso significa, antes da eleição começar, definir em estatuto: que limiar de discrepância desencadeia uma recontagem manual; que limiar de recontagem manual desencadeia uma investigação; que conclusão de investigação desencadeia uma eleição nova. Não "vamos investigar". Um caminho de escalada específico, automático, pré-comprometido.

Uma auditoria significativa também requer:

Um artefato confiável para auditar — um registo de papel verificado pelo eleitor que o eleitor confirmou fisicamente, não um código de barras que não conseguem ler, produzido por uma máquina que não conseguem inspecionar.

Independência dos funcionários auditados — não observadores que conseguem assistir, mas auditores que conseguem exigir acesso, executar as suas próprias contagens, e publicar as suas próprias conclusões.

Resultados públicos, legíveis por máquina ao nível do colégio eleitoral — para que qualquer cidadão com uma folha de cálculo consegua replicar os totais de topo por si próprio, sem precisar de um intermediário governamental para lhe dizer que a contagem estava correta.

E, eventualmente, verificabilidade criptográfica de ponta a ponta — o tipo de sistema em que um eleitor consegue verificar, usando apenas dados públicos, que o seu boletim foi incluído na contagem final sem aprender o voto de ninguém mais. A falha do iVote da Suíça em 2019 — onde as investigadoras Sarah Jamie Lewis, Olivier Pereira, e Vanessa Teague descobriram uma porta dos fundos criptográfica que podia fazer votos alterados produzirem uma prova de verificação que passava — mostra como é difícil acertar. Mas também mostra exatamente por que a inspeccionabilidade de código-fonte por criptógrafos independentes é a única forma de saber se a alegação de verificabilidade é real.

Uma auditoria que não pode alterar o resultado é uma cerimónia. Pode ser uma cerimónia bem-intencionada, conduzida por funcionários honestos sem nada a esconder. Isso não a torna verificação. Verificação é o que acontece quando a resposta seria diferente se a contagem estivesse errada — e quando qualquer pessoa consegue executar a verificação, não apenas as pessoas que certificaram o resultado.

O que ainda não é verificável — e o que o tornaria verificável

Na maioria das jurisdições dos EUA hoje, aqui está o que um membro independente do público não consegue fazer:

Confirmar que o boletim que marcou corresponde ao que foi tabulado, sem confiar na máquina.
Replicar o total a nível de condado a partir de dados legíveis por máquina ao nível de colégio eleitoral a noite em que os resultados são divulgados.
Verificar que a amostra de auditoria foi extraída aleatoriamente e não selecionada.
Saber, antes da eleição, que nível de discrepância desencadeia automaticamente uma correção vinculativa.

O que tornaria cada um destes verificável: registos de papel verificados pelo eleitor com marcas legíveis por humanos; publicação imediata, ao nível do colégio eleitoral, de resultados legíveis por máquina; seleção de amostra de auditoria verificável criptograficamente; e limiares de escalada estatutários escritos em lei antes de qualquer eleição começar — não negociados após um resultado surpreendente.

O RLA do Colorado é um passo na direção do segundo e quarto. A contagem manual de 2020 da Geórgia é um passo na direção do segundo. Nenhum é verificação completa. Nenhum é uma cerimónia. A lacuna entre eles e os estados que não fazem nenhum é documentada no nosso rastreador de lacunas.

O objetivo não é desconfiar de cada funcionário eleitoral. É construir sistemas em que a sua honestidade é irrelevante para a questão — porque a resposta é verificável por qualquer um.

Explore como esta lacuna aparece em jurisdições →

Veja a paisagem completa de lacunas de integridade eleitoral →

Resumo de dois minutos →

Fontes

Ver todos os artigos Explorar as lacunas