Uma auditoria pode durar dois dias ou duas semanas, ser conduzida por um auditor interno, por uma certificadora ou por um Auditor-Fiscal do Trabalho, e passar por dezenas de documentos. No fim das contas, quase tudo se reduz a uma pergunta: a organização consegue demonstrar que faz o que diz que faz?
A política assinada, o procedimento aprovado e o fluxograma do processo respondem só a metade dessa pergunta. Eles mostram o que a empresa decidiu fazer. A outra metade está nos registros do que aconteceu depois: quem recebeu, quem analisou, em quanto tempo, com qual conclusão e o que mudou por causa disso.
A ISO 19011, que orienta auditorias de sistemas de gestão, coloca a abordagem baseada em evidência entre os princípios da auditoria e define evidência como registros, declarações de fatos ou outras informações pertinentes aos critérios de auditoria e verificáveis. A palavra que pesa ali é verificável. Uma resposta convincente em entrevista ainda não é evidência enquanto nenhum registro a confirma, e há coisas que a auditoria nunca vai descobrir sozinha se a organização não tiver registrado antes.
O que o auditor procura quando abre um caso
Em vez de ler tudo, o auditor costuma escolher uma amostra: um período, uma área, alguns casos. Depois tenta reconstruir o caminho de cada um, do início ao fim. É nesse exercício que aparecem as três coisas que, na prática, decidem o resultado.
A primeira é a rastreabilidade. Dá para saber quando o caso entrou, por onde passou, quem respondeu por cada etapa e quando foi encerrado? Se uma parte dessa história está em um e-mail, outra em uma planilha e outra na memória de alguém que já saiu da empresa, o caso não se sustenta, mesmo que tenha sido bem tratado.
A segunda é a consistência. Casos parecidos recebem tratamento parecido? Os prazos do procedimento são cumpridos de forma regular, ou só nos casos que alguém lembrou de acompanhar? Registros criados todos no mesmo dia, pouco antes da auditoria, costumam ser percebidos rápido, porque as datas não combinam com o andamento real.
A terceira é o fechamento do ciclo. O que foi identificado produziu alguma mudança? Uma apuração que conclui que houve problema e termina sem providência registrada mostra que o processo existe, mas não que ele funciona. Esse ponto está mais desenvolvido em o problema nunca é apenas a não conformidade.
Nenhuma dessas três coisas pode ser produzida na véspera. Elas dependem de como o trabalho foi registrado nos meses anteriores.
Na NR-01, a pergunta é a mesma
Desde a Portaria MTE nº 1.419/2024, o item 1.5.3.1.4 da NR-01 inclui os fatores de risco psicossociais relacionados ao trabalho no gerenciamento de riscos ocupacionais. A Portaria MTE nº 765/2025 adiou o início da fiscalização com autuação para 26 de maio de 2026, e essa data já passou. A fiscalização trabalhista é, literalmente, uma auditoria, e a lógica da evidência vale do mesmo jeito.
A norma não define questionário nem ferramenta obrigatória para identificar esses riscos. O guia do Ministério do Trabalho e Emprego sobre fatores de riscos psicossociais lista exemplos como assédio, sobrecarga e baixo controle sobre o trabalho, e deixa o método a cargo da organização. O que a norma cobra é o processo: identificar, avaliar, definir medidas, registrar e manter o inventário de riscos atualizado, com o histórico das atualizações guardado por no mínimo 20 anos.
É aí que muitas empresas tropeçam. Aplicam uma pesquisa uma vez por ano, anexam o resultado ao PGR e consideram o tema resolvido. A pergunta que expõe essa abordagem é simples: se um problema de assédio ou de sobrecarga surgiu em março, como a empresa ficou sabendo, e onde isso está registrado?
O item 1.5.3.3 ajuda a responder. Ele pede que a organização adote mecanismos para a participação dos trabalhadores no gerenciamento de riscos, para consultá-los sobre a percepção dos riscos ocupacionais e para comunicar os riscos do inventário e as medidas do plano de ação. A pesquisa anual é um desses mecanismos, mas tem dificuldade de captar o que acontece entre uma aplicação e outra, principalmente quando o problema envolve a própria liderança.
O canal de denúncias como fonte contínua
Para empresas com CIPA, a Lei 14.457/2022 já exige, no art. 23, procedimentos para recebimento e acompanhamento de denúncias, apuração dos fatos e aplicação de sanções quando for o caso, com garantia de anonimato para quem denuncia. Muitas organizações já mantêm esse canal por causa da lei. O passo que costuma faltar é tratá-lo também como fonte de informação para o gerenciamento de riscos psicossociais.
O relato chega enquanto o fator de risco ainda está ativo. Se for classificado por tema e por área, ele deixa de ser um caso disciplinar isolado e passa a ser dado de gestão: três relatos de sobrecarga no mesmo setor em poucos meses indicam um risco localizado, que merece entrar na revisão do inventário. O fluxo completo, do relato ao PGR, está descrito em canal de denúncias e NR-1.
Diante do auditor, a existência do canal vale pouco. Um link no rodapé do site e um cartaz no refeitório mostram que o canal foi divulgado. O que se quer ver é o que passou por ele: quantos relatos entraram no período, como foram classificados, quanto tempo cada etapa levou, quem decidiu, qual foi a conclusão, que providência foi tomada e se algum tema recorrente chegou à revisão do PGR.
O canal também tem limites, e convém reconhecê-los antes que o auditor o faça. Ele só registra o que as pessoas escolhem relatar. Um canal sem nenhum relato ao longo de um ano dificilmente indica um ambiente sem problemas; o mais comum é indicar falta de confiança no sigilo, assunto tratado em como o anonimato funciona na prática. Por isso, o canal funciona melhor como uma das fontes do inventário, ao lado de pesquisas, dados de afastamento, manifestações da CIPA e conversas com as equipes, como mostra o passo a passo do inventário de riscos psicossociais.
O relatório é o que sobra quando o processo funcionou
No fim da auditoria, o que fica nas mãos do auditor costuma ser um relatório. Para o canal de denúncias, um relatório útil tanto para a auditoria quanto para a revisão do PGR reúne:
- o período analisado e o total de relatos, por categoria e gravidade;
- a distribuição por área ou unidade;
- o tempo em cada etapa e os casos que passaram do prazo;
- o resultado das apurações (procedente, improcedente ou parcialmente procedente) e as providências adotadas;
- os temas recorrentes encaminhados para a revisão do inventário de riscos;
- a trilha de cada caso, com data, responsável e ação.
Um cuidado: em áreas com poucas pessoas, a distribuição por setor pode permitir identificar quem relatou. Nesses casos, agrupe as áreas pequenas antes de apresentar os números.
A diferença entre um relatório confiável e um frágil raramente está no formato. Está na origem dos dados. Quando o relatório é montado à mão na semana da auditoria, a partir de e-mails encaminhados e planilhas paralelas, ele é uma reconstrução, e reconstruções têm lacunas e datas que não fecham. Quando sai do mesmo sistema em que os casos foram tratados no dia a dia, ele é só um recorte do que já estava registrado.
Foi com essa lógica que o Canal de Ética do SIG Virtual foi desenhado. O relato entra pelo formulário público, com opção de anonimato, e gera protocolo e senha para o denunciante acompanhar o caso e responder perguntas sem se identificar. As categorias são configuráveis e podem seguir os fatores psicossociais usados no inventário. A IA sugere a gravidade e perguntas complementares, e a equipe revisa antes de decidir. Cada etapa do fluxo tem prazo configurável, e o parecer só é emitido com a procedência definida e uma justificativa escrita. O log de auditoria registra criação, atribuição, classificação, mudanças de status, parecer, conclusão e mensagens, com data, usuário e IP. Os relatórios e a exportação partem desses registros, sem planilha intermediária.
A plataforma não decide quais medidas de controle adotar, não revisa o PGR e não substitui a análise de quem conhece o ambiente de trabalho. O que ela resolve é a parte que costuma falhar na auditoria: a distância entre o que foi feito e o que dá para provar.
Para ver como cada etapa fica registrada e como o relatório é gerado, conheça o Canal de Ética do SIG Virtual.
Quer ver o SIG Virtual funcionando?
Teste grátis e veja se faz sentido pra sua empresa.