Auditoria de prontuários é a revisão sistemática dos dossiês de colaboradores, contratos, controles de ponto, exames ocupacionais e documentos de afastamento, para garantir conformidade, rastreabilidade e defesa jurídica. O objetivo central é reduzir passivos trabalhistas e preparar a empresa para fiscalizações e reclamatórias. O resultado esperado é mensurável: percentual de documentos conformes, lacunas identificadas e um plano de remediação com prazos definidos.
Em resumo:
- A auditoria de prontuários deve focar na assinatura válida, integridade dos arquivos e cumprimento do prazo de retenção legal, especialmente para documentos de saúde sob a LGPD.
- Os controles de ponto, ASOs e contratos precisam estar digitalizados no formato PDF/A com assinatura ICP-Brasil e controle de auditoria, garantindo validade jurídica.
- Retenção de documentos médicos deve ser de 20 anos após o desligamento, conforme a NR-07, sob responsabilidade do médico do PCMSO.
- A frequência ideal varia: controles de ponto exigem revisão mensal, enquanto prontuários médicos podem ser auditados anualmente, com auditorias adicionais em casos de risco elevado.
- Empresas devem aplicar testes de balanceamento e ter aviso de privacidade específico, garantindo conformidade com a LGPD na gestão dos prontuários.
Índice
- Quais documentos auditar e critérios de conformidade
- Obrigação legal e normas técnicas que sustentam a auditoria
- Requisitos técnicos para digitalização, assinatura e guarda com valor legal
- Como montar o processo de auditoria: escopo, frequência e papéis
- Principais não conformidades encontradas e medidas de remediação
- Exemplos práticos de casos comuns em auditoria de prontuários
- Como elaborar relatórios e comunicar achados da auditoria
- Impactos e implicações de falhas encontradas na auditoria
- LGPD e prontuários: bases legais e teste de balanceamento
- Perspectiva do especialista: prioridades de investimento
- Como a IMAGE ONE apoia sua auditoria de prontuários
- Fontes
- Perguntas frequentes
Quais documentos auditar e critérios de conformidade
Uma auditoria de prontuários bem conduzida parte de um escopo documental claro. Sem isso, o processo perde consistência e vira uma verificação superficial que não resiste a uma fiscalização.
Os documentos que compõem o núcleo do prontuário do colaborador incluem:
- Contrato de trabalho e seus aditivos, com assinaturas válidas e datas coerentes com a admissão.
- Ficha de registro admissional, completa e sem campos obrigatórios em branco.
- Controles de ponto, sejam eles de REP, TSV ou arquivo eletrônico, com consistência entre os registros e a folha de pagamento.
- Atestado de Saúde Ocupacional (ASO) e demais laudos vinculados ao Programa de Controle Médico de Saúde Ocupacional.
- Comunicações de Acidente de Trabalho (CAT) e documentação de afastamentos junto ao INSS.
- Comprovantes de pagamento de verbas relacionadas, como horas extras e adicionais.
O critério de aceitação de cada item passa por três filtros: assinatura válida (manuscrita ou eletrônica conforme a exigência do documento), integridade do arquivo sem rasuras ou cortes, e cumprimento do prazo de retenção aplicável. Documentos que envolvem dados de saúde exigem tratamento adicional: acesso restrito a pessoas autorizadas e registro de quem consultou cada prontuário, já que se trata de dado sensível sob a LGPD.
Dica profissional: Monte uma planilha de checklist com uma linha por colaborador e uma coluna por documento obrigatório; isso transforma a auditoria em um processo repetível, não em um exercício artesanal a cada ciclo.
Obrigação legal e normas técnicas que sustentam a auditoria
A auditoria de prontuários não é uma boa prática isolada: ela responde a exigências normativas específicas que determinam o que é aceito como prova documental.
A Portaria SEPRT n.º 211/2019 reconhece a validade de assinaturas digitais no padrão ICP-Brasil para documentos de saúde e segurança no trabalho, como ASO e PCMSO, e exige que esses arquivos sejam apresentados em formato PDF/A-1 quando solicitados pela inspeção do trabalho. A mesma portaria autoriza a guarda eletrônica de documentos originalmente assinados à mão, desde que a autenticidade e a integridade sejam comprováveis e os originais físicos preservados pelo prazo legal quando a norma exigir.
No campo das assinaturas digitais, o DOC-ICP-15 estabelece recomendações sobre políticas de assinatura e sobre os registros mínimos de auditoria que garantem a validade jurídica de um arquivo eletrônico. Já a NR-07 determina que os dados de exames ocupacionais fiquem retidos por 20 anos após o desligamento do trabalhador, com responsabilidade técnica atribuída ao médico do PCMSO. Some-se a isso a Súmula 338 do TST, que trata da presunção relativa de veracidade da jornada quando o empregador não apresenta os controles de ponto:
- Portaria 211/2019: assinatura ICP-Brasil e formato PDF/A para documentos de SST.
- DOC-ICP-15: padrões de registro de auditoria para assinaturas digitais.
- NR-07: retenção de 20 anos para prontuários médicos ocupacionais.
- Súmula 338/TST: ônus da prova em litígios sobre jornada de trabalho.
Requisitos técnicos para digitalização, assinatura e guarda com valor legal
Um documento digitalizado sem os requisitos técnicos corretos não serve como prova em uma fiscalização ou em um processo trabalhista. A auditoria precisa verificar não só a existência do arquivo, mas sua validade técnica.
O formato de referência é o PDF/A, que preserva a estrutura e os metadados do documento ao longo do tempo, evitando que ele se torne ilegível ou incompatível com sistemas futuros. A digitalização deve manter qualidade de imagem suficiente para leitura de assinaturas e carimbos, e o certificado digital ICP-Brasil, acompanhado de carimbo temporal quando aplicável, é o que confere autenticidade ao arquivo eletrônico.
Os registros de verificação completam essa cadeia técnica. O DOC-ICP-15 recomenda que cada log de auditoria inclua o hash do arquivo, o tipo de certificado, a identificação do proprietário, o emissor, o número serial e a data da atividade verificada. Sem esses elementos, é difícil provar que um documento não foi alterado após a assinatura.
Pontos que a auditoria deve conferir na infraestrutura de guarda:
- Política de retenção eletrônica compatível com os prazos legais de cada tipo documental.
- Controle de versões, para que alterações não sobrescrevam o arquivo original.
- Rotina de backup testada, não apenas configurada.
- Acesso baseado em função, restringindo quem pode visualizar ou exportar prontuários.
Dica profissional: Antes de aprovar um lote de digitalização, teste a abertura dos arquivos PDF/A em um leitor diferente daquele usado na captura; incompatibilidades costumam aparecer justamente aí.
Como montar o processo de auditoria: escopo, frequência e papéis
Uma auditoria de prontuários eficiente segue uma estrutura definida, não uma inspeção pontual motivada por uma notificação judicial. Empresas de médio e grande porte, com múltiplas unidades, precisam de um roteiro replicável.
- Definir o escopo por unidade, período e tipo documental, evitando auditorias genéricas demais para gerar ação corretiva.
- Estabelecer metas de conformidade por categoria de documento, como 100% de ASOs válidos ou zero pendências de assinatura em contratos.
- Ajustar a frequência conforme o risco: controles de ponto costumam exigir revisão mensal, prontuários médicos auditoria anual, e situações de risco elevado (histórico de reclamatórias, fusões, mudança de sistema) justificam auditorias ad hoc.
- Aplicar amostragem combinada, priorizando colaboradores com histórico de afastamento ou contestação e complementando com seleção aleatória do restante da base.
- Registrar cada achado com prazo de correção (SLA) e responsável nomeado.
- Distribuir papéis entre RH operacional, jurídico, equipe de TI/GED, médico do trabalho e encarregado de dados (LGPD), cada um respondendo por sua parte do dossiê.
Principais não conformidades encontradas e medidas de remediação
Os padrões de falha se repetem entre empresas de portes diferentes, o que torna a correção mais previsível quando a auditoria já mapeou o problema antes.
As não conformidades mais comuns são:
- Documentos ausentes do dossiê, especialmente ASOs periódicos e aditivos contratuais.
- Assinaturas inválidas ou sem certificação ICP-Brasil em documentos que exigem esse padrão.
- Atraso na digitalização, criando uma lacuna entre o evento (exame, afastamento) e seu registro.
- Retenção fora do prazo legal, com descarte precoce de prontuários médicos.
Diante de uma lacuna, a primeira medida é localizar o original físico ou digital remanescente e registrar formalmente o processo de recuperação, com data e responsável. Quando a digitalização for necessária nesse momento, ela deve seguir cadeia de custódia documentada e, sempre que aplicável, assinatura ICP-Brasil. No plano preventivo, entram uma política de retenção formal, integração entre o sistema de ponto e o GED, checklists no momento da admissão e capacitação periódica das equipes que alimentam o prontuário.
Exemplos práticos de casos comuns em auditoria de prontuários
Alguns cenários aparecem com frequência quando o jurídico solicita documentos para uma audiência. Um colaborador desligado há três anos aciona a empresa alegando horas extras não pagas, e o RH descobre que os registros de ponto daquele período foram arquivados em planilhas locais, sem backup centralizado e sem assinatura digital. Nesse caso, a ausência de rastreabilidade técnica compromete a defesa, independentemente de a jornada ter sido corretamente paga.
Outro padrão recorrente envolve o ASO periódico: o exame foi realizado, mas o laudo ficou retido na clínica terceirizada e nunca foi incorporado ao prontuário do colaborador. A auditoria pode revelar lacunas críticas quando se aproxima um prazo legal para apresentação, o que pode pressionar a resposta e a recuperação dos documentos.
Também é comum encontrar CATs registradas no sistema de saúde e segurança, mas sem vínculo formal ao prontuário do colaborador no RH, o que dificulta a reconstrução do histórico de afastamentos em uma eventual ação por estabilidade acidentária. Em operações com múltiplas unidades, a inconsistência entre sistemas locais e a base central de RH costuma ser a origem desses casos: cada filial adota sua própria rotina de arquivamento, e a auditoria só identifica o problema quando tenta comparar dados entre unidades.
Como elaborar relatórios e comunicar achados da auditoria
O valor de uma auditoria está na qualidade do relatório que ela produz, não apenas na verificação em si. Um relatório útil para RH e jurídico organiza os achados por gravidade e por tipo documental, evitando uma lista plana que mistura uma assinatura ausente com um contrato inteiro extraviado.
A estrutura recomendada começa com um resumo executivo, indicando percentual de conformidade por categoria e os riscos mais urgentes. Em seguida, cada não conformidade é descrita com o colaborador ou grupo afetado, o documento específico, a causa provável e o prazo de correção proposto. Essa granularidade permite que o jurídico avalie exposição real antes de uma notificação ou reclamatória, em vez de reagir sob pressão.
A comunicação dos achados deve chegar simultaneamente ao RH operacional, responsável pela correção prática, e ao jurídico, responsável por avaliar o risco processual. Reuniões de fechamento de auditoria funcionam melhor quando incluem um plano de ação com responsável e data, não apenas uma lista de problemas. Relatórios que citam as normas aplicáveis, como a Portaria 211/2019 ou a NR-07, dão ao leitor não especializado uma referência objetiva do porquê daquela exigência, reduzindo questionamentos internos sobre a necessidade da correção.
Impactos e implicações de falhas encontradas na auditoria
Uma falha não corrigida em um prontuário raramente fica restrita ao RH. O impacto mais direto aparece em reclamatórias trabalhistas: quando a empresa não consegue apresentar os controles de ponto, a jurisprudência consolidada na Súmula 338 do TST permite presumir como verdadeira a jornada alegada pelo trabalhador, invertendo o ônus da prova contra o empregador.
Falhas em ASOs e PCMSO têm efeito ainda mais amplo, porque comprometem a defesa em ações de natureza acidentária e podem gerar autuação da fiscalização do trabalho, já que a responsabilidade técnica pelo registro é do médico do PCMSO e a retenção mínima é de vinte anos conforme a NR-07. Documentos de admissão incompletos, por sua vez, dificultam a comprovação de condições contratuais acordadas, o que pesa em disputas sobre função, salário ou jornada.
Além do risco jurídico direto, existe um custo operacional: cada prontuário incompleto exige recuperação de dados sob pressão de prazo processual, consumindo tempo do jurídico e do RH que poderia ser dedicado a atividades preventivas. Empresas com múltiplas unidades sentem esse efeito multiplicado, porque uma falha de padronização em uma filial tende a se repetir nas demais até que a auditoria identifique a causa raiz.
LGPD e prontuários: bases legais e teste de balanceamento
Prontuários de colaboradores contêm dados sensíveis, especialmente informações de saúde vinculadas a exames ocupacionais, o que exige tratamento específico sob a LGPD. A base legal mais discutida nesse contexto é o legítimo interesse, usado quando a empresa precisa manter registros para cumprimento de obrigações trabalhistas e defesa em processos.
O guia da ANPD sobre legítimo interesse recomenda a aplicação de um teste de balanceamento em três fases: identificação da finalidade legítima, verificação da necessidade do tratamento e ponderação entre o interesse da empresa e os direitos do titular dos dados. Esse teste deve ser documentado, não apenas realizado informalmente, porque é essa documentação que demonstra conformidade em uma eventual fiscalização da própria ANPD.
O princípio da necessidade limita a coleta ao estritamente exigido para a finalidade declarada: um exame admissional não justifica a retenção de dados clínicos além do necessário para o PCMSO. A transparência também é central. A ANPD recomenda que o tratamento seja acompanhado de um aviso de privacidade específico para os trabalhadores, algo que muitas empresas ainda tratam de forma genérica, aplicando o mesmo texto usado para clientes. Um aviso próprio, integrado ao processo de admissão, reduz questionamentos e reforça a defesa documental em caso de reclamação ao encarregado de dados.
Perspectiva do especialista: prioridades de investimento
Entre reduzir passivo trabalhista, atender à LGPD e operacionalizar a governança documental, a ordem prática raramente segue a lógica dos manuais. Recomendamos começar pelos controles de ponto e ASOs quando a empresa já tem histórico de litígios recentes, porque são esses dois tipos de documento que mais aparecem em reclamatórias e fiscalizações.
A sinergia entre auditoria documental e governança de privacidade costuma ser subestimada: um relatório de impacto (RIPD) bem construído e um aviso de privacidade específico para trabalhadores não são exigências paralelas à auditoria, eles fazem parte da mesma evidência de conformidade. O benefício mais concreto de investir nisso cedo aparece no tempo de recuperação de prova durante uma audiência, que se traduz em menor exposição em reclamatórias e menos decisões desfavoráveis por ausência de documentação.
— Alexandre Maiali
Como a IMAGE ONE apoia sua auditoria de prontuários
Executar uma auditoria de prontuários internamente exige tempo de equipes que já respondem por folha de pagamento, admissões e questões trabalhistas do dia a dia. A IMAGE ONE assume essa carga operacional com serviços que cobrem desde a digitalização até a auditoria propriamente dita.
Para empresas com histórico de contestações ou volume elevado de colaboradores, a combinação de digitalização registrada, auditoria do ponto e ASO e software GED organiza o dossiê e garante rastreabilidade técnica compatível com as exigências da Portaria 211/2019 e da NR-07. Quando a necessidade envolve também a adequação à LGPD e o suporte a processos, o compliance documental e o apoio ao departamento jurídico completam a estrutura.
A empresa oferece digitalização registrada com certificação cartorial, que confere aos documentos digitalizados valor legal equivalente ao do documento físico. O próximo passo prático é solicitar um diagnóstico da situação atual dos prontuários e uma proposta piloto para a unidade ou o grupo de colaboradores com maior exposição a risco: conheça a digitalização registrada da IMAGE ONE.
Perguntas frequentes
O que é auditoria de prontuários de colaboradores?
É a revisão sistemática dos documentos trabalhistas de cada funcionário, como contratos, controles de ponto, ASOs e comunicações de afastamento, para verificar conformidade legal e integridade técnica. O objetivo é identificar lacunas antes que elas apareçam em uma fiscalização ou reclamatória.
Qual o prazo de retenção de prontuários médicos ocupacionais?
A NR-07 exige que os registros de exames do PCMSO sejam mantidos por 20 anos após o desligamento do colaborador. Essa retenção é responsabilidade técnica do médico do PCMSO, mesmo em caso de substituição do profissional.
Um documento digitalizado tem a mesma validade do original?
Sim, quando digitalizado seguindo os requisitos técnicos exigidos, como assinatura ICP-Brasil e formato PDF/A conforme previsto pela Portaria SEPRT n.º 211/2019. Há serviços de digitalização registrada com certificação cartorial, considerada equivalente em valor legal ao documento físico.
Com que frequência devo auditar os prontuários da empresa?
A frequência varia conforme o tipo de documento e o nível de risco: controles de ponto costumam exigir revisão mensal, enquanto prontuários médicos comportam auditoria anual. Situações específicas, como histórico recente de reclamatórias, justificam auditorias adicionais fora do calendário regular.
Quais dados de LGPD preciso considerar em uma auditoria de prontuários?
É necessário verificar a base legal do tratamento, aplicar o princípio da necessidade na coleta de dados sensíveis e manter um aviso de privacidade específico para trabalhadores. O guia da ANPD sobre legítimo interesse recomenda documentar o teste de balanceamento que justifica a retenção desses dados.