Quando a auditoria do cadastro tenta virar poder: o primeiro rascunho da AFRINIC em 2016

Resumo

• O AFPUB-2016-GEN-001-DRAFT01, publicado por quatro autores em 18 de maio de 2016 e marcado como Under Discussion, propunha auditar recursos alocados ou designados, priorizar certas classes e conduzir constatações não corrigidas até aviso público, recuperação, retirada de registros e possível realocação. Era uma arquitetura proposta, não uma regra adotada nem prova de qualquer auditoria real.
• A parte defensável do desenho era a verificação: estabelecer um gatilho estável, pedir evidência proporcional, apontar uma discrepância verificável, avisar o titular e aceitar correção. A parte indefensável era converter dependência de um cadastro privado em poder de punir, confiscar a continuidade operacional ou decidir definitivamente a própria controvérsia.
• Escassez, registros inexatos, perda de contato e denúncias fundamentadas podem justificar uma revisão limitada. Não justificam fundir, na mesma instituição, seleção, investigação, julgamento, exposição pública, recuperação, realocação e uma arbitragem definida por ela própria e descrita como irrecorrível.
• Uma alternativa proporcional preserva o último estado operacional verificado enquanto houver disputa genuína, separa fato cadastral de alegação contestada, protege evidências, oferece prazo adequado de correção, registra razões e incertezas e remete consequências punitivas ou controvérsias de direito a um foro externo competente.

Uma proposta, uma data e um limite

Em 18 de maio de 2016, Amelina Arnaud, Ilunga Kabwika Serge, Jean-Baptiste Millongo e Wafa Dahmani foram apresentados como autores do AFPUB-2016-GEN-001-DRAFT01. O título oficial do documento era Internet Number Resources Audit by AFRINIC. A encomenda editorial que o situa como o primeiro rascunho de uma revisão de recursos usa uma descrição retrospectiva; o próprio Rascunho 1 dizia Audit. Essa diferença precisa ser explicada uma vez e depois deixada em paz, porque o objeto aqui é estritamente o texto publicado naquela data, não a história posterior de nomes ou versões.

O status também é decisivo: Under Discussion. O documento demonstra que uma arquitetura de poderes foi proposta e que seu primeiro rascunho foi levado à lista RPD. Não demonstra adoção, consenso, entrada em vigor, exercício do poder ou resultado contra qualquer organização. Não há, neste episódio, membro auditado, denúncia identificada, bloco de endereços, ASN, rota, recuperação, eliminação de cadastro, realocação ou decisão arbitral. Tratar a publicação como se fosse implementação confundiria uma hipótese institucional com um fato operacional.

Ainda assim, propostas merecem exame antes de se tornarem prática. O Rascunho 1 não se limitava a autorizar uma conferência de dados. Ele esboçava uma cadeia contínua: escolher quem seria examinado; investigar sua situação; concluir pela desconformidade; tentar contato e correção; publicar os recursos para recuperação por três meses; retirar dos bancos da AFRINIC os registros do titular anterior; recuperar os recursos; talvez realocá-los sob políticas existentes; e oferecer uma arbitragem que a própria AFRINIC definiria, composta por voluntários considerados conhecedores, com resultado descrito como inequívoco e sem apelação.

O alcance dessa cadeia faz a diferença entre uma verificação de cadastro e uma pretensão de autoridade.

O limite institucional pode ser dito sem rodeios. A AFRINIC é uma coordenadora técnica privada e uma mantenedora de registros. Não é soberana, governo, regulador, polícia, promotoria, autoridade punitiva, agente de confisco nem tribunal. Sua importância prática não altera essa natureza. Operadores dependem da precisão e da continuidade do cadastro; exatamente por isso, o poder de administrar esse cadastro deve ser estrito, previsível e verificável. Dependência funcional não é jurisdição pública.

O bom problema escondido dentro do mau remédio

É fácil criticar a parte excessiva e, com isso, esquecer o problema real que tornava a proposta atraente. Recursos numéricos são finitos no sentido operacional relevante para a alocação, e um registro inexato pode prejudicar quem precisa saber quem está autorizado a agir, quais contatos são válidos e qual histórico sustenta uma inscrição. O Rascunho 1 formulava sua preocupação em termos de necessidade operacional, prevenção de estoque injustificado e obrigações associadas à seção 4 do RSA. Também evocava princípios de coordenação e distribuição dos registros de números da Internet.

Essas eram premissas declaradas pelo texto, não prova independente de abuso, culpa ou poder.

Um cadastro técnico não pode funcionar se for proibido de conferir qualquer coisa. Há situações banais e importantes em que uma revisão é razoável: uma pessoa que solicita alteração talvez precise demonstrar que pode representar a organização; um contato pode estar desatualizado; dois documentos podem divergir sobre a mesma razão social; uma transferência declarada pode não ter sido registrada; a situação operacional pode não corresponder ao dado que o livro pretende refletir. Verificar esses pontos protege a unicidade e a utilidade do registro. Também protege o próprio titular contra alterações indevidas.

Uma seleção aleatória, se realmente regida por classes previamente declaradas e sorteio igual dentro delas, pode reduzir o risco de perseguição seletiva. Um relato interno pode revelar uma contradição que ninguém de fora conseguiria observar. A perda de contato pode justificar esforços de atualização. Um pedido do próprio membro pode ajudar a limpar um histórico confuso. Uma reclamação acompanhada de evidências pode levar à descoberta de erro ou fraude. O aviso antes de qualquer mudança é melhor que a surpresa, e a oportunidade de corrigir é melhor que uma conclusão unilateral.

Relatórios agregados podem mostrar se a instituição aplica suas regras de modo consistente.

Esse é o melhor argumento a favor da revisão, e ele deve ser apresentado em sua forma mais forte. A resposta adequada não é abolir toda conferência. É impedir que a conferência se transforme em sanção. Uma revisão legítima termina quando o fato cadastral foi verificado, corrigido, documentado ou reconhecido como incerto. Se aparece uma controvérsia real sobre direito, contrato ou consequência punitiva, o limite do registrador foi alcançado. A partir daí, o tema pertence a um mecanismo externo competente, não a uma ampliação improvisada do próprio processo de cadastro.

Quem e o que poderia ser selecionado

O universo declarado pelo Rascunho 1 era amplo: todos os recursos alocados ou designados. Dentro dele, o texto apontava prioridade para IPv4 e para ASNs que pudessem ser mapeados para ASNs de dois octetos. Essa formulação não informava o tamanho da população, a cadência das revisões, o número de organizações por rodada nem um desenho estatístico de amostragem. Portanto, não é possível reconstruir uma taxa de seleção ou medir representatividade. Só é possível descrever a amplitude e a prioridade que o documento propunha.

O texto dividia as auditorias em três classes: aleatórias, selecionadas e reportadas. Para as aleatórias, registrava exatamente as classes Medium and above, IPv6-only Large e EU-AS. Esses rótulos devem permanecer como estavam. Acrescentar uma definição atual, traduzir as categorias como se seu significado fosse evidente ou presumir como elas se relacionavam a risco seria inventar um critério que o primeiro rascunho não forneceu.

A ideia de aleatoriedade tinha uma virtude potencial, mas faltavam peças que a tornariam auditável. Não havia tamanho de amostra, periodicidade, método de sorteio, publicação prévia da semente, regra para repetições nem demonstração de que todos os integrantes de uma classe teriam probabilidade igual. Sem esses elementos, a palavra aleatória descreve uma intenção, não um mecanismo verificável. Uma instituição privada que seleciona organizações para um processo com possíveis consequências operacionais precisa mostrar que a escolha não foi moldada depois de se conhecer o alvo.

As auditorias selecionadas poderiam nascer de um relato interno ou da falta de contato. Os dois gatilhos são inteligíveis, mas abrem perguntas diferentes. Um relato interno pode ser uma observação documental precisa, uma suspeita informal ou uma interpretação divergente. O texto não dizia qual limiar transformaria um relato em investigação, quem tomaria a decisão, que material seria registrado nem como um funcionário com envolvimento anterior seria afastado.

A falta de contato, por sua vez, pode indicar cadastro abandonado, mas também mudança de pessoal, falha de entrega, contato desatualizado, fuso horário, filtragem automática ou tentativa insuficiente. Não se publicou quantidade mínima de tentativas, combinação de canais ou padrão para considerar alguém inalcançável.

As auditorias reportadas poderiam decorrer de um pedido do próprio membro ou de uma reclamação da comunidade que, segundo o documento, exigisse investigação. O pedido voluntário é o caso mais simples: a organização pode buscar uma confirmação ou a correção de seu próprio histórico. A reclamação de terceiro é muito mais delicada. O Rascunho 1 não publicou limiar de evidência para a denúncia, regra de legitimidade do reclamante, proteção de confidencialidade, distribuição do ônus de demonstrar a alegação, padrão de prova, norma de independência do revisor ou regra de impedimento e suspeição.

A expressão exigir investigação não explicava quem faria esse juízo nem com base em quê.

Essas ausências não provam intenção indevida. Mostram que um rascunho capaz de iniciar uma cadeia severa ainda não continha as salvaguardas necessárias para distinguir um sinal verificável de uma afirmação interessada. Em governança de cadastro, o gatilho não pode valer como evidência e a evidência não pode valer automaticamente como conclusão. A seleção apenas abre uma pergunta; não antecipa sua resposta.

A lista não exaustiva e o perigo das categorias elásticas

O Rascunho 1 oferecia exemplos não exaustivos do que poderia ser tratado como desconformidade. Incluía ausência injustificada de visibilidade na tabela global de roteamento; violação de política; violação do RSA ou de outro acordo jurídico com a AFRINIC; evidência de que uma organização já não operava enquanto seus blocos não haviam sido transferidos; e transferências não autorizadas segundo a política. Nenhum desses exemplos correspondia, no episódio, a uma infração comprovada. Eram hipóteses dentro de um texto proposto.

A expressão não exaustiva é institucionalmente importante. Ela permite responder a fatos ainda não imaginados, mas também expande a discricionariedade de quem investiga. Uma lista aberta, combinada com consequências que alcançam publicação, recuperação e realocação, exige um princípio limitador muito mais forte que uma lista aberta destinada apenas a corrigir um endereço de contato. Quanto maior a consequência, mais precisa deve ser a definição do fato, mais verificável deve ser a prova e mais independente deve ser a decisão.

Uma violação de política também não é uma unidade autoexplicativa. É necessário identificar qual regra, qual versão aplicável, qual obrigação concreta, qual conduta e qual relação entre a conduta e o dado cadastral. O mesmo vale para o RSA ou outro acordo. Divergência contratual pode envolver interpretação, validade, cumprimento, remédio e direito aplicável; não se transforma em fato simples porque aparece numa planilha de auditoria. Se a alegação é contestada de boa-fé, o registrador pode preservar documentos e registrar que existe uma controvérsia, mas não fabricar para si a competência de encerrá-la.

A hipótese de uma organização que deixou de operar também pede cuidado. O desaparecimento formal, a inatividade comercial, uma reestruturação e uma mudança de controle não são fatos intercambiáveis. Mesmo quando o livro precisa refletir uma transformação, a pergunta inicial é factual: qual pessoa jurídica existe, quem pode agir por ela e qual documentação demonstra sucessão ou transferência? O resultado correto pode ser uma atualização, um apontamento de incerteza ou encaminhamento externo. A palavra auditoria não autoriza apagar a realidade operacional antes de resolver essas perguntas.

Transferências não autorizadas podem comprometer a integridade do cadastro, e por isso são um objeto legítimo de verificação. Mas também aí é preciso separar camadas. O registrador pode confirmar se recebeu documentos, se as partes identificadas correspondem aos registros e se uma mudança atende às condições administrativas declaradas. Se há fraude alegada, titularidade contestada ou controvérsia contratual, a consequência não deve ser decidida apenas pela equipe que mantém o livro. Registrar a dúvida não equivale a confiscar o recurso em disputa.

A visibilidade de rota não é um veredito

Entre os exemplos, a ausência injustificada da tabela global de roteamento merece atenção especial porque parece, à primeira vista, uma medida técnica simples. Um prefixo aparece ou não aparece. Porém, visibilidade global é apenas uma observação sobre propagação em determinado momento e ponto de vista; não conta, por si, a história do uso, da autorização ou da finalidade operacional.

Há explicações benignas para uma rota não ser visível globalmente. O recurso pode estar reservado para implantação futura, usado em ambiente que não anuncia rotas à Internet inteira, temporariamente retirado durante manutenção, protegido por decisão de engenharia, agregado sob outra forma de anúncio ou observado a partir de uma perspectiva incompleta. Não é necessário escolher uma dessas hipóteses como fato do caso — não existe caso identificado. Basta reconhecer que a inferência entre ausência e uso indevido não é automática.

O próprio Rascunho 1 qualificava a ausência como injustificada. O problema é que não publicava um teste para a justificativa. Quem deveria explicar? Que documento bastaria? Em quanto tempo? A justificativa seria avaliada segundo necessidade operacional, plano futuro, topologia, contrato ou simples visibilidade? Uma explicação confidencial seria protegida? A decisão seria revisável? Sem respostas, um qualificador aparentemente protetor poderia virar uma licença discricionária.

Uma revisão proporcional formularia a pergunta de modo estreito. Primeiro registraria o dado observável, a janela de observação e as limitações do ponto de medição. Depois pediria ao titular informação apenas na medida necessária para resolver a discrepância específica. A ausência de anúncio não seria tratada como culpa, e a resposta não teria de revelar arquitetura comercial ou de segurança além do necessário. A conclusão diria o que foi verificado, o que permaneceu incerto e por que o cadastro precisaria — ou não — de atualização.

Essa disciplina ilustra uma regra mais ampla: sinal não é infração. Um gatilho pode justificar uma pergunta. Uma resposta pode produzir evidência. A evidência pode revelar uma discrepância. Só então surge a questão de correção. Quando todos esses passos são comprimidos, a instituição passa a confundir aquilo que a fez olhar com aquilo que acredita ter provado.

Da pergunta ao achado: as etapas que não podem desaparecer

Um processo íntegro precisa manter distintas pelo menos doze coisas: gatilho de auditoria, escopo da auditoria, pedido de evidência, discrepância verificada, alegação contestada, notificação, correção, atualização do registro, consequência punitiva, recuperação confiscatória, realocação e decisão externa. Essa granularidade não é burocracia decorativa; é o que impede uma questão técnica de chegar a uma conclusão institucional que não decorre dela.

O gatilho responde por que olhar. O escopo responde o que pode ser examinado. O pedido de evidência delimita quais informações são necessárias. A discrepância verificada compara uma afirmação do livro com material cuja procedência foi testada. A alegação contestada registra que as partes discordam de uma conclusão ou de sua base. A notificação entrega ao titular a contradição concreta. A correção oferece a chance de resolver um erro. A atualização do registro documenta o novo estado e preserva o histórico.

Até aqui, todas as etapas podem caber numa função de escrituração privada, desde que sejam proporcionais e seguras. Punição já é outra coisa: pretende impor sofrimento ou desvantagem por uma conduta. Recuperação confiscatória retira de alguém uma posição operacional contestada como resposta sancionadora. Realocação afeta terceiros e pode tornar uma disputa difícil de reparar. Adjudicação escolhe definitivamente entre pretensões opostas. Nenhuma dessas funções nasce simplesmente do dever de manter registros precisos.

Também é importante separar inexatidão de má conduta. Um cadastro pode estar errado por atraso, ambiguidade, erro humano, falha de comunicação ou mudança ainda não refletida. Corrigir o livro não exige um juízo moral sobre o titular. Mesmo uma desconformidade contratual não autoriza o registrador a falar como autoridade pública. O documento pode identificar a obrigação alegada e o material pertinente; se a consequência é disputada, precisa recorrer ao direito e aos mecanismos contratuais competentes.

O Rascunho 1 não oferecia um padrão de prova. Essa lacuna teria efeitos em cascata. Se o nível necessário para abrir investigação, formar um achado, publicar um recurso e recuperá-lo não é distinguido, o mesmo material inicial pode atravessar todas as etapas sem ganhar robustez. Um relato vira caso; o caso vira desconformidade; a desconformidade vira exposição; a exposição prepara a retirada; e a retirada parece confirmar a premissa. É um circuito de validação interna, não uma demonstração independente.

Contato e correção: a parte que apontava na direção certa

Antes da sequência de recuperação, o Rascunho 1 exigia que a AFRINIC tentasse contato e correção. Isso importava. Uma instituição que percebe divergência deve mostrar ao titular qual dado parece errado e oferecer uma oportunidade real de responder. O princípio de correção reconhece que o objetivo legítimo é melhorar o cadastro, não capturar uma falha.

Mas a existência abstrata de uma tentativa não resolve o desenho. O texto não definia a forma da notificação, a comprovação de entrega, a apresentação das provas, a descrição da discrepância, o idioma, os canais de contato, a possibilidade de representação, o tratamento de material confidencial ou um critério de encerramento. Também não especificava um prazo de cura anterior à publicação, além do período posterior de três meses durante o qual a organização ainda poderia buscar conformidade.

Uma tentativa pode variar entre uma mensagem automática enviada a um endereço antigo e uma comunicação formal, verificável e compreensível. Para que o direito de corrigir seja real, o destinatário precisa saber qual afirmação está sendo questionada, de onde veio a informação, que requisito é relevante, que resposta é esperada, qual prazo se aplica e quem avaliará a contestação. Precisa também poder corrigir o próprio cadastro sem que esse ato seja convertido automaticamente em admissão de culpa.

O encerramento é tão importante quanto a abertura. Se a evidência confirma o registro, o caso deve ser fechado com razão escrita. Se há erro simples, a correção deve ser registrada e a revisão encerrada. Se a informação permanece incerta, o livro deve mostrar a incerteza de modo proporcional, sem inventar certeza por conveniência administrativa. Se há disputa genuína, a instituição preserva o último estado operacional verificado e encaminha a questão apropriada a um foro competente.

Sem uma regra de fechamento, auditorias tendem a permanecer como suspeitas permanentes. Isso pesa sobre a organização mesmo que nada seja provado. Um sistema voltado à exatidão deve medir o sucesso pela resolução de fatos cadastrais, não pelo número de casos que alcançam uma consequência. A possibilidade de concluir que o registro estava correto é parte essencial de qualquer revisão honesta.

O salto dos três meses

Quando a situação não fosse retificada, o Rascunho 1 propunha publicar os recursos para recuperação por três meses. Durante esse intervalo, a organização poderia buscar conformidade. O prazo produzia uma aparência de oportunidade adicional, mas a publicação já seria uma mudança de natureza: o processo sairia da comunicação entre registrador e titular e passaria a gerar um sinal público de possível perda.

O documento não dizia quais campos seriam publicados, como informações sensíveis seriam protegidas, como erros seriam corrigidos, se haveria extensão fundamentada, quanto tempo os dados ficariam disponíveis nem como um falso positivo seria reparado. Tampouco distinguia um problema de contato de uma alegação grave. Colocar situações heterogêneas sob a mesma etiqueta pública poderia fazer o anúncio funcionar como sanção reputacional antes de qualquer revisão independente.

Três meses podem ser longos para uma correção cadastral simples e curtos para uma controvérsia societária ou contratual complexa. O número, sozinho, não demonstra adequação. Um prazo justo depende do que se pede, da quantidade de documentos, do risco operacional, da facilidade de comunicação e da existência de uma disputa de boa-fé. Regras proporcionais oferecem extensão por razão escrita e impedem que a passagem do tempo substitua a prova.

Há também um efeito sobre terceiros. Clientes, financiadores, fornecedores e parceiros que veem um recurso listado para recuperação podem interpretar o aviso como sinal de descontinuidade. A própria publicação pode dificultar a capacidade do titular de organizar uma resposta. Portanto, transparência não deve ser confundida com exposição nominal. O interesse público em avaliar o desempenho da instituição pode ser atendido, em muitos casos, por dados agregados: quantas revisões foram abertas, por quais classes, quantas foram encerradas sem mudança, quantas corrigiram registros, quanto tempo levaram e quantas permaneceram contestadas.

A publicidade individual só deveria ocorrer quando há fundamento específico, necessidade demonstrada, informação limitada e possibilidade efetiva de contestação. No desenho de 2016, faltavam parâmetros para isso. O aviso de recuperação ficava encaixado entre a constatação interna e a retirada, reforçando uma trajetória em que cada passo tornava o seguinte mais provável.

Retirar o registro não é apenas limpar uma linha

Depois do período, o Rascunho 1 propunha recuperar os recursos, remover dos bancos de dados da AFRINIC os registros do titular anterior e possivelmente realocar os recursos segundo políticas existentes. Esse é o ponto em que a linguagem de manutenção cadastral encobria uma consequência material. Uma linha de registro não é o recurso físico, mas sua alteração pode reorganizar quem aparece como autorizado, quem consegue sustentar relações operacionais e como terceiros avaliam continuidade.

Não é preciso afirmar que números da Internet são propriedade em sentido absoluto para reconhecer o impacto. As fontes disponíveis não resolvem a natureza jurídica definitiva dos recursos, e esta análise não pretende resolvê-la. O ponto é mais estreito: quando empresas planejam redes, atendem clientes, celebram contratos, buscam financiamento e constroem infraestrutura com base em uma posição registrada, a retirada e a realocação podem afetar expectativas e operações de modo profundo.

Uma correção neutra do livro ocorre quando há fato suficientemente verificado e autoridade adequada para refletir uma mudança que já aconteceu ou que foi validamente determinada. Uma retirada punitiva ocorre quando a instituição usa o controle do cadastro para impor perda em resposta a uma acusação. A palavra recuperação não elimina essa distinção. Se o título ou a consequência contratual é contestado, registrar unilateralmente a solução e depois realocar pode tornar irreversível uma decisão que o registrador não tinha competência para tomar.

Realocação amplia o risco porque introduz um novo participante que passa a depender do mesmo recurso. Mesmo que uma revisão posterior reconheça erro, restaurar o estado anterior pode prejudicar o terceiro ou tornar a reparação tecnicamente complexa. Por isso, a preservação do último estado operacional verificado durante uma controvérsia não é favoritismo ao titular; é uma precaução contra a criação de fatos consumados pelo administrador do livro.

O desenho adequado distingue uma atualização rotineira, sustentada por documentos concordantes, de uma mudança contestada com efeitos severos. A primeira pertence ao trabalho cadastral. A segunda exige contenção, registro de incerteza e decisão externa. Um coordenador confiável demonstra força ao saber onde parar.

A arbitragem que não criava independência

O Rascunho 1 propunha uma arbitragem definida pela AFRINIC e um conjunto de voluntários conhecedores da comunidade. O resultado seria descrito como inequívoco e sem recurso. A presença de pessoas externas à equipe inicial poderia parecer uma camada de revisão, mas o texto não estabelecia um órgão de nomeação independente, duração de mandato, critérios de qualificação, regras de conflito, impedimento, distribuição aleatória de casos, procedimento probatório, audiência, fundamentação, direito aplicável ou revisão externa.

Conhecimento técnico é valioso, porém não substitui independência. Um especialista pode compreender roteamento, alocação e práticas de registro e ainda assim ter relações profissionais, concorrenciais ou institucionais relevantes. Regras de declaração de conflito e recusa protegem tanto o titular quanto o revisor. Sem elas, a composição de um painel pode ser percebida como extensão da instituição cuja decisão está em disputa.

O caráter final aprofundava o problema. Chamar um resultado de inequívoco não elimina ambiguidades factuais ou jurídicas. Proibir apelação não transforma voluntários em tribunal. Uma entidade privada pode contratar mecanismos de resolução dentro dos limites do acordo aplicável, mas não pode escrever uma proposta e, por esse ato, adquirir jurisdição soberana, poder confiscatório ou competência judicial. O consentimento, a base contratual, a independência e o acesso a revisão competente não podem ser presumidos.

Além disso, uma revisão situada no fim da cadeia talvez chegue tarde. Após anúncio público, retirada de registros e preparação de realocação, o custo institucional de admitir erro cresce. Um mecanismo genuinamente independente deve poder suspender consequências, examinar a prova desde a origem e exigir que a equipe inicial justifique cada inferência. Não deve apenas certificar uma trajetória já consumada.

A alternativa não é uma eternidade de recursos internos. É uma separação clara. Uma revisão independente da equipe original pode corrigir erros de fato e de procedimento antes de qualquer mudança irreversível. Se ainda existir controvérsia sobre direitos, obrigações ou sanções, o assunto segue para adjudicação competente sob o direito ou o contrato aplicável. A AFRINIC pode fornecer registros e preservar o estado técnico; não pode ser parte, legisladora do processo e juíza final ao mesmo tempo.

Relatar desempenho sem transformar membros em troféus

O Rascunho 1 também propunha uma publicação anual que descrevesse os membros auditados e seu nível de conformidade. Transparência institucional é uma ambição defensável. Uma organização que abre revisões deve informar quantas iniciou, por que critérios, com que duração, quais resultados e quantos erros próprios corrigiu. O problema é confundir prestação de contas da instituição com exposição nominal do examinado.

O primeiro texto não especificava agregação, privacidade, retenção, mecanismo de correção ou proteção contra falso positivo. Não dizia como apresentaria um membro que contestou o achado, corrigiu um erro menor, demonstrou que a suspeita era infundada ou foi selecionado apenas ao acaso. Uma escala de conformidade sem contexto pode reduzir questões complexas a um rótulo reputacional.

Relatórios agregados seriam mais úteis para controlar a instituição. Poderiam mostrar a distribuição das seleções entre as classes declaradas, a origem dos gatilhos, a proporção de relatos que não produziram discrepância, o tempo até a primeira notificação, o índice de correções, o número de revisões encerradas e a quantidade de conflitos de interesse identificados. Poderiam ainda separar erro de contato, divergência documental e controvérsia externa. Isso permitiria avaliar consistência sem usar nomes como prova de produtividade.

Quando a publicação individual for indispensável para uma atualização específica do registro, deve limitar-se ao fato necessário e carregar seu estado: verificado, corrigido, contestado ou decidido externamente. A instituição não deve transformar uma alegação em etiqueta definitiva. O dever de transparência começa por explicar o próprio método.