← Todos os artigos

O que distingue uma auditoria real de um carimbo de borracha

Todas as eleições sofrem uma "auditoria." Quase nenhuma delas consegue mudar um resultado — e a palavra está a fazer muito trabalho para esconder isso.

É a manhã de 4 de novembro de 2020, e um gabinete de secretaria em Windham, New Hampshire enfrenta um problema. Os boletins foram contabilizados. As fitas da máquina foram impressas. Quatro candidatos republicanos para Representante Estadual venceram seus lugares — mas por margens mais estreitas do que ninguém esperava. Uma candidata, Kristi St. Laurent, perdeu para o quarto republicano por apenas 24 votos.

A sua campanha solicita uma recontagem manual.

A contagem manual chega. St. Laurent continua a perder — mas os números mudaram. Os quatro republicanos ganharam aproximadamente 300 votos cada. Todos os democratas da corrida perderam aproximadamente 99 votos. A contagem da máquina e a contagem manual divergiram por centenas numa corrida de uma pequena cidade. A discrepância não é subtil. Não é um erro de arredondamento.

É uma pista óbvia que requer uma explicação.

Como é uma auditoria real

New Hampshire fez algo que a maioria dos lugares não faria. Sob a lei SB 43, a legislatura estatal ordenou uma auditoria forense completa — não uma recontagem, não um comunicado de imprensa, não uma declaração tranquilizadora do gabinete do Secretário de Estado. Uma auditoria forense, conduzida por peritos independentes: Harri Hursti, Mark Lindeman e Philip Stark, três dos investigadores de segurança eleitoral mais credenciados do país.

Tiveram acesso às máquinas. Tiveram acesso aos boletins. Realizaram experiências.

O que encontraram foi isto: uma máquina de dobragem que a cidade tinha alugado para preparar boletins por correio não dobrou o papel nas linhas de pontuação impressas. As dobras correram diretamente através dos óvalos de voto. Os scanners ópticos AccuVote — a mesma família de máquinas estudada por investigadores de Princeton em 2006, quando Ariel Feldman, J. Alex Halderman e Edward Felten demonstraram como um minuto de acesso físico poderia comprometer todo um sistema — leram uma fração substancial dessas dobras de crease como óvalos marcados. A equipa estimou aproximadamente 44 por cento das dobras através de alvos de voto sendo interpretadas como votos. Execuções experimentais produziram taxas em qualquer lugar de aproximadamente 20 por cento a mais de 72 por cento. Pó branco tinha também acumulado dentro dos scanners, obstruindo as lentes.

Nenhum malware. Nenhuma fraude. Nenhuma manipulação. Apenas uma dobra no lugar errado, e centenas de votos silenciosamente mal contabilizados.

O relatório concluiu que a eleição foi, na maioria das vezes, bem conduzida. Leia essa frase lentamente. Uma eleição bem conduzida, numa democracia funcional, por oficiais competentes, produziu uma contagem errada de centenas de votos numa corrida decidida por 24 — e ninguém saberia sem um inquérito forense independente e vinculativo que realmente examinasse a prova física.

É isto que uma auditoria real parece. É vinculativa (a legislatura ordenou-a), independente (a equipa não tinha qualquer relação com os oficiais que conduziram a contagem), e baseada em provas (examinaram papel, máquinas e execuções de teste, não apenas certificações oficiais). Produziu descobertas que poderiam — e fizeram — alterar o registo factual do que aconteceu.

O relatório completo da auditoria forense SB 43 é público. Pode ler todas as decisões de metodologia, todos os resultados experimentais, todas as ressalvas. Essa transparência não é incidental — é o ponto inteiro.

O que a maioria das "auditorias" realmente são

Aqui está a verdade desconfortável que os oficiais raramente oferecem voluntariamente: na maioria das jurisdições dos EUA, e em muitas democracias em todo o mundo, o que é chamado uma "auditoria" após uma eleição é uma verificação pontual não vinculativa que não pode, por design, mudar o resultado certificado.

Uma auditoria típica pós-eleitoral pode verificar 1 por cento dos boletins. Ou 5 por cento. Ou uma amostra fixa através de secções. A amostra é geralmente escolhida pelo condado ou estado que o executa. As pessoas que fazem a verificação são geralmente funcionários do condado ou estado. A descoberta — quase invariavelmente — é que a contagem da máquina parece estar certa, dentro das tolerâncias esperadas.

E quando a auditoria está feita, o resultado mantém-se independentemente do que encontrou.

Isto não é uma auditoria no sentido forense. É um ritual de confiança. É um procedimento concebido para produzir tranquilidade, não para questionar a autoridade. A palavra "auditoria" faz o trabalho retórico de transmitir rigor sem exigir legalmente nenhum.

Uma auditoria que não pode mudar o resultado não é uma auditoria. É um comunicado de imprensa com passos extras.

Pense no que "não vinculativo" significa na prática. Um oficial verifica 1 por cento dos boletins. Tudo parece bem. A eleição é certificada. Mais tarde, alguém encontra um problema — uma dobra através de um alvo de voto, um cartão tabulador mal configurado como o de Antrim County, Michigan em 2020, onde resultados não oficiais errados foram publicados porque um secretário reprogramou alguns mas não todos os cartões tabuladores após uma mudança de corrida de última hora. Em Antrim, o erro foi apanhado não por nenhuma auditoria, mas porque o resultado era tão implausível para um condado consistentemente republicano que desencadeou escrutínio imediato. Um erro mais subtil numa corrida mais próxima, num condado sobre o qual ninguém tinha suposições fortes, poderia não ter desencadeado nada.

A auditoria manual que eventualmente verificou cada boletim presidencial em Antrim diferiu da contagem da máquina por cerca de uma dúzia de votos de aproximadamente 15.700 lançados. Os oficiais chamaram a isto confirmação. Mas numa corrida decidida por um punhado de votos, um método que é ele próprio fora por um punhado de votos não consegue realmente resolver a questão. "A auditoria confirmou-a" é uma tranquilidade, não uma prova.

O que uma auditoria com limite de risco realmente promete — e o que requer

Colorado fez algo genuinamente diferente. Em novembro de 2017, após a sua eleição geral, tornou-se o primeiro estado dos Estados Unidos a completar uma auditoria com limite de risco em todo o estado (RLA). O Secretário de Estado do Colorado anunciou a conclusão em 22 de novembro de 2017.

Uma RLA não é uma verificação pontual de percentagem fixa. É um procedimento estatístico que responde a uma pergunta específica: dada a margem reportada, qual é a probabilidade de que o vencedor reportado realmente perdeu? A auditoria desenha boletins ao acaso e compara-os mão-a-máquina até que a auditoria atinja um limiar de confiança pré-estabelecido, ou a amostra cresça tão grande que o resultado original deveria ser anulado.

A característica crítica é que o tamanho da amostra escala com a margem. Uma corrida decidida por 50 votos requer verificação de muitos mais boletins do que uma corrida decidida por 50.000. Colorado começou com um limite de risco de 9 por cento — significando não mais de 9 por cento de chance de certificar um vencedor errado — e depois apertou-o para 3 por cento. O Colorado Secretary of State's RLA FAQ explica a metodologia em linguagem simples.

Isto é significativamente diferente de uma verificação pontual não vinculativa. Uma RLA tem uma garantia estatística definida. Se a auditoria desencadeia uma contagem manual completa, uma contagem manual completa acontece. A matemática é pública. Qualquer um pode verificar o cálculo de confiança contra os boletins amostrados.

Mas uma RLA tem um pré-requisito não negociável: um registo de papel confiável para auditar contra.

É aqui que Sarasota County, Florida fica relevante. Em 2006, aproximadamente 18.000 subcontagens apareceram numa corrida do Congresso decidida por 369 votos. O condado usou máquinas de ecrã tátil DRE sem papel. A GAO testou os sistemas e não encontrou mal funcionamento da máquina mas notou, claramente, que um registo verificado pelo eleitor poderia ter fornecido confirmação independente. Nenhum registo de papel existia. Literalmente não havia nada independente para auditar. Uma auditoria com limite de risco em Sarasota 2006 teria sido matematicamente impossível, porque a camada de prova em que a matemática depende não existia.

Não consegue executar uma auditoria real num sistema que não deixa nenhum artefato independentemente verificável. O boletim de papel não é uma segurança quaint. É a matéria-prima da auditoria.

O que Georgia 2020 provou — e o que deixou em aberto

A auditoria pós-eleitoral de Georgia em 2020 é frequentemente citada como prova de que o sistema funciona. Merece uma observação mais próxima do que normalmente recebe.

Após a eleição presidencial de novembro de 2020, Georgia conduziu uma contagem manual completa de todos os aproximadamente 5 milhões de boletins presidenciais — 159 condados, 41.881 lotes, completados em menos de seis dias. A contagem manual afirmou o resultado tabulado pela máquina, com uma variação entre a contagem original e a contagem manual de cerca de um décimo de um por cento.

Crédito onde é devido: isso é um feito genuinamente impressionante de administração eleitoral, e a existência de boletins marcados por eleitores tornou-o possível. Georgia Public Broadcasting e NPR ambas cobriram-na.

Mas aqui está o que a auditoria de Georgia não conseguia fazer: não conseguia verificar que os boletins que contou eram os mesmos que os eleitores pretendiam lançar. Georgia usa dispositivos de marcação de boletim Dominion (BMDs). Um eleitor toca num ecrã; a máquina imprime um boletim com texto legível pelo humano e um código QR. O tabulador lê o código QR. Em Curling v. Raffensperger, um tribunal federal em outubro de 2020 citou testemunho de peritos descobrindo que o sistema "não fornece um registo de boletim verificável e auditável porque depende do código QR para tabulação de votos e esse código não consegue ser lido e verificado pelo eleitor." O tribunal também citou a conclusão de 2018 das Academias Nacionais de que nenhum mecanismo técnico atualmente existe para garantir que uma aplicação de contagem de votos produz resultados precisos.

Uma contagem manual audita o que o código QR diz. Não consegue — e não pode — auditar se o código QR corresponde ao que o eleitor tocou no ecrã. Se o software BMD registou mal a escolha do eleitor antes de imprimir, o papel pareceria bem a um contável manual e a contagem errada passaria cada auditoria.

Isto não é uma acusação. É uma restrição lógica. Uma auditoria real requer que o artefato sendo contado seja o mesmo artefato que o eleitor verificou. Quando essas duas coisas são diferentes — quando a máquina lê um código de barras que o eleitor não consegue ler — a auditoria está a verificar a saída da máquina, não a intenção do eleitor.

A lacuna que ninguém nomeia em voz alta

Então temos um espectro.

Numa extremidade: a auditoria forense de Windham. Peritos independentes, mandato vinculativo, prova física examinada, experiências realizadas, descobertas que divergiram de contagens oficiais e alteraram o registo público do que aconteceu. Caro, lento, politicamente desconfortável, e a única razão pela qual sabemos o que realmente deu errado.

Ligeiramente acima do espectro: RLA do Colorado. Fundamentado matematicamente, honesto estatisticamente sobre níveis de confiança, escalável à margem. Ainda depende de papel auditável, ainda requer que o papel reflita a intenção real do eleitor, mas muito mais rigoroso do que uma verificação pontual de percentagem fixa.

Na outra extremidade: a auditoria pós-eleitoral padrão na maioria dos lugares. Não vinculativa. Executada pelos mesmos oficiais cuja contagem supostamente está a verificar. Percentagem fixa, muitas vezes minúscula. Incapaz de desencadear uma mudança de resultado. Concebida, na prática, para produzir tranquilidade.

A maioria das eleições vive na extremidade errada desse espectro. E a palavra "auditoria" flutua através de todas elas igualmente, fazendo trabalho reputacional que não ganhou.

O Tribunal Constitucional Federal Alemão disse-o claramente no seu julgamento de março de 2009 banindo computadores de voto: os passos essenciais de votação e contagem devem ser examinável pelo cidadão sem conhecimento especializado. Não examinável por oficiais. Não examinável por fornecedores. Pelos cidadãos. Esse é o padrão constitucional que uma democracia deve aos seus eleitores.

A comissão de 2007 do governo holandês sobre eleições, "Stemmen met vertrouwen" — Votação com Confiança — chegou à mesma conclusão de uma direção diferente: transparência e verificabilidade não são características opcionais de uma contagem confiável. São o que torna uma contagem confiável em tudo.

Nenhuma daquelas conclusões é radical. Ambas seguem da mesma premissa simples: um resultado que ninguém consegue verificar independentemente não é um resultado verificado. É um resultado anunciado apoiado por confiança em quem o anunciou.

Confiança em oficiais não é a mesma coisa que prova. Na Venezuela em 2017, Smartmatic — a empresa que tinha fornecido o sistema de votação automatizado da Venezuela desde 2004 — afirmou publicamente que sabia "sem qualquer dúvida" que a participação anunciada tinha sido manipulada, estimando a diferença entre participação real e anunciada em pelo menos um milhão de votos. A empresa que construiu o sistema rejeitou o resultado. Não havia nenhuma auditoria independente a que apelar. Não havia nada.

Esse é o caso terminal. Mas a lacuna entre isso e a auditoria forense de Windham é um espectro, não uma linha brilhante, e a maioria das eleições senta-se em algum lugar no meio — com procedimentos chamados "auditorias" que funcionam mais como as da Venezuela do que como as de Windham.

O que a tornaria verificável por qualquer um

A correção não é confiar em oficiais melhores. É conceber sistemas que não exigem essa confiança.

Uma auditoria pós-eleitoral genuína tem três propriedades. É independente — conduzida por pessoas sem qualquer interesse no resultado e sem relação de comunicação com os oficiais que executaram a eleição. É vinculativa — capaz de produzir um resultado certificado diferente se a prova o justificar. E é baseada em provas — verifica o registo físico ou criptográfico contra a contagem da máquina, usando um método cujo taxa de erro é conhecida e publicada.

Windham teve todos os três, após o facto, porque uma ordem legislada o forçou. RLA do Colorado tem o rigor estatístico e a força vinculativa. Nenhum é suficiente por si próprio se o registo subjacente — o boletim — não consegue ser independentemente verificado para refletir a intenção do eleitor.

A conclusão mais difícil é esta: mesmo as contagens manuais carregam erro humano irredutível. A auditoria manual de Antrim County diferiu da tabulação da máquina por cerca de uma dúzia de votos. A tabulação manual de Georgia diferiu da tabulação da máquina por cerca de um décimo de um por cento através de 5 milhões de boletins. "Uma contagem manual confirmou-a" não significa zero erro. Numa corrida decidida por doze votos, um método que é ele próprio fora por doze votos não consegue definitivamente resolver a questão. Numa corrida decidida por 369 votos — como Sarasota 2006 — a ausência de qualquer registo de papel significa que a questão nem sequer consegue ser feita.

O que realmente tornaria os resultados verificáveis por qualquer um é uma combinação de coisas que atualmente existem em pedaços mas raramente juntas: boletins marcados por eleitores cujas marcas inequivocamente refletem a escolha do eleitor; auditorias rotineiras, vinculativas, independentes com um nível de confiança estatística publicado; resultados de nível de secção publicados em formatos legíveis por máquinas no momento em que são finais; e documentação completa de cadeia de custódia que é ela própria pública e auditável.

Nenhuma daquelas coisas requer confiar em qualquer oficial, fornecedor ou partido particular. Esse é o ponto. Verificabilidade significa que o público consegue verificar, não que os oficiais verificaram e lhe disseram o resultado.

Neste momento, na maioria dos lugares, a palavra "auditoria" significa o último. Windham mostrou como o primeiro parece — após o facto, sob pressão, porque alguém contou manualmente e notou que os números não correspondiam.

Isso não deveria ser como descobrimos.

Veja como a lacuna da auditoria não vinculativa aparece através das jurisdições | Explore o atlas completo de casos | Leia a versão de 2 minutos deste argumento

Fontes

Ver todos os artigosExplorar as lacunas