Roteiro de migração documental: desativar sistema legado sem romper a cadeia de custódia

Toda organização pública de médio e grande porte enfrenta, em algum momento, a pressão de modernizar seus sistemas de gestão documental. Um SIGAD legado — Sistema Informatizado de Gestão Arquivística de Documentos — cumpriu seu papel, mas agora esbarra em obsolescência tecnológica, incompatibilidade com ferramentas atuais e custos crescentes de manutenção. A tentação é óbvia: desativar e migrar para o novo.

Mas aqui está o problema real: migração documental não é apenas mover dados. É um ato de custódia institucional. Cada documento no acervo tem uma história de origem, manipulação e preservação registrada — a chamada cadeia de custódia — e essa rastreabilidade é exigência legal tanto para governança quanto para defesa em auditoria. Romper essa cadeia durante a migração não é apenas um erro operacional; é uma brecha que expõe a instituição a questionamentos sobre autenticidade, integridade e conformidade com a Lei nº 8.159/1991 (Lei de Arquivos) e com as Resoluções do CONARQ que definem o RDC-Arq — Repositório Arquivístico Digital Confiável.

Este roteiro não é genérico. Ele parte do pressuposto de que sua instituição já trabalha com algum nível de formalização documental e que você precisa desativar um sistema sem vulnerabilizar o acervo nem deixar margem para auditores questionarem integridade ou autenticidade.

O erro clássico é confundir backup com preservação. Uma cópia de segurança é cópia. Preservação é ato de custódia: significa manter o documento íntegro, autêntico e rastreável ao longo do tempo, independentemente de tecnologia mudar.

Quando uma instituição diz "vamos fazer backup do sistema antigo antes de desligar", está fazendo metade do caminho — e talvez a metade errada. Um backup é estático. Ele congela um estado de um momento. Mas o acervo documental, mesmo depois de "desativado", continua vivendo: auditorias pedem acesso, direitos administrativos exigem acesso a documentos, pesquisas históricas consultam os registros. Um backup de um sistema desligado é uma cápsula do tempo inacessível.

Além disso, é comum encontrar cenários onde:

• Documentos foram digitalizados em formato proprietário (TIFF com metadados de um vendor específico), inacessível em outro ambiente
• A cadeia de custódia ficou registrada apenas no log do sistema legado, sem exportação estruturada
• Metadados de preservação (datas de criação, modificação, agentes de custódia) estão espalhados em tabelas, planilhas e campos não padronizados
• Ninguém sabe exatamente o que é documento original, o que é cópia, e qual foi a sequência de eventos que levou cada arquivo de onde estava para onde está

Quando chega a hora de auditoria ou disputas legais, descobrem que o acervo está tecnicamente disponível, mas documentalmente frágil.

Antes de desligar o sistema legado, você precisa completar cinco operações. Nenhuma delas é trivial. Nenhuma delas pode ser pulada.

Antes de exportar um arquivo sequer, você precisa entender qual é o acervo real que está no sistema e que obrigação legal recai sobre cada parte dele.

Todas as instituições públicas federais devem ter uma Tabela de Temporalidade, que é o instrumento que diz: este documento tem ciclo de 5 anos, aquele outro é permanente, este terceiro pode ser descartado após 3 anos de guarda. A Tabela é aprovada pelo CONARQ e é vinculante.

Passo 1 do roteiro:

• Localize a Tabela de Temporalidade aprovada de sua instituição (ou a vigente, se houve atualizações)
• Classifique cada série ou grupo de documentos no sistema legado segundo a Tabela
• Identifique a separação nítida entre: documentos de guarda temporária (que podem sair após prazo), documentos de guarda permanente (que migram intactos), e documentos que já completaram seu ciclo e podem ser descartados
• Documente essa classificação em planilha ou ferramenta de controle; não deixe na cabeça de ninguém

Por que isto importa? Porque na hora de auditar, você precisa prover não apenas o acervo, mas também a justificativa legal de que cada documento foi preservado, descartado ou transferido conforme a lei. Sem a Tabela explícita, você está operando no escuro.

Agora você sabe o quê guardar. Precisa saber em que condição está.

Faça uma auditoria técnica do sistema legado antes de sair dele:

• Calcule hash criptográfico (SHA-256 ou similar) de todos os arquivos ou, no mínimo, de amostra significativa do acervo
• Teste acesso a formatos críticos: PDFs com assinatura digital, imagens TIFF, arquivos proprietários. Confirmem que abrem, que visualizam corretamente, que metadados estão legíveis
• Verifique se há documentos corrompidos ou inacessíveis no próprio sistema legado (isto já vai te surpreender em muitos casos)
• Documente anomalias: arquivo que não abre, formato obsoleto que nenhum software recente consegue ler, metadados que não fazem sentido

Este passo responde: qual é o estado de saúde técnica real do que você está prestes a migrar? Se há 2% do acervo corrompido, você precisa saber agora, não depois que o sistema legado está desligado.

Conforme a especificação PREMIS (metadados de preservação), cada evento de acesso, validação ou transformação de um objeto digital precisa ficar registrado com data, agente e resultado. A auditoria técnica é um evento de preservação; registre-a.

Aqui está a operação que mais dói: você não pode apenas "copiar e colar" dados de um sistema para outro e esperar que funcionem.

O e-ARQ Brasil — Modelo de Requisitos para Sistemas Informatizados de Gestão Arquivística de Documentos — define quais informações um SIGAD precisa capturar e manter sobre cada documento. Inclui:

• Identificação unívoca do documento (identificador único, persistente)
• Origem (produtor, data de produção, contexto funcional)
• Metadados descritivos (título, tipo de documento, assunto)
• Metadados administrativos (classificação, destinação conforme Tabela de Temporalidade)
• Metadados de preservação (integridade, autenticidade, eventos de custódia)

Muitos sistemas legados capturam parte disto, mas de forma não padronizada. Um documento pode ter "data de criação" armazenada num campo de data estruturada em um módulo e em texto livre em outro.

Antes de migrar:

• Mapeie quais campos do sistema legado correspondem aos requisitos do e-ARQ Brasil
• Decida o que será exportado, transformado ou descartado em termos de metadados
• Valide a estrutura de dados que será importada no novo sistema
• Prepare documentação de mapeamento (que campo de origem virou qual no destino)

Este passo é técnico e chato, mas é onde a maioria das perdas de informação silenciosas acontecem.

Este é o passo que diferencia migração profissional de improvisação.

Cadeia de custódia significa que você consegue responder: quem tinha este documento, quando, sob que condições, e como chegou até aqui agora? Não é suficiente que o arquivo esteja lá. Você precisa prover o registro do processo.

Para isto:

• Crie um diário de migração estruturado: cada passo, data, responsável, resultado. Exemplo: "2024-12-01 10h00m — Auditoria técnica iniciada por [nome]. Arquivo xxx.pdf: hash SHA-256 [valor]. Status: íntegro."
• Registre cada transformação: se um documento foi convertido de TIFF para PDF/A (formato de preservação de longo prazo conforme norma ISO 19005), isto fica registrado. Quem fez, quando, e por quê.
• Mantenha evidência de validação: relatório de integridade após cada etapa
• Documente interrupções ou anomalias: "Arquivo yyy.jpg não pode ser aberto no sistema legado. Ação: contato com fornecedor. Resultado: arquivo descartado conforme Tabela de Temporalidade de [data]."

Todo este registro segue o padrão PREMIS de eventos de preservação. O resultado final é um documento (ou conjunto de documentos) que prova: "este acervo foi migrado sob supervisão, cada passo foi registrado, e nada saiu do controle".

Sem isto, na auditoria você terá apenas o acervo novo. Com isto, você terá o acervo + a prova de sua integridade.

Nunca — NUNCA — migre o acervo completo direto para produção.

Crie um ambiente de homologação onde você vai:

• Importar amostra significativa do acervo legado (mínimo 5%, melhor 20%)
• Validar que todos os documentos abriram, todos os metadados chegaram corretos, todas as assinaturas digitais se mantêm válidas
• Testar busca, recuperação e acesso no novo sistema
• Validar que a cadeia de custódia está completa e rastreável
• Simular consultas de auditoria: consegue recuperar documento original com todas as informações de guarda?

Se der problema, você descobre em ambiente isolado, não em produção com o sistema legado já desligado.

Este teste pode levar semanas. Vale cada hora.

Só após completar os cinco passos anteriores você está seguro para desativar.

A desativação em si segue este protocolo:

1. Congele o sistema legado — nenhuma nova entrada, apenas leitura autorizada
2. Gere relatório final de integridade — hash de todos os documentos neste exato momento
3. Migre para o novo sistema (que já passou por homologação)
4. Valide que chegou completo: compare hashes, faça teste de amostra de acesso
5. Mantenha o legado em modo arquivo por no mínimo 30 dias, isolado de produção mas acessível se surgir dúvida
6. Só então desative de verdade, com documentação final de que migração foi bem-sucedida

O sistema legado pode ser desligado. Seu acervo nunca é.

Todo este processo fica registrado como história do repositório no novo sistema, conforme exigências de RDC-Arq (Repositório Arquivístico Digital Confiável). Você não apenas migrou; você criou prova de migração.

A Lei de Arquivos e as Resoluções do CONARQ não proíbem desativar sistemas. O que exigem é:

• Rastreabilidade: você consegue reconstruir cada passo da migração
• Integridade: nada foi alterado, perdido ou corrompido no processo
• Autenticidade: os documentos no novo sistema são realmente os mesmos do original
• Acesso: o acervo permanecer acessível, não pode virar um arquivo morto inacessível

O RDC-Arq — que é a orientação brasileira para repositórios digitais de guarda permanente — exige ainda:

• Preservação de contexto: o documento chega no novo sistema com informação de onde veio
• Responsabilidade: está documentado quem garantiu cada etapa
• Sustentabilidade: o novo sistema está preparado para durar, não é nova gambiarra com prazo de validade

Nada disto proíbe você de trocar de tecnologia. Tudo exige que você documente a troca.

Conforme Resolução CONARQ nº 39/2014 (alterada pela nº 43/2015), que estabelece as Diretrizes para RDC-Arq, a custódia digital é responsabilidade contínua da instituição e deve ser auditável. Uma migração bem feita aumenta sua conformidade com a lei, não diminui.

Durante a migração, você vai sentir pressão para cortar caminho. Não corte:

"Vamos exportar tudo em CSV e importar depois" — CSV é frágil, metadados se perdem, formatos se descaracterizam. Use estrutura conforme e-ARQ Brasil (METS, BagIt ou formato equivalente que sua ferramenta suporte).

"A Tabela de Temporalidade está desatualizada, vamos ignorar por enquanto" — Nada de "por enquanto". Atualize agora ou use a vigente. Isto é lei.

"Vamos fazer o backup do legado e chamar isso de arquivo" — Backup é cópia de segurança. Arquivo é custódia. São conceitos diferentes. Backup não é auditável, arquivo é.

"Ninguém vai cobrar cadeia de custódia de um sistema interno" — Auditoria interna, externa, Tribunal de Contas, Controladoria-Geral, LGPD e até inquérito criminal podem cobrar. Sempre cobram quando acham que há algo errado.

"Vamos desligar o legado e se der problema chamamos o vendor para recuperar" — O vendor não vai recuperar nada. Dados deletados não se recuperam. Mantenda o legado acessível até ter certeza de 100% que migração funcionou.

Durante o planejamento da migração, surgirá a questão: onde vai residir o novo sistema?

A residência nacional de dados não é exigência direta da LGPD. Mas é exigência das normas de segurança da informação que regem a administração pública federal. Um acervo permanente de órgão público federal não pode estar armazenado em servidor no exterior. É questão de soberania de dados e de conformidade com normativas de segurança de TI que antecedem a LGPD.

Além disso, na auditoria de migração, você precisa prover: onde está o acervo, quem tem acesso, quais são as garantias de que ele não será compartilhado ou modificado sem autorização? Não consegue responder isto porque os dados estão em nuvem internacional? Você acaba de criar problema desnecessário.

A residência nacional não é burocrata. É prático: significa que você consegue auditar, você controla backup, você está no fuso da instituição, e não depende de contrato com fornecedor estrangeiro para explicar onde está o acervo permanente do órgão.

Na hora de escolher o novo sistema, inclua isto como critério: residência nacional + prova de conformidade com e-ARQ Brasil + capacidade de rastreabilidade de eventos de preservação.

Antes de dar a ordem para desligar o sistema legado, consulte esta lista:

• Tabela de Temporalidade: classificação concluída, documentada e revisada?
• Auditoria técnica: integridade verificada, anomalias registradas e resolvidas?
• Mapeamento de metadados: cada campo crítico sabe para onde vai?
• Diário de migração: todos os passos estão registrados com data, responsável e resultado?
• Teste em homologação: amostra significativa testada, validada, assinado ok?
• Novo sistema em produção: acervo completo importado, validado, rastreável?
• Relatório de conformidade: documento que prova e-ARQ Brasil, RDC-Arq, Tabela de Temporalidade?
• Backup do legado: cópia isolada mantida por no mínimo 30 dias?
• Comunicação interna: arquivo, TI, gestão sabe que migração ocorreu e como consultar acervo novo?

Se qualquer item está com dúvida, não desative. Resolve primeiro.

Migração não é sprint. É projeto de custódia institucional.

Migração bem feita custa tempo e rigor. Mas a alternativa — migração improvisada — custa mais:

• Auditoria que questiona autenticidade: instituição fica na defensiva
• Acervo inacessível: documentos estão lá, mas metadados desapareceram, então ninguém consegue encontrar
• Litígio com fornecedor: "vocês perderam dados na migração" (e você não consegue provar que não)
• Descontinuidade de custódia: pior crime arquivístico, aquele que leva a revogação de funcionários
• Vulnerabilidade a ataques: acervo não rastreado é mais fácil de alterar sem deixar rastro

Uma migração bem documentada faz exatamente o oposto:

• Aumenta confiança na instituição
• Facilita acesso futuro porque metadados estão íntegros
• Protege contra litígios porque você tem prova de tudo
• Demonstra maturidade em governança documental
• Prepara para mudanças futuras: próxima tecnologia será outro passo, não outro drama

A SOS Docs acompanha instituições públicas neste trajeto. Não porque oferecemos solução mágica — não oferecemos — mas porque orientamos no rigor do processo conforme normas brasileiras de arquivos e preservação digital.