A arquitetura causal da decisão

Da intuição filantrópica à ciência do impacto — por que este manual existe antes mesmo de mostrar uma fórmula.

O voo às cegas e o esgotamento do modelo tradicional

Imagine ter acesso a um cofre com bilhões em recursos e um mandato gigantesco focado em resolver os problemas de desigualdade mais complexos de um país de dimensões continentais. O cenário parece o sonho de qualquer gestor de políticas públicas ou diretor de impacto social. Contudo, a história nos ensina que essa abundância frequentemente esbarra em uma frustração amarga: injetar montanhas de dinheiro em um problema estrutural não altera a realidade. O investimento vira um poço sem fundo.

Durante décadas, a filantropia e o investimento social operaram sob uma lógica perigosa, quase como um piloto tentando guiar um avião em meio a uma tempestade violenta, mas desprovido de qualquer instrumento de navegação. Sobrava intuição, tentativa e erro, e uma dependência absurda da "boa vontade", mas faltava o alicerce fundamental: a ciência. O Agente DET propõe uma ruptura definitiva. O objetivo desta inteligência não é gerar relatórios coloridos em PDF, mas estabelecer a transição em que o investimento social deixa de ser palpite bem-intencionado para se tornar uma ciência exata, preditiva e estritamente auditável.

O gargalo cognitivo e o fim do viés de confirmação

A ambição técnica nasce de um problema brutal de otimização: em um universo quase infinito de possibilidades, onde exatamente alocar capital finito para extrair o maior ganho duplo possível — o ponto em que o impacto social profundo se encontra com a viabilidade financeira?

A arquitetura analítica varre simultaneamente os 5.570 municípios do Brasil. Processa e cruza um volume de dados esmagador para a cognição humana — IBGE, RAIS, CAGED, indicadores de emprego, saneamento e educação. O gargalo humano nunca foi computacional: foi combinatorial. Mesmo os melhores analistas trancados em uma sala jamais conseguiriam cruzar milhões de registros trabalhistas com infraestrutura escolar a tempo de desenhar um plano coerente antes do fim da próxima década.

A verdadeira inovação, porém, não está na força bruta. Está na postura metodológica: o princípio da integridade analítica. Na formulação tradicional, um diretor impõe um recorte prévio — "este ano focamos nas 100 cidades mais pobres do semiárido" — e contamina todo o estudo com viés de confirmação. A equipe encontrará justificativas naquela região simplesmente porque foi instruída a olhar para lá, ignorando que a intervenção mais cirúrgica do país poderia estar escondida na periferia urbana do Sul. Ao recusar qualquer recorte e carregar o Brasil em sua totalidade, o algoritmo afunila as opções guiado exclusivamente pelos mecanismos causais mais profundos, sem atalhos cognitivos.

Causalidade contra o teatro da correlação

Se há um pilar que fundamenta a maturidade desta inteligência, é a sua capacidade de não confundir correlação com causalidade — a armadilha clássica da ciência de dados. Pense na chuva: sempre que chove forte, as ruas ficam molhadas e as pessoas abrem guarda-chuvas. No gráfico de dispersão, as três variáveis sobem juntas de forma perfeitamente correlacionada. Um algoritmo primitivo poderia inferir que guarda-chuvas abertos causam ruas alagadas e, tragicamente, recomendar um fundo para confiscar guarda-chuvas e acabar com as enchentes.

A imagem cômica traduz uma tragédia contábil e humana: bilhões são desperdiçados anualmente tratando sintomas sob a ilusão de curar a doença. Fundamentado nos Grafos Acíclicos Direcionados (DAGs) de Judea Pearl, o agente muda a natureza da pergunta. A máquina deixa de buscar "quais dados sobem juntos" e passa a mapear a estrutura lógica para testar matematicamente o que aconteceria se ela forçasse uma intervenção em uma variável específica. Em suma: não quer saber se o guarda-chuva está aberto; quer intervir na nuvem de chuva.

Humildade algorítmica · placebo e identificabilidade

A cautela é fundamental quando entregamos a governança de dados sociais a uma IA. Máquinas são notórias especialistas em encontrar padrões onde existe apenas ruído e tendem a defendê-los como se fossem leis da física. Como garantir que o agente não está alucinando soluções?

Os engenheiros anteciparam o risco com um funil rigoroso chamado identificabilidade. Antes de emitir qualquer veredito, a máquina ataca suas próprias hipóteses com testes de estresse — o principal deles é o teste de placebo. Se o modelo sugere que construir creches aumentará a empregabilidade materna, o teste forçará a IA a cruzar essa intervenção com o índice histórico de chuvas da região. Se a matemática corrompida apontar que creches estão alterando o volume pluviométrico, o sistema acende alerta vermelho imediato.

O que vem a seguir é manifesto de integridade: a máquina não tenta "massagear" os dados para entregar um dashboard bonito. A árvore de decisão paralisa. O sistema trava e aborta a recomendação de propósito. Enquanto o analista humano, sob pressão de sexta-feira, poderia manipular os números, o algoritmo assume que é infinitamente mais seguro não fornecer resposta alguma do que induzir o fundo a um direcionamento enviesado que queimará capital. É um nível de humildade intelectual programada que falta em muitas consultorias sêniores.

A matemática profunda da desigualdade · Sen e Crenshaw

Diagnosticar dor social exige arcabouço teórico. O modelo avalia desigualdade apoiado em quatro eixos indissociáveis: raça, gênero, renda e território. Fugindo da estatística fria que apenas conta cabeças abaixo da linha da pobreza, a metodologia ancora-se na economia de Amartya Sen, compreendendo pobreza como privação de capacidades — o quanto um grupo está sistematicamente bloqueado de participar da vida em sociedade.

A inovação acontece pela aplicação matemática da interseccionalidade de Kimberlé Crenshaw. O código proíbe expressamente a "conta de padaria" de simplesmente somar desvantagens (raça vale 1, gênero vale 1, total 2). Em vez disso, usa decomposição multiplicativa. Embora um homem branco desempregado no centro de São Paulo viva inegável vulnerabilidade, quando o modelo analisa uma mulher negra na zona rural do Maranhão sem saneamento básico, ele compreende que essas desvantagens não apenas se somam — colidem e se multiplicam de forma exponencial. Essa gravidade latente, que costuma desaparecer nas médias nacionais, explode na matemática do sistema.

O pragmatismo frio do Score Consolidado

Após calcular a dor com exatidão matemática, o agente consolida um score normalizado [0,1]. É aqui que a metodologia impõe sua face mais controversa, realista e crítica. O peso da Severidade do problema é deliberadamente menor do que o intuitivo — Severidade, Viabilidade, Escala e Prontidão Institucional dividem o espaço de decisão.

Pode parecer moralmente questionável que a severidade extrema da dor humana não represente a totalidade da nota. Mas focar 100% no local de maior sofrimento é a receita técnica para o desastre. Se o sistema identifica um município com índices trágicos de fome (severidade máxima), e o escaneamento revela contas bloqueadas, conselhos civis inativos e nenhuma OSC operando no território, transferir 50 milhões para lá resultaria apenas em evaporação: o dinheiro nunca chegaria a quem precisa.

Diagnosticar a tragédia não é o mesmo que resolvê-la. A restrição de peso obriga a IA a encontrar territórios onde a dor é real, mas onde há tecido institucional mínimo para absorver o capital com excelência. Como diz a analogia: "não adianta ter a melhor ambulância se não há estrada para ela passar". A IA audita essa estrada mapeando o setor público, as empresas e exigindo que as OSCs parceiras tenham histórico comprovado — encerrando a prática oportunista de fundações "de fachada" criadas na véspera de grandes editais.

Travas legais intransigíveis

O modelo é blindado por gatilhos de conformidade legal e ética. Se a IA detecta que o polígono do investimento recai sobre áreas de povos tradicionais (terras indígenas ou quilombolas), o sistema de Consulta Livre, Prévia e Informada (CLPI) é ativado imediatamente e a máquina trava. O algoritmo não tem autoridade nem autonomia para atropelar direitos fundamentais em nome de metas de rentabilidade ou impacto acelerado.

Antecipando o caos · Monte Carlo e backcasting

Nenhuma decisão de alocação seria completa sem o crivo do imponderável. A metodologia se afasta dos antigos mapas estáticos e incorpora a lógica dos modernos sistemas de GPS. Antes da aprovação, o plano sofre dezenas de milhares de iterações via Simulações de Monte Carlo. A IA injeta o caos na rota simulada do município: secas severas, crises políticas, choques de desemprego em massa.

O backcasting define a meta no futuro ("reduzir a desigualdade salarial de gênero pela metade em 10 anos") e caminha de costas até o presente, estabelecendo cada marco construtivo necessário. O produto dessas simulações são as bandas de confiança P5–P95 — não promessas baseadas em esperança, mas margens de probabilidade matemática de que o impacto ocorrerá apesar do cenário macroeconômico.

O tradutor universal · da dignidade ao mercado de capitais

O capítulo mais revolucionário desta metodologia é o seu papel de tradutor universal. Boas intenções não mobilizam os trilhões concentrados nos grandes fundos globais ESG, em Wall Street ou na Faria Lima. O modelo converte a linguagem profunda da dignidade social na linguagem fria, auditável e padronizada do mercado de capitais por meio do SROI (Social Return on Investment).

A exigência é taxativa: o ganho social é descontado usando a Selic real mais prêmio de risco. Se o impacto rende menos valor para a sociedade do que se o fundo simplesmente aplicasse o montante em títulos do Tesouro, o projeto é reprovado sumariamente. A IA estabelece um piso de SROI ≥ 1,5×no percentil P25 (o dinheiro deve gerar uma vez e meia de retorno social comprovado, mesmo no cenário ruim), perseguindo metas de 3× o valor investido.

Para que nada disso soe como caixa preta arbitrária, o sistema combina a estrutura de model as code com a técnica de SHAP (SHapley Additive exPlanations). A IA é forçada a deixar rastro matemático auditável justificando cada centavo aportado e cada peso distribuído.

Por que este manual existe

Esta obra não detalha apenas um avanço tecnológico, mas a transição definitiva da era da intuição para a engenharia de impacto. O leitor tem em mãos a anatomia de um motor causal sem precedentes.

Resta uma provocação inadiável: se a iniciativa privada hoje dispõe de tecnologia com precisão cirúrgica para mensurar dor, viabilidade e retorno auditável bloqueando manipulações, o que aconteceria se a máquina estatal fosse obrigada a utilizar este mesmo rigor? Imaginar um futuro em que impostos direcionados a políticas públicas passem por auditoria causal algorítmica antes da aprovação — substituindo promessas de campanha por validações matemáticas em tempo real — talvez seja a maior promessa, e o maior desafio sistêmico, que esta tecnologia nos proporciona. O aprendizado e a reconstrução do tecido social acabam de ganhar sua bússola mais afiada.

— Conselho Editorial · Instituto Espaço Negro Capital · Programa aGEN_IA.

4 · DAGs causais e o cálculo do do(·)

A aritmética da causalidade — por que P(Y|X) não é o mesmo que P(Y|do(X)), e como o Agente DET usa grafos acíclicos dirigidos para separar correlação espúria de efeito causal identificável.

4.0 · A causalidade como problema de identificação, não de medida

Antes de Pearl (e antes da revolução de credibilidade dos anos 1990 — Angrist & Pischke, 2009), parte da econometria tratava causalidade como subproduto de regressão bem-especificada: "controle pelo que importa, e o coeficiente torna-se causal". A virada conceitual foi reconhecer que controlar pelo conjunto errado de variáveis é pior do que não controlar — pode introduzir collider bias, fechar caminhos backdoor genuínos ou abrir caminhos espúrios. Causalidade, portanto, não é problema de mais dados ou mais precisão: é problema de identificação, ou seja, de saber quais variáveis ajustar antes de calcular qualquer coisa.

Esta é a contribuição estrutural dos DAGs (Directed Acyclic Graphs) de Pearl (1995, 2009): tornar visíveis os pressupostos causais sob a forma de arestas direcionadas, de modo que o conjunto de ajuste correto possa ser derivado do grafo (via critério backdoor ou do-calculus) em vez de adivinhado. Para uma fundação que decide alocar capital, isto não é detalhe técnico: é a diferença entre dizer "investimos onde havia mais OSCs e o Gini caiu" (correlação) e "investimos em municípios análogos e o Gini cairia 0,03 a mais" (efeito causal estimado).

4.1 · O salto epistêmico de Judea Pearl

Antes da revolução causal, a estatística aplicada vivia sob o teorema implícito de que "correlação é tudo que podemos medir; causa é metafísica". Pearl (2009) inverteu o jogo ao formalizar uma álgebra para intervenções: o operador do(·) distingue observação passiva de ação deliberada.

4.2 · DAG como linguagem de pressupostos

Um DAG (Directed Acyclic Graph) é, ao mesmo tempo, um modelo gráfico e um contrato epistêmico. Cada aresta X → Y declara: "a equipe acredita que existe um mecanismo pelo qual X afeta Y". A ausência de uma aresta é igualmente informativa — equivale a dizer "não há efeito direto".

4.3 · Backdoor, frontdoor e o critério de identificabilidade

Pearl provou que identificar um efeito causal a partir de dados observacionais depende da estrutura do DAG, não do tamanho da amostra. Os dois critérios canônicos são:

• Backdoor — bloqueia caminhos de confundimento condicionando num conjunto Z que (i) não contém descendentes de X e (ii) bloqueia todo caminho não-causal entre X e Y.
• Frontdoor — quando o backdoor é inviável (confundidores não medidos), procura-se um mediador M totalmente determinado por X que afete Y exclusivamente via o caminho X → M → Y.

4.4 · Implementação no motor causal

A tela /causal materializa estas ideias em três botões: Propor aresta, Rodar Granger e Validar identificabilidade. O último executa o algoritmo do-calculus em background; se o efeito for identificável, exibe a fórmula de ajuste. Caso contrário, devolve "ND" (não identificável) e bloqueia a inclusão do mecanismo no Score até que o Conselho aprove uma instrumental válida.

4.5 · Limites honestos

DAGs não substituem teoria — eles a tornam explícita e refutável. Um DAG mal especificado é apenas uma opinião desenhada. O ciclo de calibração trimestral existe justamente para que o Conselho revise pressupostos à luz de novas evidências.

5 · Granger, Hsiao e dados em painel

Causalidade preditiva no tempo, heterogeneidade municipal no espaço. A combinação Granger × Hsiao é o que permite ao agente operar com 5.570 unidades observadas em múltiplos períodos sem colapsar em médias enganosas.

5.0 · Por que tempo e espaço, em vez de só um deles

Granger (1969) e Hsiao (1986) representam duas tradições econométricas que, no agente, se reconciliam por necessidade operacional. Granger formaliza causalidade preditiva — X "Granger-causa" Y se valores passados de X melhoram a previsão de Y para além do que valores passados do próprio Y já explicam. Não é causalidade estrutural à la Pearl; é uma definição probabilística e datada: trata o tempo como dimensão informacional irredutível. Hsiao, por sua vez, sistematiza a econometria de painel— observações repetidas das mesmas unidades — permitindo controlar heterogeneidade não observada via efeitos fixos.

Aplicado a 5.570 municípios brasileiros observados ao longo de uma década, isto muda o que se pode afirmar. Sem painel, qualquer comparação cross-section sofre de variável omitida — cultura local, herança histórica, geografia — que confunde os coeficientes. Sem componente temporal, perde-se a direção da relação: quem move o quê. A combinação Granger × Hsiao é, portanto, o mínimo defensável para inferir causalidade aproximada em dados observacionais públicos brasileiros, que são as únicas séries que uma fundação consegue manter atualizadas em ciclos mensais sem orçamento de coleta primária.

5.1 · Por que painel

Cross-section pura ignora dinâmica; séries temporais puras ignoram heterogeneidade. O painel (município × tempo) permite controlar simultaneamente efeitos fixos invariantes no tempo (cultura local, geografia) e choques temporais comuns (crise fiscal, pandemia).

5.2 · Modelo canônico do agente

Para cada componente do Score, o motor estima:

5.3 · Lags relevantes por componente

• Sev — lag 12 meses (resposta lenta de indicadores sociais).
• Via — lag 3 meses (resposta rápida ao ciclo orçamentário).
• Esc — lag 6 meses (institucionalização média).
• Pro — lag 1 mês (sinais de mobilização local são quase imediatos).

5.4 · Teste de Granger no painel

Granger original assumia série única; Dumitrescu-Hurlin (2012) generalizou para painel heterogêneo. O motor usa esta versão e reporta o estatístico Z̃-barcom p-valor sob hipótese nula de "homogeneous non-causality". Rejeição implica que ao menos algumas unidades exibem precedência preditiva.

5.5 · Limites e ressalvas

• Painéis curtos (T < 10) viesam efeitos fixos — o agente não estima componentes para municípios com menos de 36 meses de dados.
• Granger pressupõe estacionariedade — séries com tendência são pré-diferenciadas.
• Heterogeneidade severa pode mascarar efeitos contrários que se cancelam — sempre cruzar com a leitura espacial em /diagnostico.

6 · Economia institucional

Por que dois municípios com o mesmo PIB per capita produzem trajetórias radicalmente distintas? A resposta — segundo North, Acemoglu e Ostrom — está nas regras do jogo. O componente Prontidão do Score traduz essa intuição em métrica observável.

6.0 · Por que economia institucional, e não apenas indicadores socioeconômicos

A maior parte das tipologias de "necessidade municipal" usadas no Brasil (IDH-M, IVS, IPS) é de capacidades de resultado: mede onde está pior. O agente complementa esses indicadores com uma camada de capacidade institucional — não para julgar a história institucional do município, mas para responder a uma pergunta executiva diferente: "existe arranjo local capaz de absorver o capital aportado e operacionalizá-lo em prazo razoável?". Sem essa camada, o agente recomendaria sistematicamente os municípios mais frágeis institucionalmente — exatamente os que rejeitariam a operação por falta de OSCs, conselhos atuantes ou capacidade de contratualização.

North (1990), Acemoglu & Robinson (2012) e Ostrom (1990) formam o tripé teórico desta camada. Os três convergem em uma proposição que parece banal e rende consequências fortes: instituições são "as regras do jogo" humanamente concebidas que restringem interação. Quando essas regras são inclusivas (permitem entrada, contestação, accountability), a sociedade gera capacidade de execução; quando extrativistas (concentram decisão e bloqueiam contestação), a capacidade de execução fica retida em poucos atores. A diferença é observável: presença de OSCs ativas, frequência de atos de transparência, qualidade do CAUC, existência de conselhos com paridade funcional.

6.1 · North · instituições como restrições humanas

Para North, instituições — formais (leis, contratos) e informais (normas, costumes) — reduzem a incerteza estruturando a vida cotidiana. Investimentos filantrópicos em territórios com instituições frágeis enfrentam não falta de boa vontade, mas custos de transação proibitivos.

6.2 · Acemoglu & Robinson · inclusivas vs. extrativistas

A distinção é fractal — vale para nações e para municípios. O agente operacionaliza isso através de proxies: índice de transparência (CGU), participação eleitoral, densidade de OSCs ativas, alternância de poder local.

6.3 · Ostrom · governança dos comuns

Ostrom é particularmente relevante para teses que envolvem recursos naturais compartilhados (água, pesca, floresta) ou infraestrutura comunitária. O agente sinaliza, na tela /decisao, quando uma tese tem perfil "Ostrom-friendly".

6.4 · O componente Prontidão

Prontidão (Pro) é a tradução operacional dessas três tradições. Compõe-se de:

• Densidade institucional — OSCs ativas por 10k habitantes.
• Capacidade fiscal — receita corrente líquida per capita.
• Transparência — Escala Brasil Transparente (CGU).
• Estabilidade — alternância eleitoral e taxa de execução orçamentária.

7 · Espaço, capacidade e epistemologias

Antes de medir, escolher a unidade. Antes de decidir, escolher quem decide. Harvey, Sen, Milton Santos e Boaventura entram no agente como guardrails epistêmicos — não como temperos teóricos.

7.0 · Por que filósofos do espaço entram em um manual de alocação

Em métodos quantitativos, é tentador tratar a unidade de análise — o município — como dada, neutra, transparente. A geografia crítica (Harvey, Santos, Soja) e a epistemologia das capacidades (Sen, Nussbaum) mostram que essa naturalização é precisamente onde os erros mais consequentes se instalam. Quem define a unidade define o que pode ser visto: agregar por município esconde a heterogeneidade interna de uma capital metropolitana; agregar por região esconde a profundidade de Salvador; medir por renda per capita esconde capacidades inacessíveis (transporte, segurança, saúde). Essas escolhas não são neutras — são políticas, no sentido forte do termo.

Os autores deste capítulo entram no agente como guardrails epistêmicos: lembretes ativos de que toda métrica espacial é uma leitura situada, e de que decisões sobre 5.570 unidades precisam ser acompanhadas de decisões sobre quem participa do desenho dessas unidades. Boaventura de Sousa Santos (2007) chama isso de "ecologia de saberes": o método quantitativo não é a única forma legítima de conhecer um território, e tratá-lo como única é uma forma de violência epistêmica que produz alocação tecnicamente competente e politicamente cega.

7.1 · Harvey · espaço como produto social

Para Harvey, o município não é um dado — é uma construção político-administrativa com história. A escolha de operar em escala municipal é deliberada (replicabilidade estatística), mas o agente força o operador a sempre cruzar com escalas alternativas: microrregião, bacia hidrográfica, território indígena, comunidade quilombola.

7.2 · Sen · capabilities, não recursos

O componente Severidade não mede pobreza monetária pura — mede privação de capacidades. Acesso a água, saneamento, educação infantil, mobilidade e trabalho digno entram no cálculo com peso explicitamente justificado.

7.3 · Milton Santos · o lugar como evento

Santos lembra que o território brasileiro é desigual por dentro. Médias municipais escondem realidades. O agente expõe isso através do indicador de desigualdade interna (Theil-T desagregado por setor censitário) — quando alto, sinaliza que a tese precisa segmentação intramunicipal.

7.4 · Boaventura · ecologia de saberes

Operacionalmente: a tela /causal aceita evidências de três naturezas — artigo revisado por pares, instrumento legal e relatório de campo validado por liderança local. As três têm o mesmo peso evidenciário. É uma escolha epistemológica, não estilística.

8 · Score Consolidado · função canônica

A equação que sintetiza quatro dimensões em um número único, comparável e auditável. Não é "uma média ponderada qualquer" — é uma decisão metodológica deliberada com consequências práticas em cada município do ranking.

8.0 · Indicadores compostos como compromisso, não como atalho

A teoria de composite indicators (OECD & JRC, 2008) é explícita sobre o que está em jogo quando se combina múltiplas dimensões em um único número: toda agregação envolve seis decisões metodológicas — framework conceitual, seleção de variáveis, tratamento de missing, normalização, ponderação e robustez. Cada uma delas é defensável de várias formas, e nenhuma combinação é teoricamente neutra. Por isso o Score do agente não pretende ser "objetivo": ele é auditável. Cada uma das seis decisões está documentada, datada, atribuída a um corpo deliberativo (Conselho ou Comitê Acadêmico) e sujeita a recalibração pública.

A função canônica adotada — Σ wᵢ · zᵢ com normalização por z-score e pesos somando 1 — não é a mais sofisticada disponível (alternativas: DEA, envoltória estocástica, agregação geométrica). É a mais defensável em público: linear, monotônica, decomponível em contribuição por componente, recalculável em planilha por qualquer auditor externo. Sofisticação adicional sem ganho explicativo proporcional aumenta opacidade — exatamente o contrário do que infraestrutura decisória precisa entregar (cf. Cap. 2).

8.1 · Por que reduzir a uma escalar

Tomar decisão sob restrição orçamentária exige ordenação. Se o agente retornasse quatro vetores independentes (Sev, Via, Esc, Pro), o Conselho ainda teria que escolher pesos — só que de forma implícita, sem rastro. O Score consolida essa escolha num lugar único, versionado e calibrável.

8.2 · Os quatro componentes

8.3 · Normalização min-max e o decil de topo

Cada componente é normalizado para o intervalo [0, 1] usando min-max no universo dos 5.570 municípios. Isso garante que pesos somem 1 e que o Score final viva no mesmo intervalo. O decil de topo (top 10% = 557 municípios) recebe atenção especial: é a partir dele que o algoritmo de seleção do Top 10 sorteia, ponderado por diversidade regional.

8.4 · Calibração de pesos

Os pesos default (0,40 / 0,25 / 0,20 / 0,15) refletem o consenso do Comitê Acadêmico em abr/2026. O Conselho pode ajustá-los na tela /score, mas qualquer alteração:

1. É registrada com timestamp, autor e justificativa textual obrigatória;
2. Gera novo hash de execução (FNV-1a 32-bit) que invalida PDFs anteriores;
3. Dispara recálculo completo do ranking e atualiza o Drift Log.

8.5 · O que o Score não é

• Não é uma medida de "qualidade" do município — é uma medida de oportunidade de aporte filantrópico.
• Não substitui due diligence local — é o gatilho que justifica investir tempo em DD.
• Não é determinístico no fim — após os gates §6.5, dois municípios com Score similar podem receber recomendações distintas (âncora vs. piloto).

8.6 · Aprofundamento didático · a família WSM e por que ela funciona

A função canônica do Score pertence à família WSM (Weighted Sum Model) da literatura de MCDA — Multiple Criteria Decision Analysis. Williams & Cai (2024) mostram que, quando os critérios são (a) comensuráveis após normalização e (b) substituíveis dentro de uma faixa razoável, o WSM domina alternativas mais sofisticadas (TOPSIS, VIKOR, AHP) em robustez explicativa — perdendo pouco em precisão, ganhando muito em auditabilidade.

Erwig & Kumar (2022) formalizam o conceito de "explicação fina": para cada município no Top 10, é possível decompor o Score em contribuições marginais (Sev contribuiu X, Via contribuiu Y…), exatamente como o agente faz na tela/score. Em métodos não-lineares (redes neurais, ensembles), essa decomposição exige aproximações como SHAP — caras e contestáveis em ambiente regulatório.

O excerto da OECD acima é a justificativa explícita do nosso WSM: compensabilidade plenaé uma propriedade desejada — queremos que prontidão alta compense severidade moderada (caso "pronto para escalar"), e que severidade alta compense prontidão imatura (caso "piloto urgente"). O Conselho consegue justificar essa troca em linguagem comum; o agente apenas a torna explícita.

8.7 · A pergunta que vale o cargo · "por que esses pesos?"

Conselheiros vão perguntar. A resposta tem três camadas:

1. Camada conceitual — Severidade pesa mais (0,40) porque o agente existe para atacar problema, não para confirmar onde já há capacidade. Prontidão pesa menos (0,15) porque, embora indispensável, é a dimensão mais maleável por aporte de capital.
2. Camada empírica — pesos foram retro-testados contra três decisões históricas do Conselho (2022, 2023, 2024). A configuração 0,40/0,25/0,20/0,15 reproduz 2 de 3 decisões em primeiro decil — sinal de calibração razoável, não de overfitting.
3. Camada operacional — qualquer alteração registra autor, timestamp e justificativa. O Conselho ajusta sem pedir permissão; o agente registra sem julgar.

9 · Gates §6.5 — viabilidade e prontidão

Score alto não basta. Antes de virar recomendação, todo município passa por dois filtros mandatórios. Eles não excluem ninguém do ranking — mas mudam radicalmente o tipo de instrumento sugerido.

9.0 · Por que existem gates · a lógica do "ranking não basta"

Em sistemas de decisão multicritério, a literatura (Roy, 1996; Belton & Stewart, 2002) distingue dois mecanismos complementares: compensatórios— onde uma dimensão alta compensa outra baixa (é o caso da soma ponderada do Score) — e não-compensatórios — onde a falha em uma dimensão veta a alternativa, independentemente das outras (é o caso dos gates). A decisão de combinar os dois tipos no agente não é estética: responde ao fato empírico de que viabilidade institucional e prontidão de execução não são "mais um componente do mesmo Score" — são pré-condições operacionais sem as quais o capital aportado não consegue ser absorvido, independentemente de quanto a Severidade indique necessidade.

Confundir compensatório com não-compensatório é o erro clássico de método multicritério mal aplicado. Se Viabilidade entrasse no Score como mais um componente com peso 0,15, um município com Severidade altíssima e Viabilidade próxima de zero ainda poderia aparecer no Top 10 — e qualquer aporte ali seria previsivelmente devolvido por inviabilidade jurídica. Os gates §6.5 implementam exatamente esta distinção: "abaixo do limiar, o instrumento muda". O município não é excluído do ranking; ele é redirecionado de aporte âncora (SBP/SLBP) para piloto ou coalizão prévia — outras formas de capital, com outra velocidade.

9.1 · A lógica dos gates

Score é uma medida de oportunidade. Um aporte filantrópico, porém, é uma operação de execução. Um município pode ter altíssimo Score por urgência social (Sev alta) e ainda assim ser inviável para receber R$ 5 milhões em 12 meses — falta capacidade de absorção. Os gates §6.5 separam essas duas leituras.

Acemoglu et al. operam em escala municipal colombiana — exatamente a granularidade do agente. A consequência prática para nós: capacidade de absorção é propriedade do ecossistema, não do município isolado. Por isso o Gate de Viabilidade combina sinais internos (IEGM, IFGF) com sinais relacionais (densidade de OSCs operadoras na microrregião, presença de filantropia âncora regional).

9.2 · Gate 1 · Viabilidade (Via ≥ 0,55)

Componentes: estabilidade administrativa (rotatividade de secretários ≤ 1 em 4 anos), capacidade orçamentária (LRF dentro dos limites), presença de OSCs operadoras (≥ 3 com CEBAS ativo), instrumentos jurídicos disponíveis (MROSC implementado, fundos patrimoniais ou parcerias 13.019).

9.3 · Gate 2 · Prontidão (Pro ≥ 0,40)

9.4 · Por que dois cortes (0,55 e 0,40) e não um único?

Hansen (1999) formalizou o problema de threshold regression: quando a relação entre uma variável de execução e seu resultado tem quebras estruturais, cortes únicos produzem erro de classificação assimétrico. No nosso caso, falsos positivos de viabilidade (recomendar âncora onde a capacidade não existe) custam ordens de grandeza mais do que falsos negativos (recomendar piloto onde poderia ter sido âncora). Daí o corte de Viabilidade ser mais conservador (0,55) que o de Prontidão (0,40) — assimetria deliberada que reflete a assimetria do erro.

A consequência operacional: revisamos os dois thresholds anualmente com bootstrap sobre a base do ciclo anterior, e qualquer mudança fica registrada como evento de calibração — não como ajuste fino contínuo.

9.5 · O quadrante de decisão

• Via ✓ Pro ✓ → Aporte âncora (SBP/SLBP), R$ 5–20M, 24–36 meses.
• Via ✓ Pro ✕ → Investimento em prontidão, R$ 0,5–2M, 12 meses, foco em capacitação institucional.
• Via ✕ Pro ✓ → Piloto + coalizão, R$ 1–3M, 18 meses, parceria com filantropia regional já presente.
• Via ✕ Pro ✕ → Diagnóstico aprofundado, R$ 0,2–0,5M, 6 meses, sem compromisso de aporte sequencial.

9.6 · Calibrando os thresholds

Os valores 0,55 e 0,40 são calibráveis pelo Conselho — mas alterá-los requer justificativa textual e gera novo hash. Na prática, mexem-se em ciclos anuais, não trimestrais, para preservar comparabilidade longitudinal do Drift Log.

10 · Banda P5–P95 e Monte Carlo determinístico

Um número sem incerteza é uma promessa irresponsável. A banda P5–P95 traduz ignorância honesta em forma visual — e o Monte Carlo determinístico garante que a banda seja reproduzível bit a bit, em qualquer máquina, por qualquer auditor, em qualquer ano futuro.

10.0 · Por que este capítulo existe (abertura conceitual)

A história da estatística aplicada à decisão pública é, em larga medida, a história de um conflito mal resolvido entre quantificação e certeza. Desde Laplace (1814), passando pelo programa frequentista de Fisher e Neyman–Pearson nos anos 1920–1930, até a virada bayesiana popularizada por Lindley e Savage no pós-guerra, a ciência da decisão oscila entre dois polos: tratar o número como verdade (e aceitar críticas posteriores como falhas pessoais do analista) ou tratar o número como aposta (e exigir do decisor a leitura ativa de um intervalo). O Agente DET adota explicitamente a segunda postura — não por modismo, mas porque o custo de uma alocação filantrópica errada em território brasileiro é mensurável em vidas, escolas e oportunidades perdidas.

Para o operador novo, vale fixar três ideias antes de seguir: (i) toda banda é uma tradução visual de ignorância; (ii) banda estreita não é melhor que banda larga — é mais fácil de comunicar, o que é diferente; (iii) banda determinística significa que o algoritmo, dado o mesmo hash de entrada, produz exatamente os mesmos limites — propriedade rara em ferramentas de mercado e que o agente trata como pré-requisito de auditoria.

10.1 · Por que banda, não desvio

Desvio-padrão pressupõe simetria; intervalo de confiança paramétrico pressupõe normalidade. O Score Consolidado tem distribuição empírica enviesada à direita (poucas oportunidades excepcionais, longa cauda de oportunidades médias). A banda de percentis (P5–P95) descreve a distribuição como ela é, não como gostaríamos que fosse. Em termos formais: o intervalo [P5, P95] é um highest density interval empírico — não exige hipóteses paramétricas, apenas uma amostra suficientemente grande de trajetórias simuladas (10.000 no agente, ver §10.3).

10.2 · Lognormal aproximada · justificativa estatística

O motor assume que cada componente, condicionado ao DAG, segue distribuição log-normal aproximada — escolha justificada por quatro razões técnicas: (a) variável estritamente positiva (Score ∈ [0, 1]); (b) cauda direita observada nos dados históricos do painel municipal 2010–2024; (c) tractabilidade analítica (lognormal é fechada sob multiplicação, o que facilita a propagação de incerteza pelos pesos do Score); (d) consistência com a literatura de índices compostos socioeconômicos — Atkinson (1970) e o programa do Human Development Index do PNUD adotam a mesma família para componentes de bem-estar.

Parâmetros (μ, σ) são estimados por máxima verossimilhança no painel, com bootstrap não-paramétrico (Efron & Tibshirani, 1993) para construir intervalos empíricos quando o número de observações por município é menor que 30 — situação comum em municípios pequenos da região Norte. Quando o teste de Shapiro-Wilk rejeita lognormalidade (p < 0,01), o motor faz fallback automático para bootstrap puro e sinaliza no Drift Log.

10.3 · Monte Carlo determinístico · o que é, por que importa

A técnica de Monte Carlo nasceu em Los Alamos no projeto Manhattan (Metropolis & Ulam, 1949) como forma de simular trajetórias de nêutrons em reatores. Sua adaptação à estatística aplicada explodiu nos anos 1980–1990 com o aumento de poder computacional, e hoje é o método padrão para propagar incerteza em índices compostos (Saisana, Saltelli & Tarantola, 2005). O agente faz 10.000 trajetórias por município; σ de cada componente é ajustado inversamente à Prontidão local — municípios com Pro baixa têm bandas mais largas, refletindo incerteza estrutural maior, não defeito do modelo.

10.4 · Lendo a banda · gramática executiva

• Banda estreita — alta confiança no Score; recomendação robusta a auditoria.
• Banda larga — incerteza alta; sugere fase piloto ou diagnóstico antes de aporte cheio.
• Banda assimétrica (cauda à esquerda) — risco de execução; favorece SLBP com tranches.
• Banda assimétrica à direita — upside potencial; favorece SBP com expansão escalonada.
• Bandas que se sobrepõem entre dois municípios — empate estatístico; o tie-break é qualitativo (capacidade institucional, presença de OSCs maduras).

11 · Drift, hash e ciclo de calibração

Quando o Top 10 muda, é sinal ou ruído? O Drift Log responde — e o ciclo de calibração trimestral garante que a resposta seja consequente, não retórica. Este capítulo trata do mecanismo que separa aprendizado legítimo de instabilidade de modelo, distinção sem a qual nenhum Conselho consegue confiar em uma recomendação que mudou.

11.0 · Por que este capítulo existe (abertura conceitual)

Em 2015, o documento seminal de Sculley et al. (Google, NeurIPS) cunhou a expressão "hidden technical debt in machine learning systems": dívida técnica acumulada não no código, mas na deriva silenciosa entre o mundo no qual o modelo foi treinado e o mundo no qual ele opera. Esse fenômeno — drift— pode ser de três tipos: (i) data drift, mudança na distribuição das variáveis de entrada; (ii) concept drift, mudança na relação entre entrada e saída; (iii) label drift, mudança no que se considera um "bom" resultado. O Agente DET é particularmente exposto aos três — porque opera sobre painel municipal brasileiro, território onde a base estatística oficial se atualiza em ritmos heterogêneos (IBGE, DATASUS, INEP) e onde o próprio conceito de "vulnerabilidade" muda a cada ciclo legislativo.

Para o operador novo, três ideias-chave: (i) drift não é erro — é o sinal de que o mundo se moveu e o modelo precisa ser reapresentado a ele; (ii) todo drift precisa ter dono — uma causa identificável e um responsável humano que autoriza a recalibração; (iii) drift sem causa é alarme vermelho, sinal de bug de pipeline ou contaminação de snapshot — congele decisões até a investigação concluir. Esta postura é convergente com o que a EU AI Act (Artigo 12, 2024) e o NIST AI RMF (2023) chamam de continuous monitoring.

11.1 · O que é drift · taxonomia operacional

11.2 · Estrutura do Drift Log

Cada entrada do log contém:

• Hash anterior e hash novo (FNV-1a 32-bit).
• Lista de municípios que entraram e saíram do Top 10.
• Decomposição percentual: quanto da mudança veio de dados, pesos, DAG, gates.
• Comentário do operador (obrigatório, mínimo 50 caracteres) — esta é a peça humana que vincula a mudança técnica a uma decisão política rastreável.
• Assinatura digital do responsável (e-mail + timestamp UTC).

11.3 · Trigger de calibração · regras automáticas

O sistema dispara automaticamente sugestão de recalibração quando:

• Mais de 3 municípios entram/saem do Top 10 entre execuções consecutivas;
• Banda média P5–P95 alarga em mais de 15%;
• Algum componente perde explicação (R² do painel cai mais de 0,1);
• Index de Population Stability (PSI > 0,2) detectado em qualquer variável de entrada — métrica clássica em risco de crédito (Siddiqi, 2017) adaptada para variáveis socioeconômicas;
• 120 dias se passaram desde a última calibração formal.

11.4 · Cadência canônica

• Mensal — atualização de dados primários, sem mudança de pesos. Drift esperado: pequeno (< 3 municípios trocando).
• Trimestral — revisão de DAG e gates pelo Comitê Acadêmico. Drift moderado.
• Anual — calibração estratégica de pesos pelo Conselho. Drift potencialmente grande, sempre com nota explicativa pública.
• Por evento — choque exógeno (mudança constitucional, novo Censo, pandemia). Cadência reativa, com janela de 30 dias para reapresentação ao Conselho.

12 · Princípios ICMA · SBP / SLBP / GBP / CBP

Os quatro pilares que estruturam o mercado global de títulos temáticos. O Agente DET traduz suas recomendações para esta linguagem porque é o vocabulário que conecta filantropia institucional ao mercado de capitais — e portanto à escala financeira capaz de transformar um piloto local em política regional sustentada.

12.0 · Por que este capítulo existe (abertura conceitual)

O mercado de títulos temáticos nasceu em 2007 com a primeira emissão de climate awareness bond pelo Banco Europeu de Investimento, e em 2008 com o primeiro green bond do Banco Mundial. Antes dessa data, capital comprometido com agendas socioambientais navegava sem vocabulário comum: cada operação reinventava sua própria taxonomia, o que inviabilizava precificação, comparabilidade e secondary market. Em 2014, a ICMA — International Capital Market Association, fundada em 1969 e sediada em Zurique — publicou os primeiros Green Bond Principles, um conjunto voluntário de diretrizes que rapidamente virou padrão de fato: hoje > 95% das emissões temáticas globais (≈ US$ 1 trilhão/ano em 2024, segundo Climate Bonds Initiative) seguem alguma variante dos princípios ICMA.

Para o operador novo, três ideias antes de seguir: (i) princípios não são regulação — são soft law, mas com efeito vinculante prático porque investidores institucionais (pension funds, seguradoras, fundos soberanos) só compram emissões alinhadas; (ii) a escolha de classe é estratégica, não cosmética — define quem pode comprar, qual o custo de capital e quais KPIs serão monitorados por décadas; (iii) SBP e SLBP são primos, não sinônimos — confundi-los é o erro acadêmico mais comum do operador iniciante e tem custo reputacional alto se aparecer em peça executiva.

12.1 · Os quatro componentes comuns

12.2 · Social Bond Principles (SBP)

Categorias elegíveis: infraestrutura básica, acesso a serviços essenciais, habitação acessível, geração de emprego, segurança alimentar, avanço socioeconômico de populações específicas. População-alvo definida é requisito — sem ela, a emissão é desclassificada. No agente, recomendação SBP exige que o racional municipal explicite o grupo (ex.: mulheres negras em idade produtiva no semiárido nordestino).

12.3 · Sustainability-Linked Bond Principles (SLBP)

Diferente do SBP (use-of-proceeds), o SLBP é performance-based: o emissor contrata KPIs (SPTs — Sustainability Performance Targets) e a remuneração ajusta em função do atingimento. Mais flexível em uso, mais rigoroso em medição. Lançado formalmente pela ICMA em junho de 2020, é o instrumento de crescimento mais rápido no mercado temático global.

• KPIs típicos: redução de evasão escolar, % de mulheres em cargos de liderança, emissões evitadas.
• Step-up típico: 25–75 bps de aumento no cupom se SPT não atingido.
• Verificação: anual, por terceiro independente.
• Pré-condição operacional: o município/emissor precisa ter sistema de M&E maduro o suficiente para reportar com periodicidade. Por isso o agente só recomenda SLBP quando Pro ≥ 0,55 (acima do gate §6.5).

12.4 · Green Bond Principles (GBP)

O mais maduro dos quatro (lançado em 2014). Categorias: energia renovável, eficiência energética, prevenção de poluição, gestão sustentável de recursos naturais, biodiversidade, transporte limpo, gestão hídrica, adaptação climática, produtos eco-eficientes. No Brasil, é o instrumento mais usado para financiar saneamento básico em municípios — categoria com forte sobreposição com a agenda social.

12.5 · Climate Bond Principles (CBP)

Subconjunto rigoroso do GBP, gerido pela Climate Bonds Initiative. Exige alinhamento com taxonomia setorial específica (Climate Bonds Taxonomy) e verificação contra trajetória de descarbonização compatível com 1,5°C — em linha com o Acordo de Paris (2015) e o IPCC AR6 (2022). Uso restrito a teses com baseline carbônico estabelecido — no agente, raramente recomendado para municípios pequenos sem inventário de emissões.

12.6 · Mapeamento agente → ICMA · árvore de decisão

13 · Regulação CVM 14/2020 e 59/2022

O Brasil tem regulação ESG mais avançada do que se costuma reconhecer. Conhecê-la evita reinventar a roda — e abre janelas de captação que metodologias estrangeiras ignoram. Este capítulo é o tradutor entre a metodologia técnica do agente e a linguagem normativa que estruturadores, advogados e auditores externos usam para validar uma operação no mercado brasileiro.

13.0 · Por que este capítulo existe (abertura conceitual)

A história da regulação ESG brasileira é, em grande medida, a história de uma convergência tardia mas acelerada com padrões internacionais. O marco fundador moderno é a Resolução CMN 4.327/2014, que obrigou bancos brasileiros a manterem Política de Responsabilidade Socioambiental (PRSA) — antecipando, em seis anos, o Network for Greening the Financial System (NGFS, 2017) e o próprio TCFD (Task Force on Climate-related Financial Disclosures, 2017). A partir de 2020, sob pressão simultânea do mercado de capitais (investidores institucionais passaram a exigir disclosure ESG estruturado) e da agenda climática (compromissos do Brasil em Paris e Glasgow), a CVM acelerou ciclo de normativos que culminou na Resolução 59/2022 — base jurídica vigente para qualquer oferta pública no país. Em paralelo, o CFC e o CPC adotaram, em outubro de 2023, as normas IFRS S1 e S2 do ISSB (International Sustainability Standards Board), consolidando o Brasil como uma das primeiras jurisdições do G20 a integrar o novo padrão global.

Para o operador novo, três ideias antes de seguir: (i) regulação não é obstáculo, é vetor de captação — emissões alinhadas a 14/2020, 59/2022 e IFRS S1/S2 acessam pool de investidores institucionais que não compram o resto; (ii) compliance ou explicação é convite, não escolha livre — a CVM monitora padrões de não-divulgação e, na prática, "explicação" reiterada vira red flag em ratings ESG (MSCI, Sustainalytics); (iii) a janela 2025–2027 é única — emissores que se anteciparem ao IFRS S2 pleno (2027 para companhias abertas brasileiras) capturam greenium documentado por Flammer (2021) e Zerbib (2019), de 5 a 15 bps de redução de cupom. Perdê-la é custoso e dificilmente recuperável.

13.1 · CVM 14/2020 · diversidade no FRE

Resolução CVM 14/2020 alterou o Formulário de Referência (FRE) das companhias abertas para incluir indicadores obrigatórios de diversidade (gênero, raça, idade, deficiência) na administração e no quadro funcional. Compliance ou explicação. Atualizada e ampliada pela Resolução CVM 198/2024, que tornou a divulgação mais granular e exigiu metas pluri-anuais de diversidade na liderança.

Implicação para o agente: emissores corporativos que captam para teses sociais via SBP podem usar o aporte como vetor de melhoria dos próprios indicadores FRE — alinhamento entre ESG corporativo e filantropia estruturada, em linha com o conceito de shared value (Porter & Kramer, 2011).

13.2 · CVM 59/2022 · ESG no FRE e marco de ofertas

Atualização que substituiu as Instruções 400 e 476 (regimes anteriores de oferta pública e oferta com esforços restritos), unificando o marco de ofertas no Brasil e tornando obrigatória a divulgação de informações ESG estruturadas no FRE — riscos climáticos físicos e de transição, governança de sustentabilidade, metas e métricas. Alinhada ao framework TCFD (e, gradualmente, ao IFRS S2).

13.3 · IFRS S1 e S2 · padrões internacionais adotados

O CFC e o CPC (via CBPS) iniciaram adoção escalonada a partir de 2026. Companhias abertas brasileiras serão obrigadas em 2027. Janela atual: emissores que se anteciparem ganham diferencial competitivo de captação e familiaridade operacional antes da exigência se tornar generalizada.

13.4 · Taxonomia ESG BCB/CVM

Em consulta pública desde 2024, a taxonomia brasileira mapeia atividades elegíveis para verde, social e transição. Quando publicada (esperada 2026), passa a ser o framework oficial de classificação — substituindo o uso direto da taxonomia europeia (EU Taxonomy, Regulation 2020/852) ou da Climate Bonds Initiative para emissões locais. A taxonomia brasileira foi desenhada para incluir setor de transição(atividades intermediárias entre marrom e verde), reconhecendo a matriz energética e produtiva nacional — diferencial relevante para agropecuária, mineração e siderurgia.

14 · Instrumentos jurídico-financeiros brasileiros

O Brasil tem caixa de ferramentas jurídica robusta para parcerias entre filantropia, Estado e mercado. O agente sugere instrumentos com base em quatro pilares legais — cada um com lógica, limites e janelas de aplicação distintas. A escolha entre eles determina não apenas o caminho contratual, mas o regime de risco, o custo de monitoramento e o horizonte de impacto da operação.

14.0 · Por que este capítulo existe (abertura conceitual)

A arquitetura jurídico-financeira brasileira para parcerias com a sociedade civil passou por três grandes inflexões nos últimos quinze anos. A primeira foi o MROSC (Lei 13.019/2014), que substituiu o regime fragmentado de convênios por marco unificado de relação Estado–OSC, inspirado no partnership modelanglo-saxão e nas recomendações da OCDE de boa governança no terceiro setor. A segunda foi a Lei 13.800/2019, que finalmente deu ao Brasil um regime jurídico próprio para endowments filantrópicos — instrumento que nos EUA financia, desde Yale (1718) e Harvard (1638), boa parte da pesquisa científica e da educação superior. A terceira foi a Lei 14.430/2022, que criou o FIDC-Social e permitiu, pela primeira vez, securitizar carteiras de crédito originadas em projetos de impacto — abrindo escala para teses-piloto bem-sucedidas. A esses marcos somam-se a Lei das PPPs (11.079/2004) e o regime de debêntures incentivadas (12.431/2011), que cobrem infraestrutura e captação de mercado.

Para o operador novo, três ideias antes de seguir: (i) cada instrumento tem um relógio próprio — MROSC opera em ciclos anuais, endowment em gerações, FIDC-S em prazos de mercado de capitais; misturar relógios é a fonte mais comum de frustração executiva; (ii) a escolha do instrumento é sinalização política tanto quanto técnica — endowment indica compromisso intergeracional, FIDC-S indica vontade de criar mercado, PPP indica disposição de partilhar risco com o Estado; (iii) combinar instrumentos é possível e frequentemente desejável — uma tese pode começar em MROSC (piloto), migrar para endowment (consolidação) e escalar via FIDC-S (replicação). O agente já sugere combinações automáticas quando detecta padrão.

14.1 · Lei 13.019/2014 · MROSC

Aplica-se quando há repasse de recursos públicos a OSCs. Para o agente: relevante para teses que combinam filantropia privada com matching público municipal/estadual — comum em SBP estruturados. Pré-requisito operacional: a OSC deve ter ≥ 2 anos de existência e capacidade técnica comprovada (CEBAS, OSCIP ou equivalente).

14.2 · Lei 13.800/2019 · Fundos Patrimoniais

Permite que famílias, empresas e instituições brasileiras constituam endowments com regime jurídico análogo ao norte-americano — destravando filantropia intergeracional. Para o agente: estrutura natural para teses âncora de longa duração identificadas no Top 10. Em 2024, o IDIS catalogou ≈ 60 endowments ativos no Brasil, com patrimônio agregado > R$ 5 bi — universo em crescimento de dois dígitos ao ano.

14.3 · Lei 14.430/2022 · FIDC-Social

Fundos de Investimento em Direitos Creditórios Socioambientais. Permite securitizar carteiras de crédito originadas em projetos com impacto positivo, com regulamentação CVM específica (Resolução 175/2022, suplemento normativo).

• Vantagem: liquidez para investidores institucionais; cota sênior pode receber rating ESG dedicado.
• Limite: exige carteira já originada — não financia projeto novo do zero.
• Encaixe agente: replicação em escala de teses-piloto bem-sucedidas, especialmente em microcrédito produtivo orientado e crédito habitacional social.

14.4 · PPPs e Concessões Sociais

Lei 11.079/2004 (PPPs) e marcos setoriais de concessões permitem estruturas em que capital privado e filantrópico financiam infraestrutura social com remuneração atrelada a indicadores. Esfera estadual e municipal têm leis próprias adicionais. Casos paradigmáticos: PPP do Hospital do Subúrbio (BA, 2010, primeira PPP de saúde do mundo no modelo bata-branca/bata-cinza) e PPP do Saneamento de Manaus (AM, 2018) — ambos hoje referência metodológica para BID Lab e Banco Mundial.

14.5 · Matriz de escolha · regra prática

• Tese piloto, OSC operadora → MROSC (Termo de Fomento).
• Tese âncora, horizonte longo → Lei 13.800 (endowment).
• Replicação em escala → FIDC-S (14.430).
• Infraestrutura social → PPP setorial.
• Captação no mercado → debênture incentivada (12.431) / CRA-S / CRI-S, ancorada nos princípios ICMA.

16 · Tela /diagnostico · choropleth e quartis

O mapa nacional é a porta de entrada visual do agente. Ele responde, em 3 segundos, a uma pergunta executiva fundamental: "onde está concentrada a oportunidade?"

16.0 · O choropleth como ferramenta cognitiva, não decorativa

A literatura clássica de visualização cartográfica (Brewer, 1994; MacEachren, 1995; Slocum et al., 2009) trata o choropleth — mapa temático com áreas coloridas por classe — como um instrumento perceptualmente sensível: pequenas decisões sobre escala (sequencial vs. divergente), número de classes (3, 5, 7), método de quebra (quartis, jenks, intervalos iguais) e paleta (luminosidade vs. matiz) determinam o que o leitor literalmente vê. Tufte (2001) foi mais longe: visualização ruim não é apenas pouco informativa — é ativamente desinformativa, porque o cérebro humano confia no que vê antes de processar legendas.

A tela /diagnostico implementa um conjunto deliberado de escolhas: (i) escala sequencial de luminosidade (uma única dimensão de leitura — quanto mais escuro, maior o Score), evitando a ambiguidade de paletas divergentes; (ii) quartis em vez de quintis ou intervalos iguais (quartis igualam contagem por classe — útil quando o objetivo é comparar municípios entre si, não ler o valor absoluto); (iii) município como unidade-base (não estado, não região), com agregações disponíveis sob demanda. Cada escolha tem alternativas defensáveis; o que importa é que estejam documentadas e auditáveis.

16.1 · Anatomia do choropleth

A tela /diagnostico divide o território nacional em quartis do Score Consolidado, pintando cada município numa de quatro cores. A escala é deliberadamente sequencial (não divergente): há uma única dimensão de leitura — quanto mais escuro, maior o Score.

16.2 · Filtros disponíveis

• Região — N, NE, CO, SE, S. Combinável com UF.
• População — slider de 5k a 12M habitantes.
• Componente — alterna entre Score, Sev, Via, Esc e Pro isoladamente.
• Hash de execução — permite ver o mapa de calibrações anteriores.

16.3 · Leitura crítica de outliers

Outliers são oportunidades de validação, não problemas. Quando um município aparece em Q4 cercado de vizinhos em Q1, há três hipóteses ordenadas:

1. Erro de dado — verificar fonte primária na tela /dados.
2. Especificidade local legítima — desigualdade interna intensa, choque histórico.
3. Limitação do DAG — falta uma variável que captura o que torna a vizinhança diferente.

16.4 · Exportações

O botão "Exportar" oferece três formatos: PNG (para slides), GeoJSON (para reuso técnico) e PDF executivo (com legenda, hash de execução e top-20 do quartil filtrado). Todo PDF carrega o hash no rodapé — é a peça auditável que vincula a imagem à calibração que a gerou.

Monmonier não condena os mapas — denuncia a inevitabilidade da distorção e exige que o cartógrafo seja explícito sobre quais distorções escolheu. No agente, essa explicitação é o motivo de mostrarmos o método de classificação (quartis), o número de classes (quatro) e a escala (sequencial, não divergente) no rodapé de toda exportação.

16.5 · Anatomia visual da tela /diagnostico

16.6 · Roteiro didático · 5 minutos com a tela

1. 0:00 → 0:30 · Abra /diagnostico sem nenhum filtro. Note que o Sudeste e o Sul concentram cores do Q1–Q2 e o Norte/Nordeste o Q3–Q4. Já é uma narrativa.
2. 0:30 → 1:30 · Aplique filtro Componente = Pro. O mapa muda dramaticamente — agora as áreas mais escuras estão no Sudeste/Sul. Esse é o "mapa do executável".
3. 1:30 → 3:00 · Volte a Componente = Score e aplique filtro População < 50k. Aparecem clusters em municípios pequenos do MA, PI, BA — onde Severidade alta e baixa população combinam para gerar oportunidade ignorada por programas federais.
4. 3:00 → 5:00 · Clique em qualquer município do Top 20 lateral. O painel mostra decomposição Sev/Via/Esc/Pro e link para a ficha completa. Esse é o ponto de transição entre "ver" e "decidir".

17 · Tela /causal · DAG, Granger e identificabilidade

Onde a teoria causal vira interface clicável. Esta é a tela mais técnica do agente — e também a mais poderosa para quem precisa defender uma recomendação diante de um conselho cético.

17.0 · Da teoria causal para a interface · o que precisa ser clicável

A maior parte dos sistemas de inferência causal vive em notebooks Jupyter — artefatos privados, pouco navegáveis e quase nunca defensáveis em reunião de Conselho. A tela /causal faz a tradução desconfortável que poucos sistemas tentam: transformar o aparato técnico (DAG, teste de Granger, critério backdoor, e-values de Cinelli & Hazlett (2020)) em interface operável por não-econometristas, sem perder rigor. O preço dessa tradução é alto: cada elemento da tela carrega uma decisão pedagógica explícita sobre o que tornar visível, o que ocultar atrás de tooltip e o que exigir clique deliberado.

A regra de design adotada é a de Norman (1988): "o sistema deve mostrar o que ele acredita estar fazendo". Por isso o DAG é o painel central — não um diagrama estético, mas a representação literal das hipóteses causais vigentes. Cada aresta tem autor, data, evidência (F-stat de Granger, p-valor, e-value), status (vigente, proposta, revogada). Propor aresta nova exige preencher os quatro campos antes de submeter ao Comitê Acadêmico — o sistema impede "mudança causal por intuição". Esta fricção é deliberada e protege a infraestrutura contra a tentação de ajustar o DAG para confirmar a alocação que já se quer fazer.

17.1 · Os três painéis

A tela divide-se em DAG editável (esquerda), painel de Granger (canto superior direito) e verificador de identificabilidade(canto inferior direito). Os três trabalham em ciclo: a hipótese é desenhada no DAG, o Granger filtra precedência preditiva, o do-calculus decide se a aresta é estimável.

17.2 · Workflow: propor uma aresta

1. Clique em "+ Aresta" e selecione origem e destino entre os nós.
2. Anexe pelo menos uma evidência: artigo (DOI), instrumento legal ou estudo de caso interno.
3. Defina o defasamento esperado (lag em meses) — opcional, mas necessário para Granger.
4. Clique em "Validar". O sistema roda o algoritmo do-calculus e devolve identificável (✓), parcialmente identificável (Δ) ou não identificável (✕).

Granger ganhou o Nobel de 2003 por essa formulação operacional, mas ele próprio sempre insistiu: "prediction is not causation". Por isso o agente trata o F-test como condição necessária, jamais suficiente — uma aresta com p < 0,05 entra na fila do do-calculus, mas só vira parte do Score se passar pelo critério de identificabilidade de Pearl.

17.3 · Lendo o output do verificador

• ✓ Identificável (backdoor) — a fórmula de ajuste é exibida; pode ser usado no Score.
• ✓ Identificável (frontdoor) — exige mediador medido; o agente lista quais variáveis o satisfazem.
• Δ Parcial — identificável apenas em subconjunto da população (heterogeneidade); útil mas requer estratificação.
• ✕ Não identificável — o efeito não pode ser estimado a partir dos dados disponíveis. Opções: coletar nova variável, usar instrumental, ou aceitar a aresta apenas como hipótese.

17.4 · Robustez: o e-value de VanderWeele & Ding

A coluna e-value que aparece no painel Granger não é decorativa. VanderWeele & Ding (2017) mostraram que toda associação observacional pode ser "explicada por" um confundidor não-medido suficientemente forte — e propuseram uma métrica para quantificar essa força mínima. Quanto maior o e-value, mais robusta a aresta a confundimento desconhecido.

No agente, qualquer aresta com e-value < 1,5 é marcada como frágil e exige anotação textual antes de ser usada na composição do Score. Convenção interna que se tornou padrão após a calibração de set/2025.

17.5 · Histórico de DAGs

Cada versão do DAG é arquivada com hash próprio. A aba "Histórico" permite comparar duas versões lado a lado e ver quais arestas foram adicionadas, removidas ou recalibradas. É a peça que você apresenta a um auditor externo quando precisa explicar por que o Top 10 mudou entre dois trimestres.

18 · Tela /decisao · Top 10, classe ICMA e racional

O destino de toda a metodologia. Se as outras telas constroem o argumento, esta o entrega — em formato consumível por um conselho que tem 30 minutos para aprovar a alocação do trimestre.

18.0 · A última milha · do método à recomendação assinável

Uma metodologia que produz um Score Consolidado, gates aprovados e bandas P5–P95 ainda não é uma decisão. É insumo de decisão. A tela/decisao faz a tradução final, e essa tradução tem nome técnico: mapeamento de instrumento. Cada município do Top 10 é mapeado para uma classe ICMA (SBP, SLBP, GBP, CBP) ou para um trilho operacional (PILOTO, COALIZÃO), com base nos resultados dos gates e na faixa de Severidade. A separação entre "qual município" (Score) e "qual instrumento"(mapeamento) é deliberada: confundir os dois leva ao erro de aplicar o mesmo instrumento a contextos institucionais incompatíveis — um dos gargalos crônicos de fundações brasileiras (Salamon, 2014).

A tela é construída com horizonte de uso explícito: 30 minutos de Conselho. Por isso a hierarquia visual é piramidal — primeiro o badge de aprovação dos gates §6.5 (sem ele, nada do resto importa); em seguida a tabela de 10 linhas com Score, banda e classe ICMA; por último o racional textual ("aporte âncora · saúde básica"). O botão "Exportar PDF" não é apêndice: é o artefato assinável que carrega no rodapé o hash da calibração vigente — o mesmo hash que aparece em /admin/auditoria (Cap. 24), permitindo que qualquer Conselheiro reconstrua, em até 48h, exatamente o cálculo que sustentou a decisão que assinou.

18.1 · Anatomia da tela

• Topo — Top 10 municípios em formato de cards, com Score, banda P5–P95 e classe ICMA recomendada.
• Meio — Racional textual gerado automaticamente para cada município, citando os componentes que mais pesaram.
• Inferior — Ações: exportar PDF executivo, abrir DAG, comparar com calibração anterior.

18.2 · As classes ICMA mapeadas

18.3 · O racional gerado

Para cada município no Top 10, o agente gera um parágrafo de 60–100 palavras explicando por que ele está ali. O texto segue um template estruturado:

1. Componente dominante e seu valor normalizado;
2. Gates §6.5 atendidos ou em alerta;
3. Comparação com a mediana do quartil;
4. Risco principal identificado;
5. Sugestão de instrumento (SBP/SLBP/GBP/CBP) com justificativa.

18.4 · Por que um Conselho precisa de "Decision Quality"

Spetzler, Winter & Meyer (2016) consolidaram décadas de pesquisa em uma proposta prática: avaliar decisões pela qualidade do processo, não pelo resultado. A tese é simples — bons resultados podem vir de más decisões (sorte) e maus resultados podem vir de boas decisões (azar). O que diferencia uma organização madura é a capacidade de garantir, em todo ciclo, que seis elementos estão presentes.

A tela /decisao é uma materialização desses seis elementos:

1. Frame — o problema é "alocar capital filantrópico em horizonte de 24 meses", explicitado no cabeçalho.
2. Alternativas criativas — Top 10 + 3 cenários (otimista, base, conservador) sempre exibidos.
3. Informação relevante — banda P5–P95 mostra incerteza, não esconde.
4. Valores e trade-offs — pesos do Score são visíveis e calibráveis com rastro.
5. Raciocínio sólido — racional textual cita componentes e gates por extenso.
6. Compromisso de ação — botão "Exportar PDF" gera peça assinada com hash.

18.5 · Compatibilidade ICMA · por que essas quatro famílias?

ICMA — International Capital Market Association — publica desde 2014 os Bond Principles, marco voluntário hoje adotado por > 95% das emissões temáticas globais. As quatro famílias que o agente recomenda foram escolhidas por compatibilidade fiscal-jurídica com o ordenamento brasileiro (debêntures incentivadas Lei 12.431/2011, fundos patrimoniais Lei 13.800/2019) e por existência de secondary market com liquidez suficiente para precificar a operação.

18.6 · Exportar e arquivar

O PDF executivo carrega: capa com hash FNV-1a, sumário do Top 10, racional por município, mapa choropleth do quartil, lista completa de pressupostos versionados e anexo metodológico de 4 páginas. É o documento que vai ao Conselho — e que, dois anos depois, permite reconstruir exatamente a calibração que originou a decisão.

19 · Tela /mercado · atores, frameworks, hubs

Onde a metodologia encontra o ecossistema. A tela /mercado é a ponte entre a recomendação técnica e o desenho concreto de uma operação — listando atores, frameworks e KPIs típicos por classe de instrumento. Sem essa ponte, o Score do Top 10 é exercício de planilha; com ela, vira programa executável.

19.0 · Por que este capítulo existe (abertura conceitual)

A literatura sobre filantropia institucional brasileira (Salamon, 2015; Landim, 2016) convergiu nos últimos vinte anos em um diagnóstico recorrente: o país tem capital filantrópico em volume comparável ao de economias de renda média alta, mas tem infraestrutura de intermediação ainda incipiente — poucos gestores especializados, poucos verificadores qualificados, poucos estruturadores com fluência simultânea em mercado de capitais e impacto. O resultado é que boas teses morrem por falta de "última milha" institucional, não por falta de recursos. A tela /mercado existe para enfrentar especificamente esse gargalo: ela pré-mapeia, para cada classe ICMA recomendada, quem no Brasil hoje opera com o instrumento, qual o seu ticket médio histórico e quais hubs institucionais articulam coalizões.

Para o operador novo, três ideias antes de seguir: (i) ator não validado há 12 meses não é ator confiável — o ecossistema brasileiro muda rápido, com gestores entrando e saindo, e a etiqueta amarela existe para forçar re-checagem; (ii) hubs institucionais não são fornecedores, são infraestrutura — GIFE, IDIS, ABCR, Aliança pelo Impacto não competem com a operação, mas dão legitimidade, dados de mercado e canais de coalizão sem os quais a tese tem custo político alto; (iii) frameworks expandidos não substituem ICMA, traduzem ICMA para o vocabulário e KPIs típicos do contexto brasileiro — útil em peça executiva, perigoso se confundido com o princípio original.

19.1 · Três abas, três funções

• Atores — base curada de gestores, originadores, verificadores e estruturadores ativos no Brasil. Filtros por instrumento e por região.
• Frameworks — versão expandida dos princípios ICMA com KPIs típicos, requisitos de SLA e checklists de due diligence.
• Hubs — pontos de articulação institucional: GIFE, IDIS, ABCR, Aliança pelo Impacto, BNDES Social, BID Lab, FINEP.

19.2 · Frameworks expandidos · KPIs típicos por classe

19.3 · Atores · base curada

A base de atores é mantida pelo Comitê Acadêmico em ciclo trimestral. Cada registro contém: nome, papel (gestor/originador/verificador/estruturador), instrumentos cobertos, regiões de atuação, ticket médio e data da última validação. Atores não validados há mais de 12 meses aparecem com etiqueta amarela e são automaticamente despromovidos da shortlist padrão até nova verificação. Critério de inclusão: atuação documentada em ≥ 2 operações nos últimos 36 meses, presença em pelo menos 1 hub institucional reconhecido, e ausência de sanções regulatórias ativas (CVM/BCB).

19.4 · Hubs institucionais · cartografia rápida

• GIFE — articulação de investidores sociais privados; censo bienal é referência canônica do setor.
• IDIS — consultoria e capacitação para filantropia estratégica; mantém o BISC (Benchmarking do Investimento Social Corporativo).
• ABCR — captação de recursos e gestão de OSCs; Pesquisa Doação Brasil é base estatística canônica de comportamento PF.
• Aliança pelo Impacto — coordenação do campo de impacto; articula investidores, gestores e empreendedores.
• BNDES Social, BID Lab, FINEP — financiamento público estruturado; oferecem co-investimento e blended finance.

20 · Premissas estratégicas e Drift Log

O Conselho não calibra apenas pesos — calibra premissas. Esta tela é onde a ponte entre estratégia institucional e parâmetros metodológicos se torna rastreável, datada e assinada. Sem ela, a metodologia oscila ao sabor de cada operador; com ela, ganha cadência institucional auditável.

20.0 · Por que este capítulo existe (abertura conceitual)

A literatura de policy science distingue há décadas entre parâmetros técnicos (ajustáveis por modelagem) e parâmetros normativos(ajustáveis apenas por decisão política legitimada). Lasswell (1956) chamou essa distinção de "the policy sciences of democracy"; Vining & Weimer (2005) formalizaram-na como analysis-decision boundary. O ponto fundamental é que confundir os dois tipos de parâmetro é o caminho mais rápido para destruir a credibilidade de uma metodologia: se o operador pode mudar premissas estratégicas ao mesmo tempo em que move sliders técnicos, o Conselho perde a régua para distinguir aprendizado legítimo de captura instrumental. A tela /premissasexiste especificamente para materializar essa fronteira no produto.

Para o operador novo, três ideias antes de seguir: (i) premissa não é opinião do operador — é decisão formal do Conselho, com ata, prazo e assinatura; (ii) premissa expira — vence em 12 meses por default e precisa ser renovada por decisão explícita, nunca tacitamente prorrogada; (iii) premissa legítima afeta dezenas de municípios; "fudge" afeta um ou dois — esta é a métrica empírica que distingue uso institucional de manipulação ad hoc, e o Drift Log torna a diferença visível em segundos.

20.1 · O que são premissas estratégicas

Premissas modulam o pipeline após o Score, antes da composição final do Top 10. São versionadas, datadas e assinadas pelo presidente do Conselho. Tecnicamente, são predicados booleanos ou funções de re-ordenação aplicadas ao ranking bruto — implementação direta, mas com governança pesada.

20.2 · Anatomia da tela

• Topo — premissas vigentes com data de aprovação e prazo de validade.
• Centro — Drift Log cronológico, com filtros por causa (dados/pesos/DAG/gates/premissas).
• Inferior — diff visual entre duas execuções selecionadas, com decomposição percentual.

20.3 · Gestão do ciclo de premissas

Premissas têm tipicamente validade de 12 meses. A tela alerta automaticamente 30 dias antes do vencimento. Renovações requerem reunião formal de Conselho — não podem ser tacitamente prorrogadas. Premissas vencidas são desativadas automaticamente, com alerta no próximo ciclo de execução. Esta regra de expiração compulsória é convergente com o princípio de sunset clauseadotado em legislação regulatória brasileira (Lei 13.874/2019, Liberdade Econômica) e com a recomendação OECD AI Principles (2024) sobre revisão periódica de regras algorítmicas.

20.4 · Lendo o Drift Log

Filtros disponíveis:

• Período — janela móvel de 7/30/90/365 dias.
• Tipo de mudança — entrada/saída/recálculo.
• Causa — atualização de dados, mudança de pesos, revisão de DAG, recalibração de gates, ativação de premissa.
• Magnitude — apenas mudanças acima de threshold configurável.

21 · Glossário interativo

Vocabulário é infraestrutura. A tela /glossario consolida toda a terminologia do agente em um único lugar pesquisável, com referências cruzadas ao código e à literatura.

21.0 · Por que um glossário é uma instituição, não um anexo

A teoria de vocabulários controlados (ISO 25964; Hjørland, 2007) parte de uma observação simples: quando um termo técnico é usado por mais de duas pessoas, ele deixa de pertencer a quem o cunhou e passa a ser infraestrutura compartilhada. A partir desse ponto, ambiguidade terminológica não é ruído — é custo de transação permanente, no sentido de Coase (1937): cada deliberação reabre, sem necessidade, debates sobre o que as palavras significam, em vez de avançar sobre o que elas implicam.

Em fundações híbridas (academia + mercado + terceiro setor), o problema é agravado porque o mesmo termo carrega significados incompatíveis entre comunidades. "Risco" em finanças é variância retornada; em epidemiologia é probabilidade condicional de evento adverso; em política pública é exposição estrutural a dano. "Impacto" em avaliação é mudança causalmente atribuível; em marketing institucional é alcance bruto. Sem um glossário canônico que fixe qual significado o agente adota em cada contexto, decisões parecem alinhadas no nível da palavra e divergentes no nível da ação — o pior dos cenários para uma instituição que pretende durar.

Por isso o glossário do agente não é um PDF, nem um anexo do manual: é uma tela operacional, versionada, com referência cruzada ao capítulo do manual em que o termo é desenvolvido e ao módulo de código em que ele é instanciado. A invariante de manutenção é forte: nenhum termo aparece em capítulo do manual sem entrada correspondente no glossário, e o CI do repositório falha quando essa regra é violada. É uma forma de linguistic continuous integration.

21.1 · Estrutura

• Categorias — Metodologia, Mercado, Regulação, Causalidade, Operacional.
• Busca textual — em todos os campos (termo, definição, sinônimos).
• Filtro alfabético — A–Z, com contagem de termos por letra.
• Referência cruzada — cada termo lista capítulos do manual e arquivos do código onde aparece.

21.2 · Anatomia de um verbete

A definição obedece a três regras herdadas da lexicografia técnica (Béjoint, 2000): (i) genus proximum + differentia specifica — o termo é situado em sua classe mais próxima e em seguida distinguido dela; (ii) circularidade proibida — uma definição não pode usar o termo definido nem qualquer um de seus sinônimos; (iii) profundidade finita — toda cadeia de definições termina em vocabulário pré-teórico (palavras que se assumem conhecidas). Verbetes que violam qualquer destas regras são marcados em revisão pelo Comitê Acadêmico antes de irem ao ar.

21.3 · Mantendo o glossário vivo

O glossário é editável pelo Comitê Acadêmico. Novos termos surgem da literatura, de mudanças regulatórias e de iterações da equipe. A regra: nenhum termo pode aparecer em capítulo do manual sem entrada correspondente no glossário. O CI do repositório falha quando essa invariante é violada.

Termos depreciados não são apagados — recebem rótulo "obsoleto", com link para o substituto e justificativa de mudança. Apagar entrada antiga quebra documentos, decisões e auditorias que a ela se referem. A política segue o princípio de Postel (1980) adaptado: "be conservative in what you remove, liberal in what you cross-reference".

22 · Operações administrativas e ciclos

Para que a infraestrutura decisória funcione, alguém precisa operar a infraestrutura. Este capítulo descreve papéis, login, ciclos e leitura de logs — o "manual do operador" propriamente dito. Sem disciplina administrativa, qualquer metodologia boa vira ruído operacional em três meses.

22.0 · Por que este capítulo existe (abertura conceitual)

A literatura de information security governance e a tradição de Identity & Access Management (IAM) estabelecem três princípios cardinais para sistemas de decisão sensível: least privilege(cada usuário recebe o mínimo de permissões necessárias para sua função), separation of duties (ninguém pode executar sozinho um ciclo completo crítico) e auditability (toda ação relevante gera trilha imutável). Esses princípios estão codificados no NIST SP 800-53 (Rev. 5, 2020), no padrão ISO/IEC 27001:2022 e, no Brasil, na LGPD (Lei 13.709/2018) — esta última especialmente relevante porque o agente trata dados que, ainda que agregados, podem ser cruzados com bases pessoais. O capítulo traduz esses princípios para a realidade operacional do agente.

Para o operador novo, três ideias antes de seguir: (i) papel não é cargo — a mesma pessoa pode ter o papel de Operador em um projeto e Auditor em outro, e o sistema impõe a separação por contexto; (ii) log não é ferramenta de fiscalização punitiva, é infraestrutura de aprendizado institucional — o operador deve consultar logs como hábito, não como defesa; (iii) cadência fixa de pipelines (M/T/A) protege contra improvisação — pipeline rodado fora de janela exige justificativa formal e fica marcado como execução excepcional no histórico, o que cria o atrito necessário para evitar uso casuístico.

22.1 · Papéis

• Leitor — vê telas, exporta PDFs, sem alterar nada.
• Operador — roda execuções, edita racionais, gerencia exportações.
• Calibrador — modifica pesos, gates e DAG. Cria novos hashes.
• Conselheiro — aprova premissas estratégicas. Assina PDFs executivos.
• Auditor — acesso somente-leitura a todo o histórico, incluindo snapshots.

22.2 · Login e autenticação

Acesso por SSO institucional (SAML 2.0). Sessão expira em 4 horas; reautenticação requer second factor para papéis Calibrador, Conselheiro e Auditor. Tentativas falhas registradas em log; 5 falhas consecutivas bloqueiam conta por 30 minutos. Recomendação OWASP ASVS Level 2 implementada integralmente; rotação de credenciais SAML a cada 90 dias.

22.3 · Pipelines oficiais

O agente roda três pipelines em cadência fixa:

• Pipeline mensal (M) — todo dia 5, 03h00 BRT. Atualiza dados primários, recalcula Score sem mudar pesos.
• Pipeline trimestral (T) — dias 5/jan, abr, jul, out. Inclui revisão de DAG, comitê acadêmico assina antes de liberar.
• Pipeline anual (A) — dia 15/jan. Calibração estratégica de pesos pelo Conselho. Bloqueia outros pipelines até liberação.
• Pipeline excepcional (E) — apenas por evento (choque exógeno, mudança constitucional, novo Censo). Exige autorização do presidente do Conselho e fica marcado como execução excepcional no histórico.

22.4 · Lendo os logs

Logs disponíveis em /admin/logs (somente Auditor e Calibrador):

• execução — duração, hash gerado, alertas, falhas.
• acesso — quem logou, papel, telas visitadas, tempo de sessão.
• auditoria — todas as alterações de pesos, gates, DAG e premissas, com diff completo.
• exportação — todo PDF gerado, com hash, autor, destinatário declarado.

23 · Cadência operacional

Quatro relógios sincronizados — mensal, trimestral, anual e por evento. Sem cadência previsível, infraestrutura vira projeto; com cadência, vira ritmo institucional.

23.0 · Por que cadência é uma categoria analítica, não burocrática

Em teoria das organizações, cadência é o intervalo regular entre eventos decisórios que produzem compromissos públicos. Não é o mesmo que calendário (sequência de datas) nem que ritmo de trabalho (fluxo operacional). Cadência é a frequência com que uma instituição se obriga a revisitar, justificar e reafirmar suas próprias decisões diante de terceiros — academia, doadores, beneficiários, reguladores. É, no vocabulário de North (1990), um dispositivo de commitment: reduz a tentação de mudar de rota a cada choque informacional, ancorando expectativas.

A literatura de bancos centrais (Blinder et al., 2008) demonstra que a previsibilidade do calendário decisório é, ela mesma, parte do instrumento de política — não um acessório administrativo. Quando o COPOM reúne-se em datas anunciadas com 12 meses de antecedência, o mercado precifica não só o nível esperado da Selic, mas também o espaço de surpresa aceitável. O agente filantrópico opera sob lógica análoga: doadores, gestores públicos e parceiros de execução precisam saber quando os pesos podem mudar, quem pode mudá-los e em que condições.

Daí a escolha por quatro relógios em vez de um único: cada um responde a uma classe distinta de informação nova. O mensal absorve ruído de dados(revisões IBGE, atualizações administrativas); o trimestral absorve ajustes metodológicos (novas arestas no DAG, recalibração de gates); o anual absorve mudanças estratégicas (pesos, escopo, premissas); o ciclo por evento absorve choques estruturais. Misturar essas camadas — mudar pesos no mensal, por exemplo — equivale, na linguagem de Tinbergen (1952), a usar um instrumento para atingir múltiplos objetivos: reduz a credibilidade de todos.

23.1 · Mensal · sustentação dos dados

Output: relatório mensal interno (~6 páginas), distribuído à equipe operacional e ao Comitê Acadêmico.

23.2 · Trimestral · revisão metodológica

Output: ata do Comitê Acadêmico + nota técnica trimestral (~12 páginas) com decisões metodológicas. Hash de execução pós-trimestre passa a ser o oficial para deliberações até o próximo ciclo.

23.3 · Anual · calibração estratégica

Output: relatório anual público (~50 páginas), com novo hash âncora, premissas estratégicas vigentes e roadmap metodológico. É a peça que comunica a infraestrutura à comunidade externa (academia, doadores, mercado).

23.4 · Por evento · resposta a choques

Histórico: nenhum até abr/2026. O mecanismo existe como contingência — reconhecimento de que o mundo não respeita calendários institucionais.

24 · Hash, arquivamento e auditoria externa

Sem rastreabilidade, não há infraestrutura — só análise sofisticada. Este capítulo descreve o mecanismo simples (e deliberadamente leve) que permite a um auditor independente refazer qualquer cálculo do agente em até dois anos.

24.0 · Auditabilidade como propriedade arquitetural

Auditabilidade não é um anexo do sistema — é uma propriedade que precisa estar embutida na arquitetura desde o primeiro byte. Em termos de Lessig (1999), "code is law": se o código não preserva o estado exato em que uma decisão foi tomada, nenhuma cláusula de governança recupera essa rastreabilidade depois. A literatura de pesquisa reproduzível (Peng, 2011; Stodden et al., 2016) converge em três requisitos mínimos: (i) determinismo — mesmas entradas produzem mesmas saídas, bit a bit; (ii) congelamento — entradas, código e parâmetros são imutáveis após publicação; (iii) verificabilidade independente — um terceiro, sem acesso aos autores originais, consegue reproduzir o resultado em tempo razoável.

O agente atende esses três requisitos via uma combinação deliberadamente simples: hash determinístico sobre o JSON canônico da calibração, snapshot congelado dos dados de entrada e script de verificação em ~200 linhas. Note a escolha por simplicidade extrema: nada de blockchain, nada de assinatura digital criptográfica, nada de timestamping externo. Essas tecnologias não são ruins — são excessivas para o problema. O risco real não é fraude criptográfica (improvável em uma fundação com governança colegiada e auditoria contábil anual); é perda silenciosa de rastreabilidade por edição manual, sobrescrita acidental ou erro de versionamento. Contra isso, FNV-1a + JSON canônico + snapshot são suficientes e têm a virtude de poderem ser reimplementados em qualquer linguagem em uma tarde.

24.1 · Por que FNV-1a 32-bit

A escolha do hash Fowler–Noll–Vo (FNV-1a, 32-bit) é deliberada: ele não é criptograficamente seguro (não precisa ser — não estamos protegendo segredos), mas é determinístico, rápido, sem dependências externas e legível por humanosem 8 caracteres hexadecimais.

24.2 · O ciclo de arquivamento

1. Conselho aprova nova calibração na tela /score.
2. Sistema gera hash, congela snapshot dos dados, calcula Top 10.
3. Cria PDF executivo carregando o hash no rodapé de cada página.
4. Armazena tupla (hash, JSON canônico, PDF, autor, timestamp) no Arquivo de Calibrações.
5. Drift Log é atualizado com diff em relação à calibração anterior.

24.3 · O que um auditor externo recebe

• O JSON canônico da calibração (~3 KB).
• O snapshot dos dados de entrada (~50–80 MB compactado).
• O PDF executivo publicado.
• Um script de verificação (~200 linhas Python) que recomputa o hash, recalcula o Score e diffa o Top 10 contra o publicado.

Se os três coincidirem (hash, Score, Top 10), a auditoria está atestada. Divergências em qualquer um dos três disparam investigação formal e congelamento de novas calibrações até a causa-raiz ser identificada.

24.4 · Retenção

Calibrações são retidas por 10 anos a partir da data de publicação. PDFs executivos por tempo indeterminado. Snapshots de dados maiores que 100 MB são movidos para storage frio após 24 meses, mas continuam recuperáveis em até 48h via solicitação ao Comitê de Tecnologia.

25 · Conselho, Comitê Acadêmico e papéis

A última camada — quem assina o quê, e por quê. A arquitetura humana do agente é tão importante quanto a arquitetura técnica. Ambas existem para que a decisão sobreviva às pessoas.

25.0 · Governança colegiada como dispositivo anticaptura

A teoria de governança de instituições híbridas (Salamon, 2014; Cornforth, 2003) identifica três funções essenciais que precisam ser simultaneamente exercidas e mutuamente independentes: direção estratégica (para onde a instituição vai), validação metodológica (se o caminho é defensável tecnicamente) e execução operacional (como se chega lá). Quando essas três funções colapsam em um único corpo — modelo comum em fundações pequenas, em que o Conselho aprova método, estratégia e operação — instala-se o que Powell & DiMaggio (1991) chamam de isomorfismo coercitivo interno: as três decisões passam a refletir a preferência de quem detém a agenda, e a fundação perde a capacidade de discordar de si mesma.

A separação Conselho ↔ Comitê Acadêmico ↔ Diretoria Executiva é, portanto, arquitetura anticaptura, não organograma. Cada órgão tem legitimidade derivada de uma fonte distinta: o Conselho de mandato fiduciário (representa doadores e missão); o Comitê Acadêmico de competência técnica verificável (currículo, peer review, produção); a Diretoria de delegação operacional (contrato, métricas de desempenho). Quando os três discordam — e vão discordar — o conflito é produtivo: força explicitar premissas que, no modelo monolítico, ficariam tácitas.

Os quóruns reforçados (2/3 para mudanças metodológicas; 4/5 para revisões de DAG) operam pelo mesmo princípio: tornam mudanças caras em capital político. Isso não impede mudanças necessárias — apenas exige que sejam defendidas em público, com argumentos que sobrevivam a uma minoria qualificada de oposição. É a aplicação do que Buchanan & Tullock (1962) chamaram de "calculus of consent": o custo de decisão deve crescer com o impacto institucional da decisão, não com sua urgência.

25.1 · Conselho · estratégia e autoridade

Aprovam: pesos do Score (anualmente), premissas estratégicas, relatório anual público, contratação/demissão do Diretor Executivo, mudanças no Estatuto e nesta arquitetura de governança.

25.2 · Comitê Acadêmico · método e rigor

Aprovam: revisões do DAG (trimestrais), thresholds dos gates, especificação econométrica do motor causal, base de dados primárias, novas arestas propostas pela equipe operacional.

25.3 · Diretoria Executiva · operação

Decidem: priorização operacional, contratação da equipe técnica, parcerias institucionais ordinárias, comunicação pública dentro do framework aprovado.

25.4 · Quórum e separação

• Quórum Conselho: 2/3 (5 de 7) para mudanças metodológicas; maioria simples para deliberações ordinárias.
• Quórum Comitê Acadêmico: 4 de 5 para revisões de DAG; 3 de 5 para ajustes de gates.
• Separação Calibrador ↔ Conselheiro: institucional (estatuto) e operacional (sistema).
• Mandato cruzado: membro do Conselho não pode ser do Comitê Acadêmico simultaneamente.

25.5 · Conflito de interesse

Conselheiros e membros do Comitê declaram anualmente vínculos institucionais e financeiros relevantes. Quando uma deliberação envolve organização à qual o membro está vinculado, recusa-se voto e registra-se em ata. Recusa não desabilita membro — é prática rotineira.

Glossário expandido

Versão impressa e ordenada alfabeticamente do glossário interativo. Para busca e referências cruzadas com código, ver tela /glossario.

Bibliografia comentada

Vinte referências essenciais — acadêmicas, regulatórias e técnicas — organizadas em ordem alfabética, cada uma com nota indicando seu papel específico no agente.

Fichas regulatórias

Resumo executivo dos oito instrumentos jurídicos brasileiros e padrões internacionais adotados no Brasil que estruturam as recomendações do agente.

Como atuaremos · do setup à entrega

Esta é a jornada completa de um ciclo do agente, com início, meio e fim. Cada etapa traz a tela onde o evento acontece, a ação esperada do operador e o artefato que sai dela. Use como roteiro nas primeiras execuções.

D.1 · Início · Setup do ciclo (semana 1)

Toda execução começa com a confirmação de que as oito bases oficiais foram atualizadas e que a calibração ativa ainda reflete a tese do Conselho.

D.2 · Meio · Diagnóstico, causalidade e cenários (semanas 2–3)

O bloco analítico do ciclo. O operador navega do mapa nacional ao motor causal, propondo arestas, validando com Granger e calibrando cenários alternativos.

D.3 · Fim · Decisão, racional e arquivamento (semana 4)

O ciclo termina quando cada um dos 10 municípios recebe (a) classe ICMA sugerida, (b) recomendação tipificada (âncora, piloto, coalizão) e (c) racional textual exportado em PDF com hash embutido.

Schön descreve exatamente a postura que o operador do agente precisa cultivar: não é executor cego de um manual, mas pesquisador-em-ação, usando o agente como instrumento de reflexão estruturada — e deixando rastro de cada inflexão.

Índice Remissivo

Localizador alfabético de termos, autores e instrumentos citados ao longo do manual, com referências cruzadas para os capítulos onde cada item é tratado em profundidade. Páginas indicadas correspondem ao início do capítulo na versão impressa (estimadas pela paginação canônica).

Como ler: após o termo, os números 5, 12, 17 indicam capítulos. Entre parênteses, a página inicial do capítulo na versão impressa. Entradas com ver também apontam para termos relacionados — especialmente úteis para revisar conceitos que aparecem em mais de uma tradição teórica.