DOC-ICP: Auditoria e Fiscalização

Este bloco forma o sistema de controle e conformidade da ICP-Brasil, dividido em duas vertentes complementares. A vertente da auditoria é composta pelo DOC-ICP-08, que define a metodologia geral das auditorias periódicas; pela Resolução nº 216, que regulamenta a auditoria pré-operacional obrigatória para ingresso de novas entidades; pela IN nº 32/2025, que padroniza o formato dos relatórios; e pela Portaria nº 3/2021, que detalha procedimentos específicos. A vertente da fiscalização é encabeçada pelo DOC-ICP-09, que declara publicamente os critérios e o compromisso do ITI com a atividade fiscalizatória contínua, e pela IN nº 07/2020, que instrumentaliza o servidor com o passo a passo interno para a execução da fiscalização, incluindo notificações, prazos e processos sancionatórios.

DOC-ICP-08: Critérios e procedimentos para realização de auditorias nas entidades da ICP-Brasil

Auditoria é uma atividade sistemática e documentada de avaliação, realizada por profissionais ou órgãos independentes, que busca examinar registros, processos e controles de uma organização para verificar se estão em conformidade com critérios estabelecidos, sejam eles legais, contábeis, técnicos ou de qualidade. Auditorias realizadas no âmbito da ICP-Brasil têm por objetivo verificar se os processos, procedimentos e atividades dos PSCerts (Prestador de Serviço de Certificação) estão em conformidade com as respectivas Declarações de Práticas (DPC/DPN), Políticas de Certificado (PC), Políticas de Segurança (PS) e demais normas e procedimentos, assim como os princípios e critérios definidos pelo WebTrust for CA (programa internacional de auditoria e certificação criado para garantir a segurança de transações digitais).

As auditorias são classificadas em:

• Pré-operacionais: realizadas antes do início das atividades do candidato a PSCert, quer seja Autoridade Certificadora (AC), Autoridade de Carimbo do Tempo (ACT), Autoridade de Registro (AR), Prestador de Serviço de Suporte (PSS), Prestador de Serviço Biométrico (PSBio) ou PSC de Assinatura Digital e Armazenamento de Chaves Criptográficas;
• Operacionais: realizadas anualmente em todos os PSCerts para manutenção do credenciamento junto à ICP-Brasil. Tais auditorias ocorrerão a partir do primeiro ano civil seguinte à data da publicação no DOU do credenciamento do PSCert.

A auditoria pré-operacional é definida na DOC-ICP-03, incluída como obrigatória através da Resolução CG ICP-BRASIL Nº 216 de 19 de março de 2025, com o objetivo de verificar se ela já atende aos requisitos técnicos, operacionais e demais requisitos aplicáveis à atividade que pretende exercer. O candidato deve apresentar, junto ao pedido de credenciamento, o relatório de auditoria pré-operacional com conceito “ADEQUADO”, elaborado por empresa de auditoria credenciada pelo ITI; a AC Raiz pode analisar os documentos e evidências utilizados, solicitar informações adicionais ou realizar diligências próprias antes de decidir pelo deferimento do credenciamento. Além disso, após o credenciamento, a AC Raiz pode realizar uma nova auditoria em até 180 dias para verificar a conformidade, podendo o credenciamento ser revogado caso sejam constatadas não conformidades.

Além da auditoria anual obrigatória, o ITI pode, quando considerar necessário ou por determinação do Comitê Gestor, realizar suas próprias auditorias nas entidades da ICP-Brasil. Nesse caso, a auditoria realizada pelo ITI tem caráter adicional e não substitui a auditoria operacional anual exigida para o PSCert.

A auditoria da AC Raiz são realizadas exclusivamente pelo Comitê Gestor da ICP-Brasil ou seus prepostos, formalmente designados. Para ACTs, PSBios, PSCs, ACs de 1º Nível e subsequentes, assim como seus PSSs, podem ser auditadas por alguma empresa de auditoria independente credenciada junto ao ITI. As ARs podem ser auditadas por essas empresas também, além de AC ou PSS credenciados junto ao ITI e Auditoria Interna da respectiva AR credenciada junto ao ITI – somente na auditoria pré-operacional que não é possível fazer uso de auditoria interna da respectiva AR. As entidades de auditoria são classificadas em Tipo 1, com autorização para auditar as diversas entidades da ICP-Brasil, e Tipo 2, restritas à realização de auditorias em ARs.

As entidades de auditoria independente candidatas a realizar trabalhos de auditoria na cadeia da ICP-Brasil indicarão o tipo a que pleiteiam e apresentarão o “formulário de solicitação de credenciamento de empresa de auditoria especializada e independente” (ADE-ICP-08.A), junto com os documentos solicitados na DOC-ICP-08. Esses documentos devem comprovar sua regularidade jurídica, fiscal e profissional, além de sua estrutura organizacional, metodologia e sistema de controle de qualidade para a realização de auditorias. Também devem assegurar a qualificação e experiência de seus auditores, apresentando trabalhos e atestados de capacidade técnica, bem como sua inscrição no CNAI (Cadastro Nacional de Auditores Independentes).

As unidades de auditoria interna credenciadas só poderão realizar trabalhos de auditoria no âmbito da própria empresa onde inseridas. As empresas de auditoria independente devem apresentar experiência comprovada de pelo menos dois anos em: segurança da informação, criptografia, ICP, segurança patrimonial e sistemas de processamento eletrônico de informações, além do domínio de padrões internacionais de auditoria (tipo 1); segurança da informação, segurança patrimonial e sistemas de processamento eletrônico de informações, além do uso de padrões internacionais de avaliação gerencial ou de gestão (tipo 2).Para auditorias de PSBio, também é exigida experiência em sistemas biométricos e protocolos de comunicação em rede.

O credenciamento será publicado no Diário Oficial da União (DOU) e será renovado a cada cinco anos, a contar da data da publicação do respectivo credenciamento ou renovação. Nas renovações, a entidade de auditoria anexará a mesma documentação apresentada para o credenciamento inicial, podendo, para os documentos que não sofreram alteração desde o último deferimento, serem substituídos por declaração expressa do Representante Legal, sob as penas da lei. O Plano Anual de Auditoria Operacional (PLAAO) deve ser elaborado e protocolado até 15 de dezembro de cada ano, para orientar as auditorias do ano civil seguinte, e deve contemplar as entidades subordinadas correspondentes.

As auditorias realizadas na cadeia da ICP-Brasil devem ser norteadas pelo documento ADE-ICP-08-E, que detalha os processos que compõem a cadeia de certificação, e assim como os princípios e critérios definidos pelo WebTrust. Cada PSCert manterá dossiê de auditoria contendo os relatórios de auditoria pré e operacionais, as evidências de regularização das não conformidades identificadas e apontadas em relatórios de auditoria e as correspondências trocadas sobre a regularização de inconformidades, pelo prazo mínimo de cinco anos. O relatório final de auditoria será enviado para a entidade auditada, AC subordinante (se for o caso) e ITI.

Cabe à entidade auditada cumprir, no prazo estipulado no relatório de auditoria, as recomendações para corrigir as não conformidades com a legislação ou com as políticas, normas, práticas e regras estabelecidas. Tais regularizações serão comunicadas formalmente à entidade a que se vincula o PSCert auditado, na data de vencimento do prazo concedido no relatório de auditoria.

Se a entidade auditada for considerada INACEITÁVEL o ITI suspenderá imediatamente suas operações até que as não conformidades sejam solucionadas. A entidade cujo conceito atribuído seja cinco “INACEITÁVEL” em duas auditorias operacionais consecutivas, poderá ser descredenciada da ICP-Brasil. Na ocorrência do descredenciamento, a entidade não poderá ter um novo pedido de credenciamento aceito pelo ITI pelo período mínimo de dois anos. Toda vez que um PSCert receber um conceito 3 ou 4 no relatório de auditoria operacional, poderá sofrer penalidades.

IN 32/2025

A DOC-ICP-08.01 “Critérios para Emissão de Parecer de Auditoria na ICP-Brasil” foi revogada pela Instrução Normativa ITI Nº 32, de 23 de abril de 2025. Ela dispõe sobre realização de auditoria, elaboração de relatório e a emissão de parecer de auditoria. Aplica-se à Empresa de Auditoria Independente credenciada, Auditoria Interna da respectiva AR, AC ou PSS credenciados junto ao ITI que realizam auditoria em suas ARs, bem como aos Auditores do ITI, quando for o caso.

Fase 1 – Planejamento (Pré-avaliação)

A fase de planejamento da auditoria começa com uma pré-avaliação documental e reuniões preliminares com a entidade auditada, permitindo ao auditor conhecer sua infraestrutura, sistema de gestão, serviços e processos, além de selecionar os aspectos que deverão ser verificados presencialmente. Nessa etapa, são analisados os requisitos aplicáveis das normas da ICP-Brasil:

• processos e subprocessos previstos no ADE-ICP-08.E;
• documentação pertinente à entidade (itens I a XVI do artigo 12 da IN 32/2025 como PC, DPC, PS, PCN, atas de reuniões, relatórios de incidentes, LCR, estatuto, seguro e documentos de regularidade jurídica, fiscal e econômico-financeira);
• itens 9.4 e 9.5 do Anexo da Resolução CG ICP-Brasil nº 185 (DOC-ICP-08) sobre não conformidades de auditorias anteriores.

Com base nessas informações, o auditor elabora o Cronograma e Planejamento da Auditoria, que define os itens, locais e responsáveis a serem avaliados, e os resultados dessa fase são incorporados ao relatório final.

Fase 2 – Execução

A fase de avaliação verifica, por meio de análise documental e principalmente de avaliações in loco, se o PSCert cumpre os requisitos da ICP-Brasil e se suas políticas, práticas e procedimentos são efetivamente aplicados, incluindo as atividades realizadas por seus PSSs. Nas auditorias operacionais de AR, a avaliação presencial ocorre pelo menos a cada dois anos ou obrigatoriamente quando a auditoria anterior apresentar conceito igual ou superior a 3. Nas auditorias de AC, as ARs vinculadas são avaliadas por amostragem, considerando fatores como riscos, resultados de auditorias e fiscalizações, volume de certificados, sistemas utilizados e complexidade das operações, sem que isso dispense as ARs de suas próprias auditorias operacionais. Ao final, o auditor apresenta um Relatório Preliminar de Auditoria, comunicando as não conformidades identificadas aos responsáveis técnicos e representantes legais do PSCert.

Fase 3 – Elaboração do Relatório Final de Auditoria

O Relatório Final de Auditoria deverá ser elaborado de acordo com o ADE-ICP-08.I “Modelo e Requisitos para a Elaboração do Relatório Final de Auditoria” – inclusive os apêndices. No relatório de auditoria constará o conceito geral do PSCert atribuído pelo auditor ao auditado e os motivos que levaram à referida conceituação, que reflete a opinião do auditor sobre o nível de risco a que o PSCert está exposto. Na emissão do Parecer de auditoria e na conclusão no Relatório Final de Auditoria, será utilizado o seguinte conceito:

A média da avaliação é o somatório dos riscos encontrados nos controles que apresentaram inconformidade, dividido pela respectiva quantidade de controles que apresentaram não conformidade. Considerando o nível de exposição aos riscos, a entidade de auditoria poderá excluir processos ou subprocessos das avaliações de auditoria, de forma justificada. Tais exclusões e justificativas constarão do corpo do relatório de auditoria a critério da entidade de auditoria e em conformidade com a metodologia apresentada quando do credenciamento da entidade de auditoria.

A atribuição do conceito geral do PSCert refletirá a opinião do auditor sobre o nível de risco a que o PSCert estiver exposto. Para auxiliar nesta atribuição de conceito, o auditor poderá se valer do valor médio das não conformidades encontradas, que não poderá prevalecer sobre a opinião do auditor. A criticidade das não conformidades são classificadas e niveladas conforme as figuras a seguir:

Quando a auditoria identificar não conformidades que não tenham sido corrigidas, o PSCert deve apresentar, em até 10 dias, um plano de ação à entidade à qual está subordinado para regularizá-las. A correção definitiva deve ocorrer em até 90 dias após a emissão do relatório de auditoria, e as ACs de 1º e 2º nível devem encaminhar ao ITI, em janeiro e julho, relatórios consolidados sobre o acompanhamento da regularização das não conformidades de suas entidades diretamente vinculadas.

Port. 3/2021

A Portaria Nº 3, de 18 de março de 2021, estabelece os prazos e procedimentos para a análise das solicitações de credenciamento na ICP-Brasil: 15 meses para AC, 4 meses para AR, 8 meses para ACT, PSBio, PSC e PSS e 45 dias para nova vinculação de AR. Esses prazos ficam suspensos quando houver pendências documentais. A norma também define critérios de organização da fila de análise, incluindo uma proporção de 4 pedidos de AC2 para cada 1 de AC1, regras específicas para AR e para ACT/PSBio/PSC/PSS, além de permitir procedimentos diferenciados em determinados casos para acelerar avaliações. Por fim, estabelece que, na ausência de manifestação conclusiva dentro do prazo, ocorre aprovação tácita, sem dispensar o requerente do cumprimento das normas da ICP-Brasil nem das adequações que possam ser identificadas posteriormente pelo ITI.

DOC-ICP-09: Critérios e procedimentos para fiscalização das entidades integrantes da ICP-Brasil

Fiscalização é a ação de acompanhar, inspecionar e controlar atividades ou condutas, normalmente exercida por órgãos públicos ou entidades reguladoras, com o objetivo de assegurar que leis, regulamentos e padrões sejam cumpridos. Pode envolver monitoramento contínuo, inspeções pontuais e aplicação de medidas corretivas ou sancionatórias. Nesse caso, é o conjunto de procedimentos administrativos para verificar o cumprimento das normas da ICP-Brasil, podendo resultar em autos de infração, penalidades e processos sancionadores. A infração pode ser: não atendimento a qualquer disposição legal da ICP-Brasil ou normas complementares estabelecidas pela AC Raiz; não conformidade constatada a partir de fiscalização; e obstrução, omissão ou má-fé por parte do PSCert tendente a prejudicar a ação fiscalizadora da AC Raiz.

O Processo de Fiscalização de Certificação (PFC) inicia através de planejamento de fiscalização semestral, recomendação obtida em Relatórios de Auditoria (pré-operacionais ou operacionais), por denúncia ou por constatação de ameaça à confiabilidade da ICP-Brasil. A Ação de Fiscalização de Certificação (AFC) são os procedimentos preparatórios, levantamento de informações, ações presenciais ou à distância, levantamento de evidências, pedidos de complementação de informações através do documento REQUISIÇÃO DE INFORMAÇÕES COMPLEMENTARES (RIC, ADE-ICP-09.A) e atividades do fiscal (servidor da Coordenador Geral de Auditoria e Fiscalização, CGAFI/ITI, no exercício dessa função) que devem estar relatadas no documento RELATÓRIO DE FISCALIZAÇÃO (RF, ADE-ICP-09.E).

Durante a AFC, o fiscal poderá emitir Autos de Infração de Certificação (AIC) e suas cópias devem ser enviada para a AC responsável pelo pedido de credenciamento do PSCert fiscalizado. Uma AFC deverá conter prazo de execução, que poderá ser de até 120 dias, podendo ser prorrogado uma única vez por igual período, por ato da Autoridade Outorgante, a requerimento do fiscal responsável ou por motivo superveniente devidamente apresentado e descrito no Processo Administrativo de Fiscalização (PAF). No caso de flagrante constatação de irregularidade ou qualquer outra prática de infração às normas da ICP-Brasil, em que o retardo do início do procedimento coloque em risco a segurança ou confiabilidade dessa infraestrutura, pela possibilidade de subtração de prova ou outro risco de eliminação ou dificuldades na obtenção de evidências que comprovem a irregularidade, a fiscalização será iniciada por fiscal habilitado e a Autoridade Outorgante (CGAFI/ITI) terá prazo de 5 dias para lavrar o Termo de Fiscalização (TF).

Todo Procedimento de Fiscalização de Certificação deverá ter, obrigatoriamente, um Termo de Fiscalização Inicial (TFI), que instaura uma AFC, e um Termo de Fiscalização Final (TFF). Adicionalmente, poderá ter um ou mais Termos de Fiscalização Complementares (TFC) e Termos de Fiscalização Extensivos (TFE). O Auto de Infração de Certificação (AIC) é um documento informativo, dirigido ao PSCert, de uma infração verificada pelo fiscal. A AFC e as diligências realizadas em virtude de cada TF serão registradas em Relatório de Fiscalização (RF).

Apontada alguma irregularidade no RF, o PSCert será notificado pela autoridade que expediu o TFI, através de uma Notificação da Fiscalização de Certificação (NFC), fixando-se prazo de 15 dias para que o PSCert fiscalizado apresente, diretamente e formalmente, justificativa à AC Raiz naquilo que foi arguido. Caso o PSCert não apresente, tempestivamente, justificativa, será expedida uma NFC à AC responsável pelo pedido de credenciamento do PSCert fiscalizado. Após análise da justificativa apresentada, a Autoridade Outorgante poderá, mediante uma NFC, determinar que o PSCert sane as irregularidades no prazo que fixar. Após sanadas as irregularidades, o PSCert deverá comunicar à Autoridade Outorgante as soluções adotadas.

Sanadas ou não as irregularidades, a Autoridade Outorgante elaborará relatório conclusivo, no qual poderá recomendar ao Diretor de Auditoria, Fiscalização e Normalização (DAFN) o arquivamento ou a aplicação de penalidade com a indicação das irregularidades e seu enquadramento normativo, bem como outras providências que considerar cabíveis. Por infração, a entidade fiscalizada ficará sujeita às seguintes penalidades:

1. Advertência;
2. Restrição da realização de determinadas atividades ou modalidades de operação relacionadas ao objeto da fiscalização até que sejam sanadas as irregularidades apontadas no RF;
3. Proibição de credenciamento de novas PC ou de novas vinculações até que sejam sanadas as irregularidades apontadas no RF;
4. Suspensão temporária da emissão de novos certificados por prazo determinado ou até que sejam sanadas as irregularidades apontadas no RF; e
5. Descredenciamento.

Na aplicação das penalidades serão consideradas a natureza, a gravidade da infração cometida, a reincidência e a relevância do serviço para o ciclo de vida do certificado da ICP-Brasil, estando essa aplicação regulamentada por instrução normativa da AC Raiz que defina os Critérios para Aplicação de Penalidades na ICP-Brasil. A entidade terá um prazo de 10 dias para protocolar a defesa e posterior decisão da DAFN, cabendo recurso. O Diretor-Presidente do ITI decidirá, com base em despacho fundamentado, em 20 dias da data da interposição do recurso contra aplicação de penalidade.

A DOC-ICP-09.01 “Critérios para a aplicação de penalidades na ICP-Brasil” detalha as infrações e penalidades aplicáveis às entidades auditadas, supervisionadas ou fiscalizadas pelo ITI:

1. A advertência, que não impede o funcionamento do PSCert, aplica-se a fatos já consumados e regularizados ou não regularizáveis, independentemente da criticidade, e a inconformidades de baixa criticidade ainda não regularizadas;
2. A restrição, por até 180 dias, impede o PSCert de exercer determinadas atividades ou modalidades de operação quando houver não conformidades de risco médio ou maior não regularizadas ou com prazo vencido;
3. A proibição de credenciamento de novas PCs ou vinculações, por até 90 dias ou enquanto persistir o descumprimento, aplica-se a não conformidades que causem prejuízo considerável às atividades autorizadas ou evidenciem inadimplência sistemática do PSCert;
4. A suspensão temporária da emissão de novos certificados, por até 90 dias ou enquanto persistir a não conformidade, aplica-se a não conformidades de risco alto ou crítico não regularizadas ou com prazo vencido;
5. O descredenciamento, que impede o PSCert de exercer as atividades autorizadas, aplica-se a não conformidades de risco crítico não regularizadas ou com prazo de regularização vencido, especialmente quando comprometem a cadeia de confiança da ICP-Brasil.

Para ver mais informações sobre a ICP-Brasil e sua documentação, clique no link.