TecnologiaArtigo
Seu certificado digital na mão de funcionários: o risco que empresários ignoram
Em resumo
Deixar o certificado com o contador pode ser seguro se houver um responsável identificado, com CRC, que saiba onde o arquivo está e quem o usa. O risco é o A1 circular por e-mail e pastas de uma equipe inteira; a procuração eletrônica resolve boa parte dos casos.
Certificado digital com contador: o que está em jogo
Manter o certificado digital com contador de confiança pode ser seguro, desde que o arquivo fique sob a guarda de um profissional identificado, com registro no CRC, e que você saiba onde ele está, quem o usa e para quê. O risco não está no contador. Está no certificado da empresa que vira um arquivo circulando por e-mail, pastas compartilhadas e conversas de uma equipe que você nunca viu.
Na maior parte do trabalho com a Receita Federal, dá para trocar a entrega do certificado por uma procuração eletrônica, com serviços e prazo definidos. E, quando o certificado precisa mesmo sair da sua mão, há formas de reduzir quantas cópias existem e quem pode usá-las.
O ponto de partida é entender o peso jurídico desse arquivo. A Medida Provisória nº 2.200-2/2001, que criou a Infraestrutura de Chaves Públicas Brasileira (ICP-Brasil), diz que o sistema existe para garantir a autenticidade, a integridade e a validade jurídica de documentos eletrônicos. O § 1º do artigo 10 vai além: as declarações de um documento assinado com certificado da ICP-Brasil presumem-se verdadeiras em relação a quem assinou.
Em linguagem de negócio, isso quer dizer que quem usa o certificado da sua empresa assina como a sua empresa. Se alguém fizer isso sem autorização, a presunção joga contra a empresa, e afastá-la exige prova.
O que o certificado da empresa permite fazer
Com o certificado da empresa e a senha dele, uma pessoa age em nome do CNPJ em quase todos os sistemas públicos que exigem identificação forte. Na prática, funciona como uma procuração ampla e permanente em nome do CNPJ.
Na rotina de uma pequena ou média empresa, o certificado costuma ser usado para:
- entrar no e-CAC, o centro de atendimento virtual da Receita Federal, e consultar ou alterar dados fiscais;
- transmitir declarações e escriturações digitais que a empresa é obrigada a entregar;
- assinar as notas fiscais eletrônicas emitidas pelo sistema de faturamento;
- pedir parcelamentos, retificar informações e responder a intimações eletrônicas;
- assinar contratos e outros documentos eletrônicos com validade jurídica;
- acessar portais de estados e prefeituras que aceitam ou exigem o certificado.
A lei parte de um princípio simples. O parágrafo único do artigo 6º da mesma MP diz que a chave privada de assinatura é de exclusivo controle, uso e conhecimento do titular. Quando o arquivo passa por várias mãos, esse princípio vira ficção. A responsabilidade, porém, continua com a empresa.
Nada disso é motivo para pânico. O certificado existe para ser usado, e o contador precisa agir em nome da empresa para cumprir boa parte das obrigações. A questão é outra: com que instrumento ele age, e quantas pessoas conseguem fazer o mesmo sem que você saiba.
A1 e A3: onde mora o risco
O tipo do certificado define quantas cópias dele podem existir, e por isso muda o tamanho do risco. O Instituto Nacional de Tecnologia da Informação (ITI), que é a autoridade certificadora raiz da ICP-Brasil, descreve assim os dois tipos mais comuns:
| Tipo | Onde fica, segundo o ITI | Validade, segundo o ITI | O que isso significa na prática |
|---|---|---|---|
| A1 | No computador ou no dispositivo móvel | 1 ano | É um arquivo protegido por senha. Pode ser copiado, anexado e reinstalado, e cada cópia funciona igual à original. |
| A3 em cartão ou token | Em mídia criptográfica física | De 1 a 5 anos | O uso depende de ter a mídia em mãos e a senha. O risco mais comum é o token emprestado com a senha anotada junto. |
| A3 em nuvem | Em equipamento seguro remoto (HSM) | De 1 a 5 anos | Não há mídia para emprestar. O uso passa por login e autenticação, o que dificulta a cópia silenciosa, mas não impede que alguém compartilhe as credenciais. |
O A1 é o mais popular por um motivo prático: muitos sistemas de emissão de nota e de gestão pedem o certificado instalado no servidor para assinar documentos de forma automática. É também o mais fácil de espalhar. Um anexo esquecido numa caixa de e-mail continua valendo até o certificado vencer ou ser revogado.
Há ainda uma mudança no horizonte. Segundo o ITI, a Resolução CG ICP-Brasil nº 211/2024 prevê que, a partir de fevereiro de 2029, fica vedada a emissão de certificados de assinatura do tipo A1 ou A3 para pessoa jurídica. Para identificar a empresa como origem de um documento, o caminho indicado é o selo eletrônico. Até lá, vale revisar a política interna a cada renovação.
Quantas mãos tocam o arquivo
Numa operação contábil em escala, o certificado raramente fica com uma pessoa só: ele passa por quem recebe os documentos, por quem executa as rotinas e por quem cobre as férias de quem executa. Cada etapa é razoável isoladamente. O problema é a soma.
Exemplo ilustrativo: uma loja virtual envia o arquivo A1 e a senha por e-mail no começo do ano, porque o escritório pediu para transmitir uma declaração. O arquivo é salvo numa pasta da equipe. Ao longo dos meses, a carteira da empresa muda de analista duas vezes, e cada um baixa uma cópia para trabalhar. Em dezembro, ninguém consegue dizer quantas cópias existem, nem em quais computadores.
Nenhuma dessas pessoas precisa ter má intenção para que o risco exista. Basta um notebook roubado, uma conta de e-mail invadida, um funcionário desligado que manteve arquivos pessoais ou uma mensagem enviada para o grupo errado.
Também não é um problema exclusivo do atendimento online. O pen drive esquecido na gaveta de um escritório tradicional oferece o mesmo risco. O que faz diferença é existir alguém que responda pela guarda: uma pessoa identificada, que sabe onde está cada certificado de cada cliente e consegue dizer, quando você pergunta, quem teve acesso.
Numa estrutura massificada, em que a sua empresa é atendida por uma fila e não por um responsável, essa resposta costuma não existir. É aí que o certificado deixa de ser ferramenta de trabalho e vira passivo.
Procuração eletrônica e outras alternativas
A procuração eletrônica substitui a entrega do certificado porque muda quem assina: o contador passa a agir em nome da empresa com o certificado dele, e não com uma cópia do seu. Ela também tem escopo e prazo definidos por você e pode ser consultada e cancelada no serviço oficial de procuração para o e-CAC, algo impossível com um arquivo A1 que já foi copiado. O passo a passo fica para um texto desta série dedicado só à procuração eletrônica.
Quando o certificado precisa mesmo circular, algumas medidas reduzem o risco:
- Preferir o A3 em nuvem sob uma conta controlada pela empresa, em vez de enviar um arquivo A1.
- Instalar o A1 só onde ele é indispensável, como o sistema que assina as notas fiscais, e não na máquina de cada pessoa da equipe.
- Nunca mandar arquivo e senha juntos, nem pelo mesmo canal.
- Definir por escrito quem pode usar o certificado, para quê e onde ele fica guardado.
Estados e prefeituras têm sistemas próprios de credenciamento. Em alguns portais, a procuração da Receita não vale, e o seu contador saberá dizer onde o certificado continua sendo necessário. Essa é uma boa pergunta para testar se ele conhece a rotina da sua empresa.
Ao trocar de escritório, revogue e inventarie
A troca de contador é o momento em que o certificado mais costuma ficar para trás, e também o melhor momento para arrumar a casa. Quem sai leva o histórico. Se ninguém cuidar disso, pode levar também cópias ativas da sua assinatura.
A regra do Conselho Federal de Contabilidade ajuda. A Resolução CFC nº 1.590/2020 obriga o contrato de prestação de serviços contábeis por escrito e, no rompimento, um distrato que trate da devolução de livros, documentos e arquivos eletrônicos. Também determina que o profissional que sai comunique ao novo responsável técnico os fatos de que ele deva tomar conhecimento.
Na prática, o roteiro mínimo tem três passos. Primeiro, listar todos os certificados da empresa e dos sócios, com tipo, validade e local de guarda. Segundo, cancelar as procurações eletrônicas dadas ao escritório anterior e cadastrar as novas. Terceiro, decidir se os certificados que circularam devem ser revogados.
A revogação torna o certificado inválido a partir daquele momento. Segundo as orientações da Receita Federal sobre certificados e-CPF e e-CNPJ, ela é pedida pelo titular na página da autoridade certificadora que emitiu o certificado. Como o A1 pode ter sido copiado sem que você saiba, revogar e emitir um novo costuma ser a forma mais simples de garantir que as cópias antigas deixem de funcionar.
A Escalei Contábil, escritório digital com atendimento 100% remoto especializado em e-commerce, trata a mudança como projeto e descreve como conduz a troca de contador com levantamento de certificados e acessos. O modelo vale para qualquer segmento, e o guia sobre como trocar de contador sem perder histórico detalha as outras etapas.
Checklist para conversar com o seu contador
As perguntas abaixo cabem numa conversa de meia hora e mostram rapidamente se alguém cuida do seu certificado ou se ele apenas está guardado em algum lugar.
- Quem é o contador responsável pela minha empresa, e qual o número de registro dele no CRC?
- Vocês têm hoje algum certificado meu ou dos meus sócios? De que tipo, com qual validade e onde está guardado?
- Quantas pessoas da equipe conseguem usar esse certificado?
- O que vocês fazem com o meu certificado que não poderia ser feito por procuração eletrônica?
- Quais serviços estão marcados nas procurações que eu dei a vocês?
- Em quais portais de estado ou prefeitura o certificado ainda é indispensável?
- Quando alguém da equipe sai, o que acontece com os arquivos a que ela teve acesso?
- Se eu encerrar o contrato, como será a devolução e o que devo revogar?
Respostas vagas não são, por si, prova de descuido. Mas um escritório organizado costuma responder a essas perguntas de memória ou em poucas horas.
O contador identificado é a camada que falta
Token, nuvem e procuração reduzem o risco, mas nenhuma tecnologia responde à pergunta mais importante: quem, com nome e registro, cuida da identidade eletrônica da sua empresa. Essa é a camada que falta nas operações em que o cliente é um número da fila.
Um escritório que atende 100% online pode ter controles tão bons quanto os de um escritório presencial, porque tudo deixa registro. O risco está em outro lugar: na contabilidade massificada, sem dono, em que ninguém conhece o histórico da empresa nem assina pelas decisões tomadas em nome dela.
Esse é o fio da série que começou com o texto sobre por que o risco está no piloto automático, e não no digital.
No caso do certificado, a segurança que um contador próximo e experiente traz é bem concreta. Ele sabe quantas cópias da assinatura da empresa existem e onde estão. Estranha um acesso fora do padrão no e-CAC. Troca o arquivo por procuração sempre que possível e, quando alguém da equipe sai, sabe o que revogar no mesmo dia. Isso vale para o escritório do interior e para o escritório digital.
O critério pode ser conferido por você mesmo: o cadastro nacional do Conselho Federal de Contabilidade permite consultar o registro de profissionais e organizações contábeis. Junto com os critérios para escolher uma contabilidade além do preço, essa consulta ajuda a separar quem cuida da sua empresa de quem apenas processa os documentos dela.
Perguntas frequentes
Certificado A1 pode ser instalado em mais de um computador?
Tecnicamente, sim. Segundo o ITI, o A1 fica armazenado no computador ou no dispositivo móvel, e na prática é um arquivo protegido por senha que pode ser instalado em mais de uma máquina, com cada cópia funcionando como a original. Por isso, o ideal é limitar a instalação ao sistema que realmente precisa dele e saber sempre onde estão as cópias.
Qual o risco de passar o certificado digital para terceiros?
Quem tem o certificado e a senha consegue assinar documentos, transmitir declarações e acessar sistemas públicos em nome da empresa. Pela MP nº 2.200-2/2001, a chave privada deve ficar sob controle exclusivo do titular, e o que é assinado com certificado ICP-Brasil se presume verdadeiro em relação a ele. Cópias esquecidas continuam funcionando até o certificado vencer ou ser revogado.
Por que o contador precisa do certificado digital da empresa?
Porque várias obrigações fiscais são entregues e consultadas em sistemas que exigem identificação forte. Em muitos casos, porém, uma procuração eletrônica substitui o certificado da empresa. Pergunte ao contador quais tarefas realmente dependem do seu certificado e em quais portais estaduais ou municipais ele é indispensável.
Contador pode vender certificado digital?
Há escritórios que intermediam a compra junto a autoridades de registro credenciadas. Seja como for, a identificação do titular cabe à autoridade de registro, e a chave privada, pela MP nº 2.200-2/2001, deve ficar sob controle exclusivo do titular. Quem compra por intermédio do contador continua sendo o dono do certificado.
Posso enviar o certificado digital por WhatsApp?
Não é recomendável. O arquivo do certificado A1 enviado por aplicativo de mensagem fica copiado no celular, no computador e em eventuais backups de quem recebe. Se o envio for inevitável, mande o arquivo e a senha por canais diferentes e combine onde ele será guardado. Se já enviou sem controle, avalie a revogação.
O que muda com o fim do certificado de pessoa jurídica em 2029?
Segundo o ITI, a Resolução CG ICP-Brasil nº 211/2024 prevê que, a partir de fevereiro de 2029, fica vedada a emissão de certificados de assinatura do tipo A1 ou A3 para pessoa jurídica. Para identificar a organização como origem ou responsável por um documento, o instrumento indicado é o selo eletrônico, que não caracteriza assinatura. Vale acompanhar as orientações da autoridade certificadora nas próximas renovações.
