Tag: compliance

A Receita Federal publicou, em 9 de abril de 2026, a Instrução Normativa RFB nº 2.320, que atualiza as regras para acesso aos serviços digitais da instituição e disciplina a atuação de usuários e representantes no ambiente eletrônico. A norma entrou em vigor na data de sua publicação no Diário Oficial da União e substitui, em grande medida, procedimentos operacionais espalhados em atos anteriores. Para o contribuinte e para o contador, o impacto é prático: muda a porta de entrada dos sistemas da RFB e muda a forma como as autorizações digitais são concedidas.

O que a IN RFB 2.320/2026 estabelece

A instrução consolida procedimentos relacionados à identificação digital dos usuários. A conta gov.br passa a ser o principal mecanismo de autenticação para acesso aos serviços digitais da Receita Federal, com exigência de níveis de segurança compatíveis com cada tipo de serviço. O uso do certificado digital continua disponível, em especial para pessoas jurídicas e operações que exigem alto grau de confiança, mas o caminho padrão passa a ser a conta gov.br com o nível adequado (prata ou ouro).

A norma também consolida o Portal de Serviços como principal agregador da oferta on-line da RFB. O Portal de Serviços substituirá gradualmente o e-CAC e tende a integrar funcionalidades do eSocial e do Redesim, reduzindo a dispersão de ambientes e dando maior uniformidade à experiência do usuário.

Autorizações digitais e o papel do contador

Um dos pontos mais relevantes da IN RFB 2.320/2026 está nas regras de autorização de terceiros. Os contribuintes podem, pelo Portal de Serviços, autorizar pessoas específicas (em geral contadores, procuradores ou advogados) a atuar em seu nome. A nova sistemática traz:

• Padronização das autorizações, com registro eletrônico formal e possibilidade de revogação a qualquer tempo.
• Vedação ao uso de sistemas automatizados ou intermediários não autorizados, coibindo práticas de compartilhamento de senhas.
• Bloqueio de acesso em caso de situação cadastral irregular do CPF ou CNPJ e de inconsistências no cadastro do responsável legal.
• Possibilidade de suspensão ou cancelamento de autorizações concedidas quando identificadas irregularidades.

Para o contador, a regra aumenta a carga de governança, mas também reforça a relação fiduciária com os clientes. A boa notícia é que a formalização eletrônica protege o profissional contra riscos de uso indevido de credenciais.

Níveis de segurança exigidos

A IN 2.320/2026 vincula o tipo de serviço ao nível de segurança da conta gov.br:

1. Serviços informativos simples aceitam identificação básica.
2. Serviços que envolvem dados pessoais sensíveis exigem nível prata ou ouro.
3. Serviços que produzem efeitos tributários ou cadastrais relevantes exigem ouro ou certificado digital.

Na prática, quem ainda opera com conta gov.br em nível bronze precisa fazer o upgrade imediatamente, seja por meio do aplicativo, seja por uso de certificado digital, seja pelo reconhecimento facial integrado com bases oficiais.

Impacto para pessoas jurídicas

A norma define três caminhos de acesso para empresas:

• Pelo responsável legal junto ao CNPJ, com uso de conta gov.br de nível compatível ou certificado digital.
• Por pessoa autorizada mediante procuração eletrônica, também com autenticação segura.
• Por certificado digital e-CNPJ, especialmente utilizado em sistemas de alta criticidade.

Para empresas com múltiplas filiais ou complexas estruturas societárias, é fundamental revisar o cadastro de responsáveis legais na Receita Federal e ajustar as procurações eletrônicas que já estão no sistema. Inconsistências podem bloquear o acesso e atrasar o cumprimento de obrigações acessórias.

Governança digital para contadores

Com a nova IN, o escritório de contabilidade precisa estruturar sua governança digital:

1. Levantar todas as autorizações que os profissionais possuem em nome de clientes.
2. Migrar, de forma organizada, as autorizações ativas para o novo padrão do Portal de Serviços.
3. Criar rotinas de revisão periódica de autorizações, de modo que cada cliente tenha apenas os profissionais autorizados e necessários.
4. Definir protocolos internos de proteção de credenciais, combinando autenticação de dois fatores, cofres de senhas e controle de acesso por perfil.

Para empresas: o que fazer nos próximos 30 dias

No curto prazo, recomenda-se:

• Verificar se o responsável legal do CNPJ ainda é a pessoa correta, atualizando o cadastro sempre que houver alteração societária.
• Elevar o nível da conta gov.br dos sócios, administradores e procuradores-chave.
• Renovar certificados digitais próximos do vencimento, priorizando modelos em hardware (A3).
• Validar as autorizações concedidas a contadores e consultores no Portal de Serviços.
• Treinar a equipe financeira, fiscal e jurídica sobre as novas rotinas de autenticação, especialmente para envio de declarações e consultas de processos.

Riscos de não se adequar

Empresas e profissionais que postergarem a adaptação enfrentam três riscos principais: (i) bloqueio temporário de acesso a sistemas críticos, como e-CAC, eSocial e Redesim; (ii) atraso em obrigações acessórias, com reflexos em multas; e (iii) exposição a fraudes, porque credenciais mal geridas são alvo frequente de golpes digitais. A modernização da base de acesso promovida pela IN 2.320/2026 também reforça o combate ao uso indevido de dados cadastrais, medida que tem se mostrado urgente com o avanço de golpes envolvendo identidade digital.

Conclusão

A IN RFB nº 2.320/2026 é um marco da modernização do ambiente digital da Receita Federal e alinha o Brasil às melhores práticas de identidade digital. Empresas e contadores que tratarem a adequação como projeto estratégico, e não como mera tarefa de TI, ganharão produtividade, reduzirão riscos e fortalecerão a governança. O Grupo BRA 360 acompanha as mudanças e apoia seus clientes na transição segura para o novo padrão de acesso.

Fonte: Receita Federal do Brasil

O Instituto Nacional do Seguro Social (INSS) anunciou que, a partir de 30 de junho de 2026, o acesso de usuários externos aos seus sistemas será feito exclusivamente por meio de certificado digital do tipo A3. O modelo atual, baseado em login e senha, será descontinuado para esse público. A medida foi divulgada em 18 de abril de 2026 e tem impacto direto em contadores, advogados previdenciários, procuradores de entidades e empresas que interagem com as plataformas institucionais do órgão.

O que muda para o usuário externo

Usuários externos são todos os agentes que se conectam aos sistemas do INSS sem integrar a estrutura interna da autarquia. Esse universo inclui escritórios de contabilidade que gerenciam benefícios e obrigações de clientes, advogados previdenciários que acompanham processos administrativos, entidades parceiras e empresas responsáveis por benefícios de seus colaboradores. A partir da data-limite, o login tradicional deixa de funcionar para esse grupo. O ingresso aos sistemas só acontecerá mediante autenticação com certificado digital A3, seja em cartão, seja em token USB.

Por que o INSS mudou o padrão de acesso

A medida busca reforçar a segurança das informações e proteger a integridade dos serviços prestados. O INSS processa dados previdenciários extremamente sensíveis, incluindo histórico de contribuição, dados biométricos e informações familiares. O aumento da demanda por acessos externos e a sofisticação de golpes digitais tornaram insuficiente o modelo baseado em usuário e senha. O certificado digital A3, por armazenar a chave criptográfica em hardware dedicado, oferece camada adicional de proteção que dificulta tanto o furto de credenciais quanto o compartilhamento indevido.

Diferença entre certificados A1 e A3

Para quem ainda trabalha apenas com certificado A1, vale recordar as diferenças mais relevantes:

• A1: armazenado em arquivo digital no computador ou em um servidor. Tem validade tipicamente de um ano e é exportável.
• A3: armazenado em mídia criptográfica dedicada (cartão com leitor ou token USB). Tem validade de um a três anos e não é exportável, o que reduz o risco de cópia indevida.

A exigência de A3 pelo INSS, portanto, não é apenas uma troca de padrão: representa a elevação substantiva do grau de segurança exigido do ecossistema previdenciário.

Quem precisa providenciar certificado

A recomendação oficial é que todos os usuários externos regularizem a situação antes de 30 de junho de 2026. Na prática, isso inclui:

1. Escritórios de contabilidade que administram benefícios por conta de seus clientes.
2. Departamentos de RH e DP de empresas com acesso direto a sistemas do INSS.
3. Advogados previdenciários que acompanham processos administrativos.
4. Procuradores de sindicatos e entidades de classe.
5. Agentes credenciados por entidades parceiras do INSS.

O custo do certificado é, como já ocorre em outros sistemas do governo federal, de responsabilidade da própria pessoa ou entidade que acessa o sistema.

Como se preparar: plano de adequação em 60 dias

Para chegar a 30 de junho com operação estável, sugerimos um plano simples de adequação:

1. Diagnóstico: mapear quem, dentro do escritório ou da empresa, acessa sistemas do INSS e sob qual credencial.
2. Aquisição: contratar certificados A3 em autoridades certificadoras credenciadas pelo ICP-Brasil, preferindo fornecedores com boa capilaridade e suporte técnico.
3. Configuração: instalar drivers, testar leitores e tokens, garantir compatibilidade com os sistemas operacionais em uso.
4. Governança: definir um responsável por cada certificado, registrar seu uso em cadastro interno e evitar compartilhamentos.
5. Treinamento: capacitar as equipes para o uso correto do A3, incluindo rotinas de senha, guarda do dispositivo e procedimentos em caso de perda ou roubo.

Impactos operacionais

Para o escritório contábil, a mudança exige ajustes em várias frentes. A primeira é o dimensionamento da quantidade de certificados necessários. A segunda é a organização dos acessos, uma vez que o A3 é vinculado ao dispositivo físico, o que limita o uso simultâneo por vários colaboradores. A terceira é a comunicação com clientes, para alinhar expectativas sobre prazos de atendimento e segurança dos dados trafegados.

Para a empresa com RH interno que opera sistemas do INSS, o momento é oportuno para revisar controles de acesso, integrar processos previdenciários ao fluxo de compliance e garantir que a troca de funcionários não deixe credenciais ativas desnecessariamente.

Risco de não se adequar

Quem não migrar antes do prazo estará sujeito a interrupção imediata do acesso aos sistemas do INSS. Na prática, isso significa atraso em demandas como requerimento de benefícios, consulta de processos, solicitação de certidões e interação eletrônica em geral. O impacto é direto no atendimento ao segurado e pode gerar, inclusive, problemas reputacionais em escritórios que deixarem de cumprir prazos.

Boas práticas de segurança com A3

Mais do que cumprir a exigência, é desejável elevar a maturidade de governança:

• Guardar o token ou cartão em local seguro, nunca compartilhando com terceiros.
• Definir senha forte e não anotá-la em ambientes acessíveis.
• Monitorar o vencimento e planejar renovações com pelo menos 30 dias de antecedência.
• Associar o uso do certificado a registros de auditoria, com rastreabilidade de operações.
• Manter um inventário dos dispositivos, vinculando cada certificado ao colaborador responsável.

Conclusão

A exigência de certificado digital A3 pelo INSS, válida a partir de 30 de junho de 2026, integra uma tendência maior de elevação do nível de segurança nos sistemas públicos brasileiros. Escritórios de contabilidade, departamentos de RH e profissionais previdenciários têm janela suficiente para se preparar, desde que encarem a mudança como projeto estratégico. O Grupo BRA 360 acompanha o tema e apoia clientes na organização da governança digital necessária para atender o novo padrão sem perda de produtividade.

Fonte: Portal Contábeis