Material educativo. Este artigo tem fins informativos e não constitui orientação jurídica ou fiscal.

Autor: PKI Consulting, Equipe Técnica. Auditor independente credenciado na ICP-Brasil

Publicado em: 13/07/2026

Maturidade em governança digital fiscal é o quanto uma organização já saiu do improviso e passou a tratar certificado digital, controle de acesso e rastreabilidade como processo formal, com dono, política escrita e revisão periódica, em vez de resolver cada problema conforme ele aparece. A digitalização fiscal trouxe ganho real de eficiência, mas também deixou claro que grande parte das empresas brasileiras ainda opera no nível mais baixo dessa escala, mesmo emitindo milhares de documentos fiscais eletrônicos por mês.

Já detalhamos, em outro artigo, os quatro pilares técnicos dessa governança (segurança da informação, gestão de identidade, controle de acesso e rastreabilidade). Aqui, a pergunta é diferente: dado que sua empresa provavelmente já tem alguma coisa desses quatro pilares implementada, em que estágio de maturidade ela está, e o que muda de um estágio pro outro?

Por que medir maturidade, e não só marcar itens de checklist

Checklist responde “temos ou não temos” um controle. Maturidade responde uma pergunta mais útil: esse controle existe de forma consistente, documentada e sustentável, ou depende de uma pessoa lembrar de fazer isso na hora certa?

A diferença importa porque, em auditoria, o que mais gera achado grave não é ausência total de controle. É controle que existe “na cabeça de alguém”, sem processo formal por trás. A pessoa sai da empresa, ou simplesmente esquece, e o controle desaparece sem ninguém perceber até o próximo incidente ou a próxima auditoria.

Os 4 estágios de maturidade em governança digital fiscal

Com base nas auditorias que conduzimos em organizações credenciadas na ICP-Brasil, identificamos um padrão que se repete: as empresas tendem a se encaixar em um destes quatro estágios.

Estágio 1: Reativo

A empresa resolve problema de certificado, acesso ou rastreabilidade só quando ele já virou incidente. Certificado vencido descoberto no dia da emissão. Ex-colaborador com acesso ativo descoberto durante uma auditoria, não antes. Não existe política escrita, existe “quem sempre cuidou disso”.

Sinais de que sua organização está aqui:

• Ninguém sabe, sem consultar alguém, quando o certificado da empresa vence
• Acesso ao sistema emissor de NF-e é concedido informalmente, por pedido verbal
• Log de operação existe (porque o sistema gera automaticamente), mas ninguém revisa

Estágio 2: Consciente

A empresa já reconhece o risco e tem alguns controles pontuais, mas eles não estão integrados. Existe uma planilha de vencimento de certificado, existe uma política de senha, mas cada controle vive isolado, sem dono formal e sem revisão programada.

Sinais de que sua organização está aqui:

• Existe processo, mas ele mora na cabeça ou na planilha de uma pessoa específica
• Controle de acesso existe, mas não é revisado com regularidade definida (revisão só acontece “quando alguém lembra”)
• A empresa reage bem a um problema pontual, mas não tem visão do conjunto

Estágio 3: Estruturado

Aqui a governança já virou processo formal, com responsável designado, política escrita e calendário de revisão. Ciclo de vida do certificado (emissão, renovação, revogação) é gerenciado de forma proativa. Segregação de função existe no sistema emissor, não só na intenção.

Sinais de que sua organização está aqui:

• Existe política documentada de gestão de certificado, com prazo de renovação planejado com antecedência
• Processo de concessão e revogação de acesso está formalmente ligado ao RH (quando alguém sai, o acesso é revogado no mesmo ciclo)
• Auditoria interna periódica dos logs de operação, não só armazenamento passivo

Estágio 4: Auditável e resiliente

Esse é o estágio que sustenta uma organização durante uma fiscalização ou auditoria externa sem sobressalto. Todo controle tem evidência documentada, a cadeia de custódia de certificados é rastreável do início ao fim, e a governança é revisada e ajustada com base em achados anteriores, não só criada uma vez e esquecida.

Sinais de que sua organização está aqui:

• A empresa consegue reconstituir, para qualquer documento fiscal dos últimos cinco anos, quem emitiu, com qual certificado e o que mudou depois
• Achados de auditorias anteriores geraram mudança real de processo, não só correção pontual
• A governança digital é pauta recorrente da liderança, não só da área técnica

O que muda de um estágio pro outro, na prática

A evolução entre estágios raramente exige tecnologia nova. Na maioria dos casos que vemos em auditoria, o que separa o Estágio 2 do Estágio 3 é a formalização: transformar o que já existe informalmente em política escrita, com dono e prazo.

Um caminho prático de avaliação, sem precisar de ferramenta nova:

1. Escolha um dos quatro pilares (segurança, identidade, acesso ou rastreabilidade) e pergunte: esse controle está documentado, ou só existe na prática?

2. Verifique se há dono formal. Se a resposta pra “quem é responsável por isso” for um nome de pessoa em vez de um cargo ou processo, é sinal de estágio inicial.

3. Verifique a frequência de revisão. Controle revisado só quando dá problema é Estágio 1 ou 2. Controle com calendário de revisão definido é Estágio 3 ou 4.

4. Peça uma evidência concreta. Se pedirem pra você mostrar, agora, quem tinha acesso ao sistema emissor há seis meses, você consegue responder com documento, ou só com memória de alguém?

Perguntas frequentes

Qual é o maior erro que impede uma empresa de avançar de estágio?

Tratar governança digital como projeto pontual em vez de capacidade contínua. Empresas fazem um esforço concentrado, resolvem os problemas visíveis, e param por ali, sem calendário de revisão. Isso costuma regredir a organização de volta pro Estágio 2 em pouco tempo, porque certificados vencem, pessoas saem e sistemas mudam.

É possível estar em estágios diferentes para pilares diferentes?

Sim, e isso é comum. Vemos organizações com gestão de identidade bem estruturada (Estágio 3), mas rastreabilidade ainda no Estágio 1, porque os logs existem só como subproduto do sistema, sem ninguém revisando. Avaliar por pilar, e não só a empresa como um todo, é o que dá o diagnóstico mais útil.

Uma empresa pequena precisa se preocupar com o Estágio 4?

Depende do volume e da exposição a risco, não só do tamanho. Uma empresa pequena com baixo volume de emissão e baixa complexidade pode operar com segurança no Estágio 3. Já uma empresa pequena com alto volume de transação, ou operação em múltiplos estados, tende a acumular risco rápido se não avançar.

Como a PKI Consulting ajuda uma organização a avançar de estágio?

Atuamos como auditora independente credenciada na ICP-Brasil, avaliando processos de Autoridades Certificadoras e Autoridades de Registro conforme as normas do Comitê Gestor da ICP-Brasil. No âmbito da governança digital, contribuímos disseminando boas práticas de diagnóstico e evolução de maturidade em auditoria e conformidade. Saiba mais em pkiconsulting.com.br

Conclusão

A evolução regulatória do ambiente fiscal brasileiro não vai parar de exigir mais maturidade das organizações, muito pelo contrário. Cada nova camada de digitalização (e a Reforma Tributária é a mais recente delas) aumenta a cobrança por processo formal, documentado e auditável.

Saber em que estágio sua organização está, pilar por pilar, é o primeiro passo real. Não porque o diagnóstico resolve o problema sozinho, mas porque é impossível estruturar um plano de evolução sem antes admitir onde o processo ainda depende de sorte, memória ou boa vontade de alguém.

Material educativo. PKI Consulting é auditora independente credenciada na ICP-Brasil. Este conteúdo tem fins informativos e não constitui orientação jurídica ou fiscal.

Fontes consultadas: Governo Digital (gov.br), Comitê Central de Governança de Dados, referências setoriais de modelos de maturidade em governança de dados.