O Instituto Nacional de Tecnologia da Informação (ITI) publicou, em 25 de abril, a Instrução Normativa ITI nº 32/2025, que dispõe sobre os critérios para a elaboração de relatórios e pareceres de auditoria de Prestadores de Serviço de Certificação (PSCert) na ICP-Brasil.
A normativa, que entrou em vigor na data de sua publicação e revogou a Instrução Normativa ITI nº 06, de 20 de maio de 2021, visa aumentar a responsabilidade, bem como aprimorar a segurança e a assertividade no processo de realização de auditorias da ICP-Brasil.
As principais novidades dizem respeito à melhor descrição da execução das auditorias em Autoridades Certificadoras (ACs) e Autoridades de Registro (ARs), além da obrigatoriedade de elaboração de um plano de ação para o tratamento de não conformidades detectadas e não regularizadas durante o período de auditoria. Adicionalmente, com o objetivo de garantir maior clareza e detalhamento nas instruções sobre os diversos documentos, formatos de arquivos e preenchimento dos campos de informações solicitadas, foi publicado o ADE-ICP-08.I - "MODELO E REQUISITOS PARA A ELABORAÇÃO DO RELATÓRIO FINAL DE AUDITORIA", com os seguintes apêndices:
Apêndice A – Planejamento das atividades do auditor;
Apêndice B – Lista de verificação de conformidade; e
Apêndice C – Declaração de não impedimento.
Prazos para adequação e transição
Até 9 de julho de 2025 (45 dias da publicação):
Todas as entidades devem se adequar ao regulamento e adotar o novo formato para os relatórios de auditoria, conforme a IN ITI nº 32/2025 e o ADE-ICP-08.I.
A auditoria operacional anual de AC deverá contemplar a avaliação de uma amostragem de suas respectivas ARs.
A partir de 24 de julho de 2025:
Auditorias pré-operacionais para fins de credenciamento de AR passam a ser obrigatoriamente presenciais.
A partir de 1º de janeiro de 2026:
Na auditoria operacional de AC, pelo menos 10% da amostragem de ARs deverá ter a avaliação realizada in loco.
A auditoria operacional de AR deverá ser realizada presencialmente a cada dois anos.
Quando o relatório de auditoria operacional de AR anterior indicar conceito “deficiente”, “inadequado” ou “inaceitável”, a auditoria seguinte deverá ser presencial – incluindo os relatórios emitidos em 2025.
A publicação desta Instrução Normativa reflete o compromisso contínuo do ITI em manter a integridade e a confiança na infraestrutura de certificação digital brasileira.
Para mais informações, acesse a íntegra da normativa no site oficial do ITI.
Fonte: Instituto Nacional de Tecnologia da Informação