ITI publica novo ato normativo que aprimora auditorias na ICP-Brasil

O Instituto Nacional de Tecnologia da Informação (ITI) publicou, em 25 de abril, a Instrução Normativa ITI nº 32/2025, que dispõe sobre os critérios para a elaboração de relatórios e pareceres de auditoria de Prestadores de Serviço de Certificação (PSCert) na ICP-Brasil.

A normativa, que entrou em vigor na data de sua publicação e revogou a Instrução Normativa ITI nº 06, de 20 de maio de 2021, visa aumentar a responsabilidade, bem como aprimorar a segurança e a assertividade no processo de realização de auditorias da ICP-Brasil.

As principais novidades dizem respeito à melhor descrição da execução das auditorias em Autoridades Certificadoras (ACs) e Autoridades de Registro (ARs), além da obrigatoriedade de elaboração de um plano de ação para o tratamento de não conformidades detectadas e não regularizadas durante o período de auditoria. Adicionalmente, com o objetivo de garantir maior clareza e detalhamento nas instruções sobre os diversos documentos, formatos de arquivos e preenchimento dos campos de informações solicitadas, foi publicado o ADE-ICP-08.I - "MODELO E REQUISITOS PARA A ELABORAÇÃO DO RELATÓRIO FINAL DE AUDITORIA", com os seguintes apêndices:

Apêndice A – Planejamento das atividades do auditor;

Apêndice B – Lista de verificação de conformidade; e

Apêndice C – Declaração de não impedimento.

Prazos para adequação e transição

Até 9 de julho de 2025 (45 dias da publicação):  

• Todas as entidades devem se adequar ao regulamento e adotar o novo formato para os relatórios de auditoria, conforme a IN ITI nº 32/2025 e o ADE-ICP-08.I. 

• A auditoria operacional anual de AC deverá contemplar a avaliação de uma amostragem de suas respectivas ARs. 

A partir de 24 de julho de 2025: 

Auditorias pré-operacionais para fins de credenciamento de AR passam a ser obrigatoriamente presenciais. 

A partir de 1º de janeiro de 2026: 

• Na auditoria operacional de AC, pelo menos 10% da amostragem de ARs deverá ter a avaliação realizada in loco. 

• A auditoria operacional de AR deverá ser realizada presencialmente a cada dois anos. 

• Quando o relatório de auditoria operacional de AR anterior indicar conceito “deficiente”, “inadequado” ou “inaceitável”, a auditoria seguinte deverá ser presencial – incluindo os relatórios emitidos em 2025.

A publicação desta Instrução Normativa reflete o compromisso contínuo do ITI em manter a integridade e a confiança na infraestrutura de certificação digital brasileira. 

Para mais informações, acesse a íntegra da normativa no site oficial do ITI. 

__________

Fonte: CRCSP