Assinatura Eletrônica em Procurement: Evidência, Identidade e Validade dos Fluxos

Assinar eletronicamente um contrato não é apenas inserir uma imagem de assinatura em um PDF.

A organização precisa demonstrar, de forma proporcional ao risco:

• quem assinou;
• em nome de quem;
• com quais poderes;
• qual documento foi aceito;
• se o conteúdo permaneceu íntegro;
• quando ocorreu;
• como a intenção foi manifestada;
• quais evidências foram preservadas.

Em procurement, assinatura eletrônica aparece em:

• contratos;
• aditivos;
• pedidos;
• propostas;
• termos de confidencialidade;
• atas;
• declarações;
• aceites;
• procurações;
• documentos de fornecedores;
• aprovações internas.

O objetivo não é exigir o nível mais complexo para tudo.

É escolher um método adequado à criticidade do ato.

Assinatura eletrônica e assinatura digital

Assinatura eletrônica

Conceito amplo que abrange dados eletrônicos associados a um signatário e utilizados para manifestar autoria ou concordância.

Pode envolver:

• login;
• código;
• biometria;
• clique;
• certificado;
• plataforma;
• combinação de fatores.

Assinatura digital

Normalmente se refere a uma assinatura eletrônica baseada em criptografia assimétrica e certificado digital.

No Brasil, a assinatura com certificado ICP-Brasil é classificada pela Lei nº 14.063/2020 como assinatura eletrônica qualificada.

Toda assinatura digital é eletrônica.

Nem toda assinatura eletrônica utiliza certificado digital.

O marco da ICP-Brasil

A Medida Provisória nº 2.200-2/2001 instituiu a Infraestrutura de Chaves Públicas Brasileira — ICP-Brasil — para apoiar autenticidade, integridade e validade jurídica de documentos eletrônicos e transações seguras.

O art. 10 reconhece documentos eletrônicos e estabelece presunção em relação às declarações constantes de documentos produzidos com processo de certificação da ICP-Brasil, conforme seus requisitos.

A mesma medida provisória não impede o uso de outros meios de comprovação da autoria e integridade, inclusive certificados fora da ICP-Brasil, desde que admitidos pelas partes como válidos ou aceitos por quem recebe o documento.

Isso não significa que qualquer clique seja adequado para qualquer ato.

A suficiência depende do contexto, da prova, do risco e de exigências específicas.

Assinaturas simples, avançadas e qualificadas

A Lei nº 14.063/2020 classifica assinaturas eletrônicas em três níveis.

Assinatura eletrônica simples

Permite identificar o signatário e associa dados eletrônicos a outros dados do signatário.

Pode ser utilizada em interações de menor impacto, conforme a legislação e a regulamentação aplicáveis.

Assinatura eletrônica avançada

Utiliza certificado não emitido pela ICP-Brasil ou outro meio de comprovação de autoria e integridade, desde que possua características previstas na lei, como:

• associação unívoca ao signatário;
• uso sob controle do signatário com elevado nível de confiança;
• detecção de alteração posterior.

Assinatura eletrônica qualificada

Utiliza certificado digital ICP-Brasil.

A Lei nº 14.063 disciplina especialmente interações com entes públicos e determinados atos. Relações privadas também precisam considerar a MP nº 2.200-2, legislação específica, contrato e requisitos do ato.

Mais segurança não significa sempre mais adequação

Exigir assinatura qualificada em qualquer documento pode:

• aumentar custo;
• excluir participantes;
• prolongar ciclo;
• criar suporte;
• reduzir adoção.

Usar uma assinatura simples em ato de alto impacto pode:

• dificultar prova;
• aumentar contestação;
• expor a fraude;
• falhar diante de requisito legal.

A decisão deve combinar:

• valor;
• risco;
• reversibilidade;
• partes;
• tipo de documento;
• legislação;
• dados;
• prazo;
• consequência.

Matriz de risco da assinatura

Critério	Menor exigência	Maior exigência
Valor	baixo	alto
Impacto	limitado	crítico
Reversibilidade	fácil	difícil
Identidade	conhecida	incerta
Poderes	simples	complexos
Regulação	baixa	específica
Dados	comuns	sensíveis ou estratégicos
Duração	curta	longa
Litígio	improvável	relevante
Parte	recorrente	nova ou estrangeira

A matriz orienta. Não substitui análise jurídica.

Assinatura não é autenticação

Autenticação

Processo de verificar a identidade ou o acesso de alguém.

Assinatura

Manifestação vinculada a determinado documento ou ato.

Uma pessoa pode estar autenticada no portal e não ter assinado o contrato.

O fluxo precisa registrar a ação específica de concordância.

Assinatura não é aprovação interna

Aprovação pode indicar que uma área concordou com:

• orçamento;
• risco;
• cláusula;
• fornecedor;
• decisão.

Assinatura cria ou formaliza uma manifestação no documento.

Um diretor pode aprovar a contratação e outra pessoa autorizada assinar.

Preserve ambos os eventos.

Identidade

Possíveis fatores:

• e-mail verificado;
• senha;
• MFA;
• documento;
• certificado;
• biometria;
• conta corporativa;
• validação presencial;
• base confiável.

A identidade precisa corresponder ao risco.

Um link enviado a uma caixa compartilhada pode ser insuficiente para contrato relevante.

Intenção

A evidência de intenção pode incluir:

• ação afirmativa;
• texto claro;
• aceite do documento;
• confirmação;
• autenticação;
• contexto;
• sequência.

Evite interfaces em que o usuário assina sem perceber qual documento está aceitando.

Integridade do documento

A organização precisa demonstrar que o conteúdo apresentado é o mesmo que foi assinado.

Controles:

• hash;
• assinatura criptográfica;
• bloqueio;
• versão;
• trilha;
• selo;
• validação;
• armazenamento.

Enviar novo PDF por e-mail após a assinatura pode quebrar a relação entre evidência e documento.

Data e hora

Registre:

• início;
• envio;
• visualização;
• assinatura;
• conclusão;
• fuso;
• fonte temporal;
• expiração.

Em atos críticos, carimbo do tempo confiável pode reforçar a prova temporal.

Poderes de representação

O maior risco pode não ser a tecnologia.

Pode ser alguém assinar sem poderes.

Valide:

• contrato social;
• estatuto;
• procuração;
• ata;
• limite;
• assinatura conjunta;
• validade;
• cargo;
• representação.

Um certificado digital prova identidade, mas não comprova automaticamente todos os poderes para representar a empresa naquele ato.

Assinatura conjunta

Algumas empresas exigem:

• dois diretores;
• diretor e procurador;
• aprovação do conselho;
• combinação por valor.

O workflow deve impedir conclusão prematura.

Procuração

Controle:

• outorgante;
• outorgado;
• poderes;
• prazo;
• substabelecimento;
• revogação;
• forma;
• jurisdição.

Uma procuração vencida não se torna válida porque a assinatura eletrônica funcionou.

Ordem dos signatários

Pode ser:

• sequencial;
• paralela;
• condicional.

Considere:

• poderes;
• revisão;
• vigência;
• dependência;
• prazo.

Versão final

Antes da assinatura:

• concluir negociação;
• resolver comentários;
• fechar anexos;
• numerar versão;
• gerar pacote;
• aprovar;
• travar edição.

Assinar uma versão e arquivar outra é um risco recorrente.

Anexos

O pacote precisa relacionar:

• contrato;
• escopo;
• preços;
• SLA;
• DPA;
• segurança;
• proposta;
• cronograma.

Os anexos devem ser identificados e vinculados ao ato.

Não dependa de links externos que podem mudar sem controle.

Evidências da plataforma

Possíveis:

• identificador da transação;
• signatário;
• autenticação;
• endereço eletrônico;
• IP;
• dispositivo;
• timestamp;
• consentimento;
• hash;
• certificado;
• logs;
• eventos;
• versão;
• conclusão.

A utilidade de cada evidência depende da confiabilidade e do contexto.

Relatório de auditoria

O relatório da plataforma não substitui o documento assinado.

Mantenha:

• documento final;
• anexos;
• certificados;
• trilha;
• políticas;
• validação.

Validação posterior

Uma assinatura deve poder ser validada depois.

Considere:

• validade do certificado no momento;
• revogação;
• cadeia;
• carimbo do tempo;
• formatos;
• preservação de longo prazo;
• software de validação.

O Instituto Nacional de Tecnologia da Informação mantém serviços e orientações relacionados à validação de assinaturas ICP-Brasil.

Formatos

Possibilidades técnicas incluem:

• PDF assinado;
• XML;
• contêiner;
• assinatura destacada;
• padrões específicos.

A escolha precisa garantir:

• interoperabilidade;
• validação;
• arquivo;
• leitura;
• portabilidade.

Assinatura em contratos privados

Em relações privadas, avalie:

• forma exigida por lei;
• aceitação das partes;
• cláusula de assinatura;
• poderes;
• evidências;
• jurisdição;
• testemunhas quando relevantes;
• título executivo;
• registros;
• ato específico.

Não adote a conclusão genérica de que qualquer assinatura eletrônica vale para qualquer documento.

Interação com ente público

A Lei nº 14.063 e o Decreto nº 10.543/2020 tratam dos níveis de assinatura em interações eletrônicas com a administração pública federal dentro de seus escopos.

Outros entes e atos podem possuir regulamentações próprias.

Verifique:

• órgão;
• ato;
• sistema;
• nível mínimo;
• legislação específica.

Fornecedores estrangeiros

Questões:

• identidade;
• certificado;
• aceitação;
• idioma;
• jurisdição;
• formalidade;
• apostila;
• reconhecimento;
• representação;
• conflito de leis.

Jurídico deve definir a estratégia.

Testemunhas

A necessidade ou utilidade de testemunhas depende:

• do documento;
• da finalidade;
• da forma;
• da estratégia de execução;
• da jurisprudência;
• da legislação.

A plataforma pode coletar testemunhas, mas a tecnologia não decide quando são necessárias.

Reconhecimento de firma e registro

Assinatura eletrônica não elimina automaticamente:

• registro;
• averbação;
• reconhecimento;
• escritura;
• formalidade específica.

Verifique a natureza do ato.

Clickwrap e aceite

Termos podem ser aceitos por clique quando:

• apresentados claramente;
• associados ao usuário;
• registram intenção;
• preservam versão;
• respeitam a lei;
• são adequados ao risco.

Não esconda cláusulas importantes em links inacessíveis.

Assinatura em pedidos de compra

Pedidos podem ser:

• aprovados internamente;
• emitidos pelo sistema;
• aceitos pelo fornecedor;
• regidos por contrato.

Defina quando:

• aceite é necessário;
• confirmação basta;
• contrato prevalece;
• condições do PO se aplicam.

Assinatura em propostas

Uma proposta pode exigir:

• representante;
• validade;
• compromisso;
• declaração;
• integridade.

A exigência deve ser informada na RFQ ou RFP.

Segurança da plataforma

Avalie:

• identidade;
• MFA;
• criptografia;
• isolamento;
• logs;
• disponibilidade;
• backup;
• incidentes;
• integração;
• acesso administrativo;
• desenvolvimento;
• suboperadores.

Riscos de fraude

• e-mail comprometido;
• redirecionamento;
• signatário falso;
• domínio semelhante;
• link malicioso;
• documento substituído;
• conta compartilhada;
• procuração falsa;
• administrador interno.

Controles:

• autenticação forte;
• callback;
• domínios;
• aviso;
• segregação;
• revisão;
• monitoramento.

Assinatura e dados pessoais

A plataforma trata:

• nome;
• contato;
• identificação;
• IP;
• biometria, em alguns casos;
• evidências.

Avalie:

• finalidade;
• base;
• retenção;
• suboperadores;
• transferência;
• segurança;
• direitos.

Integração com CLM

O fluxo pode:

1. gerar documento;
2. aprovar versão;
3. enviar;
4. autenticar;
5. assinar;
6. validar;
7. arquivar;
8. extrair obrigações;
9. iniciar vigência;
10. notificar sistemas.

Evite download, assinatura externa e upload sem reconciliação.

API

Controles:

• autenticação;
• escopo;
• idempotência;
• webhook;
• status;
• erro;
• reenvio;
• logs;
• versionamento.

Um webhook de "concluído" deve ser validado antes de ativar contrato ou fornecedor.

Assinatura em massa

Riscos:

• aprovação sem leitura;
• documento errado;
• signatário inadequado;
• poderes;
• duplicidade;
• interface.

Use:

• resumo;
• filtros;
• confirmação;
• limites;
• amostragem;
• trilha.

Reenvio e correção

Se o documento precisa mudar após assinatura:

• cancelar;
• emitir nova versão;
• obter nova assinatura;
• vincular histórico.

Não edite o arquivo assinado.

Recusa e expiração

O sistema deve registrar:

• recusa;
• motivo;
• expiração;
• cancelamento;
• substituição;
• reenvio.

Retenção

Defina prazos considerando:

• contrato;
• obrigação;
• garantia;
• auditoria;
• disputa;
• fiscal;
• privacidade.

Preserve legibilidade e validação.

Offboarding da plataforma

Antes de trocar o provedor:

• exportar documentos;
• exportar trilhas;
• validar formatos;
• testar evidências;
• definir exclusão;
• manter certificados;
• preservar links.

Não dependa indefinidamente do portal do fornecedor para provar assinaturas antigas.

Indicadores

• documentos enviados;
• concluídos;
• recusados;
• expirados;
• tempo;
• erros;
• autenticação;
• assinatura por nível;
• signatários sem poderes;
• versões canceladas;
• incidentes;
• validações;
• documentos exportados;
• satisfação.

Caso prático: contrato de tecnologia

O contrato envolve dados pessoais e duração de cinco anos.

A empresa:

1. valida representantes;
2. aprova versão e anexos;
3. utiliza autenticação forte;
4. coleta assinatura adequada;
5. preserva hash, trilha e tempo;
6. arquiva no CLM;
7. registra obrigações;
8. controla procurações;
9. testa validação;
10. mantém plano de saída.

A assinatura é uma etapa do controle contratual.

Erros comuns

• imagem como única evidência;
• certificado como prova de poderes;
• versão errada;
• anexo fora do pacote;
• qualquer método para qualquer risco;
• exigir ICP-Brasil sempre;
• presumir que eletrônico elimina formalidades;
• editar documento assinado;
• manter apenas link externo;
• ignorar offboarding da plataforma.

Como a CapturaMe se conecta a esse cenário

A CapturaMe pode relacionar aprovações, versões, signatários, poderes, documentos e trilhas ao processo de sourcing e contratos.

Integrada a serviços de assinatura, a plataforma ajuda a garantir que apenas a versão aprovada avance e que o documento concluído retorne ao repositório correto.

Conclusão

Assinatura eletrônica não é um desenho inserido em um arquivo.

É um conjunto de identidade, intenção, integridade, poderes e evidências. Procurement precisa escolher o método conforme o risco e conectar a assinatura ao ciclo completo do contrato.

Conheça a CapturaMe para empresas privadas

Perguntas frequentes

Assinatura eletrônica e digital são iguais?

Assinatura eletrônica é o conceito amplo; assinatura digital normalmente utiliza criptografia e certificado.

Todo contrato exige ICP-Brasil?

Não de forma universal. A exigência depende do ato, da lei, do risco e das partes.

Certificado prova que a pessoa tem poderes?

Prova identidade dentro de seu escopo, mas os poderes de representação precisam ser validados separadamente.

Posso editar o PDF depois?

Não. Alteração posterior pode comprometer integridade e deve gerar nova versão e nova assinatura.

O relatório da plataforma é suficiente?

Deve ser preservado junto ao documento, anexos e demais evidências.

Como escolher o nível?

Use uma matriz de risco e valide requisitos legais específicos com o jurídico.