Certificado Digital para operações no Tesouro Nacional e SIAFI: guia para empresas públicas

Mariana Fonseca, gestora de convênios em uma autarquia federal vinculada ao Ministério da Saúde, passou três dias tentando registrar uma ordem de pagamento no SIAFI. O certificado digital do servidor responsável havia sido emitido há mais de três anos, e o sistema simplesmente rejeitava a autenticação. Com recursos federais represados, fornecedores sem receber e um prazo de prestação de contas se aproximando, a correria para resolver uma situação que poderia ter sido evitada com planejamento tornou-se o retrato de um problema sistêmico: a gestão do Certificado Digital no setor público ainda é tratada como secundária, quando na verdade é a chave de tudo.

O SIAFI — Sistema Integrado de Administração Financeira do Governo Federal — é o coração da execução orçamentária e financeira da União. E o acesso a ele, a segurança das operações nele realizadas e a rastreabilidade de cada centavo movimentado dependem fundamentalmente do Certificado Digital.

O que é o SIAFI e quem o utiliza

Criado em 1987 e modernizado continuamente desde então, o SIAFI é o sistema pelo qual o governo federal executa seu orçamento. Por ele passam:

• Empenhos de despesas públicas.
• Liquidações e pagamentos a fornecedores e servidores.
• Registros contábeis de todas as entidades da administração pública federal.
• Transferências entre unidades gestoras.
• Prestações de contas e relatórios de execução orçamentária.

Utilizam o SIAFI:

• Ministérios e secretarias federais.
• Autarquias (INSS, IBAMA, ANVISA, ANATEL, entre outras).
• Fundações públicas (Fundação Oswaldo Cruz, FUNAI, etc.).
• Órgãos do Poder Judiciário, Legislativo e Ministério Público federal.
• Empresas públicas dependentes do Tesouro Nacional.

São dezenas de milhares de usuários em todo o Brasil que, diariamente, movimentam recursos que chegam a trilhões de reais por ano. A segurança dessas operações é questão de soberania financeira do Estado.

Como o Certificado Digital autentica operadores no SIAFI

O acesso ao SIAFI — especialmente ao SIAFI WEB e ao SIAFI NET — exige autenticação com Certificado Digital ICP-Brasil. Essa exigência não é apenas uma medida técnica: é uma garantia de que cada operação é atribuível a um servidor público identificado, com responsabilidade funcional e jurídica clara.

O fluxo de autenticação funciona da seguinte forma:

• O servidor instala o certificado digital (A3 em token ou smart card) na estação de trabalho.
• Ao acessar o SIAFI WEB, o sistema requisita o certificado e valida sua autenticidade junto à cadeia ICP-Brasil.
• O CPF vinculado ao certificado é cruzado com o cadastro de usuários do SIAFI, verificando perfis e permissões.
• Somente após essa validação, o servidor tem acesso às funcionalidades autorizadas pelo seu perfil.

Esse mecanismo garante que não há acesso anônimo ao SIAFI. Cada lançamento contábil, cada empenho, cada ordem bancária tem um responsável identificado criptograficamente — o que é essencial para os processos de auditoria do TCU e dos órgãos de controle interno.

Perfis de acesso no SIAFI: e-CNPJ vs e-CPF do servidor

No contexto do SIAFI, há uma distinção importante entre os tipos de certificado utilizados:

e-CPF do servidor: é o certificado padrão para acesso ao SIAFI. Como as operações são atribuídas à responsabilidade funcional de um servidor público específico, o certificado vinculado ao seu CPF é o mecanismo de autenticação adequado. O servidor responde pessoalmente pelos atos que pratica no sistema.

e-CNPJ do órgão/entidade: utilizado em contextos de integração sistêmica, como a comunicação entre sistemas legados de gestão e o SIAFI por meio de web services. Também utilizado para assinatura de documentos institucionais em nome da entidade.

Os perfis de acesso no SIAFI são hierárquicos e segmentados:

• Operador: realiza lançamentos e registros contábeis.
• Gestor: aprova operações e tem visão gerencial.
• Administrador de sistema: gerencia usuários e configurações da unidade gestora.

Cada perfil é vinculado ao certificado digital do servidor, garantindo que as permissões sejam exercidas apenas pela pessoa identificada.

SICONFI: obrigações de estados e municípios com certificado digital

O SICONFI (Sistema de Informações Contábeis e Fiscais do Setor Público Brasileiro) é a plataforma do Tesouro Nacional pela qual estados, municípios e o Distrito Federal enviam suas informações contábeis e fiscais. É por ele que são transmitidos:

• Relatórios de Gestão Fiscal (RGF) — exigidos pela Lei de Responsabilidade Fiscal.
• Relatórios Resumidos de Execução Orçamentária (RREO).
• Declarações de contas anuais (DCA).
• Informações do CAUC (Cadastro de Inadimplências) para habilitação em transferências voluntárias.

O acesso ao SICONFI requer Certificado Digital do responsável pela transmissão das informações — geralmente o contador ou o secretário de finanças do ente federativo. A transmissão sem certificado válido é recusada pelo sistema, e o não cumprimento dos prazos pode bloquear o acesso do município a repasses federais e à celebração de convênios.

Para estados e municípios, a gestão adequada dos certificados dos responsáveis pelo SICONFI é, literalmente, uma questão de continuidade da receita pública.

SICONV/Transferegov: assinatura de convênios com certificado

O Transferegov (anteriormente SICONV) é o sistema federal pelo qual são gerenciados convênios, contratos de repasse e acordos de cooperação entre o governo federal e estados, municípios, entidades privadas sem fins lucrativos e organismos internacionais.

Cada etapa do ciclo de vida de um convênio no Transferegov exige assinatura digital:

• Proposta: o convenente assina digitalmente a proposta de plano de trabalho.
• Instrumento: o termo de convênio ou contrato de repasse é assinado eletronicamente por ambas as partes.
• Execução: documentos de comprovação de despesas, relatórios de progresso e solicitações de liberação de parcelas requerem assinatura.
• Prestação de contas: o relatório final e os documentos de comprovação são assinados digitalmente.

A assinatura digital nesse contexto não é burocracia — é a garantia de que os recursos públicos transferidos foram utilizados pela entidade identificada, com responsabilidade jurídica clara do signatário.

TCU e fiscalização digital: como o certificado garante rastreabilidade

O Tribunal de Contas da União (TCU) fiscaliza a aplicação dos recursos federais por meio de sistemas como o e-TCU e acesso a dados do SIAFI, Transferegov e outras plataformas governamentais. O certificado digital é o fio condutor de toda essa rastreabilidade.

Quando o TCU audita um órgão ou convênio, pode verificar:

• Quem realizou cada lançamento no SIAFI, com data, hora e certificado utilizado.
• Quem assinou cada documento no Transferegov e quando.
• Se as assinaturas foram realizadas por pessoas com os perfis adequados para aquela operação.
• Se houve alterações nos documentos após a assinatura (a assinatura digital detecta qualquer modificação posterior).

Para gestores públicos, isso significa que o certificado digital não é apenas uma ferramenta de acesso — é evidência de probidade. Gestores que operam com certificado próprio, sem compartilhamento de credenciais, têm sua conduta documentada e defensável perante qualquer processo de controle externo.

Empresas estatais: quando usam ICP-Brasil vs certificados próprios

As empresas estatais brasileiras — Petrobras, Correios, Embrapa, BNDES, Caixa, Banco do Brasil e suas subsidiárias — ocupam uma posição peculiar: são pessoas jurídicas de direito privado, mas com controle estatal. Isso cria especificidades no uso de certificados digitais.

Quando usam ICP-Brasil:

• Para cumprir obrigações fiscais (NF-e, eSocial, SPED) como qualquer empresa privada.
• Para acesso a sistemas do governo federal quando aplicável (SIAFI, em caso de dependência orçamentária).
• Para assinatura de contratos com órgãos públicos e com a administração direta.
• Para operações no mercado financeiro que exigem certificado ICP-Brasil.

Quando podem usar certificados próprios (não ICP-Brasil):

• Para autenticação interna em sistemas corporativos privados.
• Para comunicação entre subsidiárias via rede privada corporativa.
• Para sistemas de intranet e gestão documental interno, sem interface com órgãos públicos externos.

A regra geral é: sempre que a operação tiver interface com o mundo externo — governo, mercado financeiro, parceiros comerciais — o certificado ICP-Brasil é o padrão exigido. Certificados privados têm validade apenas dentro do ecossistema da própria empresa.

Boas práticas de segurança para gestores públicos com certificado digital

A experiência acumulada com incidentes em órgãos públicos aponta para um conjunto de boas práticas que todo gestor com acesso ao SIAFI, SICONFI ou Transferegov deve seguir:

• Nunca compartilhar o certificado: cada servidor deve ter seu próprio certificado vinculado ao seu CPF. Compartilhar credenciais é vedado pelas normas do SIAFI e representa risco jurídico individual.
• Usar certificado A3 (token ou smart card): a chave privada fica no hardware e não pode ser exportada, eliminando o risco de cópia ou roubo da credencial.
• Monitorar o prazo de vencimento: criar alerta com 60 dias de antecedência para renovação, evitando bloqueios em períodos críticos (fim de exercício, prazos legais).
• Registrar os certificados emitidos: manter inventário atualizado de todos os certificados ativos na unidade, com responsável, data de vencimento e sistemas associados.
• Revogar imediatamente em caso de desligamento: quando um servidor deixa o órgão, seu certificado deve ser revogado junto à Autoridade Certificadora para evitar uso indevido.
• Treinamento continuado: gestores e operadores devem ser treinados sobre os procedimentos de uso seguro do certificado, incluindo como identificar tentativas de phishing que visam capturar PINs.

ValidAR: parceira do setor público na gestão de Certificado Digital

A história de Mariana, a gestora de convênios que perdeu dias preciosos por um certificado expirado, se repete em centenas de órgãos públicos todos os anos. A ValidAR entende essa realidade e oferece soluções pensadas para a administração pública:

• Certificados e-CPF A3 para servidores que operam no SIAFI, SICONFI e Transferegov.
• Certificados e-CNPJ para órgãos e entidades que necessitam de identidade jurídica digital.
• Validação online sem necessidade de deslocamento, respeitando as restrições de mobilidade do setor público.
• Suporte especializado para configuração em estações de trabalho com as especificidades técnicas dos sistemas governamentais.
• Gestão de lotes para órgãos que precisam renovar múltiplos certificados de forma organizada.

A conformidade digital do setor público não é opcional — é uma exigência legal, uma garantia de transparência e um instrumento de proteção para cada gestor que opera recursos públicos. Acesse a ValidAR agora e garanta que sua equipe tenha os certificados adequados, válidos e configurados corretamente para todas as obrigações digitais do serviço público federal, estadual ou municipal.