Um analista altera uma regra de crédito, reabre a apuração e transmite a obrigação. Sem revisão entre essas etapas, um erro pode chegar ao Fisco. O risco não está apenas em quem acessa o ERP, mas no que consegue executar e aprovar sozinho.
Separar funções exige olhar o caminho completo: ERP, motor tributário, plataforma fiscal e transmissão. Bloquear uma tela não resolve se a mesma alteração continua disponível por importação ou API.
No IMTT — Índice de Maturidade Tecnológica em Tax, da Confeb, de 2026, o Controle de Acesso aparece em alta maturidade em 25% das empresas respondentes. O levantamento ouviu 190 profissionais de Tax. O resultado ajuda a contextualizar a importância de tratar permissões como uma frente própria de governança fiscal.
Liste as atividades críticas e registre sistema, estabelecimento, responsável e evidência produzida. Inclua cadastros de produtos, fornecedores e operações que alimentam a tributação, mesmo quando ficam fora dos menus fiscais.
O inventário deve abranger:
Verifique quem executa cada ação pela interface, por carga ou integração. Inclua quem consegue modificar arquivos depois da aprovação: liberar um conteúdo que pode ser substituído sem nova revisão deixa o controle incompleto.
Cruze atividade, escopo e capacidade de atuação. Consulta permite visualizar; execução permite agir; aprovação autoriza uma ação ou libera seu resultado. Na configuração tributária, identifique também quem aplica a mudança em produção. A matriz abaixo é um modelo de distribuição, não uma exigência legal específica.
| Atividade | Consulta | Execução ou aplicação | Aprovação ou liberação |
|---|---|---|---|
| Alterar regra tributária | Fiscal e revisor | Parametrizador autorizado | Responsável tributário distinto do executor |
| Incluir ajuste de crédito | Fiscal e revisor | Analista responsável | Revisor independente |
| Reabrir apuração | Fiscal e gestor | Operador autorizado | Responsável pelo fechamento, distinto do executor |
| Gerar arquivo fiscal | Fiscal e revisor | Operador fiscal | Revisor libera a versão conferida |
| Transmitir obrigação | Consulta ao status e recibo | Transmissor autorizado | Liberação prévia vinculada à versão |
| Conceder acesso crítico | Gestor e controle de acessos | Administrador de identidades | Dono do processo, sem autoaprovação |
Avalie a soma dos perfis, inclusive grupos herdados e substituições. Um perfil permite alterar créditos; outro, aprovar ajustes. Se ambos pertencem à mesma pessoa, a separação existe apenas no desenho. Também são conflitos reabrir e liberar a própria apuração, editar e transmitir um arquivo sem nova aprovação ou conceder acesso crítico a si mesmo.
O NIST SP 800-53 Rev. 5 traz referências de segregação de funções, menor privilégio e gestão de contas, nos controles AC-5, AC-6 e AC-2. São orientações de segurança, não obrigações tributárias brasileiras específicas.
Em um exemplo hipotético, mudar uma regra de crédito exige informar tributo, estabelecimentos, vigência e operações afetadas. O responsável tributário aprova o tratamento; TI avalia implementação e integrações; o fornecedor pode configurar. A validação fiscal deve permanecer com um responsável interno, sem autoaprovação do executor.
Mantenha um fluxo curto de evidências:
Mudanças nas integrações seguem o mesmo fluxo. Como no trabalho de adaptação da integração às mudanças de leiaute do SPED, passar pelo validador não substitui conferir o tratamento tributário.
Cada conta de integração precisa de responsável, finalidade e permissões mínimas. Uma rotina de consulta não precisa alterar parâmetros. Para suporte, use acesso individual vinculado a chamado, com escopo, aprovador e expiração. Registre intervenções em produção e confira seus efeitos.
A retirada de acesso deve alcançar também os meios externos de assinatura e transmissão. A gestão de certificados digitais e integrações fiscais ajuda a revisar responsáveis, credenciais e procurações, sem limitar o controle aos perfis do ERP.
Na liberação do arquivo, registre obrigação, período, estabelecimento, versão e totais conferidos. Quando viável, use um hash para identificar o conteúdo aprovado. Se o arquivo mudar, deve voltar à revisão. Associe o recibo à versão transmitida e proteja os registros contra alteração pelos próprios executores.
Quando não houver pessoas suficientes para separar todas as etapas, documente o conflito e exija revisão independente das mudanças críticas antes do fechamento e da liberação. Um gestor ou profissional habilitado que não executou a alteração deve conferir parâmetros, créditos, reaberturas e reflexos nos totais. Aprovação genérica por e-mail não basta.
Reserve capacidade para essa tarefa ao dimensionar a equipe fiscal por carga, complexidade e prazo. Acessos emergenciais precisam de justificativa, prazo, registros e revisão independente das ações. O controle compensatório reduz o risco, mas não equivale à separação completa.
Por fim, vincule acessos à movimentação de pessoal. Na mudança de cargo, retire permissões antigas antes de acumular novas. No desligamento, revogue ERP, plataformas fiscais, suporte remoto e autorizações externas conforme o processo definido. Revise também contas sem uso e exceções vencidas: a permissão deve acompanhar a responsabilidade atual.
Este conteúdo foi produzido com apoio de inteligência artificial e revisado pela equipe editorial da Live University.