Verificação de documentos na empresa: como conferir um arquivo recebido

A verificação de documentos se resume a três perguntas. Quem aparece no documento de fato o emitiu ou assinou? Ele mudou desde então? E quem o enviou tem direito de enviá-lo? Uma nota de fornecedor, um contrato que voltou assinado, um certificado ISO no pacote de uma licitação, o diploma de um candidato, a cópia do passaporte de um novo diretor: papéis diferentes, as mesmas três perguntas.

As páginas que aparecem para essa busca tratam, em geral, de validadores oficiais e de documentos de identidade. Documento de identidade é uma linha da tabela mais abaixo. A maior parte do que chega a uma empresa nunca passa por um processo de KYC, e é justamente nesses papéis que se decide se o pagamento sai.

Um aviso logo de cara: verificar produz prova, não certeza. Um relatório de validação pode mostrar que um PDF não mudou desde que um certificado o assinou. Não mostra que a nota que está dentro dele é honesta. Você empilha checagens até o risco que sobra ser um que dá para carregar. Num PDF assinado, a primeira leva dois minutos: conferir uma assinatura digital online e guardar o relatório.

Apostila é outra checagem

Para um documento público que precisa valer em outro país, fala-se em apostila. Entre os países da Convenção da Haia, ela substitui a cadeia de legalizações: certifica quem assinou, em que qualidade e sob qual selo. Não diz nada sobre a veracidade do conteúdo.

Os tipos de verificação diferem menos pela tecnologia do que pelo lugar onde a verdade está. Num PDF assinado, a prova está dentro do arquivo. Numa nota ou fatura, está na sua própria ficha de fornecedor. Num diploma ou certificado, está com o emissor, e só vale perguntar a ele.

O documento de identidade é o caso à parte. O documento é um passaporte, um RG ou uma CNH, e a pergunta é se a pessoa diante da tela corresponde a ele. Isso pede ferramenta especializada, que lê a zona de leitura automática (MRZ) e o chip e faz prova de vida. Por isso muitas empresas só a usam em quem assina um contrato de valor alto.

Um validador responde a uma pergunta só: esta assinatura se sustenta, e por quais regras? Para assinaturas qualificadas na UE, o artigo 32 do regulamento eIDAS traz a lista. A validação precisa confirmar que o certificado era qualificado, emitido por um prestador qualificado de serviços de confiança e válido no momento da assinatura; que um dispositivo qualificado de criação de assinaturas a gerou; que os dados assinados não foram comprometidos; e que os dados do signatário chegam corretamente a você, com o pseudônimo indicado, se houver.

Validadores europeus, a biblioteca DSS da Comissão Europeia incluída, seguem a norma ETSI EN 319 102-1. Um único procedimento cobre PAdES (assinaturas dentro de PDF), XAdES (XML), CAdES (arquivos .p7m e .p7s) e contêineres ASiC, e termina em um de três resultados. Cada ferramenta os escreve do seu jeito; por baixo, é sempre um deles.

No Brasil, o VALIDAR, serviço oficial do ITI, confere online o status de assinaturas ICP-Brasil, gov.br e de acordos internacionais de reconhecimento mútuo. Aceita o arquivo assinado, uma URL, a leitura de um QR Code ou uma assinatura destacada, e informa o titular do certificado usado e se o documento foi alterado depois de assinado. A ICP-Brasil é uma classe de certificado do Estado brasileiro; o validador do ITI é a ferramenta certa para ela.

Válida não é o mesmo que qualificada

Um relatório pode dizer TOTAL-PASSED para uma assinatura avançada que não é qualificada. Saber se é qualificada é consulta a uma lista: o emissor consta na lista de confiança da UE como prestador qualificado? A própria nota da ETSI avisa que um resultado positivo não significa necessariamente que a assinatura serve para um fim específico. Leia então duas linhas: se validou e em que nível. Se o seu contrato exige assinatura qualificada, além de PDFs você pode conferir arquivos XAdES, CAdES e ASiC contra a lista de confiança da UE.

Um hábito compensa: salve o relatório no dia em que o gerar. Os dados de revogação de assinaturas que não os embutem podem sumir depois, e o relatório de hoje vale mais que repetir a conferência daqui a dois anos.

Um hash é uma impressão digital curta calculada a partir de cada byte de um arquivo. O Secure Hash Standard do NIST diz a finalidade sem rodeios: os resumos servem para detectar se uma mensagem mudou desde que foram calculados. Troque uma vírgula e o valor SHA-256 fica totalmente diferente.

Por isso comparar hashes é a forma mais barata de verificar a autenticidade de documentos entre duas cópias. Peça ao remetente que leia por telefone o hash do arquivo que enviou e compare com o do passo dois. Mesmo valor, mesmo arquivo. Os tribunais americanos seguem a mesma lógica: as notas de 2017 do comitê sobre as Federal Rules of Evidence dizem que hashes idênticos mostram de forma confiável que cópia e original são duplicatas exatas.

O limite é igualmente claro. Um hash idêntico prova que a cópia é idêntica. Não prova que o original era honesto.

As duas marcas por trás da maioria dos PDFs assinados podem ser conferidas sem conta em nenhuma delas.

DocuSign. Primeiro, confirme que o envelope veio mesmo da DocuSign. A orientação de segurança da própria DocuSign manda verificar se o e-mail vem de um domínio oficial como @docusign.net e abrir o documento no site da DocuSign com o código de segurança do e-mail, em vez de um link. Depois olhe o que você recebeu:

• O PDF final, que abre em qualquer validador como qualquer outro PDF assinado.
• O certificado de conclusão (Certificate of Completion): o registro da DocuSign sobre o envelope, com o ID do envelope, cada signatário e os eventos com carimbo de data e hora da assinatura. É um registro de auditoria, não a assinatura digital do PDF; trate os dois como provas separadas.
• O ID do envelope impresso nas páginas, uma referência para citar quando você pedir o certificado ao remetente.

Adobe Acrobat. Abra o painel de assinaturas, escolha a assinatura e valide. O Acrobat decide a confiança pelos próprios ajustes, que não coincidem com os de um validador europeu: uma assinatura pode passar no Acrobat e sair não qualificada em outro lugar, ou o contrário. Se você está olhando para uma faixa amarela, aqui está o que significam os avisos amarelos do Acrobat.

Sendo honesto, o erro mais comum aqui não é fraude. É um documento que alguém organizou depois de assinado.

KYB (Know Your Business) é o KYC no nível da empresa. Para as pessoas obrigadas pela lei de prevenção à lavagem de dinheiro (Lei 9.613/1998), é dever legal. Na UE, quem é obrigado passa a ter um regulamento único, o Regulamento (UE) 2024/1624, a partir de 10 de julho de 2027. Para todos os outros, o KYB é prudência comum e custa menos do que parece:

1. 1.
   Encontre você mesmo a empresa no registro oficial. No Brasil, consulte o CNPJ: o serviço da Receita Federal mostra a situação cadastral e o quadro de sócios e administradores (QSA) e emite o Comprovante de Inscrição e de Situação Cadastral. A Junta Comercial do estado guarda os atos societários, e a JUCESP, por exemplo, tem uma consulta de autenticidade de documentos. Os registros comerciais de todos os países da UE são pesquisáveis juntos no portal e-Justice desde junho de 2017.
2. 2.
   Compare razão social, CNPJ e endereço do documento com o registro. Um nome fantasia na nota e outra pessoa jurídica no contrato merecem uma pergunta.
3. 3.
   Veja quem pode assinar. Sócios-administradores constam no registro; um «head of partnerships» normalmente não.
4. 4.
   Compare o endereço e a data de abertura com o que o fornecedor diz de si. Empresa com meses de vida vendendo «há 20 anos» é a incoerência clássica.
5. 5.
   Se a empresa tiver um identificador de entidade jurídica (LEI), consulte-o como segundo registro, mantido por outro.

Com uma contraparte no exterior, o quadro muda. No Reino Unido, a Companies House exige desde 18 de novembro de 2025 a verificação de identidade de diretores e de pessoas com controle significativo. Nos EUA, os bancos devem identificar, conforme 31 CFR 1010.230, os beneficiários finais a partir de 25 % e uma pessoa de controle; as empresas criadas nos EUA estão isentas desde março de 2025 de informar seus beneficiários finais à FinCEN, então não procure uma declaração federal.

Depois, a pessoa. Num negócio grande, acrescente uma checagem de KYC de quem assina: documento de identidade, prova de vida e triagem de sanções e PEP. Como checar a identidade de quem assina está na página do serviço. Nosso guia sobre como verificar um cliente antes de assinar explica quem é obrigado por lei e quem simplesmente deveria fazer.

O papel falsificado leva a atenção, mas as maiores perdas documentadas vêm de documentos reais, ou de conversas reais, com um detalhe trocado. O Internet Crime Report 2024 do FBI registrou 21.442 queixas de comprometimento de e-mail corporativo e 2,77 bilhões de dólares em perdas, de 16,6 bilhões declarados no ano. Dentro das empresas, a fraude dura: o relatório 2026 da ACFE, com 2.402 casos no mundo, aponta perda mediana de 104.000 dólares e, no caso típico, 12 meses até a descoberta.

Padrões que valem ensinar ao seu time:

• Dados bancários trocados. Uma conversa real com um fornecedor, uma cobrança verossímil, uma conta nova. No Brasil, o clássico é o boleto falso, com código de barras ou beneficiário alterado. É o padrão mais caro e o mais fácil de barrar, com uma ligação.
• Um PDF editado que ainda mostra uma assinatura. Um PDF pode ter revisões acrescentadas depois da assinatura, de modo que a assinatura vale para uma versão anterior enquanto a página que você lê é posterior. Os validadores informam qual revisão cada assinatura cobre. Leia essa linha.
• Uma imagem de assinatura colada: parece assinatura e não tem criptografia.
• Um domínio parecido: uma letra trocada no endereço do remetente, muitas vezes numa conversa que começou legítima.
• Um certificado ou certidão verdadeiros que não são dele, retocados para mostrar outro nome de empresa ou outro escopo. O registro do emissor desmascara.
• Documentos de identidade e holerites gerados. Detectá-los é trabalho de ferramenta especializada, e tratamos à parte o que os modelos de IA procuram num documento de identidade falso.

A falsidade documental é crime: falsificação de documento público (art. 297 do Código Penal), de documento particular (art. 298) e uso de documento falso (art. 304). Isso ajuda depois, não antes.

Nenhum desses padrões sobrevive a uma rotina que confere o canal e uma fonte independente. Sobrevivem a gente com pressa.

Um relatório de validação é prova sobre uma assinatura. O peso dele depende de onde você vai usá-lo e do que aconteceu com o arquivo antes de você conferi-lo.

No Brasil, a Medida Provisória 2.200-2/2001 (art. 10, § 1º) presume verdadeiras, em relação aos signatários, as declarações de documentos eletrônicos produzidos com certificação da ICP-Brasil. O § 2º deixa aberta outra porta: vale também outro meio de comprovar autoria e integridade, inclusive certificados não emitidos pela ICP-Brasil, desde que as partes o aceitem ou a pessoa contra quem o documento é apresentado o admita. A Lei 14.063/2020 (art. 4º) separa a assinatura eletrônica em simples, avançada e qualificada. No processo, o CPC considera autêntico o documento cuja autoria esteja identificada por meio legal de certificação, inclusive eletrônico, ou que não seja impugnado (art. 411, II e III), e quem contesta a autenticidade deve suscitar a falsidade na contestação, na réplica ou em 15 dias da juntada (art. 430). Sem ICP-Brasil, pesa o que você consegue demonstrar: original, hash, relatório e histórico de recebimento.

Na UE, o artigo 25, n.º 1, do eIDAS diz que não se pode negar efeito jurídico nem admissibilidade como prova a uma assinatura eletrônica só porque é eletrônica ou não cumpre os requisitos da qualificada. O artigo 33 acrescenta um degrau: só um prestador qualificado de serviços de confiança pode prestar o serviço de validação qualificado de assinaturas qualificadas, validando conforme o artigo 32 e entregando o resultado de forma automatizada com a sua própria assinatura ou selo avançado. Em Portugal, o Decreto-Lei n.º 12/2021 (art. 3.º) equipara a assinatura eletrónica qualificada à autógrafa e deixa as partes aceitarem outros meios.

Nos EUA, a regra 901(a) das Federal Rules of Evidence exige o suficiente para sustentar que um item é o que seu proponente diz. Desde dezembro de 2017, os itens 902(13) e 902(14) da regra 902 deixam a prova eletrônica se autenticar pela certificação de uma pessoa qualificada; as notas citam o hash como método usual.

Duas ressalvas, e as duas importam. Autêntico não é o mesmo que verdadeiro: um relatório prova o arquivo e a assinatura, não os fatos escritos neles, e a outra parte ainda pode discutir o conteúdo. E nada disso é aconselhamento jurídico para a sua disputa; é o quadro de que um advogado parte. Aviso franco: se o original foi editado antes de alguém calcular o hash, nenhuma regra conserta, e por isso a verificação começa no instante em que o arquivo chega.

O Chaindoc está dos dois lados da verificação de documentos, então vale ser exato em cada um.

Para os arquivos que você recebe, o serviço de verificação do Chaindoc faz as checagens da seção do relatório em assinaturas PDF, XML, CAdES e ASiC. Você confirma o e-mail com um código de uso único antes da primeira checagem. A validação roda na biblioteca DSS da Comissão Europeia, a confiança se ancora na lista de confiança da UE e nas grandes autoridades certificadoras comerciais, e integridade e confiança voltam como resultados separados, de modo que um emissor não reconhecido não passe por documento adulterado. Para uma validação qualificada no sentido do artigo 33, você precisaria de um prestador qualificado de serviços de confiança que a ofereça.

Quando você envia um documento pelo Chaindoc, o servidor calcula o hash do arquivo no upload. Ao publicá-lo para assinatura, o hash dessa versão é gravado numa blockchain pública, e a prova de cada signatário é registrada lá quando ele conclui. As checagens de identidade dos signatários são opcionais e vêm com os planos pagos, então você pode ligá-las nos documentos que as justificam.

O que o Chaindoc não faz é a ligação do passo três nem a consulta ao registro do passo cinco. Isso fica com você. Se você compara serviços de verificação, é um teste justo para qualquer um: quais passos a ferramenta cobre e quais ela deixa, em silêncio, para o seu time.

Imprima, fixe no canal do financeiro, adapte. Uma rotina de verificação só funciona se rodar também na cobrança sem graça de terça-feira, não só no contrato grande.

• Original guardado intacto, hash anotado
• Remetente, domínio e pedido normais para essa contraparte, ou confirmados por um contato conhecido
• Assinatura validada, relatório salvo, nível comparado com o que o negócio exige
• Conteúdo comparado com uma fonte independente: registro do emissor, Receita Federal, ficha de fornecedor
• Empresa encontrada no registro oficial e signatário com poderes para assinar
• Checagem de identidade do signatário onde o valor do negócio justificar
• Tudo arquivado junto, com a nota de quem confirmou o quê e quando

Se um passo não puder ser feito, escreva por quê. Uma lacuna registrada é uma decisão. Uma lacuna que ninguém notou é como os casos caros começam.