A Superintendência Nacional de Previdência Complementar (Previc) decidiu descentralizar a administração dos acessos aos seus sistemas institucionais e transferir às entidades fechadas de previdência complementar parte da responsabilidade pelo controle das identidades digitais de seus usuários. O novo modelo estabelece quem poderá autorizar, alterar ou cancelar permissões dentro de cada fundo de pensão e cria mecanismos para identificar quem concedeu cada acesso, quando a operação ocorreu e quais privilégios foram atribuídos.
As regras estão na Portaria Previc nº 578, de 29 de julho de 2026, que disciplina a gestão dos acessos de pessoas vinculadas, autorizadas ou indicadas pelas Entidades Fechadas de Previdência Complementar (EFPC) aos sistemas utilizados para envio de informações, requerimentos e solicitações de serviços ao órgão supervisor.
A mudança vai além da administração de usuários e senhas. A norma estabelece uma estrutura de governança de identidades baseada em menor privilégio, segregação de funções, rastreabilidade e responsabilização individual. Ao mesmo tempo em que entrega aos fundos a administração cotidiana das permissões de seus representantes, a Previc preserva o poder de intervir, revisar perfis e suspender acessos quando identificar riscos de segurança, proteção de dados ou uso indevido.
Cada EFPC deverá manter na Previc um gestor titular e um gestor suplente de acesso. O titular será o responsável pela concessão, administração e manutenção das permissões da entidade nos sistemas da autarquia, enquanto o suplente poderá substituí-lo nessas funções. Os dois deverão possuir vínculo formal com o fundo de pensão, mas não precisarão ocupar cargos de direção.
Na prática, a Previc passa a delegar a cada entidade supervisionada a primeira camada de controle sobre quem poderá utilizar seus ambientes digitais. Caberá aos gestores conceder, alterar, suspender e revogar acessos, acompanhar as autorizações existentes, verificar se os perfis concedidos correspondem às atividades exercidas pelos usuários e realizar revisões periódicas das permissões.
Os gestores também terão de comunicar à autarquia, assim que tomarem conhecimento, qualquer suspeita de uso indevido, compartilhamento, comprometimento ou perda de controle de credenciais. Quando um funcionário ou prestador mudar de função, deixar a entidade ou simplesmente não precisar mais utilizar determinado sistema, seu acesso deverá ser alterado, suspenso ou revogado.
A responsabilidade, entretanto, não fica apenas com esses gestores. A própria EFPC deverá assegurar que as pessoas autorizadas tenham vínculo ou autorização compatível com a finalidade do acesso, orientar os usuários sobre o caráter individual e intransferível das credenciais e manter atualizadas as informações fornecidas à Previc. Também terá de cooperar em auditorias, verificações, investigações sobre utilização indevida e tratamento de incidentes relacionados à segurança da informação e à proteção de dados pessoais.
Privilégios
Um dos pontos centrais da Portaria está nos critérios que deverão orientar a concessão das permissões. A Previc determina expressamente que os acessos obedeçam aos princípios da necessidade, menor privilégio, segregação de funções, rastreabilidade e responsabilização individual.
Isso significa que a vinculação de uma pessoa a um fundo de pensão, por si só, não deverá justificar permissões amplas nos sistemas da autarquia. O perfil atribuído terá de ser compatível com as atividades efetivamente desempenhadas pelo usuário. A norma proíbe a concessão de privilégios incompatíveis com a finalidade do acesso ou com as atribuições da pessoa autorizada.
O modelo procura enfrentar um problema particularmente sensível em ambientes corporativos e governamentais: a permanência de contas e privilégios depois que funcionários mudam de atividade, deixam uma organização ou não necessitam mais acessar determinadas informações.
Por isso, a Portaria estabelece que alteração de atividade, desligamento ou desaparecimento da necessidade de utilização do sistema deverá provocar atualização, suspensão ou revogação tempestiva da autorização.
A Previc, por sua vez, mantém poder para agir diretamente. A autarquia poderá suspender cautelarmente um acesso quando houver indício de uso indevido, compartilhamento de credencial, comprometimento da conta ou risco à segurança da informação, à proteção de dados pessoais ou à integridade de seus sistemas. A suspensão não impede outras providências. Dependendo da ocorrência, poderão ser adotadas medidas administrativas, técnicas, jurídicas ou de comunicação institucional.
Rastreamento
Outra mudança relevante está na formação de uma trilha digital das autorizações concedidas. As operações de concessão, alteração, suspensão e revogação realizadas no sistema denominado “ACESSO” deverão ser mantidas para controle, rastreabilidade e auditoria. Os registros poderão identificar o usuário, o gestor responsável pela operação, o perfil concedido, a data e a hora da alteração e o tipo de procedimento realizado, além de outros elementos considerados necessários para segurança, auditoria e responsabilização.
Com isso, uma investigação sobre determinado acesso poderá, em princípio, reconstruir a cadeia administrativa que permitiu a entrada de uma pessoa no ambiente da Previc: quem recebeu a autorização, quem a concedeu, qual perfil foi atribuído e quando isso ocorreu.
A rastreabilidade acompanha uma definição mais clara de responsabilidade sobre as credenciais. Elas passam a ser expressamente classificadas como individuais, pessoais e intransferíveis. Ficam proibidos compartilhamento, empréstimo, cessão, divulgação e uso coletivo.
O usuário responderá pelos atos realizados por meio de sua credencial, ressalvados os casos de comprometimento, fraude ou utilização indevida por terceiros que tenham sido devidamente comunicados e apurados. Tanto o usuário quanto a entidade deverão comunicar à Previc suspeitas de exposição, compartilhamento, perda de controle ou comprometimento da conta.
Dados pessoais
A proteção de dados também integra formalmente a arquitetura estabelecida pela Portaria. Os dados pessoais tratados para a gestão das identidades deverão se limitar às informações necessárias para identificação, autenticação, autorização, auditoria, rastreabilidade e segurança dos acessos, além do cumprimento das obrigações legais e regulatórias da autarquia.
Os períodos durante os quais os registros permanecerão armazenados não foram fixados diretamente pela Portaria. A definição deverá considerar a legislação aplicável, os instrumentos de gestão documental e as necessidades de auditoria, segurança da informação e proteção de dados pessoais.
A Portaria deixa claro, ainda, que suas disposições não substituem outras regras aplicáveis à autenticação, assinatura eletrônica, protocolo, processo eletrônico, proteção de dados, segurança da informação ou tratamento de incidentes.
O novo regime também alcança o Sistema Eletrônico de Informações (SEI). Usuários externos vinculados aos fundos continuarão sujeitos aos procedimentos específicos estabelecidos pela Previc e às normas aplicáveis ao processo administrativo eletrônico. As credenciais deverão ser utilizadas exclusivamente para a finalidade autorizada, respeitando também as regras de assinatura eletrônica.
Controle da TI
Dentro da Previc, a Coordenação-Geral de Tecnologia da Informação (CGTI) ficará no centro da operação do novo modelo. A área será responsável por administrar os procedimentos de gestão dos acessos, manter e disponibilizar o sistema “ACESSO”, orientar as entidades supervisionadas e acompanhar a execução das regras. Também poderá definir procedimentos operacionais complementares e deverá disponibilizar manuais, formulários, fluxos e canais de atendimento.
A CGTI recebeu ainda a atribuição de implementar, quando tecnicamente viável, melhorias nos controles destinados à rastreabilidade, auditoria, segurança e integridade dos acessos. Também apoiará tecnicamente a investigação de indícios de utilização indevida, comprometimento de credenciais e incidentes relacionados aos sistemas da autarquia.
Nesses casos, a área de tecnologia deverá atuar em conjunto com as unidades responsáveis por segurança da informação, proteção de dados pessoais, gestão documental, processo eletrônico, correição, fiscalização e supervisão.
A própria Portaria, porém, estabelece um limite para esse poder. Os procedimentos operacionais editados pela CGTI deverão se restringir à execução das regras estabelecidas pela Portaria e por normas superiores. A área não poderá criar, por meio de manuais ou procedimentos técnicos, novas obrigações materiais que não estejam previstas nesses instrumentos.
Prazo
Os fundos de pensão terão até 60 dias, contados da publicação da Portaria, para adequar os cadastros dos gestores titular e suplente às novas regras.
Durante esse período, os acessos existentes poderão ser mantidos. A Previc, entretanto, poderá revê-los, suspendê-los ou revogá-los imediatamente caso identifique risco à segurança da informação, à proteção de dados pessoais ou à integridade de seus sistemas.
Terminado o prazo, uma entidade que não tenha indicado regularmente os dois gestores poderá sofrer restrições ou suspensão das funcionalidades utilizadas para administrar os acessos de seus usuários.
A utilização dos sistemas para finalidade diferente daquela que justificou a autorização também poderá provocar suspensão ou revogação das permissões, além de outras consequências administrativas, técnicas, civis, penais ou regulatórias.
Com a Portaria nº 578, a Previc estabelece, assim, uma divisão mais explícita das responsabilidades pela segurança de seus ambientes digitais. Os fundos passam a controlar diretamente as identidades e permissões de seus representantes, mas cada concessão poderá deixar uma trilha de auditoria e permanecerá submetida à supervisão da autarquia.
O resultado é um modelo no qual a gestão operacional dos acessos é descentralizada, enquanto o controle tecnológico, a capacidade de auditoria e o poder de intervenção continuam centralizados na Previc. Para as entidades de previdência complementar, a mudança significa que administrar corretamente quem entra, o que pode consultar ou executar e quando deve perder a autorização deixa de ser apenas uma rotina interna de TI e passa a integrar formalmente suas responsabilidades perante o órgão supervisor.
