Com vocês... a NFe!

É preciso apresentá-la, já que, por incrível que pareça, a Nota Fiscal Eletrônica ainda é uma ilustre desconhecida. Entre as muitas razões para isso, está a “coincidência” de nomes entre diferentes projetos: temos a Nota Fiscal Eletrônica da Prefeitura de São Paulo, que gerencia serviços e o conseqüente Imposto sobre Serviços; a Nota Fiscal Paulista (também  “eletrônica”), que estimula com descontos em outros impostos o contribuinte a declarar suas compras; e por fim o projeto da Nota Fiscal Eletrônica (NFe), conduzido pela Receita Federal do Brasil em conjunto com as secretarias de fazenda de todos os estados. Sua estratégia é uniformizar a metodologia de tributação e fiscalização nas diversas cadeias de produção, que até então recebiam tratamentos diferenciados por estado, nem sempre alinhadas com a política tributária federal.

A NFe é um documento essencialmente digital, com validade jurídica garantida pela assinatura eletrônica de seu emitente. Ocasionalmente ganha uma versão, digamos,  “convencional” — DANFE (Documento de Acompanhamento da Nota Fiscal Eletrônica), em papel, para facilitar determinadas etapas do processo, mas em si mesma, a NFe, o documento, nada mais é do que um conjunto de bits armazenados de forma segura.
Que forma segura é essa? Já se explica: esse conjunto de dados, que se refere às atividades comerciais da empresa, é “assinado digitalmente” com uma chave criptográfica, o que significa que a sua legitimidade está associada a um processo algorítmico avançado cuja chave deve estar sob a responsabilidade de alguém que tenha comprovadamente poder na empresa. Vale dizer, o responsável pela empresa. A assinatura anexa-se ao arquivo que se deseja legitimar e o acompanha pelo seu ciclo de vida inteiro. Se qualquer dado em seu conteúdo for alterado, a assinatura perde sua validade e o documento, sua função.
Já se vê que um atacante com acesso não autorizado a tal chave pode fazer com ela um estrago bem razoável. Afinal, certificados digitais emitidos sob a égide da ICP-Brasil (Autoridade Certificadora Brasileira que garante a legitimidade dessa tecnologia) têm poder para fechar negócios, passar procurações, movimentar dinheiro, alterar dados na Receita Federal, e muito mais. Imagine.
Por que um hardware criptográficoPortanto, um dos fatores críticos desse processo é a guarda dessa chave criptográfica, pois dela dependem não apenas a segurança da empresa, mas também a lisura do processo. É um tipo de segredo cuja magnitude e potencial explosivo a literatura policial e Hollywood ainda não exploraram bem, com a honrosa exceção de “Fortaleza Digital”, de Dan Brown, autor de “O Código Da Vinci”, obra que também é associada a segredos e chaves. Voltando à NFe, é precisamente a assinatura digital que garante à SEFAZ ter sido mesmo aquela empresa a que emitiu determinado lote de notas fiscais cuja validade legal não pode ser questionada, nem repudiada.

A tecnologia empregada na NFe é baseada no conceito universal da Infra-Estrutura de Chaves Públicas (em inglês, Public Key Infrastructure, ou “PKI”), que trabalha com pares de chaves criptográficas. Ela é usada, com pequenas variações, em diversos sistemas críticos, como, por exemplo, o SPB, Sistema de Pagamentos Brasileiro, que monitora a compensação bancária, ou o sistema da Swift (Society for Worldwide Interbank Financial Telecommunication) que faz a mesma coisa em escala mundial, transferindo trilhões de dólares todos os dias. Em todos eles, a guarda da chave privada é feita dentro de um ritual extremamente seguro, comparável apenas aos sistemas de controle dos mísseis atômicos das potências nucleares.
Uma das recomendações principais dessa tecnologia orienta que a chave privada não seja armazenada em discos rígidos como arquivo, pois um disco é mais vulnerável logicamente do que um hardware desenvolvido especificamente para este fim.
Quando se compara o custo desse hardware com a “economia” gerada pela decisão de não comprá-lo, os empresários e gerentes de tecnologia responsáveis pelos prazos de implementação da NFe nas empresas costumam sentir-se aliviados, pois estão “barateando” o processo, reduzindo os custos da NFe, e “agilizando” o processo como um todo. As empresas fornecedoras de soluções de NFe, quando oferecem seus pacotes, costumam disponibilizar uma opção “com” e outra opção “sem” o harware criptográfico. Ao analisar essas opções, quem assina o cheque age sempre sob a pressão do “custo” de implementação da NFe: na era da otimização, quanto menor o custo, melhor a solução.
É uma decisão delicada, que pode ter conseqüências drásticas. Como ainda estamos engatinhando em certificação digital, as políticas de segurança inerentes ao seu uso não foram adequadamente incorporadas pela cultura das empresas. Uma aplicação crítica como a NFe, baseada em assinatura digital com chave privada armazenada em arquivo, pode ser comparada a um caminhão com freio de bicicleta — até ajuda a reduzir o impacto, mas não evita o desastre.
O Projeto NFe, que já produz mudanças conceituais importantíssimas, ao facilitar a emissão e gestão das informações fiscais, e gerar benefícios para contribuintes e administrações tributárias, poderia também engendrar esse amadurecimento, estimulando as empresas para além de um combate mais efetivo à sonegação, um controle mais inteligente da arrecadação, etc. Ao amadurecer a visão dos técnicos de segurança em relação a determinadas políticas tecnológicas, as implementações de NFe podem ser responsáveis tanto pela sua consagração profissional quanto pelo seu mais completo descrédito, se uma dessas chaves for violada e a empresa, penalizada injustamente.
Benefícios da NFe ainda não são clarosCom tudo isso, e apesar dos óbvios benefícios, pesquisa do Cenário da Nota Fiscal Eletrônica no Brasil - Visão Empresarial realizada em 2007, pelo Conselho Privado da Nota Fiscal Eletrônica do Brasil (CONFeB), não revelou uma visão otimista.

Finalizada há cerca de um ano, a pesquisa colheu entrevistas em 75 empresas de grande e médio porte, das quais 72% apresentam faturamento anual superior a R$ 100 milhões. Principais conclusões: 48% dos entrevistados caracterizaram como “insuficiente” seu conhecimento em relação ao projeto NFe; 12% acreditaram ter um conhecimento mais avançado e só 40% consideraram-no adequado. (Esses índices se referem ao topo da pirâmide do setor produtivo, não aos segmentos intermediários ou mesmo na base da pirâmide, cujo desconhecimento deve ser bem maior.) A pesquisa quis medir ainda o interesse dessas empresas na implantação da Nota Fiscal Eletrônica a curto e longo prazo: 48% das empresas responderam que irão implantar somente quando o uso for obrigatório e cerca de 7%, que não têm interesse em desenvolver ações neste sentido. Apenas 32% indicaram interesse em iniciar um projeto a partir deste ano.
Os dados de 2007 já traziam o embrião de um claro desalinhamento entre Governo e iniciativa privada. Para eliminá-lo seria necessário vender a idéia de que — mais do que uma obrigação — a NFe se constituiria em um novo ambiente jurídico-comercial, fértil para o desenvolvimento de novos negócios e novos mercados. Com a fraca abordagem do Governo neste sentido, algumas  empresas prestadoras de serviço de NFe lançaram produtos claramente destinados a cobrir a lacuna.
Em abril deste ano iniciou-se a obrigatoriedade da emissão de NFes pelas empresas de cigarros e combustíveis (distribuidoras de cigarro, usinas de álcool, refinarias de petróleo, transportadores e revendedores retalhistas). A partir de dezembro de 2008 e abril de 2009, será a vez de fabricantes de automóveis, cimentos, bebidas alcoólicas e refrigerantes, fabricantes e distribuidores de medicamentos, frigoríficos e atacadistas de carne, além dos agentes que vendem energia elétrica ao consumidor final e dos fabricantes de produtos siderúrgicos e de ferro-gusa. Os atuais sistemas de emissão da nota fiscal em papel serão integral, mas gradativamente substituídos por notas fiscais digitais.
A partir de abril de 2009, a NFe passa a ser obrigatória para importadores de automóveis, fabricantes de autopeças e pneus, alumínio, latas, garrafas PET, tintas, vernizes, solventes de petróleo e lubrificantes automotivos, fabricantes e importadores de resinas termoplásticas, distribuidores, atacadistas ou importadores de bebidas alcoólicas e de refrigerantes, processadores industriais, atacadistas e fabricantes de fumo e produtos relacionados e atacadistas siderúrgicos e de ferro-gusa.
Paulo Vianna é gerente de novos negócios da SafeNet Brasil