Susep CP 11/2026: seguradoras passam a guardar o que entregam ao auditor, com hash SHA-256 e assinatura ICP-Brasil

A Circular Susep nº 605/2020 diz o que seguradoras, sociedades de capitalização, entidades abertas de previdência, resseguradores locais, estipulantes e intermediários precisam guardar e por quanto tempo. Ela não fala da auditoria independente: os papéis de trabalho ficam com o auditor, por normas do CFC, da CVM e do IBA. A Susep quer que a supervisionada também guarde o que entrega ao auditor e o que recebe dele, e que prove depois que nenhum arquivo foi trocado.

Lemos a minuta (SEI 2898766), o Voto Eletrônico nº 32/2026/DIRPE, o quadro comparativo e o texto da Circular 605 publicado no DOU de 29 de maio de 2020.

Prazo e canais

O Aviso de Consulta Pública nº 11/2026/SUSEP (DOU de 16 de outubro de 2026, Seção 3) abre prazo de "até 30 (trinta) dias corridos, contados a partir da data de publicação deste edital", e só aceita contribuições pelo Sistema de Consultas Públicas. Manifestações enviadas por outros canais serão desconsideradas.

A conta dá 15 de novembro, um domingo e feriado. O sistema da Susep registra início em 16/10/2026 às 18h e fim em 16/11/2026 às 18h. Processo Susep nº 15414.631954/2026-11. A ficha do sistema chama a norma de "Resolução Susep nº 605"; é a Circular.

Linha do tempo

• Maio de 2020: a Circular 605 sai da Consulta Pública nº 6/2020 e entra em vigor em 1º de julho de 2020, revogando a Circular 74/1999.
• 2023: memorando da CGFIP (processo 15414.608039/2023-80) propõe a regra.
• Dezembro de 2025: o tema vira o item 39 do Plano de Regulação 2026 (Resolução Susep nº 72/2025), com prioridade P2. A Resolução Susep nº 91/2026 mantém o item.
• 8 de outubro de 2026: o diretor da DIRPE assina o voto. Aviso no DOU em 16 de outubro.

Pela busca no DOU (por "Circular Susep nº 605" e pela data do ato), a Circular 605 nunca foi alterada desde 2020. Esta seria a primeira mudança.

O que muda

São três alterações; o resto da Circular fica igual.

1. Um novo item na lista do que se guarda. O § 3º do art. 2º tem hoje três incisos (nota técnica, contratos, documentos de governança). A minuta inclui o inciso IV: "documentação de suporte aos trabalhos de auditoria independente contábil e atuarial". Cobre os dois lados: o que a empresa forneceu ao auditor e ao atuário independente e o que eles entregaram durante o trabalho.

2. Um marco para contar o prazo. O art. 3º vigente exige guarda mínima de cinco anos a partir do ato, do fim do contrato ou da extinção das obrigações, valendo o que for mais recente. Para esses documentos, o novo § 4º conta os cinco anos da data do relatório do auditor ou do atuário independente.

3. O art. 11-A, que cria a obrigação mais trabalhosa. Para cada trabalho de auditoria e cada exercício, a supervisionada monta uma relação analítica dos arquivos, com:

• identificação do trabalho, do auditor ou atuário e do exercício;
• nome, formato e tamanho em bytes de cada arquivo;
• hash de cada arquivo, em SHA-256 ou algoritmo mais robusto admitido na ICP-Brasil;
• data em que o arquivo foi entregue ao auditor ou recebido dele.

Papel tem de ser digitalizado. A relação é assinada em até 30 dias da data do relatório, com certificado ICP-Brasil e carimbo do tempo de autoridade credenciada. Assina o diretor responsável pela contabilidade, na auditoria contábil, e o diretor responsável técnico, na atuarial. No mesmo prazo, uma cópia vai para o auditor, que a incorpora aos papéis de trabalho. A relação é guardada pelo prazo do art. 3º e entregue à Susep quando pedida.

Vigência proposta: 2 de janeiro de 2027 (art. 2º da minuta).

Por que a Susep quer isso

A Susep já tem acesso aos papéis do auditor. Segundo a transcrição do voto, o art. 143 da Resolução CNSP nº 432/2021 exige no contrato de auditoria uma cláusula que dá à autarquia acesso a esses papéis "a qualquer tempo". O problema, diz o voto, são análises feitas anos depois do balanço, quando os papéis do auditor podem não estar disponíveis e a documentação está espalhada pela empresa.

A relação com hash foi proposta pela CGFIP em despacho de 2026. Com duas cópias, uma na empresa e outra no auditor, a lista assinada mostra se algum arquivo foi suprimido, substituído ou alterado.

Onde a minuta pede atenção

• Transição. A minuta não tem regra de transição. O art. 13 da Circular 605, que continua valendo, aplica os prazos de guarda "inclusive para os documentos gerados antes da entrada em vigor" da norma. Somado ao novo inciso IV, isso pode exigir a guarda de documentos de auditorias de 2022 a 2025 cujos relatórios ainda estejam dentro dos cinco anos. Também não está claro se o art. 11-A vale só para relatórios emitidos a partir de 2 de janeiro de 2027, caso dos relatórios sobre 2026.
• Volume. "Dados, informações e documentos fornecidos" pode abranger bases inteiras usadas na auditoria atuarial, e cada versão enviada teria de ser guardada e listada. A minuta não diz se uma base reenviada após correção conta como um arquivo novo.
• Novo documento, sim. O voto diz que a proposta "não criava novos documentos", mas no item 11 ele descreve a ideia original, de 2023. O art. 11-A, que veio depois, cria um documento novo, com assinatura de dois diretores, certificado digital e carimbo do tempo.
• Arquivos entregues depois do relatório. O prazo de 30 dias começa na data do relatório. A minuta não diz o que fazer com documentos trocados depois dela, como eventos subsequentes e reemissões.
• Quem está sujeito. A Circular 605 chama de supervisionados também os estipulantes e os intermediários, e o art. 11-A fala apenas em "supervisionada". Os cargos de assinatura (diretor de contabilidade e diretor técnico) indicam que a regra é para seguradoras, EAPCs, capitalização e resseguradores.
• Sem AIR. O voto dispensa a análise de impacto regulatório com base no art. 4º, V, do Decreto nº 10.411/2020, que permite a dispensa para atos que preservem "liquidez, solvência ou higidez" do mercado de seguros. Sem AIR, o custo de assinaturas, carimbos do tempo e armazenamento não foi medido; a consulta é o lugar para levá-lo.

O que fazer até 16 de novembro

• Contabilidade e atuária de seguradoras, EAPCs, capitalização e resseguradores: façam o inventário do que foi entregue ao auditor no último ciclo e estimem quantos arquivos e quanto volume teriam de listar.
• Jurídico e compliance: peçam regra de transição expressa e esclareçam como o art. 13 se aplica às auditorias anteriores.
• TI: vejam se o arquivo de evidências já gera hash e trilha.
• Firmas de auditoria e atuários independentes: a cópia da relação passa a integrar os papéis de trabalho. Vale contribuir sobre o formato.

O procTracker acompanha consultas públicas e processos regulatórios, como o processo Susep nº 15414.631954/2026-11, e avisa quando há movimentação.