Como assinar ecf com certificado a3?

Se o token for levado ao contador, discordo de que o arquivo viaje sem cuidado. Olha, olhando a tela do e-mail aqui, o arquivo foi enviado sem proteção, e o dado é sensível. No meu S/4HANA 1909, usamos pasta controlada e registro de quem enviou. Para assinar com o certificado A3, o risco não está só no token, está também no arquivo que viaja.

Outro caminho existe, mas com cautela. Na nossa transição, o pulo do gato foi tratar o certificado A3 como processo, e não como arquivo: um responsável guarda o token, outro é reserva, e há um registro de quem pode assinar. Vale quando a equipe é pequena e há rotatividade; se o responsável é único e estável, o caminho do Samuel basta. No log aparece o que foi assinado, e isso ajuda na prova.

Úrsula Lima, somando ao seu ponto da máquina dedicada: olha, o truque é testar antes. No RISE with SAP, abrimos o programa de escrituração com antecedência, conectamos o token e conferimos se o certificado A3 é reconhecido, bem antes do dia de assinar. Na tela costuma aparecer logo se o driver está correto. Assim, quando chega o arquivo de verdade, o único risco que sobra é o de processo, e esse a gente controla.

O risco que já vi foi o token ficar numa gaveta sem ninguém saber a senha. Outra forma que adotamos: 1) deixar uma máquina dedicada com o driver e o certificado A3 instalados; 2) quem for assinar vai até ela ou entra por acesso remoto aprovado. Agora, e olha que funciona bem, essa máquina só vale quando o time é pequeno e o volume de arquivos é baixo; com muita gente assinando, o controle vira gargalo, e o melhor é o certificado ficar com um responsável e o arquivo viajar até ele.

Concordo em parte com o que você disse, Mariana, mas discordo de buscar um jeito de usar o certificado do diretor por outra pessoa. O óbvio, né, é que o certificado identifica uma pessoa, e emprestar o token cria problema de controle. No log de assinatura aqui do e-commerce aparece quem assinou, e a auditoria pergunta isso. Melhor o diretor assinar remotamente numa janela combinada, ou outro responsável autorizado ter o seu próprio certificado.

Dois responsáveis? Gisele, no meu caso, agro com S/4HANA 2023, o certificado A3 é do diretor e só ele pode assinar. O prazo é o que me preocupa, porque ele viaja muito. Você diz que o segundo responsável precisa de certificado próprio, ou existe um jeito de assinar usando o dele quando está fora? Queria entender melhor o que você já viu funcionar.

No fechamento da mineração, mandar o arquivo para quem tem o token já me gerou atraso, quando o responsável estava viajando. Úrsula, discordo de manter tudo com um só portador: veja, diga-se de passagem, o certificado A3 de um único responsável vira ponto único de falha para assinar. Prefiro ter dois responsáveis habilitados, cada um com o seu certificado, e deixar claro quem é o titular. Alguém já testou isso?

Quando o certificado A3 for de terceiro, Úrsula, vale somar um cuidado de controle. Pra constar, pois é, 1) registrar quem assinou e em qual máquina; 2) guardar o arquivo assinado e o recibo junto do arquivo original; 3) conferir que o certificado usado para assinar é do responsável autorizado. Como auditor interno, é isso que costuma faltar quando alguém pede evidência depois.

Resultado: o certificado A3 só assina na máquina em que o token está conectado, então o arquivo é que precisa ir até ele. Uma ressalva, tá: o SAP não faz essa assinatura, ela acontece no programa de escrituração. Eu levaria o arquivo validado ao responsável que tem o token e assinaria lá, em vez de tentar trazer o certificado para o seu ambiente. Quem decide quem assina é o contribuinte.