O certificado do seu fornecedor estrangeiro: como verificar se é verdadeiro e qual documento exigir no pedido

1. O que um certificado de sistema de gestão prova, e o que não prova

A cadeia de autoridade tem três elos e a ISO não é nenhum deles na ponta: a ISO escreve a norma e não certifica nem registra ninguém. Quem certifica é um organismo certificador, que por sua vez é acreditado por um organismo de acreditação nacional, e são esses acreditadores que se reconhecem mutuamente no arranjo do IAF. Um certificado sem marca de acreditação não é ilegal, mas é uma afirmação do certificador sobre si mesmo, sem ninguém atrás dele.

O que o certificado diz, lido com precisão:

• Sujeito: a entidade legal nomeada. Não o grupo, não a marca, não a matriz. Na nossa verificação, um grupo industrial chinês aparecia com certificados de grupo vencidos e certificados de produto cancelados, enquanto os certificados de sistema vigentes estavam sob os nomes legais das subsidiárias operacionais. Consultar o holding devolvia a resposta errada com aparência de resposta certa.
• Lugar: os endereços certificados. Um grupo com seis plantas pode ter três no certificado.
• Assunto: o escopo. "Fabricação de conectores elétricos" e "comercialização de conectores elétricos" são escopos diferentes e a segunda frase descreve um intermediário.
• Tempo: o período de validade, mais o estado atual (vigente, suspenso, cancelado, retirado). Certificado pode ser suspenso no meio da vigência impressa.

O que ele não diz: que a sua peça atende ao seu desenho, que a linha que vai produzir é a linha auditada, que o lote embarcado foi inspecionado, ou que o fornecedor tem capacidade para o seu volume. Isso não é interpretação nossa: o documento conjunto da ISO e do IAF sobre os resultados esperados da certificação acreditada em ISO 9001 diz, com todas as letras, que a norma define requisitos para o sistema de gestão da qualidade da organização, não para os produtos dela, que a certificação não garante 100% de conformidade de produto e que ela não significa que o produto esteja certificado contra norma ou especificação alguma. Quem responde pelo produto é o documento de produto (seção 5) e os seus próprios portões: a norma cobra critérios seus, e o processo inteiro está em homologação de fornecedor estrangeiro.

2. As três rotas gratuitas de verificação

Rota 1, a mais forte: o organismo emissor. O certificado nomeia quem o emitiu. Vá ao site desse organismo, não ao site do fornecedor. A maioria dos certificadores internacionais mantém consulta pública por número de certificado ou por nome de empresa, alguns totalmente abertos e navegáveis, outros só por número, e há quem responda por formulário e e-mail. É gratuito em todos os casos que verificamos, e tem a vantagem de responder sobre o estado de hoje, não sobre a data impressa.

Rota 2, para certificado emitido na China: cx.cnca.cn. É a plataforma pública nacional de informação de certificação e acreditação, da CNCA/SAMR. Verificamos o caminho ponta a ponta a partir do Brasil, em navegador comum: abre sem cadastro, aceita busca por nome de empresa ou por número, trata certificados de sistema de gestão como categoria de primeira classe e devolve número, categoria, estado, validade, organismo emissor, escopo e o código de crédito social unificado da empresa. Duas fricções reais: pede um CAPTCHA de imagem a cada ação (a consulta e o detalhamento contam separado), o que torna o uso manual, e o acesso automatizado é bloqueado, então é consulta de navegador. Precisa do nome legal em chinês, que o registro público já entrega.

Rota 3, o agregado: IAF CertSearch. É a base global de certificados de sistema de gestão alimentada pelos organismos certificadores. Serve para descobrir se existe certificado quando você não tem o papel em mãos. Duas ressalvas que mudam a leitura:

• Acesso. A busca é livre e ilimitada, mas abrir o perfil de uma empresa ou de um certificado consome crédito. O plano gratuito exige criar conta e tem teto mensal e anual de consultas; exportação, alertas e API estão nos planos pagos. Os limites e preços mudam, então confira na página viva antes de contar com eles.
• Cobertura. O envio dos certificados pelos organismos certificadores só virou obrigatório pelas regras do IAF em outubro de 2024, e a base continua incompleta. Quem diz isso é o próprio material do CertSearch, que lista como motivos de um certificado válido não aparecer: ainda não ter sido carregado, ter sido removido, ou a empresa ter restringido a publicidade do registro. Organismos de acreditação reconhecidos também descrevem a base como não completamente populada. Na prática o buraco é maior justamente para certificadores chineses: fornecedor chinês certificado por certificador internacional aparece, certificado por certificador local, muitas vezes não.

⚠️ Por isso a regra de leitura é assimétrica. Encontrar o certificado ativo, com escopo e endereço batendo, é evidência positiva forte. Não encontrar não é evidência de fraude, é evidência de que aquela base não cobre aquele certificador. Reprovar fornecedor por ausência em agregador é o erro caro, e é o mesmo raciocínio dos dados de embarque no guia de homologação.

Automotivo é um universo separado. Certificado IATF 16949 não vive nas bases de sistema de gestão comuns: a validação é pelo portal de clientes do IATF, linkado no site do IATF, e exige o número do certificado.

3. Os quatro campos que decidem se o certificado serve para você

Confirmar que o certificado é real responde metade da pergunta. A outra metade é se ele cobre a sua compra.

Esses campos não são invenção de comprador exigente: a norma que rege os organismos certificadores de sistemas de gestão fixa o conteúdo mínimo do documento de certificação, e nela estão nome e localização de cada cliente certificado, os sites cobertos numa certificação multi-site, as datas de concessão e de vencimento, um código de identificação único, a norma auditada e o escopo da certificação por tipo de atividade, produto e serviço em cada site, sem ser enganoso nem ambíguo. Se o papel na sua mão não traz algum desses campos, o problema não é você estar sendo chato.

O último campo é o mais pulado e o mais barato de checar. O caminho, que organismos de acreditação publicam como método próprio, tem três passos: confirmar que o certificado veio de um certificador acreditado por um organismo de acreditação reconhecido internacionalmente, confirmar no diretório público desse acreditador que o certificador de fato detém aquela acreditação, e confirmar o certificado específico com o certificador. O reconhecimento internacional aqui é o arranjo multilateral do IAF, do qual a Cgcre, o organismo de acreditação brasileiro dentro do Inmetro, é signatária para certificação de sistemas de gestão. É por isso que um certificado estrangeiro acreditado é legível para o seu auditor aqui. Certificado sem marca de acreditação nenhuma é o sinal mais simples de que se está diante de certificação não acreditada, que não é necessariamente fraude, e é um papel sem ninguém por trás.

4. Os quatro modos de falha, e o que cada um exige

Documento de fornecedor estrangeiro falha de quatro maneiras distintas, e a checagem que pega uma não pega as outras.

1. Falso. Do PDF editado ao certificado emitido por certificador sem acreditação, passando pelo certificado obtido com informação falsa e pelo comprado sem sistema nenhum por trás. Não é hipótese: organismos de acreditação mantêm aviso público de que circulam certificados falsificados e organizações alegando acreditação que não têm. A literatura acadêmica descreve o fenômeno na China e é explícita ao dizer que não existe percentual confiável, então desconfie de qualquer número que circule sobre isso. Pega-se pela rota 1 ou 2, nunca lendo o PDF.
2. Vencido ou suspenso. A data impressa não é o estado. Certificado pode ser suspenso, cancelado ou retirado dentro da própria vigência, e é isso que a consulta ao emissor devolve.
3. Emprestado. O certificado é verdadeiro e vigente, e é de outra empresa. Aparece quando o intermediário manda o certificado da fábrica que ele representa, ou quando alguém exporta em nome de terceiro.
4. Entidade errada. Variação silenciosa da anterior, e a mais fácil de deixar passar, porque ninguém está mentindo: o certificado é do grupo, da matriz ou de uma unidade irmã, e não da planta que vai produzir a sua peça.

Os dois últimos se resolvem com o mesmo teste, que é cruzar o nome legal. O nome no certificado precisa bater com o do registro público de empresas, com o da proforma invoice e com o exportador no conhecimento de embarque. Divergência aí é a assinatura clássica de uma empresa vendendo em nome de outra, e o teste completo, com escopo de negócio e evidência de planta, está em fábrica ou trading company.

5. A escada do documento de produto: o que amarra o seu lote

O certificado de sistema fala da empresa. O que fala da sua mercadoria é outra família de documentos, e a diferença entre eles é quem emite e a que eles se prendem.

Três leituras práticas:

• Declaração de conformidade é promessa, não evidência. Ela tem valor contratual e rastreável, porque prende o fornecedor a uma afirmação por escrito, e valor probatório baixo. Serve para item não crítico. Existe forma normalizada para ela: a ISO/IEC 17050-1 lista o que uma declaração de conformidade do fornecedor precisa conter, incluindo identificação única, identificação do objeto declarado, a lista completa dos requisitos aplicados, data e local de emissão, assinatura com nome e função de quem tem autoridade, e as limitações de validade. Pedir a declaração nesse formato custa nada e elimina o papel genérico de meia linha.
• CoA e CoC não são a mesma coisa, e nenhum dos dois é termo de norma. CoC afirma que o lote atende à especificação; CoA traz resultados medidos de ensaios daquele lote. São nomes de prática de mercado, sem definição normativa genérica e com uso instável de setor para setor, então defina no pedido quais ensaios e quais limites, e não confie no nome do documento. Quando a característica for crítica, o que resolve não é o nome e sim o ensaio em laboratório acreditado pela ISO/IEC 17025, cuja acreditação se confere no diretório do organismo de acreditação nacional, alcançável pelo arranjo de reconhecimento mútuo do ILAC.
• Em material metálico, a escada é a EN 10204 e ela é explícita. A diferença entre 2.x e 3.x é inspeção não específica contra inspeção específica: o 3.1 traz resultados do lote que você está recebendo, assinado por alguém independente da produção dentro da própria fábrica, e o 3.2 acrescenta a validação do seu lado. É a diferença entre "nosso aço costuma sair assim" e "este aço saiu assim".

⚠️ Documento tem que citar o lote. Certificado de material que não traz corrida, lote ou número do seu pedido não amarra nada, e é o defeito mais comum nos pacotes que chegam da China.

6. O que escrever no pedido, por criticidade

A ISO 9001 resolve a dosagem no 8.4.2: o tipo e a extensão do controle sobre o provedor externo são proporcionais ao impacto potencial do item. Isso é permissão para pedir pouco em item barato e não crítico, desde que a decisão esteja registrada, e é obrigação de pedir muito no item que para a sua linha.

Uma régua utilizável, que você calibra:

• Não crítico, baixo valor, sem função de segurança: certificado de sistema verificado uma vez, declaração de conformidade por remessa, EN 10204 2.1 ou 2.2 quando for material metálico.
• Importante, com tolerância apertada ou impacto de retrabalho: o anterior mais CoA com os ensaios nomeados por você, mais inspeção pré-embarque por amostragem.
• Crítico, função de segurança, requisito regulatório ou do seu cliente: EN 10204 3.1 por lote como piso, 3.2 quando o risco justificar a validação do seu lado, ensaio em laboratório acreditado quando a característica for crítica, e aprovação de peça formal antes da produção seriada.
• Automotivo: o pacote contratual é o PPAP, e o certificado IATF do fornecedor se valida pelo portal do IATF, pelo número.

Onde isso é escrito importa mais do que o texto. Requisito de documento que vive em e-mail não é requisito: ele entra na proforma invoice ou no pedido de compra que o fornecedor aceita, junto com as parcelas e os gatilhos de pagamento, antes do sinal. É o mesmo lugar onde entra o seu direito de inspecionar na fábrica. A mecânica de escrever isso na PI antes de transferir dinheiro está em quanto adiantar para um fornecedor novo.

7. Onde essa checagem entra no fluxo

Verificar certificado é barato, rápido e anterior ao dinheiro. A ordem que funciona:

1. Registro público e escopo de negócio, para saber com quem você está falando.
2. Verificação do certificado, pelas rotas da seção 2, com os quatro campos da seção 3.
3. Portões de homologação, que é onde entram auditoria de fábrica e aprovação de amostra.
4. Requisitos de documento escritos na proforma ou no pedido, por criticidade.
5. Inspeção pré-embarque do lote, que se repete a cada pedido.

Os dois primeiros passos custam tempo e nenhum dinheiro, e derrubam a maior parte dos casos ruins antes de existir exposição financeira. O que eles não fazem: provar capacidade, provar que a linha estava rodando, ou aprovar a sua peça. Isso é auditoria e amostra, e tem preço.

A Tandom conduz essa parte: a gente persegue e valida os certificados, coordena a verificação do lado da origem e a auditoria quando ela se justifica, e acompanha a amostra até chegar aqui. Quem avalia e aprova o fornecedor é o seu time, com a evidência na mão e no formato que o seu SGQ precisa.