Registros eletrônicos na NR-1: como documentar boa-fé e blindar a empresa contra multas

Registros eletrônicos na NR-1: como documentar boa-fé e blindar sua empresa contra multas.

No direito do trabalho brasileiro, boa-fé não é declaração. É documentação. Em uma fiscalização da NR-1 atualizada, o auditor-fiscal do trabalho não pergunta se a empresa identificou riscos psicossociais; ele pede o arquivo. Não pergunta se houve capacitação; pede a lista de presença assinada com data. Não pergunta se a liderança foi sensibilizada; pede a ATA da reunião com hash de integridade.

A diferença entre uma empresa autuada e outra liberada raramente é o que cada uma fez. É o que cada uma consegue provar. Empresas que executam plano de ação completo mas mantêm tudo em planilhas soltas, e-mails dispersos e prints sem assinatura pagam multas tão pesadas quanto aquelas que não fizeram nada. Ajudamos empresas a fechar essa lacuna entre execução e prova com um repositório eletrônico que satisfaz padrões técnicos do MTE, do Ministério Público do Trabalho e da Justiça do Trabalho.

Com a NR-1 atualizada em vigor desde 26 de maio de 2026, esse repositório deixa de ser uma boa prática e passa a ser a primeira linha de defesa em qualquer auditoria. A suspensão das sanções pelo STF, até 27 de dezembro de 2026, não muda isso: é o tempo para organizar a prova.

O que "boa-fé" significa no contexto da NR-1 e da fiscalização trabalhista

Boa-fé objetiva, no contexto da NR-1, é a demonstração documental de que a empresa adotou um comportamento diligente, contínuo e rastreável de gestão de riscos ocupacionais, incluindo os riscos psicossociais incorporados pela Portaria MTE 1.419/2024.

A NR-1 atualizada estabelece que o Programa de Gerenciamento de Riscos (PGR) deve ser documentado, atualizado e disponibilizado à fiscalização. O conceito de Gerenciamento de Riscos Ocupacionais (GRO) pressupõe um ciclo contínuo: identificar, avaliar, controlar, monitorar e revisar. Cada etapa desse ciclo gera evidência.

Na prática, três dimensões da boa-fé são avaliadas em uma fiscalização:

1. Diligência: a empresa agiu no prazo razoável após identificar o risco?

2. Rastreabilidade: é possível reconstruir a linha do tempo das decisões e ações?

3. Integridade: os registros são autênticos, não foram fabricados após o evento?

A ausência de qualquer uma dessas três dimensões esvazia a defesa. Documento sem data não prova diligência. Documento sem assinatura não prova rastreabilidade. Documento sem hash ou timestamp não prova integridade. E a NR-28 garante que cada item da NR-1 descumprido gera autuação proporcional ao porte da empresa, com multas que escalam por reincidência.

A diferença entre fazer e provar: por que o auditor não acredita em palavra

Há uma assimetria fundamental entre o que a empresa viveu e o que a empresa pode demonstrar. Uma reunião de comitê de saúde mental pode ter sido densa, transformadora, geradora de decisões concretas. Mas se a ATA não foi lavrada, assinada e arquivada, ela não existiu juridicamente.

O auditor-fiscal do trabalho opera sob o princípio do ônus probatório: cabe à empresa provar a conformidade, não ao fiscal provar o descumprimento. Esse mesmo princípio se replica em juízo. Quando um ex-empregado ajuiza ação alegando que a empresa não tomou providências diante de assédio moral, a defesa precisa apresentar registros datados, assinados, com cadeia de custódia íntegra. Alegações sem prova são, no jargão trabalhista, "tese sem lastro".

A jurisprudência do Tribunal Superior do Trabalho tem reiterado que a responsabilidade objetiva da empresa por dano psíquico decorrente do ambiente de trabalho exige prova robusta de medidas preventivas adotadas. Em ações coletivas conduzidas pelo MPT relacionadas a metas abusivas e assédio organizacional, o padrão de prova exigido sobe ainda mais: o Ministério Público costuma requerer relatórios técnicos com indicadores quantitativos, planos de ação versionados e evidência de execução.

A regra prática que aplicamos com nossos clientes é simples: se não está registrado de forma íntegra, não aconteceu.

O que registrar obrigatoriamente

A NR-1 não publica uma lista taxativa de documentos. Em vez disso, exige que o GRO seja "documentado e disponibilizado". Cabe à empresa, com apoio de consultoria especializada, definir o escopo mínimo. A partir da prática em auditorias e em pareceres do MTE, estes são os artefatos que consideramos obrigatórios:

• Inventário de riscos psicossociais: com metodologia declarada (entrevistas, questionários validados, observação), data de aplicação, amostra e resultados.

• Plano de Ação versionado: cada ação com responsável, prazo, recurso alocado, indicador de sucesso e status atualizado.

• Registro de intervenções: memorando, e-mail formal ou ATA descrevendo cada medida implementada, com data e signatário.

• Capacitações: lista de presença assinada, conteúdo programático, carga horária, qualificação do instrutor e avaliação de aprendizagem.

• ATAs de comitês: reuniões do CIPA, do comitê de saúde mental ou de instâncias equivalentes, lavradas com pauta, deliberações e responsáveis.

• Canal de denúncias: registro de recebimento, tratamento e desfecho, conforme exigido pela Lei 14.457/2022 para empresas com CIPA.

• Documentos de governança: política de saúde mental, código de conduta, regimento de comitê, todos com data de vigência e versionamento.

Esse conjunto compõe o que chamamos de "trilha probatória do PGR psicossocial". Cada item responde a uma pergunta que o auditor formula explicitamente em campo.

Padrões técnicos aceitos pelo MTE e pelo MPT

Não basta digitalizar. O registro eletrônico precisa atender padrões técnicos mínimos para ser oponível em fiscalização e em juízo. Quatro padrões são consenso entre auditores, procuradores do trabalho e magistrados:

1. Assinatura digital com ICP-Brasil: baseada na Medida Provisória nº 2.200-2/2001, ainda em vigor por força do art. 2º da EC 32/2001, atribui presunção de autenticidade e integridade aos documentos eletrônicos. Assinaturas eletrônicas avançadas (com certificado privado de terceiros) também são aceitas, mas com peso probatório inferior.

2. Timestamp confiável: carimbo do tempo emitido por Autoridade de Carimbo do Tempo credenciada pelo ITI, fixando data e hora de forma incontestável.

3. Hash de integridade: o documento gera uma impressão digital criptográfica (SHA-256 ou superior) que permite verificar, a qualquer momento, se houve adulteração.

4. Cadeia de custódia: registro de quem acessou, modificou ou exportou o documento, preservado em log auditável.

Sistemas corporativos sérios (GED, plataformas de compliance, ferramentas dedicadas de SST) cumprem esses requisitos nativamente. Pastas compartilhadas no Google Drive ou OneDrive, sem fluxo formal de assinatura e sem log de acesso preservado, não cumprem. Uma planilha Excel atualizada ao longo de meses, sobrescrita sem versionamento, perde valor probatório a cada salvamento.

A boa notícia é que a Lei 14.063/2020 reconhece três níveis de assinatura eletrônica (simples, avançada e qualificada), e cada um deles é aceito conforme o nível de risco do documento. Para documentação de NR-1, recomendamos assinatura avançada como mínimo e qualificada (ICP-Brasil) para artefatos críticos como o PGR consolidado e ATAs do comitê.

Como organizar o repositório: estrutura, ciclo de vida e retenção

Um repositório eletrônico de NR-1 que funciona em auditoria tem três características: navegabilidade, versionamento e retenção definida. Auditores trabalham sob pressão de tempo. Se o responsável da empresa leva 40 minutos procurando o inventário de riscos da última matriz, o tom da fiscalização muda.

A estrutura mínima de pastas que recomendamos:

• 01_Governanca/ (políticas, regimentos, organograma do PGR)

• 02_Inventario_de_Riscos/ (por unidade, por ano, com metodologia)

• 03_Planos_de_Acao/ (versionados: v1.0, v1.1, v2.0)

• 04_Intervencoes/ (registros datados de cada ação executada)

• 05_Capacitacoes/ (listas, conteúdos, certificados)

• 06_ATAs_e_Comites/ (CIPA, comitê de saúde mental, RH estratégico)

• 07_Canal_de_Denuncias/ (registros tratados, com anonimização quando aplicável)

• 08_Indicadores_e_Monitoramento/ (afastamentos, eNPS, clima, absenteísmo)

• 09_Auditorias_Internas_e_Externas/ (relatórios e planos de remediação)

O ciclo de vida de cada documento deve ser explícito: criação, revisão, aprovação, publicação, vigência, revisão programada e arquivamento. A NR-1 não fixa prazo de retenção único, mas a leitura combinada com a CLT (art. 11, prescrição quinquenal) e com a NR-7 (registros médicos por 20 anos) sustenta a regra prática que aplicamos: 20 anos para artefatos relacionados a saúde, 10 anos para artefatos administrativos do PGR e permanente para casos com decisão judicial transitada em julgado.

Para empresas com CIPA, a documentação ligada ao canal de denúncias da Lei 14.457/2022 deve seguir retenção alinhada ao prazo prescricional aplicável à ação por dano moral, com sigilo da identidade do denunciante.

Erros mais comuns que esvaziam a defesa

Em diagnósticos que conduzimos com empresas de 50 a 2.000 funcionários, encontramos cinco erros recorrentes que transformam um trabalho bem executado em prova frágil:

1. Planilha sem assinatura nem versionamento: o inventário de riscos vive em uma única planilha sobrescrita. O auditor pede a versão de seis meses atrás e ela simplesmente não existe mais.

2. E-mail solto como prova de intervenção: decisões críticas comunicadas só por e-mail, sem formalização em ATA ou memorando assinado, perdem força quando o remetente ou destinatário deixa a empresa.

3. Print de tela em vez de relatório íntegro: capturas de tela são facilmente questionadas quanto à autenticidade. Não substituem relatório exportado com assinatura e timestamp.

4. Capacitação sem lista assinada nem avaliação: treinamento ocorreu, mas a empresa só tem o convite no calendário. Sem presença assinada e sem avaliação de aprendizagem, a evidência é nula.

5. Documento criado "no susto" durante a fiscalização: o erro mais grave. Documento backdatado tem alta chance de ser desmascarado por metadados, e configura má-fé processual com agravamento das penas.

A consequência prática é dupla: multa administrativa pela NR-28 e enfraquecimento da defesa em eventual ação trabalhista subsequente. Em casos de fiscalização originada por denúncia ao MPT, a fragilidade documental costuma resultar em Termo de Ajustamento de Conduta (TAC) com obrigações de fazer mais onerosas do que a própria multa.

Em síntese

Boa-fé na NR-1 se prova com três elementos: documentos íntegros, datados e assinados; estrutura de repositório navegável e versionada; e padrões técnicos compatíveis com ICP-Brasil, timestamp e hash. Sem esses elementos, mesmo a empresa mais diligente entra em campo desarmada.

A nossa recomendação para diretores jurídicos, CFOs e gestores de RH que se preparam para o fim da suspensão das sanções, previsto para 27 de dezembro de 2026, é começar pela auditoria do que já existe. Antes de produzir documento novo, é preciso entender quais artefatos a empresa já gerou, em qual padrão técnico, com qual rastreabilidade. Esse diagnóstico costuma revelar que 60% a 80% do trabalho já está feito - falta apenas estruturar a prova.