Resumo

  • O ICP-2 exigia que um candidato a RIR demonstrasse amplo apoio regional, governança ascendente, neutralidade, capacidade técnica, financiamento, manutenção de registros e confidencialidade. A avaliação da IANA sobre a AFRINIC mostra como essas condições puderam ser cuidadosamente verificadas na entrada, mas o reconhecimento não expirava e as evidências não eram reexaminadas rotineiramente por um órgão independente.
  • Os procedimentos da ICANN ratificados em dezembro de 2024 tornaram explícitas as obrigações contínuas do ICP-2, mas sua verificação de conformidade é orientada por eventos. Ela começa quando uma possível não conformidade material é grave o suficiente para comprometer a operação estável e segura, não em um ciclo previsível projetado para detectar controles em declínio antes de uma crise.
  • Uma recertificação limitada deve ocorrer pelo menos a cada três anos e testar apenas capacidades de continuidade definidas: registros precisos, sistemas recuperáveis, credenciais protegidas, pessoal adequado, recursos operacionais legalmente disponíveis, desempenho em incidentes e uma transferência de serviço testada. Falhas em controles devem normalmente levar a reparo e novo teste, não à perda automática do reconhecimento.
  • A recertificação não deve se tornar uma votação recorrente sobre políticas regionais, popularidade da liderança ou ideologia institucional. Um padrão de evidência comum, um auditor independente rotativo, resumos públicos, anexos de segurança confidenciais e uma separação clara da revogação fortaleceriam a salvaguarda enquanto enfraquecem a permissão política.

Reconhecimento é uma decisão; competência é uma condição

O reconhecimento institucional tem uma finalidade sedutora. Um candidato apresenta evidências, examinadores as investigam, uma autoridade competente decide, e o status resultante torna-se parte da arquitetura estabelecida do sistema circundante. A finalidade é valiosa. As redes não podem se coordenar em um registro cuja autoridade expira a cada ciclo orçamentário. Os funcionários não podem planejar infraestrutura segura se o reconhecimento depender da última disputa em conferência. Os detentores de recursos não devem ter que se perguntar se uma proposta de política impopular fará com que seu provedor de registro desapareça.

Mas a finalidade no status não cria permanência na capacidade. Funcionários vão embora. Procedimentos de recuperação envelhecem. Mídias de backup permanecem intactas enquanto o conhecimento necessário para usá-las desaparece. Regras corporativas que funcionavam com um conselho completo tornam-se inutilizáveis durante vacâncias. Uma reserva parece grande até que uma restrição legal separe a organização de suas contas. Um banco de dados permanece disponível enquanto o processo não testado para transferi-lo a outro operador se torna obsoleto. O reconhecimento pode ser permanente, mesmo quando as evidências que o justificaram expiram.

Os Registros Regionais da Internet existentes encontram-se em ambos os lados dessa distinção. Seu lugar no sistema de numeração coordenado deve ser estável. Sua capacidade de fornecer serviços essenciais de registro deve permanecer demonstrável. Tratar essas afirmações como idênticas cria uma escolha ruim entre complacência e supervisão política. Ou a aprovação passada é tomada como evidência de competência presente, ou um ator externo é convidado a reconsiderar a legitimidade do RIR toda vez que surgirem preocupações.

Um design melhor protege o reconhecimento enquanto capacidades selecionadas expiram a menos que sejam testadas novamente. A instituição não pede periodicamente permissão para existir. Ela demonstra periodicamente que os registros são recuperados, as credenciais são restabelecidas, funcionários qualificados mantêm o serviço, incidentes são tratados dentro das metas estabelecidas e uma transferência limitada pode ocorrer quando a autoridade normal falha. Isso é recertificação no sentido de capacidades críticas de segurança: as evidências têm um prazo de validade definido porque a condição subjacente pode mudar.

A distinção é politicamente importante. Se a recertificação for uma revisão geral de se um RIR continua bom, alinhado ou popular, ela se torna um instrumento de influência. Se for um teste limitado de se serviços designados sobrevivem a falhas designadas, ela se torna uma salvaguarda de infraestrutura. A primeira convida ao arbítrio. A segunda pode ser especificada, observada e contestada.

O ICP-2 foi rigoroso na entrada e silencioso sobre a próxima data de auditoria

Oscritérios originais do ICP-2não foram uma aprovação casual. Eles descreviam dez condições para um novo RIR, observando que a numeração dessas condições era irrelevante, pois todas eram essenciais. Um candidato precisava de uma região de escala aproximadamente continental, amplo apoio de registros locais e provedores de serviços de Internet, procedimentos políticos ascendentes, neutralidade, conhecimento técnico, políticas consistentes com objetivos globais, um plano de atividades detalhado, um modelo de financiamento crível, manutenção adequada de registros e confidencialidade rigorosa.

Vários critérios já estavam formulados como disciplinas operacionais, não como promessas cerimoniais. O candidato precisava fornecer conectividade pronta para produção, suporte a DNS reverso, infraestrutura interna adequada e pessoal tecnicamente qualificado suficiente. Os processos políticos precisavam ser abertos, documentados e acessíveis. Os registros precisavam preservar a auditabilidade necessária para demonstrar operação responsável e neutra. O material principal precisava estar disponível em inglês para intercâmbio e verificação. O financiamento precisava caminhar em direção à independência por meio do apoio dos membros.

O texto também previa uma migração. Quando um novo RIR fosse criado, os registros existentes que atendessem redes naquela região deveriam poder propor a migração de acordos de serviço para a nova instituição. O ICP-2, portanto, entendia que o reconhecimento não era apenas um título. Ele vinculava autoridade, registros, relacionamentos com clientes, sistemas técnicos e uma transição operacional.

O que ele não fazia era definir uma data de validade para as evidências. Não havia exercício de recuperação de três anos, nenhuma revisão independente recorrente dos níveis de serviço, nenhuma verificação periódica do acesso de emergência aos registros e nenhuma demonstração planejada de que um sucessor poderia usar o material transferido. O critério de manutenção de registros tornava a operação auditável, mas auditabilidade é uma propriedade das evidências. Não é, por si só, um cronograma, um auditor, um método ou uma consequência.

Essa omissão se adequava à tarefa histórica. O ICP-2 tratava do estabelecimento de RIRs adicionais. Ele precisava distinguir um candidato viável de um clube ambicioso e garantir que uma transição regional não fragmentasse a administração de números. A questão urgente era se uma instituição proposta poderia começar. Os redatores não escreveram um código de manutenção completo para entidades maduras que pudessem operar décadas após a fase de expansão.

O resultado é uma assimetria. A competência de entrada foi demonstrada por um processo extraordinário. A competência contínua foi amplamente presumida pela operação normal, a menos que um problema se tornasse visível o suficiente para desencadear uma auditoria. O portão de entrada era baseado em evidências; o sistema maduro dependia fortemente de reputação, autorrelato e da ausência de uma emergência reconhecida.

O registro de reconhecimento da AFRINIC mostra a força e o limite de um instantâneo

Orelatório da IANA sobre o reconhecimento da AFRINICilustra o método de entrada em sua forma mais forte. A IANA revisou o pedido em relação a cada princípio do ICP-2. Ela examinou a região proposta, apoio, governança, operação técnica, políticas, atividades, finanças, registros e confidencialidade. Os outros RIRs, agindo por meio da Number Resource Organization, avaliaram a prontidão e apoiaram a aprovação final. A transição do serviço estabelecido foi monitorada, não simplesmente presumida.

O relatório técnico era concreto. Ele descrevia conectividade redundante, arranjos de banco de dados e DNS reverso, capacidades de backup e recuperação de desastres, pessoal treinado e suporte operacional de registros estabelecidos. Ele observava um design distribuído abrangendo operação técnica, recuperação de desastres, treinamento e a instituição incorporada em diferentes locais africanos. Ele avaliou a operação técnica e o conhecimento como impressionantes.

O relatório financeiro era igualmente voltado para o início. As taxas de membros estavam vinculadas a categorias de recursos. Organizações apoiadoras cobririam partes dos dois primeiros anos. A AFRINIC se tornaria totalmente responsável pelos locais distribuídos após a incubação, financiada por suas próprias receitas de membros. O plano de negócios foi tratado como evidência de que a AFRINIC poderia arcar com esse fardo.

Isso foi uma devida diligência séria. O problema não é que a IANA não poderia prever todos os eventos nas duas décadas seguintes. Nenhuma revisão poderia fazer isso. O problema surge quando a constatação de 2005 é usada para responder a uma pergunta diferente em 2026. O relatório constatou que uma equipe específica, um plano específico, um sistema específico e arranjos de apoio específicos atendiam aos critérios de entrada em um momento específico. Ele não constatou que o mesmo caminho de recuperação, a mesma estrutura de autoridade, o mesmo saldo de caixa ou a mesma profundidade de pessoal permaneceriam eficazes indefinidamente.

Um registro de reconhecimento favorece naturalmente o que pode ser demonstrado antes da maturidade operacional. Diagramas de arquitetura, currículos, políticas, orçamentos e planos de transição estão disponíveis. Dados de incidentes de longo prazo não estão. Um candidato pode ensaiar a recuperação, mas ainda não pode mostrar anos de desempenho em recuperação. Um candidato pode prometer um modelo baseado em membros, mas não pode demonstrar como esse modelo responde a uma disputa de governança prolongada. As evidências de entrada são prospectivas. As evidências periódicas podem ser observacionais.

Essa diferença deve melhorar as salvaguardas posteriores, não envergonhar os auditores originais. Um RIR maduro pode mostrar disponibilidade real de serviço, tempos de correção, incidentes de segurança, exercícios de recuperação, rotatividade de pessoal, acessibilidade de reservas, resultados de reclamações e registros fornecidos a contrapartes. Recusar-se a examinar tais evidências porque o reconhecimento já foi resolvido desperdiça a vantagem informacional mais importante da maturidade.

O reconhecimento permanente transforma evidências de entrada em uma presunção ilimitada

Na maioria dos sistemas de licenciamento, a decisão inicial e a condição contínua são conectadas por renovação, inspeção, relatoria ou execução orientada por eventos. O sistema de numeração da Internet desenvolveu uma ponte menos explícita. Uma vez que um RIR era reconhecido, sua legitimidade contínua vinha de várias fontes: operação normal, participação regional, coordenação entre pares, direito societário e a dependência prática dos detentores de recursos. Essa mistura pode ser resiliente, mas torna a base de evidências difícil de localizar.

A operação diária bem-sucedida fornece fortes evidências. Se os registros funcionam, o DNS reverso funciona, as solicitações de recursos são processadas e a coordenação com a IANA continua, a instituição obviamente cumpre funções importantes. No entanto, a ausência de falhas visíveis é um teste fraco para controles projetados para eventos raros. Um sistema de recuperação de desastres pode permanecer não testado por anos enquanto o serviço normal parece excelente. Um mecanismo de sucessão do conselho pode parecer adequado até que vacâncias interajam com regras de quorum.

Um arranjo de assinatura de emergência pode existir no papel enquanto as pessoas designadas se foram.

O reconhecimento permanente, portanto, gera uma transformação sutil das evidências. Fatos comprovados na entrada tornam-se parte da identidade da instituição. O RIR era tecnicamente capaz, autônomo, apoiado e bem governado; discussões posteriores encurtam isso facilmente para: O RIR é essas coisas. O verbo muda enquanto a evidência não.

O autorrelato corrige parcialmente o problema. Os RIRs publicam relatórios anuais, contas auditadas, estatísticas, atas de reuniões e informações técnicas. Essas publicações são valiosas e devem continuar sendo a primeira fonte de responsabilidade comum. Mas a administração escolhe o quadro de relatório, e um auditor financeiro não testa necessariamente a transferência de registro, recuperação de chaves, continuidade do DNS reverso, conhecimento de implementação de políticas ou autoridade durante perda de quorum.

Diferentes RIRs publicam métricas diferentes, dificultando a comparação entre instituições que fornecem serviços essenciais semelhantes.

A observação por pares também ajuda. Os RIRs trocam informações e dependem da coordenação uns dos outros. Um par pode notar compromissos perdidos ou capacidades enfraquecidas mais cedo do que um auditor distante. A dificuldade é que os pares são tanto observadores quanto atores estabelecidos. Eles compartilham interesses operacionais, participam de órgãos conjuntos e podem ser chamados a ajudar em caso de falha. Seu conhecimento é útil; depender exclusivamente de seu julgamento cria conflitos e torna a salvaguarda vulnerável à solidariedade ou rivalidade.

O instrumento ausente não é supervisão constante. É uma resposta ocasional, compartilhada e verificada independentemente a uma pergunta restrita: as capacidades de continuidade que justificam a confiança ainda funcionam?

Os procedimentos de 2024 reconheceram obrigações contínuas, mas permaneceram acionados por crises

OsProcedimentos de Implementação e Avaliação para Conformidade com o ICP-2, ratificados pelo Conselho da ICANN em 24 de dezembro de 2024, resolveram uma ambiguidade. Eles estabelecem que os critérios se aplicam durante todo o status reconhecido de um RIR e que todos os cinco RIRs aceitam as mesmas obrigações contínuas. O documento traduz os princípios originais em deveres presentes relativos a apoio, governança, igualdade, capacidade técnica, autonomia operacional, registros e confidencialidade.

Isso é um avanço importante. O reconhecimento não é mais simplesmente descritível como um teste único sem conteúdo contínuo. Os procedimentos também estabelecem um caminho para revisão. Os outros RIRs podem solicitar unanimemente uma revisão da ICANN se houver suspeita razoável de não conformidade material. A ICANN pode iniciar uma revisão por conta própria se razoavelmente acreditar que um RIR está comprometendo a operação segura do sistema de identificadores únicos. O RIR afetado deve fornecer informações e acesso, pode proteger material confidencial por meio de acordo e pode corrigir erros factuais materiais em conclusões preliminares.

Mas este é um procedimento de alarme, não uma recertificação de rotina. A Seção 3.1 afirma que o mecanismo de avaliação se destina a circunstâncias em que o desempenho ou o não cumprimento é significativo o suficiente para afetar a operação estável e segura. A necessidade de revisão depende das circunstâncias totais e materialidade. Uma revisão iniciada pela ICANN é expressamente limitada e não deve se tornar um papel amplo de conformidade geral.

Esses limites são sensatos para a aplicação. A intervenção externa não deve começar a cada relatório atrasado ou discordância comum. No entanto, um limiar apropriado para um caso de conformidade é muito alto para a salvaguarda preventiva. No momento em que houver convicção razoável de que a operação segura está comprometida, o controle relevante já pode ter falhado. O gatilho pergunta se um problema é grave o suficiente para ser investigado. A recertificação pergunta, de forma programada e antes de qualquer alegação, se as proteções ainda funcionam conforme projetado.

Os resultados possíveis confirmam a orientação para remediação. A ICANN pode determinar que nenhuma ação é necessária, que o RIR pode restaurar rapidamente a conformidade, ou que não existe caminho realista de recuperação rápido o suficiente para evitar danos. Nesta última situação, a ICANN trabalha com os RIRs restantes para um provedor de emergência e, se necessário, um sucessor. Essas são respostas a comprometimentos. Elas não criam uma linha de base recorrente contra a qual a deterioração gradual possa ser detectada.

Os procedimentos de 2024 devem, portanto, ser preservados, não estendidos demais. Transformar cada teste programado em uma revisão de conformidade nos termos da Seção 3 anexaria um estigma de aplicação à salvaguarda comum e convidaria a ICANN a assumir o papel amplo que o documento rejeita. Uma trilha separada de recertificação pode produzir evidências e efetuar reparos sem fingir que cada exercício fracassado constitui uma não conformidade material.

Auditabilidade sem ciclo de auditoria é apenas responsabilidade latente

O princípio de manutenção de registros do ICP-2 é frequentemente tratado como prova de que a salvaguarda periódica já estava implícita. O texto enfatiza a auditabilidade. Os procedimentos de 2024 exigem que os registros de atividades de registro e informações necessárias para auditoria operacional estejam disponíveis em inglês dentro de um prazo razoável. Essas são bases necessárias.

No entanto, uma instituição auditável não é necessariamente uma instituição auditada. Um banco de dados pode armazenar registros de decisões enquanto nenhum auditor independente os verifica quanto à precisão. Logs podem mostrar cada alteração administrativa enquanto ninguém testa se podem ser reconciliados após uma recuperação. Um plano de recuperação pode listar dependências críticas enquanto nenhum exercício retira o sistema primário e mede a recuperação real. As evidências podem estar completas, organizadas e não utilizadas.

A responsabilidade latente tem três fraquezas. Primeiro, ela tende a ser ativada após um conflito. Uma parte interessada, um membro, um par ou um supervisor solicita registros quando a confiança já diminuiu. Segundo, o escopo é moldado pela alegação. Os investigadores procuram evidências do erro suspeito e podem perder outra fraqueza. Terceiro, os riscos incentivam a defensividade. Uma vez que o reconhecimento ou uma intervenção de emergência está em vista, qualquer admissão pode parecer custosa.

Um ciclo programado muda o incentivo. A data é conhecida com anos de antecedência. O RIR pode fazer orçamento para o exercício, manter as evidências necessárias e corrigir fraquezas antes da chegada do auditor. Testes comparáveis em todos os cinco registros reduzem a sensação de que uma instituição foi escolhida a dedo. Uma falha de controle torna-se um fato normal de governança a ser corrigido, e não um julgamento imediato sobre a legitimidade institucional.

Testes de rotina também criam uma série histórica útil. Uma recuperação bem-sucedida afirma que um sistema funcionou uma vez. Exercícios repetidos mostram se o tempo de recuperação está melhorando, se a profundidade da equipe sobrevive à rotatividade e se a mesma exceção persiste ao longo dos ciclos. Evidências de tendência distinguem desvio temporário de negligência estrutural.

Isso não requer acesso contínuo por um supervisor externo. O teste pode ser periódico, limitado e conduzido por um especialista independente sob condições publicadas. A maioria das evidências pode permanecer no RIR até a revisão programada. O público precisa de um resumo do método, resultados e compromissos de reparo, não de um feed ao vivo dos controles de segurança.

O projeto atual avança em direção à auditoria periódica e revela decisões inacabadas

ODocumento de Governança de RIR versão 2de agosto de 2025 é explícito sobre o ciclo ausente. Seu artigo 4 do projeto exige que cada RIR participe de auditorias periódicas ou ad hoc conduzidas por um auditor externo independente nomeado pela ICANN. Afirma que um resumo deve ser publicado e exige uma auditoria periódica pelo menos uma vez a cada três anos.

A proposta também define obrigações contínuas mais adequadas do que o texto de entrada de 2001. Desempenho, continuidade, governança, transparência, resolução de disputas, independência financeira e estabilidade do ecossistema são obrigações distintas. A continuidade inclui a transferência de registros, procedimentos e sistemas suficientes para um operador de emergência, sujeito a controles de confiança e privacidade. Isso está mais próximo de um padrão adulto, pois testa o serviço sob substituição institucional, não apenas a operação pelo provedor estabelecido.

Orelatório de status da NRO de fevereiro de 2026mostra por que a periodicidade sozinha não é suficiente. Ele registra feedback de que o projeto não exigia explicitamente ações após um relatório de auditoria e diz que o texto será alterado para esclarecer as obrigações do RIR. Também afirma que as disposições transitórias precisam de mais detalhes para proteger os direitos dos detentores de recursos e manter o engajamento da comunidade. A auditoria está, portanto, presente no design, enquanto a consequência e a proteção dos beneficiários ainda estão sendo refinadas.

Isso não é motivo para abandonar a regra de três anos. É um motivo para definir a ponte entre a constatação e a remediação. Uma auditoria que apenas publica uma fraqueza pode se tornar teatro. Uma auditoria em que cada fraqueza leva à revogação pode se tornar coerção. O meio-termo ausente é um protocolo de correção: classificação das constatações, um plano de reparo com data, verificação, um novo teste e escalação apenas se a deficiência for material, persistente e vinculada a serviços protegidos.

O status do projeto também é importante. Em julho de 2026, o texto público ainda é um projeto e não a substituição final do ICP-2. Sua auditoria periódica é uma evidência da direção da reforma, não uma afirmação sobre um regime global de recertificação atualmente concluído. O design operacional ainda pode ser melhorado antes da adoção, nomeando exatamente o que expira, o que é testado novamente, quem seleciona o auditor e o que um teste fracassado não autoriza.

Recertifique a capacidade de serviço, não o mandato regional

A palavra recertificação pode alarmar instituições porque sugere que o próprio reconhecimento se torna temporário. Isso não é necessário. O certificado deve estar vinculado a um conjunto de capacidades definidas, não ao direito político de existência do RIR.

O primeiro conjunto é a integridade dos registros. O auditor deve testar se alterações selecionadas de registro podem ser rastreadas até a autoridade e evidências de suporte; se os backups podem ser reconciliados com o estado de produção; se as alterações históricas permanecem disponíveis; e se a recuperação preserva disputas pendentes, restrições e histórico de correções. Um registro que recupera apenas os campos públicos mais recentes não restaurou a verdade administrativa necessária para continuar o serviço.

O segundo conjunto é a continuidade técnica. Os exercícios devem medir a recuperação de serviços de diretório, administração de DNS reverso, sistemas de registro, comunicação segura e os serviços RPKI que o RIR efetivamente fornece. O teste deve incluir a perda de um local primário ou conta privilegiada, não apenas a revisão de um documento. As metas de tempo de recuperação e ponto de recuperação devem ser publicadas em um nível razoavelmente agregado, com topologia detalhada protegida.

O terceiro conjunto é a continuidade de pessoal. O serviço essencial não pode depender de um administrador que se lembra de uma sequência manual. O auditor deve examinar a cobertura de funções, sucessão, recuperação de acesso privilegiado, segregação de funções e a capacidade de uma equipe secundária operar com base em procedimentos escritos. Isso não é um julgamento sobre políticas de pessoal. É um teste para saber se os serviços designados sobrevivem a ausências previsíveis.

O quarto conjunto é o acesso institucional. Dinheiro, contratos e autoridade devem permanecer utilizáveis quando a governança normal estiver comprometida. O teste deve verificar o financiamento do serviço mínimo, autoridade legal de gastos de emergência, continuidade de fornecedores e o mecanismo corporativo para substituir signatários ou diretores. Não deve prescrever orçamentos comuns. Deve responder se as obrigações essenciais ainda podem ser cumpridas durante o cenário que o próprio RIR identificou.

O quinto conjunto é a prontidão para transferência. Uma equipe independente protegida deve receber um pacote atualizado de dados, procedimentos, credenciais ou dados de substituição controlados suficiente para demonstrar uma transferência de serviço limitada. O exercício não precisa transferir autoridade ao vivo. Deve demonstrar que outro operador qualificado pode entender o estado, reproduzir saídas definidas e identificar exceções não resolvidas dentro de um prazo medido.

Nenhum desses testes pergunta se o auditor gosta de uma política de transferência regional, um formato de reunião, um nível de taxa ou um candidato ao conselho. Eles perguntam se as obrigações existentes ainda podem ser cumpridas. O reconhecimento permanece permanente, a menos que procedimentos separados e já existentes constatem não conformidade material e justifiquem remediação proporcional.

Uma matriz de recertificação pode manter o arbítrio baixo

Uma revisão limitada requer uma matriz que seja publicada antes da coleta de evidências. Cada capacidade deve ter um alvo definido, evidências admissíveis, método de teste, escala de constatação e prazo de correção. Sem essa estrutura, mesmo uma auditoria tecnicamente descrita pode se tornar uma negociação sobre virtude institucional.

A integridade dos registros poderia ser testada por uma amostra estatisticamente representativa de alterações atuais e históricas, recuperação de um instantâneo protegido e reconciliação com somas de verificação assinadas ou preservadas independentemente. A condição de aprovação não é perfeição em cada campo. É uma taxa de erro dentro de um limite divulgado, preservação completa do estado de alto risco e um processo de correção funcional para discrepâncias.

A continuidade poderia ser testada por um cenário selecionado de uma família publicada: perda do local primário, comprometimento de credenciais, liderança indisponível, conta operacional restrita ou grande falha de fornecedor. O auditor pode escolher o cenário pouco antes do exercício para que o resultado não seja encenado. O RIR deve conhecer as capacidades a serem testadas, mas não cada sequência de eventos.

A prontidão para transferência requer mais cuidado, pois uma transferência ao vivo pode representar risco. Um ambiente paralelo pode receber um pacote sanitizado ou criptograficamente protegido, reconstruir serviços e comparar resultados sem publicar uma resposta alternativa autoritativa. Quando informações pessoais ou confidenciais são necessárias, acesso controlado, minimização e exclusão devem ser verificados independentemente. O exercício testa a usabilidade, não a divulgação pública.

As constatações devem ter pelo menos quatro níveis. Uma observação identifica melhoria sem requisito falhado. Um desvio menor requer correção antes do próximo ciclo. Um desvio maior prejudica uma capacidade de continuidade e requer um novo teste em curto prazo. Uma constatação crítica significa que um serviço essencial está atualmente exposto a interrupção material e deve ser encaminhado ao procedimento de conformidade existente sob proteções imediatas.

A matriz também deve nomear exclusões. O auditor não pode reabrir uma política regional substantiva, inferir apoio comunitário de uma pesquisa restrita, exigir estratégia legal privilegiada não relacionada à continuidade ou recomendar a remoção da liderança. Essas exclusões não são favores a atores estabelecidos. São salvaguardas legais que tornam um teste operacional robusto aceitável.

h3>Independência deve ser projetada em ambos os lados da revisão

Chamar um auditor de independente não torna a relação independente. Nomeação, financiamento, negócios repetidos, acesso e publicação podem todos influenciar o resultado. Um auditor selecionado unicamente pela ICANN pode ser percebido como uma extensão da autoridade da ICANN. Um auditor escolhido pelo RIR afetado pode suavizar os resultados para manter o engajamento. Uma equipe de RIR pares traz conhecimento, mas não distância.

Um painel permanente oferece uma solução melhor. A ICANN e as comunidades de RIR poderiam aprovar critérios de qualificação por meio de um processo público. Empresas ou equipes multidisciplinares precisariam demonstrar competência em operação de registro, segurança, continuidade de negócios, privacidade e auditoria. Atribuições individuais seriam então feitas por rodízio ou seleção aleatória transparente com verificações de conflito divulgadas. O RIR afetado poderia rejeitar um auditor devido a conflito documentado, mas não escolher um substituto preferido.

O financiamento deve vir de uma taxa comum paga por todos os RIRs de acordo com uma fórmula pré-estabelecida, não de uma taxa negociada após um evento preocupante. Exposição igual é importante: APNIC, ARIN, LACNIC, RIPE NCC e AFRINIC devem passar pelo mesmo ciclo e método central. Adições baseadas em risco podem levar em conta escopo ou constatações anteriores, mas a existência do teste não pode depender de se uma instituição está atualmente sob disputa.

O auditor deve se reportar a um pequeno secretariado de garantia que não tenha autoridade para decidir sobre o reconhecimento. Este órgão revisa o método, protege material confidencial, publica resumos e acompanha reparos. Ele não negocia políticas regionais nem dirige a administração comum do RIR. Se uma constatação justificar uma medida formal de conformidade, o registro é transferido para o procedimento separado, onde se aplicam aviso prévio, correção de fatos e direitos de decisão aplicáveis.

A rotatividade de auditor deve ser obrigatória. Nenhuma empresa deve auditar o mesmo RIR indefinidamente. Os papéis de trabalho devem estar sujeitos a revisão periódica de qualidade por outro membro do painel, com material sensível protegido. Um registro público de alterações de método deve mostrar se os critérios mudaram entre os ciclos.

A independência também protege o RIR. Um processo comum pode refutar alegações oportunistas mostrando que o controle em questão foi testado recentemente. A garantia externa não é apenas um caminho para críticas. É uma defesa probatória contra alegações políticas que não podem resistir a um padrão definido.

h3>A publicação deve mostrar segurança sem divulgar um manual de ataque

A responsabilidade do RIR exige evidências públicas, mas os testes de continuidade tocam em sistemas sensíveis. Publicar credenciais, topologia de failover, dependências de fornecedores, dados pessoais ou detalhes de exploração enfraqueceria o serviço que o teste deve proteger. O sigilo total seria igualmente defeituoso, pois o público não poderia distinguir um teste real de uma afirmação cerimonial.

A resposta é um relatório em camadas. O resumo público deve nomear o escopo, a data, o auditor, a versão da metodologia, os cenários testados, as avaliações de capacidade, as constatações não resolvidas, as datas de correção e a resposta do RIR. Deve divulgar limitações materiais, incluindo sistemas excluídos do teste e dependência de representações da administração. Deve indicar se o auditor verificou a remediação.

Um anexo restrito pode conter amostras de evidências, arquitetura de segurança, dados pessoais, opiniões jurídicas e fluxos de falha detalhados. O acesso deve seguir uma lista de funções definidas e deixar uma trilha de auditoria. As decisões de confidencialidade devem ser revisáveis, não inteiramente deixadas à instituição afetada, e cada categoria de ocultação deve ser explicada no resumo público.

Métricas agregadas devem ser comparáveis entre os RIRs: tempo de recuperação, perda máxima de dados testada, proporção de funções essenciais com substitutos qualificados, idade do último pacote de transferência, tempo de fechamento de constatações maiores e sucesso em novos testes. A precisão deve ser limitada onde representa risco de segurança, mas a direção e o limiar ainda podem ser publicados.

O histórico de incidentes merece a mesma disciplina. Uma recertificação deve verificar se incidentes passados produziram ações corretivas. O relatório público não precisa recontar cada evento de segurança. Pode indicar quantas recomendações materiais estavam atrasadas, se causas recorrentes ocorreram e se os controles testados refletiam as lições alegadas.

A confiança cresce a partir da abertura limitada. Um registro que relata uma etapa de recuperação falhada, corrige e passa em um novo teste pode merecer mais confiança do que um que publica apenas autodescrição imaculada. O regime deve recompensar o aprendizado, não exigir um histórico implausível de sucesso.

h3>Uma falha deve primeiro criar um direito e um dever de reparar

Um regime de garantia se torna permissão política se um auditor puder transformar cada deficiência em uma ameaça ao status. A consequência padrão de uma recertificação fracassada deve, portanto, ser a correção, não a revogação.

Constatações menores podem ser encerradas por evidências documentais ou pelo próximo exercício programado. Constatações maiores exigem um plano com data, um responsável nomeado, uma verificação intermediária e um novo teste independente dentro de meses, não anos. O resumo público deve permanecer aberto até que o novo teste seja aprovado. O atraso repetido deve elevar a classificação, pois a não correção se torna uma evidência independente da deficiência original.

Constatações críticas exigem proteção imediata. Se o acesso privilegiado não pode ser restaurado, os registros não podem ser recuperados ou o serviço mínimo não tem financiamento legal, o RIR e os coordenadores relevantes devem isolar a função comprometida, preservar evidências e ativar suporte limitado. O encaminhamento ao procedimento de conformidade de 2024 pode ser justificado, pois o problema passou de salvaguarda preventiva para risco operacional material.

Mesmo assim, a auditoria em si não deve decidir sobre a revogação. O procedimento de conformidade deve avaliar as circunstâncias totais, a perspectiva de recuperação rápida e o dano de uma intervenção. O RIR afetado deve receber aviso prévio e oportunidade de corrigir erros factuais, a menos que a urgência exija uma decisão imediata de acordo com o procedimento existente. Serviços de emergência devem proteger a continuidade, não punir a instituição.

O regime também precisa de uma revisão da constatação do auditor. Um painel de apelação técnica pode examinar se o método foi seguido, as evidências foram mal interpretadas ou a classificação foi desproporcional. Não deve repetir todo o exercício porque a administração não gosta do resultado. Uma decisão breve e publicada é suficiente para a maioria das disputas.

Essa separação cria uma escada racional: teste, constatação, verificação intermediária, reparo, novo teste, revisão formal de conformidade se o risco material persistir, continuidade de emergência se o serviço estiver comprometido, e só então uma consequência separada de reconhecimento autorizada pelas regras aplicáveis. Cada passo responde a uma pergunta diferente e requer suas próprias evidências.

h3>A recertificação não pode ser um referendo sobre apoio comunitário

O ICP-2 exigia amplo apoio regional na entrada, e os procedimentos de 2024 descrevem o apoio contínuo como uma obrigação contínua. Esse princípio é importante. Um RIR não pode reivindicar legitimidade ascendente enquanto exclui sistematicamente os detentores de recursos que atende. No entanto, a recertificação periódica não deve tentar provar novamente o consentimento regional por meio de um plebiscito.

O apoio é difícil de medir sem manipulação. Os números de membros misturam redes ativas, intermediários e contas inativas. A participação em reuniões favorece participantes com orçamentos de tempo e viagem. Pesquisas dependem da formulação das perguntas e das taxas de resposta. As eleições medem a escolha entre candidatos de acordo com regras corporativas, não a aprovação da existência da instituição. Um ator determinado pode transformar qualquer limiar em uma campanha a favor ou contra o reconhecimento.

O ciclo de garantia deve, em vez disso, testar a maquinaria pela qual o apoio pode ser expresso: regras eleitorais publicadas, participação acessível, listas de membros precisas, avisos oportunos, verificações de conflito, tratamento de reclamações e implementação de resultados válidos. Essas são condições institucionais observáveis. Elas não dizem aos participantes qual posição tomar.

Evidências de exclusão grave ou procedimentos fraudulentos podem constituir um problema grave de conformidade, mas o auditor não deve perguntar se a comunidade aprovou a política mais recente. Discordância política é sinal de um sistema vivo, não evidência de falha institucional. Uma baixa participação eleitoral também não deve automaticamente invalidar um RIR. A investigação relevante é se barreiras, tratamento desigual ou registros defeituosos impediram uma oportunidade justa de participação.

Esse limite impede que a recertificação se torne um voto de confiança regional conduzido por outsiders. Também mantém a continuidade técnica longe de compensar abusos processuais. As duas trilhas podem ser examinadas com evidências diferentes: capacidade de serviço por meio de testes e maquinaria de governança por meio de registros processuais verificáveis. Nenhuma delas dá ao auditor um mandato geral para declarar a instituição politicamente aceitável.

h3>Um ciclo de três anos é um piso, não um substituto para supervisão

O intervalo de pelo menos uma vez a cada três anos no projeto versão 2 é um ponto de partida defensável. É longo o suficiente para evitar um modo de auditoria permanente e curto o suficiente para capturar mudanças de pessoal, substituição de sistemas e deriva de controles. Muitos sistemas e órgãos de governo de RIR podem mudar substancialmente em três anos.

O ciclo deve ser escalonado para que o mesmo auditor e pessoal de coordenação não sejam sobrecarregados. Métodos centrais devem permanecer comuns enquanto os cenários variam. O primeiro ciclo pode estabelecer uma linha de base sem tratar cada lacuna histórica como má conduta. Novas obrigações precisam de um período de transição publicado e suporte técnico quando apropriado.

Três anos não podem carregar todo o fardo. Os RIRs devem relatar um pequeno conjunto de indicadores anuais de continuidade e divulgar prontamente incidentes materiais de serviço. Uma grande mudança de arquitetura, fusão, vacância prolongada de governança, perda de pessoal-chave ou falha grave de recuperação pode desencadear um teste extraordinário focado. Isso não é o mesmo que uma ampla revisão de conformidade ad hoc; o escopo permanece vinculado à capacidade alterada.

Por outro lado, uma recertificação limpa não deve imunizar um RIR até a próxima data. As evidências podem mudar imediatamente. O certificado deve declarar as condições testadas e os limites conhecidos, não prometer desempenho futuro. Se um evento crítico ocorrer, os mecanismos comuns de incidente e conformidade permanecem disponíveis.

O próprio método deve ser revisado pelo menos a cada cinco anos, com consulta pública e explicação das alterações. Novos serviços podem ser adicionados ao pacote mínimo; testes obsoletos podem desaparecer. Revisões de método não devem ser usadas retroativamente para invalidar uma aprovação anterior. O objetivo é a salvaguarda atual sob um padrão conhecido.

Com o tempo, o conjunto de dados suportará melhores limites. Ciclos iniciais devem evitar precisão falsa. Um tempo de recuperação de doze minutos pode ser excelente para um serviço e irrelevante para outro. Números comparativos precisam de contexto, definições de serviço e divulgação das condições do exercício. O objetivo são evidências que permitem julgamento, não uma classificação.

h3>Os custos são reais, mas a dependência semelhante a monopólio aumenta o dever

Testes independentes periódicos consomem tempo e dinheiro da equipe. Exercícios podem interromper o trabalho normal. A preparação de evidências pode favorecer RIRs maiores com equipes de conformidade maduras. Auditores externos podem importar hábitos de finanças ou regulação de nomes de domínio que não se encaixam na administração de números. Essas objeções merecem respostas de design.

O escopo é o primeiro controle de custos. O núcleo comum deve preocupar serviços cuja interrupção ou corrupção prejudicaria os detentores de recursos ou a coordenação global. O auditor deve reutilizar evidências confiáveis de auditorias financeiras, de segurança e corporativas, em vez de exigir trabalho duplicado. Amostragem deve substituir repetição exaustiva onde o risco permitir. Um cronograma plurianual permite que as instituições combinem exercícios com manutenção programada.

Suporte técnico comum pode reduzir a carga desigual sem enfraquecer a independência. Ambientes de teste, esquemas de dados e bibliotecas de cenários podem ser mantidos em conjunto e publicados. Cada RIR continua responsável por passar, mas ninguém precisa inventar o método sozinho. Equipes menores podem receber guias de preparação que não revelem o cenário selecionado.

A resposta mais forte é a proporcionalidade à dependência. Os detentores de recursos geralmente não podem escolher outro RIR reconhecido enquanto mantêm o mesmo relacionamento de serviço regional. As falhas da instituição podem, portanto, impor custos a partes com saída limitada. Onde a escolha do provedor é restrita, as evidências de continuidade devem ser mais fortes, não mais fracas. A ausência de concorrência remove uma fonte de disciplina e fortalece o argumento para um teste independente limitado.

A recertificação também pode reduzir custos de crise. Um pacote de transferência utilizável, uma sequência de recuperação testada e um mapa de autoridade atualizado são mais baratos de manter do que reconstruir durante uma disputa legal ou falha de liderança. Uma aprovação independente pode reduzir a incerteza para fornecedores, membros, tribunais e contrapartes. O exercício produz valor operacional, mesmo que nenhuma medida de execução se siga.

O argumento de custo depende, em última análise, do que está sendo protegido. Isso não é certificação para um clube periférico. Concerne às instituições que mantêm relacionamentos de registro autoritativos, serviços técnicos associados e registros dos quais as redes dependem. Uma demonstração trienal de continuidade é um fardo modesto em comparação com décadas de competência presumida.

h3>O modelo restrito fortalece a legitimidade ao limitar a permissão

O argumento para a recertificação periódica é facilmente mal interpretado como um argumento para um supervisor central mais forte. O oposto é verdadeiro quando bem projetado. A preocupação não estruturada dá à ICANN, aos RIRs pares e aos atores políticos espaço para definir falha durante a crise. Testes predefinidos reduzem esse arbítrio.

Um RIR que conhece o padrão exato de capacidade não precisa cortejar favores. Pode passar apresentando evidências. Um auditor que não gosta de uma política regional não pode mover o limiar. A ICANN pode receber o relatório sem transformá-lo em supervisão ampla. Pares podem contribuir com conhecimento operacional sem votar se o sujeito permanece digno. Detentores de recursos podem ver riscos de continuidade não resolvidos sem lançar uma campanha por ação existencial.

O design também corrige a injustiça de uma revisão acionada por crise. Instituições expostas a disputas visíveis recebem atenção extraordinária, enquanto instituições tranquilas podem ter controles igualmente desatualizados. Um ciclo universal examina todos os cinco RIRs na mesma base. Pode descobrir excelência tanto quanto fraqueza e disseminar melhores práticas sem tratar uma região como problema permanente.

Mais importante, o certificado limitado responde à pergunta temporal correta. O reconhecimento pergunta se um candidato deve entrar no sistema coordenado. A recertificação pergunta se um conjunto nomeado de capacidades atuais foi demonstrado durante um período recente. A revisão de conformidade pergunta se obrigações materiais estão sendo violadas. A continuidade de emergência pergunta como o serviço é protegido agora. A revogação pergunta se o relacionamento institucional deve ser encerrado. Misturar essas perguntas cria poder sem precisão.

A conquista do ICP-2 foi tornar a entrada dependente de evidências, não de ambição. Sua fraqueza foi não exigir que as evidências cruciais envelhecessem. O remédio não é colocar cada RIR em liberdade condicional política. É colocar uma data de validade na garantia de que registros, sistemas, autoridade e transferência ainda funcionam.

h3>Uma primeira rodada de recertificação viável

A primeira rodada global deve ser deliberadamente limitada. Pode testar seis proposições comuns a cada RIR: os registros de produção correspondem a uma cópia protegida recuperada; funções críticas de diretório e DNS reverso são restauradas dentro das metas declaradas; o acesso privilegiado sobrevive à perda de administradores primários; o serviço mínimo tem autoridade legal e financiamento através de uma perturbação de governança; incidentes de segurança e serviço produzem ações corretivas verificadas; e uma equipe secundária qualificada pode usar um pacote de transferência protegido.

Cada RIR deve publicar uma declaração de prontidão seis meses antes de seu teste. A declaração identificaria os serviços no escopo, metas de recuperação declaradas, restrições de privacidade aplicáveis e mudanças importantes desde a linha de base anterior. Não conteria topologia sensível ou credenciais.

O painel independente então selecionaria um cenário de recuperação e um cenário de autoridade. Amostraria registros em períodos atuais e mais antigos, observaria a recuperação, entrevistaria titulares de funções primárias e secundárias, examinaria evidências de encerramento de incidentes e supervisionaria a demonstração de transferência. Representações da administração seriam identificadas e não tratadas como verificação.

Dentro de sessenta dias, o auditor publicaria um resumo público e um anexo restrito. Constatações maiores receberiam um prazo de correção e um novo teste. O relatório diria explicitamente que a aprovação não endossa políticas substantivas e que uma falha por si só não altera o reconhecimento. Apenas um risco crítico presente ou uma falha maior persistente seria encaminhada para a revisão formal de conformidade.

Após todos os cinco relatórios, uma revisão independente de método compararia a qualidade do exercício, não classificaria as instituições. Identificaria testes que produziram evidências ambíguas, informações de segurança que deveriam ser melhor protegidas e limites que precisam ser revisados. Grupos de detentores de recursos poderiam comentar se os relatórios públicos responderam a preocupações de continuidade sem buscar detalhes operacionais confidenciais.

Essa primeira rodada transformaria um debate constitucional em evidências práticas. Mostraria quanto da transferência proposta pode ser testada sem transferir autoridade ao vivo, quão cara é uma revisão independente e se três anos é o intervalo correto. O sistema aprenderia antes de expandir o escopo.

h3>Evidências e limites analíticos

Oscritérios do ICP-2apoiam a descrição das condições originais de entrada, sua importância igual, o papel da auditabilidade e a migração esperada para uma nova instituição regional. Eles não estabelecem um ciclo de recertificação programado.

Aavaliação da IANA sobre a AFRINIC em 2005apoia a descrição de uma avaliação de entrada detalhada abrangendo capacidade técnica, financiamento, governança, registros, confidencialidade e prontidão para transferência. Não é usada para afirmar que a IANA prometeu que essas condições persistiriam indefinidamente ou que falhas posteriores no reconhecimento eram previsíveis.

OsProcedimentos de Implementação e Avaliação de 2024apoiam as afirmações de que as obrigações do ICP-2 são contínuas, todos os cinco RIRs as aceitam, uma revisão pode ser solicitada por ação unânime dos pares ou iniciada pela ICANN sob certas condições, e uma revisão iniciada pela ICANN deve permanecer limitada. Seu limiar é o risco material sob as circunstâncias totais; não prescrevem auditoria de rotina em intervalo fixo.

Oprojeto versão 2 da NROapoia a descrição de uma auditoria independente proposta pelo menos a cada três anos, obrigações separadas de desempenho e continuidade, operação de emergência e prontidão para transferência. Orelatório de status do primeiro trimestre de 2026apoia a afirmação mais restrita de que as consequências da auditoria e a proteção transitória ainda estavam em elaboração. Nenhuma fonte é apresentada como a substituição final e adotada do ICP-2 na data da publicação.

A matriz de recertificação, o painel de garantia, a escala de constatação, o modelo de publicação em camadas e o design da primeira rodada são propostas analíticas. Nenhuma fonte citada estabelece que a ICANN, a NRO ou todas as comunidades de RIR as adotaram. O artigo não avalia se um RIR atual passaria no teste proposto, não infere fraqueza técnica da ausência de um certificado público e não trata uma constatação de auditoria como autoridade automática para revogação.