Como classificar o risco sanitário de empresas com mais de uma atividade no mesmo CNPJ

Quando um CNPJ declara mais de uma atividade econômica e cada uma delas se enquadra em um grau de risco sanitário diferente, a classificação final do estabelecimento não segue a atividade principal isoladamente: ela segue a atividade de maior grau de risco entre todas as declaradas. Se uma farmácia também vende cosméticos de baixo risco, por exemplo, o rito aplicado ao licenciamento inteiro é o da farmácia — manipulação de medicamentos —, não o da atividade secundária.

Este guia cobre por que tratar só o CNAE principal cria enquadramento incorreto, o passo a passo para classificar corretamente um CNPJ com múltiplas atividades, o que a legislação de liberdade econômica diz sobre isso e como estruturar esse fluxo dentro de um processo eletrônico de licenciamento sanitário.

O que é a classificação de risco sanitário por atividade

É o enquadramento, feito a partir do CNAE declarado, que determina se uma atividade está dispensada de licença prévia (baixo risco), segue rito simplificado sem vistoria física (médio risco, em muitos municípios) ou exige análise técnica e inspeção antes do início do funcionamento (alto risco). Essa classificação é o que molda toda a licença sanitária municipal: o grau de risco define a lista de documentos exigidos, se há vistoria prévia ou posterior e o prazo de validade do documento emitido.

O problema aparece quando o CNPJ não tem uma única atividade. É comum — e cada vez mais frequente com o avanço do licenciamento digital — que uma mesma inscrição reúna CNAE principal e um ou mais CNAEs secundários, cada um com grau de risco próprio na tabela municipal.

Por que a atividade isolada não basta quando há mais de um CNAE

Um sistema ou um rito manual que classifica o risco apenas pelo CNAE principal declarado na Junta Comercial comete dois erros simétricos. No primeiro, uma atividade principal de baixo risco mascara uma atividade secundária de alto risco — um salão de beleza (baixo risco) que também declara procedimentos estéticos invasivos (alto risco) acaba dispensado de vistoria que a legislação sanitária exige para o procedimento secundário. No segundo erro, o oposto: uma atividade principal de alto risco arrasta documentação desnecessária para a atividade secundária, mas isso é o efeito menos grave — o risco real está em subclassificar, não em superclassificar.

O efeito prático do subenquadramento não aparece no protocolo. Aparece meses depois, numa fiscalização de rotina ou numa denúncia, quando se descobre que o estabelecimento operava um procedimento de alto risco sob uma licença emitida como se fosse de baixo risco — e a prefeitura precisa justificar, perante o Ministério Público ou o Tribunal de Contas, por que o sistema de licenciamento não capturou isso no momento da declaração.

Passo a passo para classificar o risco quando há múltiplas atividades no mesmo CNPJ

1. Levante todos os CNAEs declarados, não só o principal

O formulário de solicitação de alvará sanitário precisa capturar CNAE principal e todos os secundários informados pelo requerente, com a mesma obrigatoriedade de preenchimento. Tratar o campo de atividades secundárias como opcional é o que abre a brecha para que uma atividade de risco mais alto passe despercebida.

2. Classifique cada CNAE individualmente pela tabela de risco vigente

Cada atividade declarada deve ser confrontada, separadamente, com a tabela de classificação de risco do código sanitário municipal (ou, na ausência de norma própria, com a Lista Nacional de Atividades de Baixo Risco do CGSIM). Não existe uma classificação “da empresa” — existe uma classificação por atividade, e uma mesma inscrição pode somar classificações diferentes.

3. Aplique a regra do maior grau de risco entre as atividades

Depois de classificado cada CNAE isoladamente, o grau que prevalece para fins de rito, documentação exigida e necessidade de vistoria é o mais alto entre todos os declarados. Uma atividade de baixo risco somada a uma de alto risco resulta em processo tratado como alto risco — a atividade de menor risco não “dilui” a exigência da atividade mais crítica.

4. Documente a justificativa da classificação no processo

O processo eletrônico deve registrar não apenas o grau de risco final, mas qual atividade entre as declaradas motivou aquele enquadramento. Essa rastreabilidade é o que sustenta a decisão diante de uma contestação do requerente ou de uma auditoria — sem ela, a justificativa fica só na memória de quem analisou o caso.

5. Direcione o rito a partir do grau resultante, não do CNAE principal

Dispensa automática, rito simplificado ou exigência de vistoria prévia devem ser configurados como consequência do grau de risco já consolidado (passo 3), nunca como regra aplicada diretamente ao CNAE principal. Isso evita que a automação do sistema libere um alvará definitivo para uma atividade que, somada às demais, deveria passar por análise técnica.

6. Reavalie a classificação sempre que uma atividade for incluída ou alterada

Toda inclusão de nova atividade — seja no cadastro inicial, seja numa alteração contratual posterior — deve disparar nova checagem de grau de risco sobre o conjunto completo de CNAEs do CNPJ, e não apenas sobre a atividade que está sendo incluída isoladamente. Uma empresa que já operava sob baixo risco pode passar a exigir rito de alto risco no momento em que inclui uma única atividade nova.

O que a legislação exige

A Lei da Liberdade Econômica (Lei nº 13.874/2019) estabelece que a classificação de risco deve orientar a intensidade da análise: atividades de baixo risco recebem licença automática, e as demais são submetidas a exame proporcional ao risco identificado. O Decreto nº 10.178/2019 regulamenta essa classificação e instituiu a Lista Nacional de Atividades de Baixo Risco com base no CNAE — referência que o município usa como piso, podendo complementá-la com norma própria, mas nunca reduzir a proteção nela prevista. Nenhum dos dois dispositivos trata a classificação como atributo do CNPJ como um todo: ela é sempre por atividade, o que é justamente o fundamento para aplicar o maior grau entre as declaradas quando há mais de uma.

Como o Aprova resolve isso

• Captura todos os CNAEs declarados no formulário de solicitação, sem limitar o preenchimento à atividade principal.
• Aplica a regra de maior grau de risco automaticamente, a partir da tabela de classificação parametrizada pelo próprio município.
• Monta o checklist de documentos exigidos a partir do grau de risco já consolidado, não da atividade principal isolada.
• Registra, no histórico do processo, qual atividade motivou o enquadramento final, com trilha de auditoria disponível para consulta posterior.
• Dispara reclassificação automática do processo quando uma nova atividade é incluída no cadastro do mesmo CNPJ.

Indicadores para medir a classificação de risco

Acompanhe a proporção de processos com mais de uma atividade declarada em relação ao total de licenciamentos sanitários, o percentual desses processos em que o grau de risco final difere do grau da atividade principal isolada, o tempo médio entre a inclusão de uma atividade nova e a reclassificação do processo, e o número de contestações de enquadramento recebidas por atividade secundária mal avaliada. Esse último indicador costuma apontar exatamente onde a tabela de classificação do município precisa de ajuste.

FAQ sobre classificação de risco sanitário com múltiplas atividades

O que acontece se as duas atividades tiverem o mesmo grau de risco?

Nada muda no rito: o processo segue o grau comum a ambas. A regra do maior risco só produz diferença prática quando as atividades declaradas estão em graus distintos.

A regra do maior risco vale também quando a atividade é incluída depois, numa alteração cadastral?

Sim. A Lei da Liberdade Econômica não distingue abertura de alteração para efeito de classificação de risco — se a inclusão posterior eleva o grau de risco do conjunto, o processo de alteração deve ser reclassificado, não tratado como mera atualização cadastral automática.

Quem define a tabela de graus de risco por atividade?

O código sanitário municipal ou ato normativo específico da vigilância sanitária local. Na ausência de norma própria para determinada atividade, o parâmetro de referência é a Lista Nacional de Atividades de Baixo Risco do CGSIM, prevista no Decreto nº 10.178/2019.

A regra do maior risco se aplica também a autônomos (CPF) com mais de uma atividade?

Sim, o raciocínio é o mesmo: a classificação é por atividade declarada, e o profissional autônomo que acumula mais de uma atividade sob o mesmo cadastro segue o grau de risco mais alto entre elas para fins de exigência de licença sanitária.

E se as atividades do mesmo CNPJ pedirem manifestação de órgãos diferentes, como vigilância sanitária e meio ambiente?

A regra do maior risco resolve o enquadramento sanitário, mas não substitui a exigência de manifestação de outros órgãos competentes. Nesse caso, o processo precisa tramitar em paralelo pelos órgãos licenciadores pertinentes — o mesmo desenho descrito no guia sobre licenciamento com múltiplos órgãos.

Conclusão

Classificar o risco sanitário pelo CNAE principal, ignorando as atividades secundárias do mesmo CNPJ, é um erro de desenho que só aparece quando já é tarde — numa fiscalização, numa denúncia ou numa auditoria. Levantar todos os CNAEs declarados, classificar cada um isoladamente e aplicar sempre o maior grau de risco entre eles é o que mantém o licenciamento sanitário alinhado ao que a Lei da Liberdade Econômica já prevê: proporcionalidade real entre o risco da atividade e a intensidade da análise. Para ver como esse enquadramento automático funciona dentro do licenciamento digital da sua prefeitura, agende uma demonstração da Aprova.