Сам сертификат хранится в справочнике в двоичных данных
Соответственно ссылка на справочник сертификатов упоминается в пользователях и прочих физ лицах

дабы не плодить каждый год новых сущностей в справочнике - будет ли правильным обновлять записи справочника, а не создавать новые?

(0) старые просроченные серты могут быть нужны для расшифровки старых сообщений. Если вы уверены что такой ситуации не возникнет, то можно замещать.

(1) спасибо, про это не подумал - но вроде нет такой ситуации в этой конфе