INSTRUÇÃO NORMATIVA BCB Nº 443, DE 20 DE DEZEMBRO DE 2023
\n\nDivulga\nregras e calendário para pontos de controle do processo de alteração do perfil\nde segurança do Open Finance.
\n\nOs Chefes do\nDepartamento de Supervisão de Cooperativas e de Instituições Não Bancárias\n(Desuc) e do Departamento de Supervisão Bancária (Desup), no uso da atribuição\nque lhes confere o artigo 23, inciso I, alínea "a" do Regimento\nInterno do Banco Central do Brasil, anexo à Resolução BCB 340, de 21 de\nsetembro de 2023, com base nos artigos 46, inciso II e\n51, incisos IX e XI, ambos da Resolução Conjunta nº 1, de 04 de Maio de 2020.
\n\nR E S O L V E M :
\n\nArt. 1º Esta\nInstrução Normativa divulga regras e calendário para pontos de controle de uma\netapa do processo de alteração do perfil de segurança do Open Finance,\nque, em atendimento à Instrução Normativa BCB 305, de 15 de setembro de 2022, estabelece\nas diretrizes de segurança e interoperabilidade que devem ser aplicadas às APIs\n(Applications Programming Interface) do Open Finance.
Art. 2º Em uma das\netapas do cronograma de implementação de criação do novo perfil de segurança,\nconforme estabelecido pela Estrutura de Governança do Open Finance, deverão\nser realizados os DCMs (Dynamic Client Management), na qual, de forma\nbilateral, as Instituições informam os padrões utilizados e reconhecidos por\ncada Instituição. Esse passo é crítico para a adequada interoperabilidade do Open\nFinance e deverá obedecer às regras e pontos de controle estabelecidos\nnesta Instrução Normativa.
Art. 3º A etapa\nmencionada no parágrafo anterior se encerra em 14/4/2024 e deve ser observada\npor todos os participantes ativos no Open Finance.
\n\n\n\nMarcos de DCM a serem cumpridos por\nparticipantes relevantes
\n\nArt. 4º Em seus\npapéis de iniciadora/receptora, as instituições e os conglomerados relacionados\nnos arts. 8º e 9º devem respeitar os marcos estabelecidos no art. 5º para\nrealização de DCM com as principais marcas das Instituições relacionadas no\nart. 10.
I – Todas as\nInstituições listadas no art. 10 devem ser objeto de DCM que integre as\nmétricas do art. 5º. No entanto, cada iniciadora/receptora poderá usar critério\npróprio para identificar as principais marcas das Instituições\ndetentoras/transmissoras. Contudo, marcas com DCR (Dynamic Client\nRegistration), que representa o primeiro registro bilateral, ocorrido em 2024\ndevem ser incluídas no cronograma.
\n\n\n\nArt. 5º O processo de\nDCM pelos participantes listados nos arts. 8º e 9º deverá seguir o seguinte\ncronograma:
\n\n| \n Data \n | \n \n Descrição \n | \n
| \n 26/3/2024 \n | \n \n Concluir com êxito 10% dos DCMs previstos no\n art. 4º. \n | \n
| \n 27/3/2024 \n | \n \n Realizar testes comprovatórios dos DCMs\n considerados para atingir a meta de 26/3/2023. \n | \n
| \n 1/04/2024 \n | \n \n Concluir com êxito 30% dos DCMs previstos\n no art. 4º. \n | \n
| \n 2/4/2024 \n | \n \n Realizar testes comprovatórios dos DCMs\n considerados para atingir a meta de 1/4/2024 \n | \n
| \n 4/4/2024 \n | \n \n Concluir com êxito 70% dos DCMs previstos\n no art. 4º. \n | \n
| \n 5/4/2024 \n | \n \n Realizar testes comprovatórios dos DCMs\n considerados para atingir a meta de 4/4/2024 \n | \n
| \n 9/4/2024 \n | \n \n Concluir com êxito 95% dos DCMs previstos\n no art. 4º. \n | \n
| \n 10/4/2024 \n | \n \n Realizar testes comprovatórios dos DCMs\n considerados para atingir a meta de 9/4/2024 \n | \n
| \n 11/4/2024 \n | \n \n Concluir com êxito 100% dos DCMs previstos\n no art. 4º. \n | \n
| \n 12/4/2024 \n | \n \n Realizar testes comprovatórios de 100% dos\n DCMs previstos no art. 4º. \n | \n
\n\n
Art. 6º Para a\nrealização de testes comprobatórios, após cada DCM realizado com sucesso:
I – Caso a iniciadora\ntenha condições técnicas, deverá validar se a jornada continua operacional e se\né possível realizar uma iniciação de pagamento com sucesso;
II – Caso a receptora\ntenha condições técnicas, deverá validar se a jornada continua operacional;
III – A receptora\ndeverá validar se é possível consumir dados de consentimentos ativos;
IV – Evidências desses\ntestes devem ser mantidas à disposição do Banco Central do Brasil.
Art. 7º Caso seja\nrealizado um novo DCM com perfil antigo para marca já computada como sucesso\nnos marcos estabelecidos no art. 5º, a marca deve ser desconsiderada nos marcos\nseguintes, até que volte a ser realizado DCM com o novo perfil de segurança.
Art. 8º As\niniciadoras e/ou receptoras que devem respeitar os marcos estabelecidos no art.\n5º são os conglomerados e instituições listadas abaixo:
I - Banco do Brasil;
II – Bradesco;
III – Itaú;
IV - Mercado Pago;
V - Nu Pagamentos;
VI – PicPay;
VII – Santander;
VIII - U4C.
Art. 9º Se, ao final\nde fevereiro de 2024, houver outras Instituições relevantes (95% do estoque dos\nconsentimentos ativos para compartilhamento de dados e/ou 95% das transações\niniciadas) também estarão sujeitas a esse cronograma e serão individualmente\ncontatadas pela Supervisão do Banco Central, até 11/03/2024.
Art. 10. As detentoras\ne/ou transmissoras que devem ser consideradas para fins do estabelecido no art.\n4º são:
I - Banco do Brasil;
II – Bradesco;
III – CAIXA;
IV - C6;
V – Itaú;
VI - Mercado Pago;
VII - Nu Pagamentos;
VIII – PicPay;
IX – Santander.
Art. 11. A relação de detentoras/transmissoras\nnão será complementada com outras instituições.
\n\n\n\nMetas\nde atendimento de tickets
\n\n\n\nArt. 12. No período\nde 25/03/2024 a 14/04/2024, devem ser formalizados no service desk tickets\nrelativos a:
I - Incidentes nos DCR/DCMs;
II - Incidentes com suspeita\nde que sejam desdobramentos dos DCR/DCMs. São exemplos de cenários possíveis de\nenquadramento nesse item erros generalizados de token inválido e escopo\ninválido que não ocorriam antes dos referidos DCR/DCMs;
Art. 13. Os\ntickets relacionados no art. 12:
Art. 13. Os tickets\nmencionados no art. 12: (Redação dada pela\nInstrução Normativa BCB nº 457, de 19/3/2024.)
I - Referentes\na DCMs que integrem os marcos do art. 4º devem ser classificados na categoria\nmais adequada, mas reclassificados para indisponibilidade, com meta de\natendimento de incidentes com indisponibilidade, nos termos da IN BCB 359, de 3\nde março de 2023;
I - Referentes a\nDCR/DCMs referidos no art. 4º, devem ser classificados na categoria mais\nadequada, mas terem sua meta de atendimento redefinida para um prazo máximo de\n1 dia útil; (Redação dada pela\nInstrução Normativa BCB nº 457, de 19/3/2024.)
II - Não\nenquadráveis nos marcos do art. 4º devem ser classificados na categoria mais\nadequada, mas reclassificados para degradação de qualidade de serviço, com meta\nde atendimento de incidentes que não causem indisponibilidade de serviços com\ntipo de incidente degradação de qualidade de serviço nos termos da IN BCB 359/2023;
II - Não enquadráveis\nnos termos do art. 4º, devem ser classificados na categoria mais adequada, mas\nterem sua meta de atendimento redefinida para um prazo máximo de 2 dias úteis; (Redação dada pela\nInstrução Normativa BCB nº 457, de 19/3/2024.)
III - Deverão ter as solicitações\nde reclassificação para tipos de incidente com meta de atendimento com prazo\nmáximo superior ao estabelecido nesta Instrução Normativa negadas;
IV - Se a instituição\nque abriu o ticket identificar que a causa do erro está na implementação sob\nsua responsabilidade ou na eventualidade de decisão de implementação de solução\nde contorno na implementação sob sua responsabilidade, o ticket deve ser\natualizado e encerrado no mesmo dia.
Art. 14. Esta Instrução Normativa entra em\nvigor em 01 de fevereiro de 2024.
\n\n
\n\n
\n\n
Harold Paquete Espínola Filho Belline\nSantana
\n\nChefe do Departamento de Supervisão de Chefe\ndo Departamento de
\n\n Cooperativas\ne de Instituições Não Bancárias Supervisão Bancária
\n
NOTA TÉCNICA
\n\n\n\n\n\n\n\n\n\n
\n\n
A presente Nota Técnica fundamenta proposta\nde edição de instrução normativa, que estabelece regras e calendário para pontos\nde controle do processo de alteração do perfil de segurança do Open Finance,\nconforme previsto nos artigos 46, inciso II e 51, incisos IX e XI, ambos da\nResolução Conjunta nº 1, de 04 de Maio de 2020.
2. Em\natendimento ao previsto no art. 5º da Lei nº 13.874, de 20 de setembro de 2019,\no Decreto nº 10.411, de 30 de junho de 2020, determina que as propostas de atos\nnormativos de interesse geral de agentes econômicos formuladas por órgãos e\nentidades da administração pública federal direta, autárquica e fundacional,\nbem como por colegiados por meio do órgão ou da entidade encarregada de lhe\nprestar apoio administrativo, sejam precedidas de Análise de Impacto\nRegulatório (AIR).
3. No\nentanto, vale destacar que a proposta de divulgação de regras e calendário para\npontos de controle do processo de alteração do perfil de segurança do Open\nFinance não causa impactos significativos para o conjunto e\ninstituições participantes do Open Finance por tratar-se da definição de\nregras e pontos de controle a calendário já estabelecido. Nesse sentido, de\nacordo com o art. 4º, inciso III, do referido Decreto, o ato normativo ora\nproposto fica dispensado de elaboração de AIR por ser considerado de baixo\nimpacto.
\n\n\n\n
À consideração de V.Sa.
\n\n\n\n
\n\n
\n\n
Rodrigo Monteiro
\n\nChefe Adjunto do\nDepartamento de Supervisão de
\n\nCooperativas e de\nInstituições Não Bancárias
\n\n\n\n
Ricardo Seviere Zeni
\n\nChefe Adjunto do Departamento\nde
\n\nSupervisão Bancária
\n\n\n\n
De acordo.
\n\n\n\n
\n\n
\n\n
Harold Paquete\nEspínola Filho
\n\nChefe do Departamento\nde Supervisão de
\n\nCooperativas e de\nInstituições Não Bancárias
\n\n\n\n
\n\n
Belline Santana
\n\nChefe do Departamento\nde
\n\nSupervisão Bancária
\n\n\n\n