{"navegacao":null,"view":"views/exibenormativo.aspx","conteudo":[{"Titulo":"Resolução BCB N° 368","Tipo":"Resolução BCB","Documentos":null,"DOU":"Publicada no DOU de 26/1/2024, Seção 1, p. 81-83.","Id":52219,"Data":"2024-01-25T21:02:00Z","DataTexto":"25/1/2024 18:02","Numero":368.0,"VersaoNormativo":1.0,"Assunto":" Altera as Resoluções BCB ns. 28, de 23 de outubro de 2020; 65, de 26 de janeiro de 2021; 85, de 8 de abril de 2021; 93, de 6 de maio de 2021; 155, de 14 de outubro de 2021; e 260, de 22 de novembro de 2022, para incluir em seus escopos de aplicação as sociedades corretoras de títulos e valores mobiliários, as sociedades distribuidoras de títulos e valores mobiliários e as sociedades corretoras de câmbio autorizadas a funcionar pelo Banco Central do Brasil. ","NormasVinculadas":"RESOLUÇÃO BCB;@260;@2022;#RESOLUÇÃO BCB;@155;@2021;#RESOLUÇÃO BCB;@93;@2021;#RESOLUÇÃO BCB;@85;@2021;#RESOLUÇÃO BCB;@65;@2021;#RESOLUÇÃO BCB;@28;@2020;#","Referencias":"Lei nº 4.728/1965, art. 9º-A, incisos I e II.;#Lei nº 11.795/2008, arts. 6º e 7º, inciso III.;#Lei nº 12.865/2013, arts. 9º, incisos II e IX, \"b\", e 15.;#Cita Lei Complementar nº 123/2006.;#Altera, a partir de 1º/3/2024, Resolução BCB nº 28/2020 - Dá nova redação: ementa, art. 2º, caput e inciso I; art. 3º, caput; art. 4º, inciso II; art. 5º, inciso I; art. 6º, caput, inciso II e § 2º; art. 8º, caput; art. 9º, §§ 2º e 3º; art. 10, caput e incisos I, II e III; art. 12, caput; art. 14; art. 16, caput e § 3º; e art. 18, parágrafo único. Inclui: art. 10, inciso IV.;#Altera, a partir de 1º/3/2024, Resolução BCB nº 65/2021 - Dá nova redação: ementa, art. 1º, caput; art. 2º, caput; art. 7º, incisos I e V e parágrafo único; art. 9º, inciso I, “d”; art. 10; e art. 11, caput. Inclui: art. 1º, incisos I a V; e art. 2º, §§ 1º e 2º. Revoga: art. 2º, parágrafo único.;#Altera, a partir de 1º/3/2024, Resolução BCB nº 85/2021 - Dá nova redação: ementa, art. 1º; art. 2º, caput e §§ 2º e 3º; art. 3º, incisos I, II, IV, V, “a” e “b”, VI, “b”, e VII e §§ 1º, 3º e 5º; arts. 4º, 5º, 6º, caput, 7º, caput; art. 8º, caput, § 1º, inciso IV, § 2º; arts. 9º e 11; 12, caput, inciso II, “g” e “h”; art. 13, caput; art. 14; art. 15, caput; art. 16, incisos II, III, IV e §§ 1º e 2º; art. 17, incisos III, IV, “a”, V, VI, VIII e IX e parágrafo único, inciso II, “b”; art. 19, caput e inciso III; art. 20, caput, inciso III e parágrafo único; art. 21, caput; e art. 22, caput. Inclui: art. 8º, § 2º, incisos I e II. Revoga: art. 24.;#Altera, a partir de 1º/3/2024, Resolução BCB nº 93/2021 - Dá nova redação: ementa, art. 1º, caput; art. 2º, caput; art. 3º, caput, §§ 1º, incisos I, II e III, e 2º; art. 7º, caput; art. 10, caput; art. 13; art. 17, caput; arts. 19 e 21; e art. 23, caput. Inclui: art. 1º, incisos I a V.;#Altera, a partir de 1º/3/2024, Resolução BCB nº 155/2021 - Dá nova redação: ementa, art. 1º, caput; art. 2º; art. 4º, caput e inciso V; art. 6º, caput e § 3º; art. 7º, caput e §§ 1º e 3º; art. 8º, caput; e art. 9º. Inclui: art. 1º, incisos I a V.;#Altera, a partir de 1º/3/2024, Resolução BCB nº 260/2022 - Dá nova redação: ementa, art. 1º, caput; art. 2º, art. 4º, incisos I e II; art. 5º, inciso I, “b”, itens 2 e 3, inciso II, “a”, inciso III, “g” e “i”, inciso IV, “c” e “h”, e inciso V, “a”, \"b\" e “c”, item 1; art. 6º, parágrafo único, inciso I; art. 8º, incisos I e III e parágrafo único; art. 9º, caput; art. 10, caput e parágrafo único; e art. 11, incisos I e II. Inclui: art. 1º, incisos I a V.;#","Atualizacoes":null,"Revogado":false,"Cancelado":false,"Texto":"
\n\n

RESOLUÇÃO BCB Nº 368, DE 25 DE JANEIRO DE 2024

Altera as Resoluções\nBCB ns. 28, de 23 de outubro de 2020; 65, de 26 de janeiro de 2021; 85, de 8 de\nabril de 2021; 93, de 6 de maio de 2021; 155, de 14 de outubro de 2021; e 260,\nde 22 de novembro de 2022, para incluir em seus escopos de aplicação as\nsociedades corretoras de títulos e valores mobiliários, as sociedades\ndistribuidoras de títulos e valores mobiliários e as sociedades corretoras de\ncâmbio autorizadas a funcionar pelo Banco Central do Brasil.

A Diretoria Colegiada do Banco Central\ndo Brasil, em sessão realizada em 23 de janeiro de 2024, com base no art. 9º-A,\nincisos I e II, da Lei nº 4.728, de 14 de julho de 1965, 6º e 7º, inciso III,\nda Lei nº 11.795, de 8 de outubro de 2008, 9º, incisos\nII e IX, alínea "b", e 15 da Lei nº 12.865, de 9 de outubro de 2013,

R E S O L V E :

Art.\n1º  A ementa da Resolução BCB nº 28, de 23\nde outubro de 2020, passa a vigorar com a seguinte alteração:

"Dispõe sobre a constituição e o funcionamento de componente\norganizacional de ouvidoria pelas instituições de pagamento, pelas\nadministradoras de consórcio, pelas sociedades corretoras de títulos e valores\nmobiliários, pelas sociedades distribuidoras de títulos e valores mobiliários e\npelas sociedades corretoras de câmbio autorizadas a funcionar pelo Banco\nCentral do Brasil." (NR)

Art. 2º  A Resolução BCB nº 28, de 2020, passa a\nvigorar com as seguintes alterações:

"Art. 2º  O componente organizacional de ouvidoria deve\nser constituído pelas seguintes instituições:

I -\ninstituições de pagamento, sociedades corretoras de títulos e valores\nmobiliários, sociedades distribuidoras de títulos e valores mobiliários e\nsociedades corretoras de câmbio autorizadas a funcionar pelo Banco Central do\nBrasil que tenham clientes pessoas naturais, inclusive empresários individuais,\nou pessoas jurídicas classificadas como microempresas e empresas de pequeno\nporte, nos termos da Lei Complementar nº 123, de 14 de dezembro de 2006; e

................................................................................................................"\n(NR)

"Art.\n3º  Para fins desta Resolução, também considera-se\ncliente:

................................................................................................................"\n(NR)

"Art.\n4º \n............................................................................................................

.........................................................................................................................

II - atuar\ncomo canal de comunicação entre a instituição mencionada no art. 2º e os seus\nclientes, inclusive na mediação de conflitos.

................................................................................................................"\n(NR)

"Art.\n5º \n............................................................................................................

I - no caso\nde instituição mencionada no inciso I do caput do art. 2º, com a\nnatureza e a complexidade dos produtos, serviços, atividades, processos e\nsistemas de cada instituição; e

................................................................................................................"\n(NR)

"Art.\n6º  É admitido o compartilhamento de\nouvidoria pelas instituições mencionadas no art. 2º, observadas as seguintes\nsituações e regras:

.........................................................................................................................

II - a\ninstituição não enquadrada no disposto no inciso I pode compartilhar a\nouvidoria constituída:

.........................................................................................................................

§ 2º  O disposto no inciso II, alínea\n"b", do caput, somente se aplica a associação de classe que\npossuir código de ética ou de autorregulação efetivamente implantado, ao qual a\ninstituição tenha aderido." (NR)

"Art.\n8º  As instituições mencionadas no art.\n2º devem:

................................................................................................................"\n(NR)

"Art.\n9º \n............................................................................................................

.........................................................................................................................

§ 2º  As alterações estatutárias ou contratuais\nexigidas por esta Resolução relativas às instituições mencionadas no art. 2º que\noptarem pela faculdade prevista no art. 6º, inciso I, podem ser promovidas\nsomente pela instituição que constituir a ouvidoria.

§ 3º  A instituição que não constituir ouvidoria\nprópria em decorrência da faculdade prevista no art. 6º, inciso II, deve\nratificar a decisão na primeira assembleia geral ou na primeira reunião de\ndiretoria realizada após tal decisão." (NR)

"Art.\n10.  As instituições mencionadas no art.\n2º devem designar, perante o Banco Central do Brasil, os nomes do ouvidor e do\ndiretor ou administrador responsável pela ouvidoria, observadas as seguintes\ncondições:

I - o diretor\nou administrador responsável pela ouvidoria pode desempenhar outras funções,\ninclusive a de ouvidor, exceto a de diretor de administração de recursos de\nterceiros;

II - no caso\ndas instituições de pagamento e administradoras de consórcio, o ouvidor não\npoderá desempenhar outra função, exceto a de diretor ou administrador\nresponsável pela ouvidoria;

III - nas\nsituações em que o ouvidor desempenhe outra atividade na instituição, essa\natividade não pode configurar conflito de interesses ou de atribuições; e

IV - na\nhipótese de a designação de diretor ou administrador responsável pela ouvidoria\ne de ouvidor nas instituições de pagamento e administradoras de consórcio\nrecaírem sobre a mesma pessoa, esta não poderá desempenhar outra função.” (NR)

"Art.\n12.  Para cumprimento do disposto no caput\ndo art. 10, nas hipóteses previstas no art. 6º, inciso II, as instituições\nmencionadas no art. 2º devem:

................................................................................................................"\n(NR)

"Art.\n14.  As instituições mencionadas no art.\n2º devem divulgar semestralmente, nos respectivos sítios eletrônicos na\ninternet, informações relativas às atividades desenvolvidas pela ouvidoria."\n(NR)

"Art.\n16.  As instituições mencionadas no art.\n2º devem adotar providências para que os integrantes da ouvidoria que realizem\nas atividades mencionadas no art. 7º sejam considerados aptos em exame de\ncertificação organizado por entidade de reconhecida capacidade técnica.

.........................................................................................................................

§ 3º  As instituições mencionadas no art. 2º devem\nassegurar a capacitação permanente dos integrantes das respectivas ouvidorias\nem relação aos temas mencionados no § 1º.

................................................................................................................"\n(NR)

"Art.\n18. \n...........................................................................................................

Parágrafo\núnico.  O disposto no caput deve\nser observado, inclusive, pela instituição mencionada no art. 2º que não\nconstituir componente de ouvidoria próprio em decorrência da faculdade prevista\nno art. 6º." (NR)

Art. 3º  A ementa da\nResolução BCB nº 65, de 26 de janeiro de 2021, passa a vigorar com a seguinte alteração:

"Dispõe\nsobre a política de conformidade (compliance) das administradoras de\nconsórcio, das instituições de pagamento, das sociedades corretoras de títulos\ne valores mobiliários, das sociedades distribuidoras de títulos e valores\nmobiliários e das sociedades corretoras de câmbio autorizadas a funcionar pelo\nBanco Central do Brasil." (NR)

Art. 4º  A Resolução BCB nº 65,\nde 2021, passa a vigorar com as seguintes alterações:

"Art. 1º  Esta\nResolução regulamenta a política de conformidade (compliance) aplicável\nàs seguintes instituições autorizadas a funcionar pelo Banco Central do Brasil:

I - administradoras de consórcio;

II -  instituições de\npagamento;

III - sociedades corretoras de títulos e valores mobiliários;

IV - sociedades distribuidoras de títulos e valores mobiliários; e\n

V - sociedades corretoras de câmbio." (NR)

"Art.\n2º  As instituições mencionadas no art.\n1º devem implementar e manter política de conformidade compatível com a\nnatureza, o porte, a complexidade, a estrutura, o perfil de risco e o modelo de\nnegócio, de forma a assegurar o efetivo gerenciamento do seu risco de\nconformidade.

§ 1º  Para fins desta Resolução, considera-se risco\nde conformidade a possibilidade de a instituição sofrer sanções legais ou\nadministrativas, perdas financeiras, danos de reputação e outros danos,\ndecorrentes de descumprimento ou falhas na observância do arcabouço legal, da\nregulamentação infralegal, das recomendações dos órgãos reguladores e dos\ncódigos de autorregulação aplicáveis.

§ 2º  O risco de conformidade deve ser gerenciado\npelas sociedades corretoras de títulos e valores mobiliários, pelas sociedades\ndistribuidoras de títulos e valores mobiliários e pelas sociedades corretoras\nde câmbio, de forma integrada com os demais riscos incorridos pela instituição,\nnos termos da regulamentação específica.” (NR)

"Art.\n7º \n............................................................................................................

I - testar e\navaliar a aderência da instituição mencionada no art. 1º ao arcabouço legal, à\nregulamentação infralegal, às recomendações dos órgãos de supervisão e, quando\naplicáveis, aos códigos de ética, de conduta e outros regulamentos que estejam\nobrigadas a observar;

.........................................................................................................................

V - elaborar\nrelatório, com periodicidade mínima anual, contendo o sumário dos resultados\ndas atividades relacionadas com a função de conformidade, suas principais\nconclusões, recomendações e providências tomadas pela administração da\ninstituição mencionada no art. 1º; e

.........................................................................................................................

Parágrafo\núnico.  As instituições mencionadas no\nart. 1º poderão contratar especialistas para a execução de atividades\nrelacionadas com a política de conformidade, mantidas integralmente as\natribuições e responsabilidades do conselho de administração." (NR)

"Art.\n9º \n............................................................................................................

I - ......................................................................................................................

.........................................................................................................................

d) a\ndisseminação de padrões de integridade e conduta ética como parte da cultura da\ninstituição;

................................................................................................................"\n(NR)

"Art.\n10.  Para as instituições mencionadas no\nart. 1º que não possuam conselho de administração, as atribuições e\nresponsabilidades previstas nesta Resolução devem ser imputadas à sua diretoria\nou aos seus administradores." (NR)

"Art.\n11.  As instituições mencionadas no art.\n1º devem manter à disposição do Banco Central do Brasil:

................................................................................................................"\n(NR)

Art. 5º  A ementa da\nResolução BCB nº 85, de 8 de abril de 2021, passa a vigorar com a seguinte alteração:

“Dispõe sobre\na política de segurança cibernética e sobre os requisitos para a contratação de\nserviços de processamento e armazenamento de dados e de computação em nuvem a\nserem observados pelas instituições de pagamento, pelas sociedades corretoras\nde títulos e valores mobiliários, pelas sociedades distribuidoras de títulos e\nvalores mobiliários e pelas sociedades corretoras de câmbio autorizadas a\nfuncionar pelo Banco Central do Brasil.” (NR)

Art. 6º  A Resolução BCB nº\n85, de 2021, passa a vigorar com as seguintes alterações:

“Art. 1º  Esta Resolução dispõe sobre a política de\nsegurança cibernética e sobre os requisitos para a contratação de serviços de\nprocessamento e armazenamento de dados e de computação em nuvem a serem\nobservados pelas instituições de pagamento, pelas sociedades corretoras de\ntítulos e valores mobiliários, pelas sociedades distribuidoras de títulos e\nvalores mobiliários e pelas sociedades corretoras de câmbio autorizadas a\nfuncionar pelo Banco Central do Brasil.” (NR)

“Art. 2º  As instituições mencionadas no art. 1º devem\nimplementar e manter política de segurança cibernética formulada com base em\nprincípios e diretrizes que busquem assegurar a confidencialidade, a\nintegridade e a disponibilidade dos dados e dos sistemas de informação\nutilizados.

.........................................................................................................................

§ 2º  As instituições integrantes de conglomerado\nprudencial podem adotar política de segurança cibernética única do conglomerado\nprudencial, nos termos da regulamentação em vigor, desde que compatível com o\ndisposto neste Capítulo.

§ 3º  As instituições que não constituírem política\nde segurança cibernética própria em decorrência do disposto no § 2º devem\nformalizar a opção por essa faculdade em reunião do conselho de administração\nou, na sua inexistência, da diretoria da instituição.” (NR)

“Art. 3º  ............................................................................................................

I – os\nobjetivos de segurança cibernética da instituição;

II – os\nprocedimentos e os controles adotados para reduzir a vulnerabilidade da\ninstituição a incidentes e atender aos demais objetivos de segurança\ncibernética;

.........................................................................................................................

IV – o\nregistro, a análise da causa e do impacto, bem como o controle dos efeitos de\nincidentes relevantes para as atividades da instituição;

V - ....................................................................................................................

a) a\nelaboração de cenários de incidentes considerados nos testes de continuidade de\nnegócios;

b) a\ndefinição de procedimentos e de controles voltados à prevenção e ao tratamento\ndos incidentes a serem adotados por empresas prestadoras de serviços a\nterceiros que manuseiem dados ou informações sensíveis ou que sejam relevantes\npara a condução das atividades operacionais da instituição;

.........................................................................................................................

VI – os\nmecanismos para disseminação da cultura de segurança cibernética na\ninstituição, incluindo:

.........................................................................................................................

b) a\nprestação de informações a clientes e a usuários finais sobre precauções na\nutilização de produtos e serviços oferecidos; e

.........................................................................................................................

VII – as\niniciativas para compartilhamento de informações sobre os incidentes\nrelevantes, mencionados no inciso IV, com as instituições mencionadas no art.\n1º e com as demais instituições autorizadas a funcionar pelo Banco Central do\nBrasil.

§ 1º  Na definição dos objetivos de segurança\ncibernética referidos no inciso I do caput, deve ser contemplada a\ncapacidade de a instituição prevenir, detectar e reduzir a vulnerabilidade a\nincidentes relacionados com o ambiente cibernético.

.........................................................................................................................

§ 3º  Os procedimentos e os controles citados no\ninciso II do caput devem ser aplicados, inclusive, no desenvolvimento de\nsistemas de informação seguros e na adoção de novas tecnologias empregadas nas\natividades da instituição.

.........................................................................................................................

§ 5º  As diretrizes de que trata a alínea “b” do\ninciso V do caput devem contemplar procedimentos e controles em níveis\nde complexidade, abrangência e precisão compatíveis com os utilizados pela\nprópria instituição.” (NR)

“Art. 4º  A política de segurança cibernética deve ser\ndivulgada aos funcionários da instituição mencionada no art. 1º e às empresas\nprestadoras de serviços a terceiros, mediante linguagem clara, acessível e em\nnível de detalhamento compatível com as funções desempenhadas e com a\nsensibilidade das informações.” (NR)

“Art. 5º  As instituições mencionadas no art. 1º devem\ndivulgar ao público resumo contendo as linhas gerais da política de segurança\ncibernética.” (NR)

“Art. 6º  As instituições mencionadas no art. 1º devem\nestabelecer plano de ação e de resposta a incidentes visando à implementação da\npolítica de segurança cibernética.

................................................................................................................”\n(NR)

“Art. 7º  As instituições mencionadas no art. 1º devem\ndesignar diretor responsável pela política de segurança cibernética e pela\nexecução do plano de ação e de resposta a incidentes.

................................................................................................................”\n(NR)

“Art. 8º  As instituições mencionadas no art. 1º devem\nelaborar relatório anual sobre a implementação do plano de ação e de resposta a\nincidentes, mencionado no art. 6º, com data-base de 31 de dezembro.

§ 1º \n.................................................................................................................

.........................................................................................................................

IV – os\nresultados dos testes de continuidade de negócios, considerando cenários de\nindisponibilidade ocasionada por incidentes.

§ 2º  O relatório mencionado no caput deve\nser:

I - submetido\nao comitê de risco, quando existente; e

II -\napresentado ao conselho de administração ou, na sua inexistência, à diretoria\nda instituição até 31 de março do ano seguinte ao da data-base." (NR)

"Art.\n9º  A política de segurança cibernética\nreferida no art. 2º e o plano de ação e de resposta a incidentes mencionado no\nart. 6º devem ser aprovados pelo conselho de administração ou, na sua\ninexistência, pela diretoria da instituição mencionada no art. 1º." (NR)

"Art.\n11.  As instituições mencionadas no art.\n1º devem assegurar que suas políticas, estratégias e estruturas para\ngerenciamento de riscos previstas na regulamentação em vigor, especificamente\nno tocante aos critérios de decisão quanto à terceirização de serviços,\ncontemplem a contratação de serviços relevantes de processamento e\narmazenamento de dados e de computação em nuvem, no país ou no exterior."\n(NR)

"Art.\n12.  As instituições mencionadas no art.\n1º, previamente à contratação de serviços relevantes de processamento e\narmazenamento de dados e de computação em nuvem, devem adotar procedimentos que\ncontemplem:

.........................................................................................................................

II - .....................................................................................................................

.........................................................................................................................

g) a\nidentificação e a segregação dos dados dos clientes e dos usuários finais da\ninstituição por meio de controles físicos ou lógicos; e

h) a\nqualidade dos controles de acesso voltados à proteção dos dados e das\ninformações dos clientes e dos usuários finais da instituição.

................................................................................................................"\n(NR)

"Art.\n13.  Para os fins do disposto nesta\nResolução, os serviços de computação em nuvem abrangem a disponibilidade à\ninstituição contratante, sob demanda e de maneira virtual, de ao menos um dos\nseguintes serviços:

................................................................................................................"\n(NR)

"Art.\n14.  A instituição contratante dos\nserviços mencionados no art. 12 é responsável pela confiabilidade, pela\nintegridade, pela disponibilidade, pela segurança e pelo sigilo em relação aos\nserviços contratados, bem como pelo cumprimento da legislação e da\nregulamentação em vigor." (NR)

"Art.\n15.  A contratação de serviços relevantes\nde processamento, armazenamento de dados e de computação em nuvem deve ser\ncomunicada pelas instituições mencionadas no art. 1º ao Banco Central do\nBrasil.

................................................................................................................"\n(NR)

"Art.\n16. \n...........................................................................................................

.........................................................................................................................

II - a\ninstituição contratante deve assegurar que a prestação dos serviços referidos\nno caput não cause prejuízos ao seu regular funcionamento nem embaraço à\natuação do Banco Central do Brasil;

III - a\ninstituição contratante deve definir, previamente à contratação, os países e as\nregiões em cada país onde os serviços poderão ser prestados e os dados poderão\nser armazenados, processados e gerenciados; e

IV - a\ninstituição contratante deve prever alternativas para a continuidade dos negócios,\nno caso de impossibilidade de manutenção ou extinção do contrato de prestação\nde serviços.

§ 1º  No caso de inexistência de convênio nos\ntermos do inciso I do caput, a instituição contratante deverá solicitar\nautorização do Banco Central do Brasil para:

.........................................................................................................................

§ 2º  Para atendimento aos incisos II e III do caput,\nas instituições deverão assegurar que a legislação e a regulamentação nos\npaíses e nas regiões em cada país onde os serviços poderão ser prestados não\nrestringem nem impedem o acesso das instituições contratantes e do Banco\nCentral do Brasil aos dados e às informações.

................................................................................................................"\n(NR)

"Art.\n17. \n...........................................................................................................

.........................................................................................................................

III - a\nmanutenção, enquanto o contrato estiver vigente, da segregação dos dados e dos\ncontroles de acesso para proteção das informações dos clientes e dos usuários\nfinais;

IV -\n...................................................................................................................

a)\ntransferência dos dados citados no inciso I ao novo prestador de serviços ou à\ninstituição contratante; e

.........................................................................................................................

V - o acesso\nda instituição contratante a:

.........................................................................................................................

VI - a\nobrigação de a empresa contratada notificar a instituição contratante sobre a\nsubcontratação de serviços relevantes para a instituição;

.........................................................................................................................

VIII - a\nadoção de medidas pela instituição contratante, em decorrência de determinação\ndo Banco Central do Brasil; e

IX - a\nobrigação de a empresa contratada manter a instituição contratante\npermanentemente informada sobre eventuais limitações que possam afetar a\nprestação dos serviços ou o cumprimento da legislação e da regulamentação em\nvigor.

Parágrafo\núnico.  Os contratos mencionados no caput\ndevem prever, para o caso da decretação de regime de resolução da instituição\ncontratante pelo Banco Central do Brasil:

.........................................................................................................................

II - .....................................................................................................................

.........................................................................................................................

b) a\nnotificação prévia deverá ocorrer também na situação em que a interrupção for\nmotivada por inadimplência da instituição contratante." (NR)

"Art.\n19.  As instituições mencionadas no art.\n1º devem assegurar que suas políticas previstas na estrutura de gerenciamento\nde riscos, nos termos da regulamentação em vigor, disponham, no tocante à\ncontinuidade dos negócios, sobre:

.........................................................................................................................

III - os\ncenários de incidentes considerados nos testes de continuidade de negócios de\nque trata o art. 3º, inciso V, alínea "a"." (NR)

"Art.\n20.  Os procedimentos adotados pelas\ninstituições mencionadas no art. 1º para gerenciamento de riscos previstos na\nregulamentação em vigor devem especificar, no tocante à continuidade dos negócios:

.........................................................................................................................

III - a\ncomunicação tempestiva ao Banco Central do Brasil das ocorrências de incidentes\nrelevantes e das interrupções dos serviços relevantes, citados no inciso I, que\nconfigurem situação de crise pela instituição mencionada no art. 1º, bem como\ndas providências para o reinício das suas atividades.

Parágrafo\núnico.  As instituições mencionadas no\nart. 1º devem estabelecer e documentar os critérios que configurem a situação\nde crise de que trata o inciso III do caput." (NR)

"Art.\n21.  As instituições mencionadas no art.\n1º devem instituir mecanismos de acompanhamento e de controle com vistas a\nassegurar a implementação e a efetividade da política de segurança cibernética,\ndo plano de ação e de resposta a incidentes e dos requisitos para contratação\nde serviços de processamento e armazenamento de dados e de computação em nuvem,\nincluindo:

................................................................................................................"\n(NR)

"Art.\n22.  Sem prejuízo do dever de sigilo e da\nlivre concorrência, as instituições mencionadas no art. 1º devem desenvolver\niniciativas para o compartilhamento de informações sobre os incidentes\nrelevantes de que trata o art. 3º, inciso IV.

................................................................................................................"\n(NR)

Art. 7º  A ementa da\nResolução BCB nº 93, de 6 de maio de 2021, passa a vigorar com a seguinte alteração:

"Dispõe\nsobre a atividade de auditoria interna nas administradoras de consórcio, nas instituições\nde pagamento, nas sociedades corretoras de títulos e valores mobiliários, nas\nsociedades distribuidoras de títulos e valores mobiliários e nas sociedades\ncorretoras de câmbio autorizadas a funcionar pelo Banco Central do Brasil."\n(NR)

Art. 8º  A Resolução BCB nº\n93, de 2021, passa a vigorar com as seguintes alterações:

"Art.\n1º  Esta Resolução regulamenta a\natividade de auditoria interna nas seguintes instituições autorizadas a\nfuncionar pelo Banco Central do Brasil:

I - administradoras de consórcio;

II -  instituições de\npagamento;

III - sociedades corretoras de títulos e valores mobiliários;

IV - sociedades distribuidoras de títulos e valores mobiliários; e\n

V - sociedades corretoras de câmbio." (NR)

"Art.\n2º  As instituições mencionadas no art.\n1º devem implementar e manter atividade de auditoria interna compatível com a\nnatureza, o porte, a complexidade, a estrutura, o perfil de risco e o modelo de\nnegócio da instituição.

................................................................................................................"\n(NR)

"Art.\n3º  A atividade de auditoria interna deve\nser realizada por unidade específica da instituição mencionada no art. 1º ou de\noutra instituição autorizada a funcionar pelo Banco Central do Brasil\nintegrante do mesmo conglomerado prudencial, diretamente subordinada ao\nconselho de administração.

§ 1º  .................................................................................................................

I - por\nauditor independente devidamente habilitado, na forma da regulamentação\nvigente, para prestar serviços de auditoria independente para instituições\nautorizadas a funcionar pelo Banco Central do Brasil, desde que este não seja\nresponsável pela auditoria das demonstrações financeiras da instituição mencionada\nno art. 1º ou por qualquer outra atividade com potencial conflito de\ninteresses;

II - pela\nauditoria da entidade de classe a que a instituição mencionada no art. 1º seja\nfiliada; ou

III - por\nauditoria de entidade de classe de outras instituições autorizadas a funcionar\npelo Banco Central do Brasil, mediante convênio, previamente aprovado por essa\nautarquia, celebrado entre a entidade a que a instituição mencionada no art. 1º\nseja filiada e a entidade prestadora do serviço.

§ 2º  O disposto no § 1º não se aplica às instituições\nmencionadas no art. 1º que, na forma da regulamentação vigente, estão obrigadas\na constituir comitê de auditoria." (NR)

"Art.\n7º  As instituições mencionadas no art.\n1º devem garantir aos membros da equipe de auditoria, no desempenho de suas\natividades:

................................................................................................................"\n(NR)

"Art.\n10.  O escopo da atividade de auditoria\ninterna deve considerar todas as funções da instituição mencionada no art. 1º,\nincluindo as terceirizadas.

................................................................................................................"\n(NR)

"Art.\n13.  As instituições mencionadas no art.\n1º devem elaborar e manter regulamento específico para a atividade de auditoria\ninterna, aprovado pelo conselho de administração e pelo comitê de auditoria,\nquando constituído." (NR)

"Art.\n17.  Os responsáveis pela atividade de\nauditoria interna das instituições mencionadas no art. 1º devem elaborar os\nseguintes documentos:

................................................................................................................"\n(NR)

"Art.\n19.  O conselho de administração é o\nórgão responsável pela observância, por parte da instituição mencionada no art.\n1º, das normas e procedimentos aplicáveis à atividade de auditoria interna."\n(NR)

"Art.\n21.  Para as instituições mencionadas no\nart. 1º que não possuam conselho de administração, as atribuições, competências\ne requisitos previstos nesta Resolução devem ser imputados à sua diretoria ou\naos seus administradores." (NR)

"Art.\n23.  As instituições mencionadas no art.\n1º devem manter à disposição do Banco Central do Brasil:

................................................................................................................"\n(NR)

Art. 9º  A ementa da\nResolução BCB nº 155, de 14 de outubro de 2021, passa a vigorar com a seguinte alteração:

"Dispõe\nsobre princípios e procedimentos a serem adotados no relacionamento com\nclientes e usuários de produtos e de serviços pelas administradoras de\nconsórcio, pelas instituições de pagamento, pelas sociedades corretoras de\ntítulos e valores mobiliários, pelas sociedades distribuidoras de títulos e\nvalores mobiliários e pelas sociedades corretoras de câmbio autorizadas a\nfuncionar pelo Banco Central do Brasil." (NR)

Art. 10.  A Resolução BCB nº\n155, de 2021, passa a vigorar com as seguintes alterações:

"Art. 1º  Esta\nResolução dispõe sobre princípios e procedimentos a serem adotados no\nrelacionamento com clientes e usuários de produtos e de serviços pelas seguintes\ninstituições autorizadas a funcionar pelo Banco Central do Brasil:

I - administradoras de consórcio;

II -  instituições de\npagamento;

III - sociedades corretoras de títulos e valores mobiliários;

IV - sociedades distribuidoras de títulos e valores mobiliários; e\n

V - sociedades corretoras de câmbio.

................................................................................................................"\n(NR)

"Art.\n2º  As instituições mencionadas no art.\n1º, no relacionamento com clientes e usuários de produtos e de serviços, devem\nconduzir suas atividades com observância de princípios de ética,\nresponsabilidade, transparência e diligência, propiciando a convergência de\ninteresses e a consolidação de imagem institucional de credibilidade, segurança\ne competência." (NR)

"Art.\n4º  As instituições mencionadas no art.\n1º, na contratação de operações e na prestação de serviços, devem assegurar:

.........................................................................................................................

V -\nidentificação dos usuários finais beneficiários de pagamento ou transferência\nem demonstrativos e extratos de contas de registro e de pagamento, inclusive\nnas situações em que o serviço de pagamento envolver instituições participantes\nde diferentes arranjos de pagamento; e

................................................................................................................"\n(NR)

"Art.\n6º  As instituições mencionadas no art.\n1º devem elaborar e implementar política institucional de relacionamento com\nclientes e usuários que consolide diretrizes, objetivos estratégicos e valores\norganizacionais, de forma a nortear a condução de suas atividades em\nconformidade com o disposto no art. 2º.

.........................................................................................................................

§ 3º  As instituições mencionadas no art. 1º que\nnão constituírem política própria em decorrência da faculdade prevista no § 2º\ndevem formalizar a decisão em reunião do conselho de administração ou da\ndiretoria.

................................................................................................................"\n(NR)

"Art.\n7º  As instituições mencionadas no art.\n1º devem assegurar a consistência de rotinas e de procedimentos operacionais\nafetos ao relacionamento com clientes e usuários, bem como sua adequação à\npolítica institucional de relacionamento de que trata o art. 6º, inclusive\nquanto aos seguintes aspectos:

.........................................................................................................................

§ 1º  Com relação ao disposto nos incisos II e III\ndo caput, e em observância ao disposto no art. 4º, inciso I, as\ninstituições mencionadas no art. 1º devem estabelecer o perfil dos clientes que\ncompõem o público-alvo para os produtos e serviços disponibilizados,\nconsiderando suas características e complexidade.

.........................................................................................................................

§ 3º  Para fins do disposto no caput, as\ninstituições mencionadas no art. 1º devem, adicionalmente:

................................................................................................................"\n(NR)

"Art.\n8º  Em relação à política institucional\nde relacionamento com clientes e usuários, as instituições mencionadas no art.\n1º devem instituir mecanismos de acompanhamento, de controle e de mitigação de\nriscos com vistas a assegurar:

................................................................................................................"\n(NR)

"Art.\n9º  As instituições mencionadas no art.\n1º devem indicar ao Banco Central do Brasil diretor responsável pelo\ncumprimento das obrigações previstas nesta Resolução." (NR)

Art. 11.  A ementa da\nResolução BCB nº 260, de 22 de novembro de 2022, passa a vigorar com a seguinte\nalteração:

"Dispõe\nsobre os sistemas de controles internos das administradoras de consórcio, das\ninstituições de pagamento, das sociedades corretoras de títulos e valores\nmobiliários, das sociedades distribuidoras de títulos e valores mobiliários e\ndas sociedades corretoras de câmbio autorizadas a funcionar pelo Banco Central\ndo Brasil." (NR)

Art. 12.  A Resolução BCB nº\n260, de 2022, passa a vigorar com as seguintes alterações:

"Art. 1º  Esta\nResolução dispõe sobre os sistemas de controles internos das seguintes\ninstituições autorizadas a funcionar pelo Banco Central do Brasil:

I - administradoras de consórcio;

II -  instituições de\npagamento;

III- sociedades corretoras de títulos e valores mobiliários;

IV - sociedades distribuidoras de títulos e valores mobiliários; e\n

V - sociedades corretoras de câmbio." (NR)

"Art.\n2º  As instituições mencionadas no art.\n1º devem implementar e manter sistemas de controles internos compatíveis com a\nsua natureza, o seu porte, a sua complexidade, a sua estrutura, o seu perfil de\nrisco e o seu modelo de negócio." (NR)

"Art.\n4º \n............................................................................................................

I - ser\ncontínuos e efetivos, abrangendo as atividades de controle para todos os níveis\nde negócios e para todos os riscos aos quais a instituição está exposta;

II - integrar\nas atividades rotineiras das áreas relevantes da instituição; e

................................................................................................................"\n(NR)

"Art.\n5º  ............................................................................................................

I -\n......................................................................................................................

.........................................................................................................................

b)\n..………...........................................................................................................

.........................................................................................................................

2. situações\nde não conformidade com os padrões de conduta definidos pela instituição\nmencionada no art. 1º; e

3. violações\ndas políticas da instituição mencionada no art. 1º ou de disposições legais e\nregulamentares;

.........................................................................................................................

II -\n.....................................................................................................................

a) meios para\nidentificar e avaliar continuamente os fatores internos e externos que possam\nafetar adversamente a realização dos objetivos da instituição mencionada no\nart. 1º e, quando aplicável, do grupo econômico que integre;

.........................................................................................................................

III -\n….................................................................................................................

.........................................................................................................................

g) segregação\napropriada das funções atribuídas aos integrantes da instituição mencionada no\nart. 1º, de forma a evitar situações de conflito de interesses;

.........................................................................................................................

i) controles\nque visem a evitar o envolvimento da instituição mencionada no art. 1º em\natividades indevidas ou ilícitas, em especial as relacionadas aos riscos\nsociais, ambientais e climáticos;

.........................................................................................................................

IV -\n….................................................................................................................

.........................................................................................................................

c)\nmetodologias para o registro e a manutenção de informações internas à instituição\nmencionada no art. 1º, como dados financeiros, operacionais e de conformidade;

.........................................................................................................................

h) planos de\nretomada e contingência de negócios para situações de interrupção da prestação\nde serviços da instituição mencionada no art. 1º em decorrência de eventos fora\ndo seu controle, com previsão de utilização de instalações físicas remotas,\ninclusive de serviços prestados por terceiros; e

V -\n....................................................................................................................

a)\nmonitoramento contínuo da eficácia dos sistemas de controles internos e dos\nprincipais riscos associados às atividades da instituição mencionada no art. 1º;

b) avaliações\nperiódicas, inclusive por parte da auditoria interna, acerca da eficácia dos\nsistemas de controles internos e dos principais riscos associados às atividades\nda instituição mencionada no art. 1º;

c)\n......................................................................................................................

1. os\nobjetivos da instituição mencionada no art. 1º estão sendo alcançados;

................................................................................................................"\n(NR)

"Art. 6º  ............................................................................................................

Parágrafo\núnico. \n..............................................................................................

I - ser\nsubmetido ao conselho de administração ou, se inexistente, à diretoria, bem\ncomo às auditorias interna e externa da instituição mencionada no art. 1º; e

................................................................................................................"\n(NR)

"Art.\n8º \n............................................................................................................

I - a\ndiretoria da instituição mencionada no art. 1º tome as medidas necessárias para\nidentificar, medir, monitorar e controlar os riscos de acordo com os níveis de\nriscos definidos;

.........................................................................................................................

III - a\ndiretoria da instituição mencionada no art. 1º monitore a adequação e a\neficácia dos sistemas de controles internos; e

.........................................................................................................................

Parágrafo\núnico.  Para as instituições mencionadas\nno art. 1º que não possuam conselho de administração, as responsabilidades\nprevistas no caput devem ser imputadas à diretoria da instituição."\n(NR)

"Art.\n9º  A diretoria da instituição mencionada\nno art. 1º é responsável por:

................................................................................................................"\n(NR)

"Art.\n10.  As instituições mencionadas no art.\n1º devem designar perante o Banco Central do Brasil diretor responsável pelo\ncumprimento do previsto nesta Resolução.

Parágrafo\núnico.  O diretor mencionado no caput\npode desempenhar outras funções na instituição, desde que não haja conflito de\ninteresses." (NR)

"Art.\n11. \n...........................................................................................................

I -\ndeterminar a adoção de controles adicionais nos casos em que constatada\ninadequação nos controles implementados pelas instituições mencionadas no art.\n1º; e

II - imputar\nlimites operacionais mais restritivos às instituições mencionadas no art. 1º\nque deixem de observar determinação nos termos do inciso I no prazo para tanto\nestabelecido." (NR)

Art. 13.  Ficam revogados:

I - o parágrafo único do art. 2º da Resolução BCB nº 65, de 2021;\ne

II - o art. 24 da Resolução BCB no 85, de 2021.

Art. 14.  Esta Resolução entra em vigor em 1º de março de 2024.

Otávio Ribeiro Damaso
Diretor de Regulação

","Voto":"10/2024-BCB"}]}