{"navegacao":null,"view":"views/exibenormativo.aspx","conteudo":[{"Titulo":"Resolução CMN N° 5.076","Tipo":"Resolução CMN","Documentos":null,"DOU":"Publicada no DOU de 22/5/2023, Seção 1, p. 46/47.","Id":52058,"Data":"2023-05-18T21:03:00Z","DataTexto":"18/5/2023 18:03","Numero":5076.0,"VersaoNormativo":1.0,"Assunto":"Altera a Resolução nº 4.557, de 23 de fevereiro de 2017, e a Resolução nº 4.606, de 19 de outubro de 2017. ","NormasVinculadas":"RESOLUÇÃO;@4606;@2017;#RESOLUÇÃO;@4557;@2017;#","Referencias":"Lei nº 4.595/1964, arts. 4º, incisos VIII e XI; e 9º.;#Lei nº 4.864/1965, art. 20, § 1º.;#Lei nº 6.099/1974, arts. 7º e 23.;#Lei Complementar nº 130/2009, arts. 1º, § 1º; e 12.;#Altera, a partir de 1º/7/2023, Resolução CMN nº 4.557/2017 - Dá nova redação: art. 21, § 1º, inciso I; art. 32, § 2º, incisos IV, VI e VIII; e art. 33, incisos IV, \"a\" a \"c\", e VI e § 1º. Inclui: art. 21, § 1º, inciso I, \"a\" a \"f\"; art. 32, § 3º; art. 33, incisos IV, \"d\" e \"e\", VII, VIII, IX e X, § 1º, inciso III, \"a\", \"b\" e \"c\", § 3º; e art. 37, parágrafo único.;#Altera, a partir de 1º/7/2023, Resolução CMN nº 4.606/2017 - Dá nova redação: art. 21, inciso VI; art. 22, § 2º, incisos IV, VI e VIII; art. 23, § 1º, inciso II, “c”; e art. 25, inciso III e § 1º, inciso I. Inclui: art. 20, parágrafo único; art. 22, § 3º; art. 23, § 1º, incisos IV e V, e § 3º; Capítulo VI, Seção II-A; e art. 25, § 1º, inciso I, “a” a “f”.;#","Atualizacoes":null,"Revogado":false,"Cancelado":false,"Texto":"
\n\n\n\n\n\n\n\n\n\n\n
\n\n

RESOLUÇÃO CMN Nº\n5.076, DE 18 DE MAIO DE 2023

\n\n

Altera\na Resolução nº 4.557, de 23 de fevereiro de 2017, e a Resolução nº 4.606, de 19\nde outubro de 2017.

\n\n

O Banco\nCentral do Brasil, na forma do art. 9º da Lei nº 4.595, de 31 de dezembro de\n1964, torna público que o Conselho Monetário Nacional, em sessão realizada em 18\nde maio de 2023, com base no\nart. 4º, incisos VIII e XI, da referida Lei, no art. 20, § 1º, da Lei nº 4.864,\nde 29 de novembro de 1965, nos arts. 7º e 23 da Lei nº 6.099, de 12 de setembro\nde 1974, e nos arts. 1º, § 1º, e 12 da Lei Complementar nº 130, de 17 de abril\nde 2009,

\n\n

R E S O\nL V E U :

\n\n

Art. 1º  A Resolução\nnº 4.557, de 23 de fevereiro de 2017, passa a vigorar com as seguintes\nalterações:

\n\n

“Art.\n21.  ..........................................................................................................

\n\n

.........................................................................................................................

\n\n

§\n1º  .................................................................................................................

\n\n

I\n- contraparte:

\n\n

a)\no tomador de recursos;

\n\n

b)\no garantidor;

\n\n

c)\no emissor de título ou valor mobiliário adquirido;

\n\n

d)\no usuário final perante o emissor de instrumento de pagamento pós-pago;

\n\n

e)\no emissor perante o credenciador de instrumento de pagamento; e

\n\n

f)\na instituição devedora de outra instituição decorrente de acordo de\ninteroperabilidade entre diferentes arranjos de pagamento; e

\n\n

................................................................................................................”\n(NR)

\n\n

“Art.\n32.  ..........................................................................................................

\n\n

.........................................................................................................................

\n\n

§\n2º  .................................................................................................................

\n\n

.........................................................................................................................

\n\n

IV\n- práticas inadequadas relativas a usuários finais, clientes, produtos e\nserviços;

\n\n

.........................................................................................................................

\n\n

VI\n- situações que acarretem a interrupção das atividades da instituição ou a\ndescontinuidade dos serviços prestados, incluindo o de pagamentos;

\n\n

.........................................................................................................................

\n\n

VIII\n- falhas na execução, no cumprimento de prazos ou no gerenciamento das\natividades da instituição, incluindo aquelas relacionadas aos arranjos de\npagamento.

\n\n

§\n3º  Para as atividades de pagamento, as falhas mencionadas no § 2º incluem:

\n\n

I\n- falhas na proteção e na segurança de dados sensíveis relacionados tanto às\ncredenciais dos usuários finais quanto a outras informações trocadas com o\nobjetivo de efetuar transações de pagamento;

\n\n

II\n- falhas na identificação e autenticação do usuário final em transação de\npagamento;

\n\n

III\n- falhas na autorização das transações de pagamento; e

\n\n

IV\n- falhas na iniciação de transação de pagamento.” (NR)

\n\n

“Art.\n33.  ..........................................................................................................

\n\n

.........................................................................................................................

\n\n

IV\n-\n...................................................................................................................

\n\n

a)\nassegurem integridade, segurança e disponibilidade dos dados armazenados,\nprocessados ou transmitidos e dos sistemas de informação utilizados;

\n\n

b)\ncontenham mecanismos de proteção e segurança de redes, sítios eletrônicos,\nservidores e canais de comunicação com vistas a reduzir a vulnerabilidade a\nataques digitais;

\n\n

c)\nadotem procedimentos para monitorar, rastrear e restringir acesso a dados\nsensíveis, redes, sistemas, bases de dados e módulos de segurança;

\n\n

d)\nmonitorem as falhas na segurança dos dados e as reclamações dos usuários finais\na esse respeito; e

\n\n

e)\nsejam adequados às necessidades e às mudanças do modelo de negócio, tanto em\ncircunstâncias normais quanto em períodos de estresse;

\n\n

.........................................................................................................................

\n\n

VI\n- realização periódica de análises de cenários com o objetivo de estimar a\nexposição da instituição a eventos de risco operacional raros e de alta\nseveridade;

\n\n

VII\n- revisão das medidas de segurança e de sigilo de dados, especialmente depois\nda ocorrência de falhas e previamente a alterações na infraestrutura ou nos\nprocedimentos;

\n\n

VIII\n- elaboração de relatórios que indiquem procedimentos para correção de falhas\nidentificadas;

\n\n

IX\n- realização de testes que assegurem a robustez e a efetividade das medidas de\nsegurança de dados adotadas;

\n\n

X\n- segregação de funções nos ambientes de tecnologia da informação destinados ao\ndesenvolvimento, teste e produção.

\n\n

§\n1º  No caso de terceirização de serviços de TI, incluindo os relacionados com a\nsegurança dos serviços de pagamento oferecidos, o respectivo contrato de\nprestação de serviços deve estipular que:

\n\n

I\n- o contratado deverá atender ao disposto nos incisos IV, VII, VIII, IX e X do caput\ne ao disposto no § 3º;

\n\n

II\n- a contratante terá acesso aos dados e às informações sobre os serviços\nprestados;

\n\n

III\n- o Banco Central do Brasil terá acesso a:

\n\n

a)\ntermos firmados;

\n\n

b)\ndocumentação e informações referentes aos serviços prestados; e

\n\n

c)\ndependências do contratado.

\n\n

.........................................................................................................................

\n\n

§\n3º  Para as atividades de pagamentos, a estrutura de que trata o caput\ndeve prever adicionalmente:

\n\n

I\n- identificação adequada do usuário final;

\n\n

II\n- processos para assegurar que todas as transações de pagamento possam ser\nadequadamente rastreadas;

\n\n

III\n- mecanismos de monitoramento e de autorização das transações de pagamento, com\no objetivo de prevenir fraudes, detectar e bloquear transações suspeitas de\nforma tempestiva;

\n\n

IV\n- avaliações e filtros específicos para identificar transações consideradas de\nalto risco;

\n\n

V\n- notificação ao usuário final acerca de eventual não execução de uma\ntransação;

\n\n

VI\n- mecanismos que permitam ao usuário final verificar se a transação foi\nexecutada corretamente;

\n\n

VII\n- identificação, avaliação, gerenciamento, monitoramento e mitigação do risco\ndecorrente da participação de subcredenciador no processo de liquidação das\ntransações de pagamento, no caso de instituição credenciadora; e

\n\n

VIII\n- mecanismos de monitoramento e controle de falhas na iniciação de transações\nde pagamento, segregando, no mínimo, os seguintes eventos:

\n\n

a)\niniciação de transação de pagamento não autorizada;

\n\n

b)\nnão execução de iniciação de transação de pagamento;

\n\n

c)\nexecução incorreta de iniciação de transação de pagamento; e

\n\n

d)\natraso na iniciação de transação de pagamento.” (NR)

\n\n

“Art.\n37.  ..........................................................................................................

\n\n

.........................................................................................................................

\n\n

Parágrafo\núnico.  A definição de que trata o inciso I do caput inclui a\npossibilidade de a instituição emissora de moeda eletrônica não ser capaz de\nconvertê-la em moeda física ou escritural no momento da solicitação do\nusuário.” (NR)

\n\n

Art. 2º  A Resolução nº 4.606, de 19 de\noutubro de 2017, passa a vigorar com as seguintes alterações:

\n\n

“Art.\n20.  ..........................................................................................................

\n\n

.........................................................................................................................

\n\n

Parágrafo\núnico.  A instituição optante pela metodologia simplificada de que trata esta\nResolução que realize atividades de pagamento ou que tenha subsidiária que\nrealize atividade de pagamentos deve implementar estrutura de gerenciamento do\nrisco de liquidez conforme o disposto na Seção II-A.” (NR)

\n\n

“Art.\n21. \n..........................................................................................................

\n\n

.........................................................................................................................

\n\n

VI\n- plano para enfrentar situações de escassez de ativos líquidos, indicando as\nresponsabilidades, as estratégias, os procedimentos e as fontes alternativas de\nrecursos que assegurem a manutenção de estoque adequado de ativos líquidos que\npossam ser prontamente convertidos em caixa sem perda relevante de valor;

\n\n

................................................................................................................”\n(NR)

\n\n

“Art.\n22.  ..........................................................................................................

\n\n

.........................................................................................................................

\n\n

§\n2º  .................................................................................................................

\n\n

.........................................................................................................................

\n\n

IV\n- práticas inadequadas relativas a usuários finais, clientes, produtos e\nserviços;

\n\n

.........................................................................................................................

\n\n

VI\n- situações que acarretem a interrupção das atividades das instituições ou a\ndescontinuidade dos serviços prestados, incluindo o de pagamento;

\n\n

.........................................................................................................................

\n\n

VIII\n- falhas na execução, no cumprimento de prazos ou no gerenciamento das\natividades das instituições, incluindo aquelas relacionadas aos arranjos de\npagamento.

\n\n

§\n3º  Para as atividades de pagamento, as falhas mencionadas no § 2º incluem:

\n\n

I\n- falhas na proteção e na segurança de dados sensíveis relacionados tanto às\ncredenciais dos usuários finais quanto a outras informações trocadas com o\nobjetivo de efetuar transações de pagamento;

\n\n

II\n- falhas na identificação e autenticação do usuário final em transação de\npagamento;

\n\n

III\n- falhas na autorização das transações de pagamento; e

\n\n

IV\n- falhas na iniciação de transação de pagamento.” (NR)

\n\n

“Art.\n23.  ..........................................................................................................

\n\n

.........................................................................................................................

\n\n

§\n1º  .................................................................................................................

\n\n

.........................................................................................................................

\n\n

II\n- .....................................................................................................................

\n\n

.........................................................................................................................

\n\n

c)\ndependências do contratado;

\n\n

.........................................................................................................................

\n\n

IV\n- o contratado deverá atender ao disposto no inciso IV do caput; e

\n\n

V\n- no caso de terceirização de serviços de TI relacionados a serviços de\npagamento, o contratado também deverá atender ao disposto no § 3º.

\n\n

.........................................................................................................................

\n\n

§\n3º  Para a instituição optante pela metodologia simplificada de que trata esta\nResolução que realize atividades de pagamento ou que tenha subsidiária que\nrealize atividade de pagamentos, a estrutura de que trata o caput deve\nprever adicionalmente para as atividades de pagamento:

\n\n

I\n- mecanismos de proteção e segurança dos dados armazenados, processados ou\ntransmitidos;

\n\n

II\n- mecanismos de proteção e segurança de redes, sítios eletrônicos, servidores e\ncanais de comunicação com vistas a reduzir a vulnerabilidade a ataques;

\n\n

III\n- procedimentos para monitorar, rastrear e restringir acesso a dados sensíveis,\nredes, sistemas, bases de dados e módulos de segurança;

\n\n

IV\n- monitoramento das falhas na segurança dos dados e das reclamações dos\nusuários finais a esse respeito;

\n\n

V\n- revisão das medidas de segurança e de sigilo de dados, especialmente depois\nda ocorrência de falhas e previamente a alterações na infraestrutura ou nos\nprocedimentos;

\n\n

VI\n- elaboração de relatórios que indiquem procedimentos para correção de falhas\nidentificadas;

\n\n

VII\n- realização de testes que assegurem a robustez e a efetividade das medidas de\nsegurança de dados adotadas;

\n\n

VIII\n- segregação de funções nos ambientes de tecnologia da informação destinados ao\ndesenvolvimento, teste e produção;

\n\n

IX\n- identificação adequada do usuário final;

\n\n

X\n- mecanismos de autenticação dos usuários finais e de autorização das\ntransações de pagamento;

\n\n

XI\n- processos para assegurar que todas as transações de pagamento possam ser\nadequadamente rastreadas;

\n\n

XII\n- mecanismos de monitoramento e de autorização das transações de pagamento, com\no objetivo de prevenir fraudes, detectar e bloquear transações suspeitas de\nforma tempestiva;

\n\n

XIII\n- avaliações e filtros específicos para identificar transações consideradas de\nalto risco;

\n\n

XIV\n- notificação ao usuário final acerca de eventual não execução de uma\ntransação;

\n\n

XV\n- mecanismos que permitam ao usuário final verificar se a transação foi\nexecutada corretamente;

\n\n

XVI\n- identificação, avaliação, gerenciamento, monitoramento e mitigação do risco\ndecorrente da participação de subcredenciador no processo de liquidação das\ntransações de pagamento, no caso de instituição credenciadora; e

\n\n

XVII\n- mecanismos de monitoramento e controle de falhas na iniciação de transações\nde pagamento, segregando, no mínimo, os seguintes eventos:

\n\n

a)\niniciação de transação de pagamento não autorizada;

\n\n

b)\nnão execução de iniciação de transação de pagamento;

\n\n

c)\nexecução incorreta de iniciação de transação de pagamento; e

\n\n

d)\natraso na iniciação de transação de pagamento.” (NR)

\n\n

“Seção II-A

\n\n

Do Gerenciamento do Risco\nde Liquidez

\n\n

Art.\n24-A.  Para fins desta Resolução, define-se o risco de liquidez como a\npossibilidade de a instituição:

\n\n

I\n- não ser capaz de honrar eficientemente suas obrigações esperadas e\ninesperadas, correntes e futuras sem afetar suas operações diárias e sem\nincorrer em perdas significativas; ou

\n\n

II\n- não ser capaz de converter moeda eletrônica em moeda física ou escritural no\nmomento da solicitação do usuário.

\n\n

Art.\n24-B.  A estrutura simplificada de gerenciamento contínuo de riscos, de que\ntrata o art. 21, deve prever, adicionalmente, para o risco de liquidez\nprocessos para identificar, avaliar, monitorar e controlar a exposição ao risco\nde liquidez em diferentes horizontes de tempo, inclusive intradia.

\n\n

Art.\n24-C.  A instituição emissora de moeda eletrônica deve descrever as principais\ncaraterísticas de sua estrutura de gerenciamento do risco de liquidez em\nrelatório de acesso público, com periodicidade mínima anual.

\n\n

Parágrafo\núnico.  A instituição deve divulgar, em conjunto com suas demonstrações\ncontábeis publicadas, o endereço do sítio da instituição na internet onde se\nencontra o relatório mencionado no caput.” (NR)

\n\n

“Art.\n25.  ..........................................................................................................

\n\n

.........................................................................................................................

\n\n

III\n- vantagens concedidas na reestruturação de instrumentos financeiros, conforme\ndefinido no § 1º, inciso II;

\n\n

.........................................................................................................................

\n\n

§\n1º  .................................................................................................................

\n\n

I\n- contraparte:

\n\n

a)\no tomador de recursos;

\n\n

b)\no garantidor;

\n\n

c)\no emissor de título ou valor mobiliário adquirido;

\n\n

d)\no usuário final perante o emissor de instrumento de pagamento pós-pago;

\n\n

e)\no emissor perante o credenciador de instrumento de pagamento; e

\n\n

f)\na instituição devedora de outra instituição decorrente de acordo de interoperabilidade\nentre diferentes arranjos de pagamento; e

\n\n

................................................................................................................”\n(NR)

\n\n

Art. 3º  Esta Resolução entra em vigor em 1º\nde julho de 2023.

\n\n

Roberto de Oliveira Campos Neto
Presidente do Banco Central do Brasil

\n\n
\n\n\n\n\n
","Voto":"21/2023-CMN","DataAssinatura":null,"DataAssinaturaTexto":""}]}