A Instrução Normativa BCB nº 718/2026 detalha como os Provedores de Serviços de Tecnologia da Informação (PSTIs) devem cumprir, perante o Banco Central, as exigências aplicáveis ao seu credenciamento, descredenciamento e à prestação de informações. Seu papel é transformar obrigações regulatórias em procedimento, documentação, formulários, prazos e critérios de comprovação.
O que é o PSTI
O PSTI é a entidade credenciada para prestar serviços de processamento de dados destinados ao acesso à Rede do Sistema Financeiro Nacional (RSFN). Sua atuação integra a infraestrutura tecnológica utilizada por instituições financeiras e demais instituições supervisionadas pelo BC.
O PSTI ocupa posição relevante na cadeia operacional de conexão, transmissão e processamento de informações em ambiente regulado.
Quais serviços o PSTI presta
O PSTI presta serviços de processamento de dados para viabilizar o acesso de instituições à RSFN e aos serviços por ela suportados. Em termos práticos, isso envolve a estrutura tecnológica necessária para a comunicação eletrônica de dados em ambiente financeiro regulado.
A relevância dessa atividade decorre de seu potencial impacto sobre a disponibilidade, a integridade e a continuidade de operações críticas do sistema financeiro e do sistema de pagamentos.
Por que o PSTI passou a ser regulado
A regulação específica dos PSTIs decorre do aumento da digitalização do sistema financeiro e da crescente centralidade das infraestruturas tecnológicas no funcionamento dos serviços financeiros e de pagamentos. Com a expansão do Pix e o fortalecimento da RSFN como ambiente crítico de comunicação, o BC passou a tratar o PSTI como agente com relevância operacional própria.
Se a atuação do PSTI pode comprometer a regularidade do sistema, torna-se necessário exigir credenciamento, governança, capacidade técnico-operacional, controles de segurança, mecanismos de continuidade e deveres permanentes de informação.
Requisitos básicos para o credenciamento
O credenciamento do PSTI exige uma combinação de requisitos societários, econômico-financeiros, operacionais e regulatórios. Entre os principais, destacam-se:
- adesão aos princípios e às regras da RSFN;
- capacidade técnico-operacional compatível com os serviços prestados;
- designação de administradores aptos ao exercício das funções;
- atendimento das condições aplicáveis aos controladores;
- capital social realizado e patrimônio líquido mínimos;
- certificação de segurança da informação;
- contratação de auditoria independente;
- estrutura de governança, gestão de riscos, controles internos e continuidade de negócios.
Em síntese, o regulador exige não apenas aptidão tecnológica, mas também robustez institucional compatível com a criticidade da atividade.
Como o pedido de credenciamento deve ser feito
A IN 718 estabelece que o pedido de credenciamento deve ser protocolizado por meio do Protocolo Digital e dirigido ao Departamento de Organização do Sistema Financeiro. O processo é substancialmente documental e exige um dossiê capaz de demonstrar a estrutura societária, a governança, a situação econômico-financeira, a arquitetura operacional e os mecanismos de segurança do PSTI.
Entre os documentos mais relevantes exigidos estão:
- requerimento formal de credenciamento;
- declarações e autorizações de controladores e administradores;
- formulários cadastrais;
- demonstrações financeiras auditadas;
- plano de negócios;
- termo de adesão e responsabilidade relativo à RSFN;
- comprovação da capacidade técnico-operacional;
- certificação de segurança da informação;
- contrato com auditoria independente;
- organograma da estrutura de governança;
- plano de saída ordenada;
- políticas e planos internos exigidos pela regulamentação;
- relatórios de testes de continuidade e de intrusão;
- contratos com prestadores de serviços relevantes.
O que a IN 718 disciplina
A IN 718 se organiza em torno de três eixos: credenciamento, descredenciamento e prestação de informações ao BC.
No credenciamento, a norma permite ao BC aprofundar a análise, inclusive mediante solicitação de documentos adicionais, reuniões, entrevistas, testes e visitas técnicas.
No descredenciamento, exige-se prova de que o plano de saída ordenada foi concluído, de que os serviços de processamento para acesso à RSFN foram encerrados e de que a conexão com a infraestrutura foi desativada.
Já na prestação de informações, a IN 718 trata especialmente de três eventos: (i) designação de administradores; (ii) desligamento de administradores; (iii) transferência ou alteração de controle societário.
A norma, assim, disciplina tanto o ingresso do PSTI no regime quanto eventos posteriores relevantes para sua supervisão.
Critérios e obrigações estabelecidos pela IN 718
A norma exige que controladores e administradores apresentem declarações sobre reputação ilibada, ausência de impedimentos legais e regulatórios e, no caso dos administradores, capacitação técnica compatível com as funções exercidas.
Além disso, o próprio PSTI deve declarar que realizou verificações sobre seus administradores e que tem ciência das condições a que eles estão submetidos. Há, portanto, um dever institucional de diligência, e não apenas responsabilidade individual dos nomeados.
A norma também exige informações detalhadas sobre o controle societário, incluindo acordos de sócios ou acionistas, instrumentos de governança, direitos de veto e outras cláusulas que possam influenciar o exercício efetivo do controle.
Capacidade técnico-operacional, certificados e auditoria
A norma exige relatório de asseguração razoável, isto é, relatório emitido por auditoria independente com conclusão formal sobre os pontos avaliados. Esse relatório deve abranger aspectos centrais da estrutura do PSTI e de sua aderência aos requisitos técnicos e regulatórios aplicáveis.
Além disso, a auditoria deve apresentar Relatório de Controles Internos, com achados e recomendações, bem como papéis de trabalho e evidências dos testes realizados. A mesma lógica se aplica a outros pontos da norma: a conformidade não pode ser apenas afirmada, mas demonstrada por documentação técnica e verificável.
A IN também exige certificação de segurança da informação, contratação de auditoria independente para avaliações anuais e comprovação formal dos procedimentos para fornecimento de relatórios ao BC e às instituições contratantes.
Políticas internas, plano de saída e seguro
A IN 718 exige documentação interna estruturada, incluindo políticas de governança, gestão de riscos, segurança da informação, continuidade de negócios, gestão de crises, gestão de fraudes, controles internos e auditoria.
Essas políticas devem vir acompanhadas de comprovação de aprovação pela estrutura de governança competente. Também devem ser apresentadas evidências de testes de continuidade de negócios e de testes de intrusão realizados nos últimos doze meses.
O plano de saída ordenada também assume papel central. O PSTI deve demonstrar que possui estratégia estruturada para encerramento de suas atividades, com medidas aptas a assegurar que seus clientes possam continuar operando fora de seu ambiente.
No caso do seguro, a norma exige não apenas prova da contratação da apólice, mas também demonstração das premissas técnicas, da metodologia de dimensionamento dos limites e da memória de cálculo que justificou o valor contratado.
Prazos que exigem atenção
A IN 718 fixa prazos objetivos para determinadas comunicações ao BC, o que exige monitoramento interno eficiente. Os principais são:
- designação de administradores: até 10 dias da ocorrência;
- desligamento de administradores: até 3 dias úteis da data do evento;
- transferência ou alteração de controle societário: até 15 dias contados da ocorrência.
