Estabelece requisitos para sistemas de controles internos em administradoras de consórcio, instituições de pagamento e outras entidades autorizadas.
A Resolução BCB 260/2022 estrutura os controles internos de administradoras de consórcio e instituições de pagamento autorizadas pelo Banco Central.
📌 Exige controles proporcionais, contínuos, revisados e integrados às áreas relevantes.
⚠️ Traz foco em riscos, fraudes, PLD/FT, tecnologia, continuidade, monitoramento e administração.
🧾 Prevê relatório anual de controles internos e designação de diretor responsável perante o Banco Central.
A Resolução BCB nº 260/2022 disciplina os sistemas de controles internos das administradoras de consórcio e das instituições de pagamento autorizadas a funcionar pelo Banco Central do Brasil. O documento tem natureza de norma autônoma para o grupo de entidades alcançadas, ainda que também contenha comandos de revogação de atos anteriores. O pacote foi construído em modo de retrato-fonte: registra os comandos que nascem da própria Resolução, sua vigência expressa e as revogações trazidas pelo art. 12, sem consolidar alterações posteriores.
O núcleo da Resolução é a exigência de que as instituições implementem e mantenham sistemas de controles internos compatíveis com sua natureza, porte, complexidade, estrutura, perfil de risco e modelo de negócio. Essa proporcionalidade é relevante para a curadoria: a norma não exige um modelo único de controle para todos os participantes, mas exige que a instituição consiga demonstrar coerência entre seu sistema de controles e sua realidade operacional. Os objetivos do sistema são desempenho, informação e conformidade, o que amplia o alcance para eficiência no uso de recursos, qualidade de informações internas e externas e cumprimento de leis, regulamentos, políticas e códigos internos.
A extração resultou em requisitos distribuídos em blocos de governança, cultura de controle, gestão de riscos, atividades de controle, tecnologia e informação, continuidade de negócios, monitoramento, relatório anual, responsabilidades da administração, designação de diretor responsável e atendimento a determinações do Banco Central. Também foram registradas alterações normativas decorrentes das revogações expressas da Circular nº 3.078/2002, da Circular nº 3.856/2017 e do inciso III do art. 25 da Resolução BCB nº 80/2021.
A segmentação do pacote foi direcionada para administradoras de consórcio e instituições de pagamento autorizadas a funcionar pelo Banco Central do Brasil. O requisito não foi roteado para todo o setor financeiro, nem para instituições financeiras em sentido amplo, porque o texto-fonte delimita expressamente o público regulado. A atuação em tecnologia financeira, em meios de pagamento ou em serviços financeiros genéricos não é suficiente para receber os requisitos se a empresa não estiver dentro do escopo jurídico-regulatório da norma.
O art. 1º foi tratado como ponto de escopo e não como requisito autônomo, pois define o objeto e os sujeitos alcançados. Essa informação foi usada na segmentação de todos os requisitos empresariais. O art. 8º, parágrafo único, e o art. 10, parágrafo único, também foram tratados como pontos de escopo ou exceção: o primeiro redireciona responsabilidades do conselho de administração para a diretoria quando a instituição não possuir conselho; o segundo permite que o diretor responsável acumule funções, desde que não exista conflito de interesses.
O primeiro bloco operacional está nos arts. 2º a 4º. A instituição deve implementar e manter sistemas de controles internos proporcionais e efetivos, integrados às áreas relevantes e revisados periodicamente. Esse comando foi consolidado em requisito estruturante, porque o art. 3º define objetivos e o art. 4º detalha características essenciais do sistema, todos executados no mesmo processo de desenho, manutenção e revisão dos controles.
O segundo bloco, no art. 5º, detalha elementos mínimos dos sistemas de controles internos. A curadoria separou esses comandos de acordo com a diferença operacional entre cultura de controle, riscos, atividades de controle, informação e comunicação, sistemas, contingência e monitoramento. Assim, há requisitos próprios para responsabilidades e comunicação interna, proibição de metas que incentivem riscos desalinhados, formalização de ética e integridade, identificação e mitigação de riscos, fraudes, políticas e procedimentos de controle, ativos e reconciliações, segregação de funções, atividades indevidas ou ilícitas, PLD/FT, informação e comunicação, sistemas de informação, continuidade de negócios, monitoramento, atualização de modelos e relato de deficiências materiais.
O terceiro bloco relevante está no art. 6º. A norma exige relatório anual sobre o acompanhamento sistemático dos controles internos, contendo avaliação de adequação e efetividade, recomendações, cronograma de saneamento e manifestação das áreas sobre deficiências anteriores. O relatório deve ser submetido ao conselho de administração ou, se inexistente, à diretoria, e também às auditorias interna e externa. Além disso, deve permanecer à disposição do Banco Central por cinco anos. Esse item recebeu entregável e recorrência anual, porque o texto traz periodicidade expressa.
O quarto bloco está nos arts. 7º a 10. A norma atribui responsabilidades à administração. Conselho e diretoria devem se envolver ativamente na definição dos controles internos, promover padrões éticos, estabelecer cultura organizacional de controle, manter estrutura adequada e garantir recursos suficientes. O conselho deve assegurar que a diretoria identifique, meça, monitore e controle riscos, corrija falhas e mantenha o sistema conforme a Resolução; quando não houver conselho, a responsabilidade é da diretoria. A diretoria deve implementar diretrizes aprovadas e monitorar adequação e eficácia dos controles. O art. 10 exige a designação de diretor responsável perante o Banco Central, com vigência própria em 1º de janeiro de 2024.
O quinto bloco está no art. 11. Trata-se de requisito acionado por evento de supervisão: se o Banco Central constatar inadequação nos controles, poderá determinar adoção de controles adicionais; se a instituição não observar a determinação no prazo estabelecido, poderá sofrer limites operacionais mais restritivos. Por isso, o requisito foi modelado como atendimento a determinação supervisória, com acionamento por evento, controles de registro, plano de ação e evidência de implantação.
Para compliance, a Resolução exige capacidade de demonstrar governança e rastreabilidade. Não basta declarar que há controles internos; é necessário evidenciar responsabilidades, canais, procedimentos, revisões, relatórios, escalonamentos, correções e envolvimento da administração. A área de compliance tende a atuar em conjunto com riscos e controles, diretoria, operações, tecnologia, auditoria interna, PLD/FT e áreas de negócio.
Um ponto de atenção é a proibição de metas que incentivem tomada de risco em desacordo com níveis definidos pela alta administração. Esse comando conecta controles internos a incentivos comerciais e de performance. Empresas reguladas devem conseguir demonstrar que metas, campanhas, indicadores e remuneração variável, quando aplicáveis, não estimulam conduta desalinhada com o apetite ou limites de risco definidos.
Outro ponto central é a integração entre controles internos e temas especializados. PLD/FT, prevenção a fraudes, tecnologia, segurança de sistemas, continuidade de negócios e riscos sociais, ambientais e climáticos aparecem como componentes do sistema de controles internos. A curadoria não transformou esses comandos em substitutos de normas específicas desses temas; ela os tratou como exigência de integração e evidência dentro do sistema geral de controles.
As evidências mais importantes incluem matriz de controles internos, matriz de riscos, políticas e procedimentos de controle, matriz de responsabilidades, registro de comunicação de problemas e violações, avaliação de metas e incentivos, código de ética, inventário de ativos, relatórios de limites e não conformidades, registros de autorização e reconciliação de transações sensíveis, matriz de segregação de funções, análises de conflito de interesses, registros de PLD/FT e antifraude, mapas de fluxos de informação, inventário de sistemas, trilhas de auditoria, relatórios de testes de segurança, planos de contingência, relatórios de monitoramento, planos de ação, atas de administração e relatório anual de controles internos.
Os controles sugeridos no pacote priorizam poucos controles por requisito, com foco em evidência verificável. O objetivo é facilitar implementação em workflow, testes de aderência e auditoria. Para cada requisito, o pacote propõe controles preventivos, detectivos, corretivos, de governança, de reporte, sistêmicos ou de reconciliação, conforme a natureza do comando normativo.
A área de riscos e controles tende a ser dona operacional de boa parte dos requisitos, especialmente os relacionados à matriz de controles, riscos, monitoramento, relatórios e planos de ação. Compliance aparece como área material em ética, integridade, antifraude, comunicação de violações, PLD/FT, conflitos de interesses e atendimento a determinações. Tecnologia e dados aparecem nos sistemas de informação, trilha de auditoria, testes de segurança e continuidade. Diretoria e conselho aparecem nos requisitos de governança, supervisão, recursos e designação de diretor responsável.
A Resolução traz vigência diferenciada. O art. 10, relativo à designação de diretor responsável perante o Banco Central, entrou em vigor em 1º de janeiro de 2024. Os demais artigos entraram em vigor em 1º de janeiro de 2023. O pacote refletiu essa diferença no requisito de designação de diretor e no ponto de cobertura correspondente.
O art. 12 revoga três referências: Circular nº 3.078/2002, Circular nº 3.856/2017 e o inciso III do art. 25 da Resolução BCB nº 80/2021. Em respeito à lógica de retrato-fonte, essas revogações foram registradas em alteracoesRequisitos. O pacote não recria requisitos das normas revogadas nem tenta consolidar todo o histórico regulatório.
Nem todo dispositivo virou requisito autônomo. O art. 1º foi usado como escopo. O art. 3º foi absorvido pelo requisito estruturante dos controles internos, porque define objetivos do sistema. O art. 4º também foi absorvido nesse requisito, pois descreve características essenciais da mesma obrigação. O art. 8º, parágrafo único, foi absorvido no requisito de supervisão da administração, pois apenas redireciona responsabilidade para diretoria quando não houver conselho. O art. 10, parágrafo único, foi absorvido no requisito de designação do diretor responsável, pois sua função é condicionar o acúmulo de funções à ausência de conflito de interesses.
Alguns blocos do art. 5º foram consolidados quando o processo, a evidência e os responsáveis eram substancialmente equivalentes. A análise de potencial de fraude foi unida aos controles antifraude, porque ambos formam o mesmo ciclo operacional de prevenção, detecção, investigação e correção. O relatório anual do art. 6º foi mantido como requisito único, incluindo conteúdo, submissão e retenção, pois a entrega é uma só.
A instituição deve evitar tratar a norma como checklist meramente formal. A Resolução exige controles internos contínuos, efetivos, integrados às rotinas e revisados periodicamente. A evidência de aderência deve mostrar funcionamento real, não apenas existência de políticas.
O relatório anual deve ser tratado como entrega de governança. A ausência de dia ou mês específico não elimina a recorrência anual; por isso, a agenda regulatória deve registrar anualidade sem inventar data fixa. A retenção por cinco anos é expressa e deve ser controlada.
O requisito de diretor responsável deve ser mantido como item próprio, com evidência de designação perante o Banco Central e análise de conflito de interesses quando houver acúmulo de funções. Como o art. 10 tem vigência distinta, esse detalhe foi preservado.
O atendimento a determinações do Banco Central deve ser tratado como gatilho por evento. Não há recorrência fixa, mas a instituição precisa ter processo para registrar determinação, definir responsável, cumprir prazo, evidenciar adoção de controles adicionais e evitar imposição de limites operacionais mais restritivos.
Este pacote não é consolidação atualizada da Resolução BCB nº 260/2022. Ele representa o documento-fonte original em modo retrato-fonte, conforme solicitado pelo prompt de curadoria. Alterações posteriores eventualmente existentes devem ser processadas em pacote próprio ou em uma tarefa explicitamente consolidada. A segmentação utiliza as tags disponíveis para administradoras de consórcio e instituições de pagamento; não foram usadas tags geográficas, pois a jurisdição decorre dos metadados do órgão emissor.
