Regulamenta a atividade de auditoria interna em administradoras de consórcio, instituições de pagamento e outras instituições autorizadas pelo Banco Central.
A Resolução BCB nº 93/2021 estrutura a atividade de auditoria interna para administradoras de consórcio e instituições de pagamento autorizadas pelo Banco Central.
📌 Exige auditoria interna independente, efetiva e documentada.
⚠️ Requer governança, plano anual, relatórios, acompanhamento de recomendações e retenção por cinco anos.
🧾 O pacote é retrato-fonte original, sem consolidação de alterações posteriores.
A Resolução BCB nº 93/2021 é uma norma autônoma do Banco Central do Brasil sobre a atividade de auditoria interna em administradoras de consórcio e instituições de pagamento autorizadas pelo Banco Central. No retrato-fonte original, a norma organiza um regime operacional completo para a função de auditoria interna: exige sua implementação e manutenção, define modelos possíveis de execução, impõe características de independência e efetividade, disciplina reporte, escopo, planejamento, documentos mínimos, aprovação de governança, retenção de registros e comunicação ao regulador.
O eixo central do pacote é a transformação desses comandos em requisitos acompanháveis. A norma não deve ser lida apenas como uma exigência formal de possuir auditoria interna. Ela exige que a função tenha condições reais de avaliar controles internos, gestão de riscos e governança, com autonomia, imparcialidade, livre acesso a informações e capacidade de comunicar achados à administração. Por isso, os requisitos foram estruturados em blocos de governança, execução de auditoria, documentação, reporte e retenção.
Este pacote segue o modo de retrato-fonte: ele representa a Resolução BCB nº 93/2021 como documento analisado, sem consolidar alterações posteriores. O art. 24 foi tratado como efeito de revogação de dispositivos da Circular nº 3.856/2017, por meio de alteracoesRequisitos, sem recriar requisitos antigos da circular revogada. O art. 25 foi usado para refletir a vigência expressa em 1º de junho de 2021.
A segmentação foi definida para administradoras de consórcio e instituições de pagamento, pois esses são os sujeitos expressamente indicados no art. 1º da resolução. A aplicabilidade dos requisitos não decorre de qualquer empresa do setor financeiro em sentido amplo, nem de fintechs, prestadores de serviços financeiros ou empresas de tecnologia que não estejam enquadradas como instituição de pagamento autorizada pelo Banco Central ou administradora de consórcio.
Como o dicionário de segmentação possui tags específicas para administradora de consórcio e instituição de pagamento, o pacote usa lista positiva de sujeitos regulados. Não foi usada tag pai ampla de setor financeiro, para evitar roteamento excessivo a instituições não alcançadas pelo texto original. Em requisitos de conglomerado, terceirização ou comitê de auditoria, a condição operacional aparece em acionamento ou no resumo de aplicabilidade, sem alterar o núcleo da segmentação do documento.
O art. 21 foi tratado como regra de adaptação de governança: nas instituições sem conselho de administração, as atribuições, competências e requisitos imputados ao conselho ficam a cargo da diretoria ou dos administradores. Por isso, ele foi absorvido no requisito sobre deveres de governança, em vez de virar um requisito isolado.
O primeiro bloco de comandos está nos arts. 2º a 4º. A instituição deve implementar e manter atividade de auditoria interna compatível com seu porte, natureza, complexidade, estrutura, perfil de risco e modelo de negócio. Essa atividade deve estar apta a avaliar controles internos, gestão de riscos e governança de forma independente, autônoma e imparcial. A norma também exige continuidade, efetividade, recursos suficientes, canais de comunicação para relatar achados e equipe qualificada.
O segundo bloco trata da estrutura de execução e independência. O art. 3º admite unidade específica da própria instituição, unidade de outra instituição autorizada do mesmo conglomerado prudencial ou alternativas por terceiros e entidades de classe em hipóteses específicas. O art. 8º impede que integrantes da auditoria interna participem do desenvolvimento e implantação de controles específicos ou auditem atividades sob sua responsabilidade nos últimos doze meses. O art. 9º disciplina a política de remuneração, exigindo independência em relação ao desempenho das áreas de negócio.
O terceiro bloco trata de reporte, autoridade e governança. A mudança do responsável pela auditoria interna deve ser aprovada pelo conselho de administração e comunicada ao Banco Central. A equipe deve se reportar ao conselho e ao comitê de auditoria quando constituído. A instituição deve assegurar canal permanente com a administração, autoridade para avaliar funções próprias e terceirizadas e livre acesso a informações.
O quarto bloco, formado pelos arts. 10 a 17, define escopo, conteúdo mínimo e documentação. A auditoria deve considerar todas as funções da instituição, inclusive terceirizadas, e, quando a instituição for líder de conglomerado prudencial, as funções do conglomerado. O art. 11 traz conteúdos mínimos de avaliação: controles internos e governança, gestão de riscos, sistemas de informação gerencial, conformidade normativa, salvaguarda de ativos, atividades financeiras e itens recomendados ou determinados pelo Banco Central.
O quinto bloco trata da documentação e da prestação de contas. A instituição deve manter regulamento específico da auditoria interna, aprovado pelos órgãos competentes, com conteúdo mínimo definido no art. 14. O responsável pela auditoria interna deve elaborar plano anual baseado em avaliação de riscos, documentação para cada trabalho específico, relatório de acompanhamento de recomendações e relatório anual com resultados, conclusões, recomendações e providências da administração. O plano anual e o relatório anual devem ser aprovados pelo conselho de administração e pelo comitê de auditoria, quando constituído.
Para compliance, a principal mudança operacional é a necessidade de acompanhar a auditoria interna como um sistema de governança verificável. Não basta confirmar a existência de uma área ou contrato de auditoria. É necessário ter evidências de independência, escopo, planejamento, execução, comunicação, acompanhamento de recomendações e retenção documental.
Para a alta administração, a norma atribui responsabilidade direta pela independência e efetividade da atividade. O conselho de administração deve prover meios para que os trabalhos sejam executados adequadamente e informar a auditoria interna sobre mudanças materiais em estratégia, políticas e processos de gestão de riscos. Quando não houver conselho, essas atribuições recaem sobre diretoria ou administradores. A vedação de delegação do art. 22 reforça que determinadas responsabilidades de governança não podem ser deslocadas para outra autoridade.
Para áreas de riscos e controles, os requisitos exigem integração entre universo auditável, avaliação de riscos, plano anual, trabalhos específicos, recomendações e planos de ação. O pacote cria requisitos separados para plano anual, documentação de trabalhos, relatório de acompanhamento e relatório anual, porque cada um possui evidência, ciclo de aprovação e uso operacional distinto.
Para tecnologia, dados e operações, o impacto aparece especialmente em três pontos: livre acesso da auditoria às informações necessárias, avaliação da confiabilidade e integridade dos sistemas de informação gerencial, e guarda organizada dos documentos exigidos pelo art. 23. A resolução não cria, por si só, um sistema específico ou canal eletrônico determinado, mas exige que os registros estejam disponíveis ao Banco Central.
As evidências mais relevantes do pacote são: regulamento específico da auditoria interna; ato ou registro de aprovação do responsável pela auditoria interna; comunicação ao Banco Central; política de remuneração da equipe de auditoria; plano anual de auditoria baseado em riscos; planos de trabalhos específicos; papéis de trabalho; relatos, conclusões e recomendações; relatório de acompanhamento de recomendações; relatório anual; atas ou deliberações de aprovação; e repositório de retenção documental por pelo menos cinco anos.
Os controles sugeridos privilegiam verificações práticas. Para os requisitos de governança, os controles focam aprovação, segregação de responsabilidades, independência, reporte e manutenção de trilha decisória. Para os requisitos de execução, os controles focam universo auditável, testes, papéis de trabalho, recomendações e acompanhamento. Para retenção, o controle principal é a organização de repositório com prazo mínimo e disponibilidade para o Banco Central.
As áreas internas mais recorrentes são auditoria interna, riscos e controles, compliance, alta administração, jurídico-regulatório, tecnologia, operações e recursos humanos. O público interno foi calibrado por requisito. Compliance e jurídico não foram incluídos automaticamente em todos os itens: aparecem quando há comunicação ao regulador, interpretação, governança, controle de atendimento regulatório ou interação com autoridade.
O pacote registra statusExtracao: revisar por prudência, pois a consulta direta à página do Diário Oficial ficou indisponível durante a extração; a identificação foi conferida na página oficial do Banco Central e o texto foi lido em cópia integral do DOU que traz a URL oficial. Isso não impede importação, mas indica que a curadoria deve ser revisada em eventual homologação documental.
Outro ponto de atenção é a existência de normas posteriores. O modo deste pacote é retrato-fonte, portanto alterações posteriores não foram usadas para atualizar escopo, status ou redação dos requisitos. Caso o objetivo do cliente seja visão consolidada atual, deve ser processado pacote próprio da norma posterior ou solicitado trabalho consolidado.
A granularidade dos requisitos separa entregas diferentes. O plano anual, o relatório anual, o relatório de acompanhamento e a documentação de trabalhos específicos não foram agrupados em um único requisito de “documentação da auditoria”, porque cada um tem objeto, evidência e uso de governança diferentes. O art. 24 foi tratado como alteração de requisito, não como obrigação operacional viva da instituição, porque seu efeito é revogar dispositivos da circular anterior.
Foram convertidos em requisitos todos os dispositivos com ação, governança, proibição, reporte, retenção ou procedimento operacional verificável. Dispositivos de escopo, vigência e adaptação foram preservados como documentoPontos ou absorvidos em requisitos correlatos. O art. 1º delimita escopo; o art. 21 ajusta a autoridade responsável quando não houver conselho; o art. 25 informa vigência. O art. 24 recebeu tratamento especial em alteracoesRequisitos.
A norma traz dois comandos com recorrência anual expressa: plano anual e relatório anual de auditoria interna. Eles receberam seriesRecorrencia anual sem dia ou mês fixo, pois o documento-fonte não define data específica. Eventos como mudança do responsável pela auditoria interna, determinação do Banco Central ou realização de trabalho específico foram tratados como acionamentos, não como recorrência fixa.
A criticidade foi revisada para evitar marcação excessiva como alta. Itens estruturantes, comunicações ao regulador, governança formal, vedações relevantes e retenção obrigatória receberam criticidade alta. Itens importantes, mas administráveis por políticas, fluxos e controles internos, receberam criticidade média.
