Estabelece requisitos para o compartilhamento de dados sobre indícios de fraudes entre instituições financeiras e de pagamento.
A Resolução Conjunta nº 6/2023 estrutura o compartilhamento de indícios de fraude entre instituições autorizadas pelo Banco Central.
📌 Exige sistema eletrônico, conteúdo mínimo de registro e consentimento prévio do cliente.
🔐 Traz requisitos de sigilo, proteção de dados, segurança, auditoria, controles e retenção.
⚠️ A aplicabilidade exclui administradoras de consórcio e deve ser validada conforme o enquadramento regulatório da instituição.
A Resolução Conjunta nº 6/2023 é uma norma autônoma do Banco Central do Brasil e do Conselho Monetário Nacional que cria um regime operacional de compartilhamento de dados e informações sobre indícios de fraudes entre instituições financeiras, instituições de pagamento e demais instituições autorizadas a funcionar pelo Banco Central. O documento oficial é datado de 23 de maio de 2023, com publicação no Diário Oficial da União em 24 de maio de 2023, e entrou em vigor em 1º de novembro de 2023.
O eixo regulatório é simples, mas operacionalmente exigente: instituições alcançadas devem compartilhar informações sobre indícios de ocorrências ou tentativas de fraude por meio de sistema eletrônico, com funcionalidades mínimas de registro, alteração, exclusão e consulta. O objetivo declarado é subsidiar procedimentos e controles de prevenção de fraudes. A norma também estabelece conteúdo mínimo de registros, consentimento prévio e geral do cliente, requisitos de segurança e governança do sistema, responsabilidades institucionais, mecanismos de acompanhamento e prazos de retenção.
A curadoria tratou a resolução como retrato-fonte puro. Isso significa que os requisitos extraídos nascem apenas da Resolução Conjunta nº 6/2023. Atos posteriores e normas complementares oficiais foram incluídos apenas como referências operacionais para navegação e execução, sem criar requisitos adicionais neste pacote e sem alterar o status dos itens extraídos.
A norma alcança instituições financeiras, instituições de pagamento e demais instituições autorizadas a funcionar pelo Banco Central do Brasil. O próprio art. 1º exclui as administradoras de consórcio. Para fins da Resolução Conjunta, as instituições alcançadas são consideradas instituições financeiras para os efeitos da Lei Complementar nº 105/2001, o que reforça a relevância do dever de sigilo no tratamento das informações compartilhadas.
A segmentação do pacote usa uma expressão ampla do setor financeiro com exclusão expressa de administradoras de consórcio. Essa opção decorre da amplitude do texto normativo: a expressão “demais instituições autorizadas a funcionar pelo Banco Central do Brasil” cobre mais categorias do que as tags granulares disponíveis conseguem representar com perfeita precisão. Por isso, a aplicabilidade deve ser validada no workspace conforme o enquadramento regulatório real da empresa, sua autorização perante o Banco Central e a inexistência de exclusão específica.
O fato de uma empresa atuar em tecnologia, prevenção a fraudes, infraestrutura ou prestação de serviços ao setor financeiro não basta, sozinho, para torná-la destinatária direta dos requisitos. A aplicabilidade principal depende de a empresa ser instituição financeira, instituição de pagamento ou outra instituição autorizada a funcionar pelo Banco Central, sem se enquadrar na exclusão das administradoras de consórcio. Prestadores contratados podem ser relevantes para execução, mas a responsabilidade regulatória permanece com a instituição contratante.
O primeiro bloco de comandos está no art. 2º. As instituições devem compartilhar dados e informações com as demais instituições alcançadas, com a finalidade de subsidiar procedimentos e controles de prevenção de fraudes. Esse compartilhamento deve ocorrer por sistema eletrônico que contemple, no mínimo, registro de dados e informações sobre indícios de ocorrências ou tentativas de fraude, alteração e exclusão desses dados e informações e consulta aos registros.
O segundo bloco trata do conteúdo mínimo do registro. A instituição deve registrar a identificação de quem, segundo os indícios disponíveis, teria executado ou tentado executar a fraude, quando aplicável; a descrição dos indícios da ocorrência ou tentativa; a identificação da instituição responsável pelo registro; e, em caso de transferência ou pagamento de recursos, os dados da conta destinatária e de seu titular. Esse bloco exige controles de qualidade de dados, campos obrigatórios, critérios de aplicabilidade e trilhas de alteração.
O terceiro bloco é o consentimento do cliente. A instituição deve obter consentimento prévio e geral do cliente com quem possua relacionamento para viabilizar o registro dos dados e informações sobre indícios de fraude que digam respeito a esse cliente. O consentimento deve ter finalidade específica de tratamento e compartilhamento de dados e informações no âmbito da Resolução Conjunta, e deve constar de contrato com cláusula em destaque ou de outro instrumento jurídico válido. A documentação deve permanecer à disposição do Banco Central.
O quarto bloco é a governança do tratamento de dados. O compartilhamento deve observar a legislação e regulamentação vigentes, o dever de sigilo, a proteção de dados pessoais e a livre concorrência. A norma também traz princípios de segurança e privacidade, qualidade dos dados, acesso pleno e não discriminatório, eficiência, reciprocidade e interoperabilidade. Há ainda uma exclusão importante: o registro no sistema não se aplica a dados e informações sigilosos, nos termos de legislação especial, relacionados a indícios de lavagem de dinheiro ou financiamento do terrorismo.
O quinto bloco é a documentação de critérios de identificação. As instituições devem estabelecer e documentar procedimentos e critérios para identificar o possível executor ou tentador da fraude, de forma detalhada e compatível com o perfil de risco da instituição, com a legislação e com a regulamentação vigente. Esses critérios devem incluir, no mínimo, conferência com dados constantes de sistemas, cadastros e outras bases disponíveis para consulta.
O art. 4º detalha requisitos relevantes para a implementação do sistema eletrônico. A instituição deve permitir acesso pleno às funcionalidades do sistema, com identificação de quem realizou o acesso; adotar padrão único e comum de comunicação; contemplar procedimentos e controles para cumprimento normativo, confidencialidade, integridade, disponibilidade e recuperação dos dados; assegurar aderência a certificações de segurança; obter relatórios de empresa de auditoria especializada independente sobre procedimentos e controles; prover informações e recursos de gestão para monitoramento; identificar e segregar dados por controles físicos ou lógicos; proteger a qualidade dos controles de acesso; garantir ao titular acesso às informações que lhe digam respeito e correção ou exclusão tempestiva em caso de erro, inconsistência ou demanda; e assegurar interoperabilidade com outros sistemas existentes.
A curadoria separou esses comandos em requisitos diferentes porque eles envolvem processos, evidências e donos distintos. Funcionalidades, acesso identificado, padrão de comunicação e interoperabilidade formam um requisito tecnológico e funcional. Segurança, disponibilidade, recuperação, auditoria independente, monitoramento, segregação e acesso formam requisito de controles técnicos e governança de sistema. Acesso, correção e exclusão pelo titular formam requisito próprio porque dependem de fluxo de atendimento, análise de demanda, decisão e atualização do sistema.
O atendimento aos requisitos do sistema deve ser documentado. Essa documentação é uma evidência regulatória crítica: deve demonstrar como o sistema foi desenhado, implementado, testado, monitorado e controlado. Ela também deve estar disponível ao Banco Central, juntamente com outros dados e registros exigidos no art. 8º.
O art. 5º permite a contratação de empresa para prestar o serviço de compartilhamento de dados e informações, mas mantém as responsabilidades com a instituição contratante. A norma afirma que o serviço é considerado relevante para fins da regulamentação vigente sobre contratação de serviços de processamento e armazenamento de dados e de computação em nuvem por instituições financeiras, instituições de pagamento e demais instituições autorizadas.
Esse ponto impacta compras, jurídico, tecnologia, segurança, riscos e governança de terceiros. A instituição contratante deve tratar o prestador como componente crítico da operação regulada. Isso envolve due diligence, avaliação de capacidade técnica, controles de segurança, continuidade, níveis de serviço, acesso a informações, auditoria, direitos de supervisão e mecanismos de correção. A contratação não transfere ao prestador a responsabilidade pelo tratamento dos dados compartilhados em nome da instituição.
O art. 10 reforça a importância da governança de terceiros ao permitir que o Banco Central vete ou imponha restrições à contratação quando constatar inobservância da Resolução Conjunta ou limitação à sua atuação, inclusive estabelecendo prazo para adequação de processos. Por isso, o contrato e o dossiê de governança devem ser capazes de demonstrar conformidade e permitir resposta rápida a eventuais exigências supervisoras.
O art. 7º exige mecanismos de acompanhamento e controle voltados à efetividade do cumprimento da norma. Esses mecanismos devem incluir processos, testes, trilhas de auditoria, métricas, indicadores e identificação e correção de deficiências. Quando aplicável, devem ser submetidos a testes periódicos pela auditoria interna, compatíveis com os controles internos da instituição.
Esse bloco tem impacto direto em compliance, riscos, controles internos, tecnologia, prevenção a fraudes e auditoria interna. A empresa precisa transformar a obrigação de compartilhamento em um processo mensurável: volume de registros, completude dos campos mínimos, tempo de tratamento de alterações e exclusões, falhas de integração, disponibilidade do sistema, acessos, demandas de titulares, deficiências abertas, planos de ação e correções concluídas. A trilha de auditoria deve permitir reconstruir quem registrou, alterou, excluiu, consultou ou aprovou informações relevantes.
A auditoria interna não foi incluída como público em massa no pacote. Ela aparece de forma material no requisito de mecanismos de acompanhamento e controle porque a própria norma menciona testes periódicos pela auditoria interna quando aplicável. Em instituições nas quais a auditoria interna não seja aplicável nos termos do dispositivo, o campo deve ser ajustado pelo cliente na implementação.
O art. 8º cria obrigações expressas de disponibilidade e retenção. A instituição deve deixar à disposição do Banco Central a documentação sobre o sistema eletrônico, inclusive sobre os requisitos de implementação. Deve manter, por dez anos, os dados e informações compartilhados e a documentação com critérios e procedimentos de identificação. Também deve manter, por cinco anos, os dados, registros e informações relativos à aplicação dos mecanismos de acompanhamento e controle, contado esse prazo a partir de cada aplicação.
A curadoria separou os prazos de retenção em requisitos próprios. O prazo de dez anos tem foco em dados compartilhados e documentação de critérios de identificação; o prazo de cinco anos tem foco nas evidências de mecanismos de acompanhamento e controle. Essa separação evita confundir objetos de retenção, prazos e evidências. Também facilita parametrizar repositórios, políticas de retenção, testes de recuperação e descartes controlados.
As evidências mais importantes incluem registros de indícios de fraude, campos mínimos, contratos ou instrumentos de consentimento, procedimentos de identificação, logs de acesso, matriz de controles técnicos, relatório de auditoria independente, dossiê do sistema eletrônico, matriz de responsabilidades, indicadores de efetividade, trilhas de auditoria, planos de ação, repositórios de dados retidos e testes de recuperação.
O primeiro ponto de atenção é a qualidade dos dados. A utilidade do compartilhamento depende de registros completos, consistentes e vinculados a critérios de identificação robustos. Campos mínimos incompletos, falta de justificativa para dados não aplicáveis ou descrições vagas de indícios reduzem a efetividade da norma e podem gerar questionamentos.
O segundo ponto é o consentimento do cliente. A instituição deve garantir que a cláusula ou instrumento jurídico válido seja capturado previamente, tenha finalidade adequada e seja recuperável. A ausência de evidência de consentimento pode comprometer registros associados a clientes e gerar risco jurídico, de privacidade e regulatório.
O terceiro ponto é a segregação de PLD/FT. A norma exclui do registro dados e informações sigilosos, nos termos de legislação especial, relacionados a indícios de lavagem de dinheiro ou financiamento do terrorismo. O processo de triagem deve separar o fluxo de prevenção a fraudes do fluxo de prevenção à lavagem de dinheiro e financiamento do terrorismo quando houver sigilo especial.
O quarto ponto é a terceirização. A contratação de prestador pode facilitar a execução, mas não reduz a responsabilidade da instituição. O serviço deve ser tratado como relevante, com contrato, due diligence, monitoramento, auditoria, níveis de serviço, segurança e acesso a informações suficientes para supervisão.
O quinto ponto é a retenção. Os prazos de dez e cinco anos têm objetos distintos. A instituição deve garantir que bases, documentos, relatórios e trilhas sejam preservados e recuperáveis, sem perder controles de sigilo, proteção de dados, segregação e acesso.
A norma foi classificada como autônoma, não como alteradora. Não foram criadas alterações de requisitos, porque o documento-fonte não altera diretamente outra norma nem revoga requisitos anteriores. O art. 9º foi tratado como ponto de escopo interno do regulador, pois autoriza o Banco Central a adotar medidas de execução e detalhamento, mas não impõe, por si só, uma ação empresarial autônoma além das obrigações já extraídas. O art. 13 foi tratado como ponto de vigência, usado para o status operacional dos requisitos.
O art. 2º, § 9º foi mantido como ponto de apoio, e não como requisito separado, porque exemplifica procedimentos e controles de prevenção de fraudes já previstos em regulamentação vigente, sem criar uma entrega autônoma nova neste documento. O art. 12, por outro lado, foi convertido em requisito porque possui efeito operacional: a instituição não deve tratar o compartilhamento como substituto de controles de prevenção de fraudes ou comunicações a autoridades competentes.
A principal limitação de produto é a segmentação. O dicionário de tags não possui uma tag única para “demais instituições autorizadas a funcionar pelo Banco Central do Brasil”. Por isso, foi usada segmentação setorial financeira ampla com exclusão expressa de administradoras de consórcio. Essa decisão reduz falso negativo, mas pode exigir refinamento pelo cliente para evitar falso positivo em casos limítrofes. A curadoria sinaliza essa limitação no manifest e nos resumos de aplicabilidade dos requisitos.
O pacote não consolida alterações, complementações ou regulamentações posteriores. A Resolução BCB nº 343/2023 foi incluída como referência operacional oficial porque trata da execução do compartilhamento previsto na Resolução Conjunta nº 6/2023, mas os requisitos aqui criados continuam restritos ao texto da Resolução Conjunta analisada.
Temas
Nenhum item vinculado a este artefato.
