Resolução BCB N° 386 📜 ⚖️ 🏦

RESOLUÇÃO BCB Nº 386, DE 5 DE JUNHO DE 2024

Divulga a Política de Conformidade (Compliance) do Banco Central do Brasil – PCO-BCB.

O Comitê de Governança, Riscos e Controles – GRC do Banco Central do Brasil, em sessão realizada em 5 de junho de 2024, no uso das atribuições previstas no art. 139, inciso III, alínea “a”, do Regimento Interno do Banco Central do Brasil, tendo em vista o disposto na Lei nº 13.709, de 14 de agosto de 2018, no Decreto nº 9.203, de 22 de novembro de 2017, na Instrução Normativa Conjunta nº 1, de 10 de maio de 2016, do então Ministério do Planejamento, Orçamento e Gestão e da Controladoria-Geral da União, na Portaria nº 1.089, de 25 de abril de 2018, do então Ministro de Estado da Transparência e Controladoria-Geral da União, alterada pela Portaria nº 57, de 4 de janeiro de 2019, da Controladoria-Geral da União, e no Voto 112/2024–GRC, de 5 de junho de 2024,

R E S O L V E :

Art. 1º  Fica divulgada a Política de Conformidade (Compliance) do Banco Central do Brasil – PCO-BCB, na forma anexa.

Art. 2º  Fica revogada a Resolução BCB nº 236, de 27 de julho de 2022.

Art. 3º  Esta Resolução entra em vigor na data de sua publicação.

ROBERTO DE OLIVEIRA CAMPOS NETO
Presidente do Banco Central do Brasil

POLÍTICA DE CONFORMIDADE (COMPLIANCE) DO BANCO CENTRAL DO BRASIL – PCO-BCB, ANEXA À RESOLUÇÃO BCB Nº 386, DE 5 DE JUNHO DE 2024

CAPÍTULO I
DISPOSIÇÕES PRELIMINARES

Art. 1º  A gestão de conformidade é o processo que visa a garantir que as atividades, executadas por servidores e demais colaboradores, sejam conduzidas de acordo com o ordenamento normativo aplicável à instituição.

Art. 2º  A gestão de conformidade engloba a integridade, que é a conformidade específica para a prevenção, detecção, punição e remediação de fraudes e atos de corrupção, além da adesão a valores, princípios e normas de conduta, éticas e disciplinares, que visem ao sustento e à priorização do interesse público.

Seção I
Das definições

Art. 3º  Para efeitos deste Regulamento, são adotadas as seguintes definições:

I - ação de conformidade: medida definida para tratamento de riscos de conformidade e para prevenção, identificação e correção de procedimentos que facilitem a ocorrência de falhas de conformidade;

II - ativo de informação: os meios, os locais, os equipamentos e os sistemas de armazenamento, transmissão e processamento da informação;

III - colaborador: pessoa física que tenha vínculo funcional com o Banco Central do Brasil ou preste serviços mediante contrato ou outro tipo de acordo congênere;

IV - encarregado de dados pessoais: pessoa indicada pelo Banco Central do Brasil para atuar como canal de comunicação entre a instituição, os titulares dos dados e a Autoridade Nacional de Proteção de Dados – ANPD, sendo, neste documento, referido como “encarregado”;

V - incidente de segurança de dados pessoais: qualquer evento adverso confirmado, relacionado à violação das propriedades de confidencialidade, integridade, disponibilidade e autenticidade da segurança de dados pessoais, conforme definido pela Resolução CD/ANPD nº 15, de 24 de abril de 2024;

VI - instâncias de integridade: estruturas e arranjos institucionais que possuem competências referentes à promoção da integridade;

VII - integridade pública: alinhamento e aderência a valores, princípios e normas para defender e priorizar o interesse público;

VIII - plano de integridade: roteiro que operacionaliza o Programa de Integridade do Banco Central do Brasil mediante a apresentação e consolidação de ações e medidas com vistas à prevenção e à mitigação de vulnerabilidades;

IX - política de conformidade: regras organizacionais que definem as finalidades, os princípios e a estrutura de governança da gestão da conformidade no âmbito do Banco Central do Brasil;

X - privacidade na concepção: diretiva para que os meios de tratamento de dados pessoais, o próprio tratamento, bem como os produtos, serviços, processos e atividades incorporem, desde a concepção, medidas técnicas e organizacionais adequadas para atender aos princípios da Lei nº 13.709, de 14 de agosto de 2018, de forma eficaz, levando em conta o estado da arte, o custo de implementação e a natureza, o escopo, o contexto e os propósitos do tratamento, bem como os riscos de probabilidade e gravidade variados para direitos e liberdades das pessoas naturais representadas pelo tratamento;

XI - privacidade por padrão: diretiva para que, independentemente de menção ou determinação expressa, sejam adotadas medidas técnicas e organizacionais adequadas para garantir que todos os produtos, serviços, processos e atividades, existentes ou futuros, por padrão, somente viabilizem o tratamento de dados pessoais necessários para cada finalidade específica permitida pela Lei nº 13.709, de 14 de agosto de 2018, e segundo os princípios dessa lei, não permitindo acesso indiscriminado sem controle de um responsável e a indivíduos indefinidos;

XII - programa de integridade: medida administrativa que determina a formulação e a adoção de política de integridade, de planos de integridade e de ações relacionadas à sua continuidade;

XIII - riscos de conformidade: eventos potenciais relacionados ao não cumprimento de normas jurídicas e não jurídicas aplicáveis à instituição, englobando os riscos para a integridade, que representam ações ou omissões que possam favorecer a ocorrência de fraudes ou atos de corrupção e a não adesão a valores, princípios e normas de conduta, éticas e disciplinares, que visem ao sustento e à priorização do interesse público; e

XIV - titular: pessoa natural a quem se referem os dados pessoais que são objeto de tratamento.

Seção II
Dos objetivos

Art. 4º  A Política de Conformidade do Banco Central do Brasil – PCO-BCB tem os seguintes objetivos:

I - assegurar que as atividades do Banco Central do Brasil sejam conduzidas em conformidade com o ordenamento jurídico aplicável à instituição;

II - assegurar elevados padrões de conduta dos servidores e demais colaboradores;

III - garantir a impessoalidade nos processos de tomada de decisão;

IV - estabelecer abordagem estratégica para mitigar os riscos de conformidade;

V - fortalecer a governança corporativa do Banco Central do Brasil; e

VI - estimular uma cultura de conformidade.

Seção III
Dos princípios

Art. 5º  São princípios da PCO-BCB:

I - ética;

II - probidade;

III - interesse público;

IV - conformidade;

V - integridade;

VI - impessoalidade;

VII - profissionalismo; e

VIII - proteção de dados pessoais.

Seção IV
Das diretrizes

Art. 6º  São diretrizes da PCO-BCB:

I - estabelecimento de responsabilidades institucionais, garantido o comprometimento e o apoio da alta direção, para planejar, coordenar, liderar e implantar ações de conformidade;

II - estímulo à adoção e ao aprimoramento de controles que mitiguem riscos de conformidade;

III - integração e padronização das ações de conformidade, em respeito às especificidades dos processos da cadeia de valor;

IV - promoção da seleção, do desenvolvimento e da realização de avaliações independentes da gestão de conformidade;

V - promoção do monitoramento contínuo das ações de conformidade;

VI - autonomia da gestão de conformidade;

VII - geração, utilização e transmissão de informações relevantes, com qualidade e de forma integrada, para assegurar a efetividade da gestão de conformidade;

VIII - preservação da integridade pública e da boa reputação, ética e profissional;

IX - promoção contínua da gestão de conformidade, adequada estrutura organizacional e delegação de autoridade, eliminação de eventual conflito de interesse, estímulo ao desenvolvimento de pessoas e avaliação dos resultados da gestão de conformidade;

X - fortalecimento das instâncias de integridade e a sua integração;

XI - estímulo ao desenvolvimento de medidas que fomentem elevados padrões de conduta dos servidores e demais colaboradores;

XII - apoio à atuação das lideranças na promoção da integridade;

XIII - manutenção de canais abertos para comunicação, esclarecimentos e denúncias referentes à integridade;

XIV - garantia de respostas adequadas às violações éticas e disciplinares; e

XV - privacidade na concepção e privacidade por padrão.

CAPÍTULO II
COMPETÊNCIAS E ATRIBUIÇÕES

Art. 7º  Cabe à Diretoria Colegiada a responsabilidade pela gestão de conformidade, sem prejuízo dos deveres e obrigações de servidores e colaboradores, no âmbito de suas atribuições.

Art. 8º  Compete ao Comitê de Governança, Riscos e Controles – GRC:

I - aprovar e revisar a PCO-BCB;

II - avaliar periodicamente a execução da PCO-BCB;

III - acompanhar a disseminação da cultura de conformidade;

IV - aprovar e revisar o programa de integridade; e

V - garantir que medidas corretivas sejam tomadas quando falhas de conformidade forem identificadas.

Art. 9º  Compete ao Diretor de Assuntos Internacionais e de Gestão de Riscos Corporativos  – Direx:

I - propor ao GRC revisões na PCO-BCB; e

II - propor ao GRC as estratégias do Banco Central do Brasil para a condução dos processos relacionados à gestão de conformidade e, no caso dos temas de integridade, em consonância com as deliberações do Comitê de Integridade do Banco Central do Brasil – CIBCB.

Art. 10.  Compete ao CIBCB, no que se refere à integridade:

I - zelar pela observância da PCO-BCB;

II - propor ao GRC revisões na PCO-BCB;

III - coordenar a estruturação, a execução e o monitoramento do programa de integridade;

IV - coordenar a elaboração e revisar o plano de integridade; e

V - promover estratégias de ampla divulgação do programa de integridade.

Art. 11.  Compete ao Departamento de Riscos Corporativos e Referências Operacionais – Deris, ressalvadas as competências das demais unidades e componentes organizacionais:

I - propor ao Direx revisões na PCO-BCB;

II - elaborar os padrões de gestão de conformidade a serem utilizados pelas unidades e demais componentes organizacionais, bem como definir periodicidade para o envio de informações ao Deris;

III - assegurar a integração das atividades relativas à função de conformidade com a de controles internos da gestão, riscos e auditoria interna, por meio de comunicações estruturadas e tempestivas, reuniões técnicas para harmonização de metodologias e integração de sistemas, conforme o caso;

IV - integrar as informações de conformidade e assegurar o envio tempestivo dessas aos membros do GRC, chefes de unidades e demais componentes organizacionais, conforme o caso;

V - apoiar as discussões técnicas que envolvam a gestão de conformidade;

VI - promover a adoção e a manutenção de boas práticas de conformidade;

VII - promover a disseminação da cultura de conformidade, inclusive, auxiliando na informação e na capacitação de todos os funcionários e dos prestadores de serviços terceirizados relevantes, em assuntos relativos à conformidade;

VIII - manter informações atualizadas sobre conformidade para o público interno e externo;

IX - coordenar avaliações e testes de aderência das unidades e demais componentes organizacionais às obrigações aplicáveis aos seus processos de trabalho; e

X - acompanhar as soluções dos pontos levantados no relatório de descumprimento de dispositivos legais e regulamentares elaborado pela Auditoria Interna do Banco Central do Brasil – Audit, por outros órgãos de controle e por auditor independente.

Art. 12.  Compete à Procuradoria-Geral do Banco Central – PGBC prestar consultoria e assessoramento jurídicos sobre os temas tratados nesta Política de Conformidade, sempre que demandada pelas áreas competentes.

Art. 13.  Compete às unidades e demais componentes organizacionais do Banco Central do Brasil:

I - garantir a conformidade na execução de seus processos de trabalho, segundo os objetivos da PCO-BCB;

II - reportar ao Deris as informações de conformidade, de acordo com a periodicidade e os padrões de envio de informações definidos institucionalmente;

III - planejar, executar e monitorar ações de conformidade;

IV - manter em adequado funcionamento as atividades de sua responsabilidade que contribuam para a garantia da conformidade;

V - comunicar eventuais falhas de conformidade tempestivamente ao Deris;

VI - promover a disseminação da cultura de conformidade no âmbito da unidade ou componente organizacional; e

VII - designar Agente de Conformidade e Controles Internos – ACCI e alterno, servidores detentores de função comissionada, responsáveis por centralizar a comunicação com o Deris.

§ 1º  Cabe ao chefe da unidade ou do componente organizacional atestar as informações de conformidade.

§ 2º  As unidades e demais componentes organizacionais devem disponibilizar acesso do Deris às informações necessárias ao fortalecimento da prevenção ou à detecção de falhas de conformidade.

§ 3º  O exercício das competências do caput também deve ter por objeto as atividades de empresas contratadas pelo Banco Central do Brasil e relacionadas aos correspondentes contratos.

Art. 14.  Compete às unidades e demais componentes organizacionais que atuam como instâncias de integridade implantar as ações e medidas previstas no plano de integridade em sua área de competência, de acordo com o Regimento Interno do Banco Central do Brasil.

CAPÍTULO III
PROGRAMA DE INTEGRIDADE

Art. 15.  O programa de integridade será operacionalizado a partir de um plano de integridade.

Art. 16.  As atividades desempenhadas no âmbito do programa de integridade poderão contar com a participação de outras áreas do Banco Central do Brasil, a convite do CIBCB.

CAPÍTULO IV
PLANO DE INTEGRIDADE

Art. 17.  O plano de integridade poderá contemplar, entre outras, ações referentes aos seguintes temas:

I - padrões de ética e regras de conduta para servidores e demais colaboradores, inclusive concernentes a conflito de interesses e nepotismo;

II - comunicação e treinamento;

III - tratamento de denúncias;

IV - práticas de integridade no âmbito de processos de licitação e contratação;

V - medidas de responsabilização;

VI - transparência ativa e acesso à informação; e

VII - controles internos e cumprimento de recomendações de auditoria.

Art. 18.  O plano de integridade será elaborado a partir do mapeamento de riscos para a integridade e do exame das ações de integridade existentes.

Parágrafo único.  O plano de integridade contemplará ações e medidas com vistas à prevenção e à mitigação de vulnerabilidades, com indicação dos respectivos prazos de implantação e a definição dos responsáveis.

Art. 19.  As ações e medidas propostas para constar no plano de integridade deverão ser submetidas à apreciação e à aprovação do CIBCB.

Art. 20.  O monitoramento do plano de integridade será realizado trimestralmente pelo CIBCB.

Parágrafo único.  O CIBCB poderá solicitar aos responsáveis pelas medidas do plano de integridade o encaminhamento de informações sobre o andamento de suas ações.

Art. 21.  A implantação das medidas do plano de integridade será reportada, anualmente, pelo secretário do CIBCB ao GRC.

CAPÍTULO V
PROTEÇÃO DE DADOS PESSOAIS

Art. 22.  Compete ao GRC avaliar e revisar a estrutura de governança da proteção de dados pessoais.

Art. 23.  Compete ao encarregado:

I - aceitar reclamações e comunicações dos titulares, prestar esclarecimentos e adotar providências;

II - receber comunicações da ANPD e adotar providências;

III - orientar os colaboradores, servidores ou contratados a respeito das práticas a serem tomadas em relação à proteção de dados pessoais;

IV - providenciar a comunicação à ANPD e ao titular de ocorrência de incidente de segurança de dados pessoais;

V - coordenar o tratamento de incidente de segurança de dados pessoais;

VI - propor ao GRC melhorias na estrutura de governança da proteção de dados pessoais; e

VII - validar comunicados, recomendações e relatórios.

Parágrafo único.  As comunicações, os incidentes de segurança de dados pessoais e seus tratamentos, mencionados neste artigo, deverão ser informados imediatamente ao Deris, ao Departamento de Tecnologia da Informação – Deinf e ao Departamento de Segurança – Deseg.

Art. 24.  Compete ao Deris:

I - propor a elaboração e a revisão de políticas e procedimentos de proteção de dados pessoais, quando necessário, aos responsáveis técnicos;

II - propor ações para o aprimoramento, se for o caso, do inventário de bases de dados pessoais;

III - coordenar o gerenciamento dos riscos organizacionais, dos controles internos da gestão e de não conformidades referentes à proteção de dados pessoais;

IV - coordenar a elaboração e a revisão de relatórios internos e externos referentes à proteção de dados pessoais;

V - coordenar a elaboração de recomendações de proteção de dados pessoais à Diretoria Colegiada, às unidades e demais componentes organizacionais; e

VI - coordenar a elaboração e a revisão das páginas de proteção de dados pessoais na internet e na intranet do Banco Central do Brasil.

Art. 25.  Compete ao Deinf:

I - gerir o inventário de bases de dados pessoais;

II - agir, em seu âmbito de atuação, em conjunto com as demais unidades e componentes organizacionais, para o tratamento de incidentes de segurança de dados pessoais; e

III - revisar a implementação das diretivas de privacidade na concepção e de privacidade por padrão.

Art. 26.  Compete ao Deseg agir em seu âmbito de atuação, em conjunto com as demais unidades e componentes organizacionais, para o tratamento de incidentes de segurança de dados pessoais.

Art. 27.  Compete ao Departamento de Infraestrutura e Gestão Patrimonial – Demap coordenar o gerenciamento de cláusulas contratuais que vinculam terceiros.

Art. 28.  Compete ao Departamento de Atendimento Institucional – Deati coordenar o gerenciamento de demandas de titulares de dados pessoais.

Parágrafo único.  Sempre que houver necessidade do exercício das competências do encarregado previstas no art. 23, as demandas formuladas com base na Lei nº 13.709, de 14 de agosto de 2018, serão imediatamente encaminhadas a essa autoridade, salvo quando já houver sua orientação para o respectivo tratamento.

Art. 29.  Compete a todas as unidades e demais componentes organizacionais:

I - manter atualizadas as informações que compõem o inventário de base de dados pessoais;

II - identificar, avaliar e promover o tratamento de riscos organizacionais e de não conformidades referentes à proteção de dados pessoais;

III - identificar, avaliar e promover a melhoria dos controles internos referentes à proteção de dados pessoais;

IV - adotar medidas, sempre que necessário, inclusive a avaliação da relevância de incidente de segurança de dados pessoais, nas comunicações à ANPD e ao titular afetado, bem como nas comunicações recebidas da ANPD;

V - adotar providências para o tratamento de incidentes de segurança de dados pessoais em ativos de informação que sejam de sua responsabilidade; e

VI - implementar as diretivas de privacidade na concepção e de privacidade por padrão.

Parágrafo único. O incidente de segurança de dados pessoais pode acarretar risco ou dano relevante aos titulares quando for avaliado ao menos no nível alto de relevância, segundo a metodologia de avaliação de incidentes de segurança de dados pessoais desenvolvida pelo Deris.

CAPÍTULO VI
DISPOSIÇÕES FINAIS

Art. 30.  As unidades que recepcionam e tratam denúncias de integridade por meio dos canais institucionais devem restringir, quando for o caso, o acesso a informações de identificação do denunciante de boa-fé, como medidas para mitigar riscos de assédio ou retaliação.

Art. 31.  A revisão da PCO-BCB dar-se-á a cada três anos ou em período inferior, sempre que necessário.