INSTRUÇÃO NORMATIVA BCB Nº 441, DE 20 DE DEZEMBRO DE 2023 (parte 2 de 3)

ANEXO
Manual de Monitoramento do Open Finance Versão 1.0
Sumário de alterações
. Data Versão Descrição das alterações
. 20/12/2023 1.0 Versão inicial.
Termos de Uso
Este manual define os princípios básicos do monitoramento do Open Finance,
complementando a regulamentação vigente sobre o tema.
O manual será revisto e atualizado periodicamente a fim de preservar a
compatibilidade com a regulamentação, bem como incorporar os aprimoramentos
decorrentes da evolução do Open Finance.
Informações mais detalhadas e exemplos da aplicação deste manual poderão
ser encontradas no Portal do Open Finance no Brasil (https://openfinancebrasil.org.br/),
mantido pela Estrutura Responsável pela Governança do Open Finance.
Sugestões, críticas ou pedidos de esclarecimento de dúvidas relativas ao
conteúdo deste documento podem ser enviados ao Banco Central do Brasil por meio dos
canais institucionais dessa autarquia.
Referências
Estas especificações têm como base, referenciam e complementam, quando
aplicável, os seguintes documentos:
. Referência Origem
. Resolução Conjunta nº 1, de 2020 https://www.bcb.gov.br/estabilidadefinanceira/
exibenormativo?tipo=Resolu%C3%A7%C3%A3o%
20Conjunta&numero=1
. Resolução BCB nº 32, de 2020 https://www.bcb.gov.br/estabilidadefinanceira/
exibenormativo?tipo=Resolu%C3%A7%C3%A3o%
20BCB&numero=32
. Lei nº 13.709, de 2018, Lei Geral de
Proteção de Dados Pessoais (LGPD)
http://www.planalto.gov.br/ccivil_03/_ato2015-
2018/2018/lei/L13709.htm
1. Introdução
Este manual foi elaborado com o objetivo de garantir que o monitoramento do
Open Finance, a ser realizado pela Estrutura Responsável pela Governança do Open
Finance, seja capaz de verificar se as instituições participantes estão em conformidade com
as obrigações previstas na regulamentação do Banco Central do Brasil e em documentos
elaborados pela Estrutura Responsável pela Governança do Open Finance, conforme
definido pela regulamentação vigente.
Convém destacar que as determinações referentes ao monitoramento de
serviços de tecnologia estabelecidas neste manual são complementares e não excludentes
em relação ao determinado pelo Manual de Serviços Prestados pela Estrutura Responsável
pela Governança do Open Finance.
Este manual de monitoramento não se limita a questões de tecnologia, uma
vez que o adequado monitoramento da infraestrutura do Open Finance envolve diferentes
aspectos, sendo condição para que o sistema continue evoluindo de forma ágil, eficiente e
segura.
Entre esses aspectos, destacam-se os seguintes itens:
I - desempenho e disponibilidade das application programming interfaces (APIs);
II - especificações, cadastros, certificação e publicação das APIs;
III - requisição de informações, sugestão de melhorias e demanda de resolução
de incidentes;
IV - reporte de informações;
V - qualidade de dados; e
VI - experiência do cliente.
A Estrutura Responsável pela Governança do Open Finance deve armazenar e
dar publicidade a dados estatísticos e indicadores referentes aos diversos itens
monitorados. Além disso, as instituições participantes devem fornecer dados de qualidade
e com detalhamento suficiente que permitam que a Estrutura Responsável pela
Governança do Open Finance implemente o processo de monitoramento de que trata este
manual.
Adicionalmente, ressalta-se que o processo de monitoramento do Open Finance
deve ser documentado por meio de uma política de monitoramento, que deve
compreender os itens monitorados pelo sistema, o fluxo de gestão do monitoramento, os
papéis e as responsabilidades dos integrantes desse fluxo e as medidas aplicáveis em
situações de desconformidade.
Toda a documentação relativa ao processo de monitoramento é de
responsabilidade da Estrutura Responsável pela Governança do Open Finance e deve ser
mantida à disposição do Banco Central do Brasil por cinco anos.
Considerando o atual estágio evolutivo do Open Finance, este manual se aplica:
I - para a subseção 2.2 e seus impactos nas demais seções e subseções, a todas
as instituições participantes; e
II - para as demais seções e subseções:
a) às instituições transmissoras de dados que representem 99% do estoque
total de consentimentos ativos na data de publicação da instrução normativa que contém
este manual, considerando as informações reportadas pelas instituições ao Banco Central
do Brasil; e
b) às instituições detentoras de conta nas quais foram iniciadas 99% da
quantidade total de transações de pagamento realizadas com sucesso no âmbito do Open
Finance.
A identificação das instituições detentoras de conta mencionadas no inciso II,
alínea "b", desta seção deve ser realizada por meio do ordenamento, por instituição e em
ordem decrescente, da quantidade total de transações de iniciação de pagamento
realizadas no âmbito do Open Finance, considerando as informações reportadas pelas
instituições ao Banco Central do Brasil referentes às últimas 24 semanas, contadas a partir
da data de publicação da Instrução Normativa que contém este manual.
O disposto neste manual se aplica às instituições enquadradas nos critérios de
que trata o inciso II desta seção em relação a todas as suas modalidades de participação
no âmbito do Open Finance.
2. Itens monitorados
Esta seção descreve os itens que devem ser monitorados pela Estrutura
Responsável pela Governança do Open Finance. Tais itens e o detalhamento de cada um
deles representam o mínimo exigido, cabendo à Estrutura Responsável pela Governança do
Open Finance, independentemente de alteração normativa, garantir que os itens
monitorados sejam expandidos sempre que houver necessidade, com vistas ao objetivo
final do processo de monitoramento, que é o bom funcionamento do Open Finance para
todas as partes interessadas: instituições participantes, clientes e sociedade.
Adicionalmente, considerando que as ferramentas e processos de
monitoramento do Open Finance estão em processo de desenvolvimento, a primeira
versão deste manual se restringirá a aspectos em que já é possível obter métricas para
monitoramento, sendo que as demais métricas e indicadores serão posteriormente
incorporados à medida que estiverem disponíveis para acompanhamento.
Nesse sentido, a obtenção dos itens monitorados deve ser realizada,
prioritariamente, por meio de ferramentas da Estrutura Responsável pela Governança do
Open Finance. Na ausência dessas ferramentas ou em caso de ferramentas que consigam
obter apenas parcialmente os itens monitorados, as instituições participantes devem
reportar as informações necessárias para que a Estrutura Responsável pela Governança do
Open Finance consiga cumprir todas as etapas de monitoramento descritas neste manual
ou em sua documentação.
2.1 Desempenho e disponibilidade das APIs
A Estrutura Responsável pela Governança do Open Finance deve monitorar
diversas questões relacionadas ao desempenho e disponibilidade das APIs, entre as quais,
deverão ser priorizados, no mínimo, para os fins do processo de monitoramento os
seguintes itens:
I - disponibilidade das APIs das instituições participantes; e
II - tempo de resposta das APIs das instituições participantes.
Para fins do processo de monitoramento, o período de apuração referente aos
itens de que trata esta subseção é mensal. O Service Level Agreement (SLA) e os métodos
de cálculo referentes à disponibilidade e ao tempo de resposta das APIs das instituições
participantes constam no Manual de APIs do Open Finance.
2.2 Especificações, cadastros, certificação e publicação de APIs
Esta subseção abordará os itens monitorados referentes a especificações das
APIs; cadastros no Diretório de Participantes, certificação e publicação dessas APIs.
Destaca-se que os itens desta subseção precisam ser cumpridos na sua totalidade, de
modo que qualquer desvio em relação ao padrão estabelecido ensejará a aplicação de
medidas à instituição participante em desconformidade.
A ocorrência de desconformidades em relação aos itens tratados nesta
subseção ensejará a abertura de tickets à instituição participante em desconformidade,
cujos prazos máximos de atendimento constam no Manual de Serviços Prestados pela
Estrutura Responsável pela Governança do Open Finance.
A Estrutura Responsável pela Governança do Open Finance deve monitorar, no
mínimo, os seguintes itens referentes a especificações, cadastros, certificação e publicação
de APIs das instituições participantes:
I - cumprimento de marcos regulatórios e de outras exigências de testes para
certificação de novas especificações: a Estrutura Responsável pela Governança do Open
Finance deve monitorar e exigir o cumprimento dos pontos de controle do processo de
publicação em produção de versões iniciais e de novas versões de APIs, sejam eles
definidos em regulamentação ou pela própria Estrutura Responsável pela Governança do
Open Finance;
II - cadastro atualizado das APIs: a Estrutura Responsável pela Governança do
Open Finance deve verificar e exigir que as informações relativas às APIs das instituições
participantes armazenadas pela Estrutura Responsável pela Governança do Open Finance
estejam corretas;
III - certificação funcional e de segurança das APIs das instituições participantes:
a Estrutura Responsável pela Governança do Open Finance deve exigir que as instituições
participantes certifiquem suas APIs, conforme a versão em vigor;
IV - publicação das APIs pelas instituições participantes: a Estrutura Responsável
pela Governança do Open Finance deve verificar e exigir a devida publicação das APIs das
instituições participantes;
V - cumprimento regulatório das modalidades de participação: a Estrutura
Responsável pela Governança do Open Finance deve verificar se as modalidades de
participação cadastradas pelas instituições participantes estão em conformidade com o
estabelecido na regulamentação, quando houver informações disponíveis para tal
verificação, e adotar as providências necessárias para a regularização;
VI - retirada das versões antigas das APIs de ambiente produtivo e do cadastro
no diretório, de acordo com o cronograma definido pela regulamentação ou pela Estrutura
Responsável pela Governança do Open Finance referente ao período de convivência das
versões; e
VII - aderência das APIs das instituições participantes às especificações
funcionais e de segurança: a Estrutura Responsável pela Governança do Open Finance deve
verificar e exigir que as APIs das instituições participantes em ambiente produtivo estão
aderentes às especificações funcionais e de segurança.
A Estrutura Responsável pela Governança do Open Finance deve realizar a
gestão do processo de obtenção de maturidade dos motores de certificação funcional e de
segurança, com vistas a possibilitar que as instituições participantes consigam cumprir as
obrigações do inciso I desta subseção.
Para fins do processo de monitoramento, o período de apuração referente aos
itens de que trata esta subseção é:
I - no momento da detecção da desconformidade, para os incisos I, III, IV e VI
desta subseção; e
II - mensal, para os demais incisos desta subseção.
2.3 Requisição de informações, sugestão de melhorias e demanda de resolução
de incidentes
A Estrutura Responsável pela Governança do Open Finance deve monitorar, no
mínimo, o prazo para atendimento de:
I - tickets relativos a requisições de informações, a sugestões de melhorias e de
resolução de incidentes, abertos bilateralmente entre instituições participantes no Service
Desk. A Estrutura Responsável pela Governança do Open Finance deve acompanhar os
prazos de cada ticket bilateral que estiver em aberto e gerar estatísticas sobre o prazo de
atendimento de cada ticket bilateral que estiver encerrado ou que estiver com o prazo
vencido; e
II - tickets abertos pela Estrutura Responsável pela Governança do Open
Finance: a Estrutura Responsável pela Governança do Open Finance deve acompanhar os
prazos de cada ticket aberto por ela que estiver em aberto. Devem ser geradas estatísticas
sobre o prazo de atendimento dos tickets abertos por ela que estiverem encerrados ou
com o prazo vencido. Os tickets abertos pela Estrutura Responsável pela Governança do
Open Finance compreendem aqueles abertos por órgãos da Estrutura Responsável pela
Governança do Open Finance, fornecedores e ferramentas, tal como a Ferramenta de
Validação em Produção (FVP).
Para fins do processo de monitoramento, o período de apuração referente aos
itens de que trata esta subseção é mensal.
2.4 Reporte de informações
As instituições participantes devem disponibilizar, nos prazos definidos pela
Estrutura Responsável pela Governança do Open Finance, dados com qualidade adequada
e com detalhamento suficiente, de forma a permitir que a Estrutura Responsável pela
Governança do Open Finance implemente as funcionalidades dispostas neste manual.
A Estrutura Responsável pela Governança do Open Finance deve estabelecer,
para cada caso, os dados que precisam ser enviados pelas instituições participantes, bem
como sua forma de envio, periodicidade, entre outros itens cabíveis. As desconformidades
em relação aos reportes de informações estão sujeitas às medidas aplicáveis de que trata
a subseção 3.2 deste manual.
Para fins do processo de monitoramento, a apuração referente ao reporte de
informações de que trata esta subseção deve se dar imediatamente após a detecção da
desconformidade.
2.5 Qualidade de dados
As instituições participantes do Open Finance devem garantir a qualidade dos
dados informados por meio de suas APIs, com observância, no mínimo, dos seguintes
itens:
I - completude: preenchimento de todos os campos obrigatórios dos endpoints
de suas APIs e, quando aplicável, dos campos opcionais e condicionais;
II - consistência: ausência de divergências entre os dados informados por meio
de suas APIs e os dados divulgados nos canais eletrônicos disponibilizados aos seus
clientes;
III - conformidade: aderência dos dados informados por meio de suas APIs aos
padrões e às regras de negócios especificados no Open Finance;
IV - validade: representação dos dados informados nos diversos campos dos
endpoints de suas APIs de acordo com sua definição, em termos de formato, tipo, valores
permitidos, entre outros atributos;
V - atualidade: relevância dos dados informados por meio de suas APIs no
tempo; e
VI - unicidade: unicidade dos dados informados por meio de suas APIs, ou seja,
ausência de duplicidade de informações.
Visando à manutenção da qualidade de dados do Open Finance, as instituições
participantes que tiverem aderido, obrigatória ou voluntariamente, ao compartilhamento
de dados devem implementar o motor de qualidade de dados, conforme parâmetros
definidos pela Estrutura Responsável pela Governança do Open Finance, e utilizá-lo na sua
atuação como transmissora de dados.
Com base nos relatórios gerados a partir da análise de tickets relativos à
qualidade de dados e de estatísticas provenientes do uso do motor de qualidade de dados
pelas instituições participantes, a Estrutura Responsável pela Governança do Open Finance
deverá construir um índice de qualidade de dados que demonstre o desempenho individual
de cada instituição.
2.6 Experiência do cliente
2.6.1 Jornada do cliente
A Estrutura Responsável pela Governança do Open Finance deve monitorar as
jornadas dos clientes, de acordo com as diferentes modalidades de:
I - fluxos existentes, considerando os diferentes canais, dispositivos e ambientes
em que a jornada Open Finance é disponibilizada, tais como aplicativo para aplicativo,
aplicativo para navegador e vice-versa no mesmo dispositivo; aplicativo para navegador e
vice-versa entre dispositivos diferentes; e navegador para navegador;
II - público-alvo, pessoa natural ou pessoa jurídica;
III - alçadas, simples ou múltiplas; e
IV - compartilhamento de dados ou de serviços.
A Estrutura Responsável pela Governança do Open Finance deve gerar as
próprias evidências das jornadas dos clientes ou contratar fornecedores independentes
para tal, cabendo a ressalva de que não será admitida a geração de evidências das
jornadas por meio do envio de jornadas pela própria instituição participante.
Para fins do processo de monitoramento, o período de apuração do
monitoramento da jornada do cliente será definido pela Estrutura Responsável pela
Governança do Open Finance e dar-se-á na mesma periodicidade das rodadas de avaliação
a serem executadas com as instituições participantes selecionadas.
A Estrutura Responsável pela Governança do Open Finance definirá os escopos
de avaliação de cada rodada. Obrigatoriamente, em todas as rodadas e em todos os
escopos dessa avaliação, devem estar presentes as instituições participantes de maior
relevância. Para os fins dessa seleção, deve-se considerar, como critério de relevância:
I - para o compartilhamento de dados: estoque total de consentimentos ativos;
e
II - para a iniciação de transação de pagamentos: quantidade total de
transações de pagamento realizadas com sucesso no âmbito do Open Finance.
2.6.2 Taxa de conversão
A Estrutura Responsável pela Governança do Open Finance deve monitorar a
taxa de conversão de jornadas de compartilhamento de dados e de jornadas de iniciação
de pagamentos.
As taxas mínimas de conversão referentes a jornadas de compartilhamento de
dados e a jornadas de iniciação de pagamentos são:
I - compartilhamento de dados: 80% da média ponderada por consentimentos
solicitados das três maiores taxas de conversão de instituições transmissoras de dados nos
últimos três meses, incluindo o mês de referência; e
II - iniciação de transação de pagamento: 80% da média ponderada por
consentimentos solicitados das três maiores taxas de conversão de instituições detentoras
de conta nos últimos três meses, incluindo o mês de referência.
Há um limite de tolerância de três pontos percentuais para as taxas mínimas de
conversão, de que trata esta subseção.
As taxas de conversão de que trata esta subseção devem ser calculadas da
seguinte forma:
I - compartilhamento de dados: quantidade de consentimentos gerados com
sucesso em relação à quantidade de solicitações de criação de consentimentos de clientes
direcionados para a instituição transmissora de dados; e
II - iniciação de transação de pagamento: quantidade de consentimentos
gerados com sucesso em relação à quantidade de solicitações de criação de
consentimentos de clientes titulares de conta direcionados para a instituição detentora de
conta.
O período de apuração das taxas de conversão é mensal e devem ser
consideradas, para cada mês, todas as semanas cujas sextas-feiras ocorreram no mês.
Para fins do cálculo das taxas de conversão de que trata esta subseção, não
devem ser computadas solicitações de criação de consentimentos em que todas as
chamadas de criação de consentimento retornaram erros relacionados com as tentativas
de acessos sem as permissões devidas pela instituição receptora de dados ou pela
instituição iniciadora de transação de pagamento, assim indicados nas especificações.
As taxas mínimas de conversão serão revistas periodicamente, considerando a
evolução dos indicadores e as necessidades de aprimoramentos do Open Finance.
Para fins do processo de monitoramento, o período de apuração referente ao
item de que trata esta subseção é mensal.
3. Processo de monitoramento
O processo de monitoramento do Open Finance, realizado pela Estrutura
Responsável pela Governança do Open Finance, em conjunto com as instituições
participantes, deve ser pautado pelos princípios de transparência, melhoria contínua,
eficiência e assertividade, e ter por objetivo assegurar que as instituições participantes
estejam em consonância com as obrigações previstas em documentos elaborados no
âmbito da Estrutura Responsável pela Governança do Open Finance e na regulamentação
do Banco Central do Brasil.
A Estrutura Responsável pela Governança do Open Finance deve definir e
documentar o processo de monitoramento por meio de uma política específica (Política de
Monitoramento), que deve compreender, no mínimo, o fluxo de monitoramento e de
aplicação de medidas, os papéis e as responsabilidades dos integrantes desse fluxo e as
medidas aplicáveis em caso de descumprimento da performance desejada.
Outros aspectos referentes ao processo de monitoramento, tais como os itens
monitorados, também devem ser documentados, mas, considerando necessidade de
atualização mais frequente, poderão constar de documento auxiliar à Política de
Monitoramento.
Caso seja detectado que uma instituição participante não esteja em
conformidade com um item monitorado, o caso deve ser acompanhado por um ticket do
Service Desk, podendo ser utilizado um ticket que já tinha sido aberto referente ao caso ou
ser aberto novo ticket específico.
3.1 Fluxo de monitoramento e de aplicação de medidas
A Política de Monitoramento deve descrever o fluxo de monitoramento e de
aplicação de medidas discriminadas por cada integrante do fluxo, contemplando, no
mínimo, as seguintes etapas integrantes desse processo:
I - verificação dos SLAs, taxas mínimas de conversão e prazos máximos de
atendimento de tickets do Service Desk;
II - identificação de situações de desconformidade;
III - acompanhamento das situações de desconformidade por meio de tickets do
Service Desk;
IV - avaliação da resposta das instituições participantes em desconformidade
em relação às situações de desconformidade;
V - envio do caso para análise e ação de eventuais instâncias superiores, em
caso de continuidade da situação de desconformidade ou do impacto da situação no bom
funcionamento do Open Finance; e
VI - aplicação de medidas às instituições participantes em desconformidade.
3.2 Medidas aplicáveis
A Política de Monitoramento deve prever a aplicação de medidas às instituições
participantes em desconformidade para as situações de desconformidade detectadas.
A Estrutura Responsável pela Governança do Open Finance deve estabelecer o
valor da multa e o percentual de majoração considerando critérios relacionados a aspectos
das situações de desconformidade detectadas, tais como impacto para o sistema e
reincidência; e da instituição participante em desconformidade, tais como porte e
relevância no Open Finance.
A relevância de cada participante no Open Finance pode ser medida pela
quantidade de consentimentos ativos, tanto como receptor quanto como transmissor,
quantidade de pagamentos realizados como iniciador ou detentor de contas ou outros
indicadores correlatos.
Esta subseção contempla disposições mínimas sobre medidas aplicáveis a
situações de desconformidade em relação aos itens monitorados que constam na seção 2
deste manual.
3.2.1 Regras gerais
Na hipótese de detecção de situações de desconformidade em relação ao SLA
de um item monitorado, às taxas mínimas de conversão ou ao prazo máximo de
atendimento de tickets, a instituição participante em desconformidade deverá apresentar,
em prazo a ser estabelecido pela Estrutura Responsável pela Governança do Open Finance,
caso o Banco Central do Brasil não estabeleça prazo distinto, seja este geral ou para o caso
específico, documento assinado pelo diretor responsável pelo compartilhamento de dados
e serviços no âmbito do Open Finance, contendo descrição do ocorrido, solução adotada
para correção e elementos mitigadores para prevenção de novas ocorrências. Este
documento deve ser estar disponível ao Banco Central do Brasil.
Caso a instituição participante apresente reincidência em uma mesma situação
de desconformidade no decurso de seis períodos de apuração após detecção da
desconformidade inicial, a instituição participante em desconformidade deverá apresentar,
em prazo a ser estabelecido pela Estrutura Responsável pela Governança do Open Finance,
caso o Banco Central do Brasil não estabeleça um prazo distinto, seja este geral ou para o
caso específico, plano de adequação em relação à situação de desconformidade, assinado
pelo diretor responsável pelo compartilhamento de dados e serviços no âmbito do Open
Finance, para que tal situação seja solucionada.
Os planos de adequação devem ser avaliados e aprovados pela Estrutura
Responsável pela Governança do Open Finance e enviados ao Banco Central do Brasil, que
poderá requerer ajustes nesses planos.
A Estrutura Responsável pela Governança do Open Finance não poderá aplicar
novas medidas à instituição participante em desconformidade enquanto o plano de
adequação estiver em andamento. Destaca-se que o plano de adequação será considerado
como 'em andamento' apenas se estiver sendo cumprido conforme aprovado pela
Estrutura Responsável pela Governança do Open Finance e, quando for o caso, pelo Banco
Central do Brasil, e sendo observadas melhorias constantes nos indicadores da
desconformidade que o ensejou.
No decurso de seis períodos de apuração após o final do plano de adequação,
seja pela sua conclusão ou pelo fato de a instituição participante em desconformidade não
ter apresentado melhorias constantes nos indicadores da desconformidade que o ensejou,
se a instituição participante voltar a reincidir na situação de desconformidade, a Estrutura
Responsável pela Governança do Open Finance deverá aplicar advertência à instituição
participante.
Na ocasião de detecção de nova reincidência em relação à situação de
desconformidade pela qual a instituição participante já havia sido advertida no decurso de
seis períodos de apuração após essa advertência, a Estrutura Responsável pela Governança
do Open Finance deverá aplicar multa à instituição participante em desconformidade e,
caso as desconformidades persistam, a Estrutura Responsável pela Governança do Open
Finance deverá, a cada nova reincidência, aplicar multa majorada à instituição participante
em desconformidade.
Para os fins da apuração que enseja a aplicação da medida do tipo "multa", não
se deve considerar:
I - desconformidades de até 20% em relação ao SLA ou às taxas mínimas de
conversão estabelecidos; e
II - desconformidades relacionadas ao prazo para atendimento de tickets do
período de apuração, caso pelo menos 80% dos tickets abertos ou encerrados no período
tenham atendido aos prazos máximos estabelecidos.
A Estrutura Responsável pela Governança do Open Finance deve comunicar ao
Banco Central do Brasil os eventos de aplicação de advertências ou de multas às
instituições participantes.
3.2.2 Regras específicas
As medidas aplicáveis de que trata esta subseção são complementares às
medidas dispostas na subseção 3.2.1.