RESOLUÇÃO BCB Nº 368, DE 25 DE JANEIRO DE 2024 (parte 1 de 2)

RESOLUÇÃO BCB Nº 368, DE 25 DE JANEIRO DE 2024
Altera as Resoluções BCB ns. 28, de 23 de outubro de
2020; 65, de 26 de janeiro de 2021; 85, de 8 de abril
de 2021; 93, de 6 de maio de 2021; 155, de 14 de
outubro de 2021; e 260, de 22 de novembro de 2022,
para incluir em seus escopos de aplicação as
sociedades corretoras de títulos e valores mobiliários,
as sociedades distribuidoras de títulos e valores
mobiliários e as sociedades corretoras de câmbio
autorizadas a funcionar pelo Banco Central do Brasil.
A Diretoria Colegiada do Banco Central do Brasil, em sessão realizada em 23 de
janeiro de 2024, com base no art. 9º-A, incisos I e II, da Lei nº 4.728, de 14 de julho de
1965, 6º e 7º, inciso III, da Lei nº 11.795, de 8 de outubro de 2008, 9º, incisos II e IX, alínea
"b", e 15 da Lei nº 12.865, de 9 de outubro de 2013, resolve:
Art. 1º A ementa da Resolução BCB nº 28, de 23 de outubro de 2020, passa a
vigorar com a seguinte alteração:
"Dispõe sobre a constituição e o funcionamento de componente organizacional
de ouvidoria pelas instituições de pagamento, pelas administradoras de consórcio, pelas
sociedades corretoras de títulos e valores mobiliários, pelas sociedades distribuidoras de
títulos e valores mobiliários e pelas sociedades corretoras de câmbio autorizadas a
funcionar pelo Banco Central do Brasil." (NR)
Art. 2º A Resolução BCB nº 28, de 2020, passa a vigorar com as seguintes
alterações:
"Art. 2º O componente organizacional de ouvidoria deve ser constituído pelas
seguintes instituições:
I - instituições de pagamento, sociedades corretoras de títulos e valores
mobiliários, sociedades distribuidoras de títulos e valores mobiliários e sociedades
corretoras de câmbio autorizadas a funcionar pelo Banco Central do Brasil que tenham
clientes pessoas naturais, inclusive empresários individuais, ou pessoas jurídicas
classificadas como microempresas e empresas de pequeno porte, nos termos da Lei
Complementar nº 123, de 14 de dezembro de 2006; e
........................................................................................................................." (NR)
"Art. 3º Para fins desta Resolução, também considera-se cliente:
........................................................................................................................." (NR)
"Art. 4º ....................................................................................................................
..................................................................................................................................
II - atuar como canal de comunicação entre a instituição mencionada no art. 2º
e os seus clientes, inclusive na mediação de conflitos.
........................................................................................................................." (NR)
"Art. 5º ...................................................................................................................
I - no caso de instituição mencionada no inciso I do caput do art. 2º, com a
natureza e a complexidade dos produtos, serviços, atividades, processos e sistemas de
cada instituição; e
........................................................................................................................" (NR)
"Art. 6º É admitido o compartilhamento de ouvidoria pelas instituições
mencionadas no art. 2º, observadas as seguintes situações e regras:
.................................................................................................................................
II - a instituição não enquadrada no disposto no inciso I pode compartilhar a
ouvidoria constituída:
..................................................................................................................................
§ 2º O disposto no inciso II, alínea "b", do caput, somente se aplica a
associação de classe que possuir código de ética ou de autorregulação efetivamente
implantado, ao qual a instituição tenha aderido." (NR)
"Art. 8º As instituições mencionadas no art. 2º devem:
........................................................................................................................" (NR)
"Art. 9º ....................................................................................................................
..................................................................................................................................
§ 2º As alterações estatutárias ou contratuais exigidas por esta Resolução
relativas às instituições mencionadas no art. 2º que optarem pela faculdade prevista no
art. 6º, inciso I, podem ser promovidas somente pela instituição que constituir a
ouvidoria.
§ 3º A instituição que não constituir ouvidoria própria em decorrência da
faculdade prevista no art. 6º, inciso II, deve ratificar a decisão na primeira assembleia geral
ou na primeira reunião de diretoria realizada após tal decisão." (NR)
"Art. 10. As instituições mencionadas no art. 2º devem designar, perante o
Banco Central do Brasil, os nomes do ouvidor e do diretor ou administrador responsável
pela ouvidoria, observadas as seguintes condições:
I - o diretor ou administrador responsável pela ouvidoria pode desempenhar
outras funções, inclusive a de ouvidor, exceto a de diretor de administração de recursos de
terceiros;
II - no caso das instituições de pagamento e administradoras de consórcio, o
ouvidor não poderá desempenhar outra função, exceto a de diretor ou administrador
responsável pela ouvidoria;
III - nas situações em que o ouvidor desempenhe outra atividade na instituição,
essa atividade não pode configurar conflito de interesses ou de atribuições; e
IV - na hipótese de a designação de diretor ou administrador responsável pela
ouvidoria e de ouvidor nas instituições de pagamento e administradoras de consórcio
recaírem sobre a mesma pessoa, esta não poderá desempenhar outra função." (NR)
"Art. 12. Para cumprimento do disposto no caput do art. 10, nas hipóteses
previstas no art. 6º, inciso II, as instituições mencionadas no art. 2º devem:
........................................................................................................................." (NR)
"Art. 14. As instituições mencionadas no art. 2º devem divulgar
semestralmente, nos respectivos sítios eletrônicos na internet, informações relativas às
atividades desenvolvidas pela ouvidoria." (NR)
"Art. 16. As instituições mencionadas no art. 2º devem adotar providências para
que os integrantes da ouvidoria que realizem as atividades mencionadas no art. 7º sejam
considerados aptos em exame de certificação organizado por entidade de reconhecida
capacidade técnica.
..................................................................................................................................
§ 3º As instituições mencionadas no art. 2º devem assegurar a capacitação
permanente dos integrantes das respectivas ouvidorias em relação aos temas mencionados
no § 1º.
........................................................................................................................." (NR)
"Art. 18. ...................................................................................................................
Parágrafo único. O disposto no caput deve ser observado, inclusive, pela
instituição mencionada no art. 2º que não constituir componente de ouvidoria próprio em
decorrência da faculdade prevista no art. 6º." (NR)
Art. 3º A ementa da Resolução BCB nº 65, de 26 de janeiro de 2021, passa a
vigorar com a seguinte alteração:
"Dispõe sobre a política de conformidade (compliance) das administradoras de
consórcio, das instituições de pagamento, das sociedades corretoras de títulos e valores
mobiliários, das sociedades distribuidoras de títulos e valores mobiliários e das sociedades
corretoras de câmbio autorizadas a funcionar pelo Banco Central do Brasil." (NR)
Art. 4º A Resolução BCB nº 65, de 2021, passa a vigorar com as seguintes alterações:
"Art. 1º Esta Resolução regulamenta a política de conformidade (compliance)
aplicável às seguintes instituições autorizadas a funcionar pelo Banco Central do Brasil:
I - administradoras de consórcio;
II - instituições de pagamento;
III - sociedades corretoras de títulos e valores mobiliários;
IV - sociedades distribuidoras de títulos e valores mobiliários; e
V - sociedades corretoras de câmbio." (NR)
"Art. 2º As instituições mencionadas no art. 1º devem implementar e manter
política de conformidade compatível com a natureza, o porte, a complexidade, a estrutura,
o perfil de risco e o modelo de negócio, de forma a assegurar o efetivo gerenciamento do
seu risco de conformidade.
§ 1º Para fins desta Resolução, considera-se risco de conformidade a
possibilidade de a instituição sofrer sanções legais ou administrativas, perdas financeiras,
danos de reputação e outros danos, decorrentes de descumprimento ou falhas na
observância do arcabouço legal, da regulamentação infralegal, das recomendações dos
órgãos reguladores e dos códigos de autorregulação aplicáveis.
§ 2º O risco de conformidade deve ser gerenciado pelas sociedades corretoras
de títulos e valores mobiliários, pelas sociedades distribuidoras de títulos e valores
mobiliários e pelas sociedades corretoras de câmbio, de forma integrada com os demais
riscos incorridos pela instituição, nos termos da regulamentação específica." (NR)
"Art. 7º ....................................................................................................................
I - testar e avaliar a aderência da instituição mencionada no art. 1º ao
arcabouço legal, à regulamentação infralegal, às recomendações dos órgãos de supervisão
e, quando aplicáveis, aos códigos de ética, de conduta e outros regulamentos que estejam
obrigadas a observar;
..................................................................................................................................
V - elaborar relatório, com periodicidade mínima anual, contendo o sumário
dos resultados das atividades relacionadas com a função de conformidade, suas principais
conclusões, recomendações e providências tomadas pela administração da instituição
mencionada no art. 1º; e
..................................................................................................................................
Parágrafo único. As instituições mencionadas no art. 1º poderão contratar
especialistas para a execução de atividades relacionadas com a política de conformidade,
mantidas integralmente as atribuições e responsabilidades do conselho de administração." (NR)
"Art. 9º ....................................................................................................................
I - ..............................................................................................................................
..................................................................................................................................
d) a disseminação de padrões de integridade e conduta ética como parte da
cultura da instituição;
........................................................................................................................." (NR)
"Art. 10. Para as instituições mencionadas no art. 1º que não possuam conselho
de administração, as atribuições e responsabilidades previstas nesta Resolução devem ser
imputadas à sua diretoria ou aos seus administradores." (NR)
"Art. 11. As instituições mencionadas no art. 1º devem manter à disposição do
Banco Central do Brasil:
........................................................................................................................." (NR)
Art. 5º A ementa da Resolução BCB nº 85, de 8 de abril de 2021, passa a
vigorar com a seguinte alteração:
"Dispõe sobre a política de segurança cibernética e sobre os requisitos para a
contratação de serviços de processamento e armazenamento de dados e de computação
em nuvem a serem observados pelas instituições de pagamento, pelas sociedades
corretoras de títulos e valores mobiliários, pelas sociedades distribuidoras de títulos e
valores mobiliários e pelas sociedades corretoras de câmbio autorizadas a funcionar pelo
Banco Central do Brasil." (NR)
Art. 6º A Resolução BCB nº 85, de 2021, passa a vigorar com as seguintes
alterações:
"Art. 1º Esta Resolução dispõe sobre a política de segurança cibernética e sobre
os requisitos para a contratação de serviços de processamento e armazenamento de dados
e de computação em nuvem a serem observados pelas instituições de pagamento, pelas
sociedades corretoras de títulos e valores mobiliários, pelas sociedades distribuidoras de
títulos e valores mobiliários e pelas sociedades corretoras de câmbio autorizadas a
funcionar pelo Banco Central do Brasil." (NR)
"Art. 2º As instituições mencionadas no art. 1º devem implementar e manter
política de segurança cibernética formulada com base em princípios e diretrizes que
busquem assegurar a confidencialidade, a integridade e a disponibilidade dos dados e dos
sistemas de informação utilizados.
..................................................................................................................................
§ 2º As instituições integrantes de conglomerado prudencial podem adotar
política de segurança cibernética única do conglomerado prudencial, nos termos da
regulamentação em vigor, desde que compatível com o disposto neste Capítulo.
§ 3º As instituições que não constituírem política de segurança cibernética
própria em decorrência do disposto no § 2º devem formalizar a opção por essa faculdade
em reunião do conselho de administração ou, na sua inexistência, da diretoria da
instituição." (NR)
"Art. 3º ....................................................................................................................
I - os objetivos de segurança cibernética da instituição;
II - os procedimentos e os controles adotados para reduzir a vulnerabilidade da
instituição a incidentes e atender aos demais objetivos de segurança cibernética;
..................................................................................................................................
IV - o registro, a análise da causa e do impacto, bem como o controle dos
efeitos de incidentes relevantes para as atividades da instituição;
V - .............................................................................................................................
a) a elaboração de cenários de incidentes considerados nos testes de
continuidade de negócios;
b) a definição de procedimentos e de controles voltados à prevenção e ao
tratamento dos incidentes a serem adotados por empresas prestadoras de serviços a
terceiros que manuseiem dados ou informações sensíveis ou que sejam relevantes para a
condução das atividades operacionais da instituição;
..................................................................................................................................
VI - os mecanismos para disseminação da cultura de segurança cibernética na
instituição, incluindo:
..................................................................................................................................
b) a prestação de informações a clientes e a usuários finais sobre precauções na
utilização de produtos e serviços oferecidos; e
..................................................................................................................................
VII - as iniciativas para compartilhamento de informações sobre os incidentes
relevantes, mencionados no inciso IV, com as instituições mencionadas no art. 1º e com as
demais instituições autorizadas a funcionar pelo Banco Central do Brasil.
§ 1º Na definição dos objetivos de segurança cibernética referidos no inciso I
do caput, deve ser contemplada a capacidade de a instituição prevenir, detectar e reduzir
a vulnerabilidade a incidentes relacionados com o ambiente cibernético.
..................................................................................................................................
§ 3º Os procedimentos e os controles citados no inciso II do caput devem ser
aplicados, inclusive, no desenvolvimento de sistemas de informação seguros e na adoção
de novas tecnologias empregadas nas atividades da instituição.
..................................................................................................................................
§ 5º As diretrizes de que trata a alínea "b" do inciso V do caput devem
contemplar procedimentos e controles em níveis de complexidade, abrangência e precisão
compatíveis com os utilizados pela própria instituição." (NR)
"Art. 4º A política de segurança cibernética deve ser divulgada aos funcionários
da instituição mencionada no art. 1º e às empresas prestadoras de serviços a terceiros,
mediante linguagem clara, acessível e em nível de detalhamento compatível com as
funções desempenhadas e com a sensibilidade das informações." (NR)
"Art. 5º As instituições mencionadas no art. 1º devem divulgar ao público
resumo contendo as linhas gerais da política de segurança cibernética." (NR)
"Art. 6º As instituições mencionadas no art. 1º devem estabelecer plano de ação
e de resposta a incidentes visando à implementação da política de segurança cibernética.
........................................................................................................................." (NR)
"Art. 7º As instituições mencionadas no art. 1º devem designar diretor
responsável pela política de segurança cibernética e pela execução do plano de ação e de
resposta a incidentes.
........................................................................................................................." (NR)
"Art. 8º As instituições mencionadas no art. 1º devem elaborar relatório anual
sobre a implementação do plano de ação e de resposta a incidentes, mencionado no art.
6º, com data-base de 31 de dezembro.
§ 1º ..........................................................................................................................
..................................................................................................................................
IV - os resultados dos testes de continuidade de negócios, considerando
cenários de indisponibilidade ocasionada por incidentes.
§ 2º O relatório mencionado no caput deve ser:
I - submetido ao comitê de risco, quando existente; e
II - apresentado ao conselho de administração ou, na sua inexistência, à
diretoria da instituição até 31 de março do ano seguinte ao da data-base." (NR)
"Art. 9º A política de segurança cibernética referida no art. 2º e o plano de
ação e de resposta a incidentes mencionado no art. 6º devem ser aprovados pelo conselho
de administração ou, na sua inexistência, pela diretoria da instituição mencionada no art.
1º." (NR)
"Art. 11. As instituições mencionadas no art. 1º devem assegurar que suas
políticas, estratégias e estruturas para gerenciamento de riscos previstas na
regulamentação em vigor, especificamente no tocante aos critérios de decisão quanto à
terceirização de serviços, contemplem a contratação de serviços relevantes de
processamento e armazenamento de dados e de computação em nuvem, no país ou no
exterior." (NR)
"Art. 12. As instituições mencionadas no art. 1º, previamente à contratação de
serviços relevantes de processamento e armazenamento de dados e de computação em
nuvem, devem adotar procedimentos que contemplem:
..................................................................................................................................
II - .............................................................................................................................
..................................................................................................................................
g) a identificação e a segregação dos dados dos clientes e dos usuários finais da
instituição por meio de controles físicos ou lógicos; e
h) a qualidade dos controles de acesso voltados à proteção dos dados e das
informações dos clientes e dos usuários finais da instituição.
........................................................................................................................." (NR)
"Art. 13. Para os fins do disposto nesta Resolução, os serviços de computação
em nuvem abrangem a disponibilidade à instituição contratante, sob demanda e de
maneira virtual, de ao menos um dos seguintes serviços:
........................................................................................................................." (NR)
"Art. 14. A instituição contratante dos serviços mencionados no art. 12 é
responsável pela confiabilidade, pela integridade, pela disponibilidade, pela segurança e
pelo sigilo em relação aos serviços contratados, bem como pelo cumprimento da legislação
e da regulamentação em vigor." (NR)
"Art. 15. A contratação de serviços relevantes de processamento,
armazenamento de dados e de computação em nuvem deve ser comunicada pelas
instituições mencionadas no art. 1º ao Banco Central do Brasil.
........................................................................................................................." (NR)
"Art. 16. ...................................................................................................................
..................................................................................................................................
II - a instituição contratante deve assegurar que a prestação dos serviços
referidos no caput não cause prejuízos ao seu regular funcionamento nem embaraço à
atuação do Banco Central do Brasil;
III - a instituição contratante deve definir, previamente à contratação, os países
e as regiões em cada país onde os serviços poderão ser prestados e os dados poderão ser
armazenados, processados e gerenciados; e
IV - a instituição contratante deve prever alternativas para a continuidade dos
negócios, no caso de impossibilidade de manutenção ou extinção do contrato de prestação
de serviços.
§ 1º No caso de inexistência de convênio nos termos do inciso I do caput, a
instituição contratante deverá solicitar autorização do Banco Central do Brasil para:
..................................................................................................................................
§ 2º Para atendimento aos incisos II e III do caput, as instituições deverão
assegurar que a legislação e a regulamentação nos países e nas regiões em cada país onde
os serviços poderão ser prestados não restringem nem impedem o acesso das instituições
contratantes e do Banco Central do Brasil aos dados e às informações.
........................................................................................................................." (NR)
"Art. 17. ...................................................................................................................
..................................................................................................................................
III - a manutenção, enquanto o contrato estiver vigente, da segregação dos dados
e dos controles de acesso para proteção das informações dos clientes e dos usuários finais;
IV - ............................................................................................................................
a) transferência dos dados citados no inciso I ao novo prestador de serviços ou
à instituição contratante; e
..................................................................................................................................
V - o acesso da instituição contratante a:
..................................................................................................................................
VI - a obrigação de a empresa contratada notificar a instituição contratante
sobre a subcontratação de serviços relevantes para a instituição;
..................................................................................................................................
VIII - a adoção de medidas pela instituição contratante, em decorrência de
determinação do Banco Central do Brasil; e
IX - a obrigação de a empresa contratada manter a instituição contratante
permanentemente informada sobre eventuais limitações que possam afetar a prestação
dos serviços ou o cumprimento da legislação e da regulamentação em vigor.
Parágrafo único. Os contratos mencionados no caput devem prever, para o caso da
decretação de regime de resolução da instituição contratante pelo Banco Central do Brasil:
..................................................................................................................................
II - .............................................................................................................................
..................................................................................................................................
b) a notificação prévia deverá ocorrer também na situação em que a
interrupção for motivada por inadimplência da instituição contratante." (NR)
"Art. 19. As instituições mencionadas no art. 1º devem assegurar que suas
políticas previstas na estrutura de gerenciamento de riscos, nos termos da regulamentação
em vigor, disponham, no tocante à continuidade dos negócios, sobre:
..................................................................................................................................
III - os cenários de incidentes considerados nos testes de continuidade de
negócios de que trata o art. 3º, inciso V, alínea "a"." (NR)
"Art. 20. Os procedimentos adotados pelas instituições mencionadas no art. 1º
para gerenciamento de riscos previstos na regulamentação em vigor devem especificar, no
tocante à continuidade dos negócios:
..................................................................................................................................
III - a comunicação tempestiva ao Banco Central do Brasil das ocorrências de
incidentes relevantes e das interrupções dos serviços relevantes, citados no inciso I, que
configurem situação de crise pela instituição mencionada no art. 1º, bem como das
providências para o reinício das suas atividades.
Parágrafo único. As instituições mencionadas no art. 1º devem estabelecer e
documentar os critérios que configurem a situação de crise de que trata o inciso III do caput." (NR)
"Art. 21. As instituições mencionadas no art. 1º devem instituir mecanismos de
acompanhamento e de controle com vistas a assegurar a implementação e a efetividade da
política de segurança cibernética, do plano de ação e de resposta a incidentes e dos
requisitos para contratação de serviços de processamento e armazenamento de dados e de
computação em nuvem, incluindo:
........................................................................................................................." (NR)
"Art. 22. Sem prejuízo do dever de sigilo e da livre concorrência, as instituições
mencionadas no art. 1º devem desenvolver iniciativas para o compartilhamento de
informações sobre os incidentes relevantes de que trata o art. 3º, inciso IV.
........................................................................................................................." (NR)
Art. 7º A ementa da Resolução BCB nº 93, de 6 de maio de 2021, passa a
vigorar com a seguinte alteração:
"Dispõe sobre a atividade de auditoria interna nas administradoras de
consórcio, nas instituições de pagamento, nas sociedades corretoras de títulos e valores
mobiliários, nas sociedades distribuidoras de títulos e valores mobiliários e nas sociedades
corretoras de câmbio autorizadas a funcionar pelo Banco Central do Brasil." (NR)
Art. 8º A Resolução BCB nº 93, de 2021, passa a vigorar com as seguintes
alterações:
"Art. 1º Esta Resolução regulamenta a atividade de auditoria interna nas
seguintes instituições autorizadas a funcionar pelo Banco Central do Brasil:
I - administradoras de consórcio;
II - instituições de pagamento;
III - sociedades corretoras de títulos e valores mobiliários;
IV - sociedades distribuidoras de títulos e valores mobiliários; e
V - sociedades corretoras de câmbio." (NR)
"Art. 2º As instituições mencionadas no art. 1º devem implementar e manter
atividade de auditoria interna compatível com a natureza, o porte, a complexidade, a
estrutura, o perfil de risco e o modelo de negócio da instituição.
........................................................................................................................." (NR)
"Art. 3º A atividade de auditoria interna deve ser realizada por unidade
específica da instituição mencionada no art. 1º ou de outra instituição autorizada a
funcionar pelo Banco Central do Brasil integrante do mesmo conglomerado prudencial,
diretamente subordinada ao conselho de administração.
§ 1º ..........................................................................................................................
I - por auditor independente devidamente habilitado, na forma da
regulamentação vigente, para prestar serviços de auditoria independente para instituições
autorizadas a funcionar pelo Banco Central do Brasil, desde que este não seja responsável
pela auditoria das demonstrações financeiras da instituição mencionada no art. 1º ou por
qualquer outra atividade com potencial conflito de interesses;
II - pela auditoria da entidade de classe a que a instituição mencionada no art.
1º seja filiada; ou
III - por auditoria de entidade de classe de outras instituições autorizadas a
funcionar pelo Banco Central do Brasil, mediante convênio, previamente aprovado por essa
autarquia, celebrado entre a entidade a que a instituição mencionada no art. 1º seja filiada
e a entidade prestadora do serviço.
§ 2º O disposto no § 1º não se aplica às instituições mencionadas no art. 1º
que, na forma da regulamentação vigente, estão obrigadas a constituir comitê de
auditoria." (NR)
"Art. 7º As instituições mencionadas no art. 1º devem garantir aos membros da
equipe de auditoria, no desempenho de suas atividades:
........................................................................................................................." (NR)
"Art. 10. O escopo da atividade de auditoria interna deve considerar todas as
funções da instituição mencionada no art. 1º, incluindo as terceirizadas.
........................................................................................................................." (NR)
"Art. 13. As instituições mencionadas no art. 1º devem elaborar e manter
regulamento específico para a atividade de auditoria interna, aprovado pelo conselho de
administração e pelo comitê de auditoria, quando constituído." (NR)
"Art. 17. Os responsáveis pela atividade de auditoria interna das instituições
mencionadas no art. 1º devem elaborar os seguintes documentos:
........................................................................................................................." (NR)
"Art. 19. O conselho de administração é o órgão responsável pela observância,
por parte da instituição mencionada no art. 1º, das normas e procedimentos aplicáveis à
atividade de auditoria interna." (NR)
"Art. 21. Para as instituições mencionadas no art. 1º que não possuam conselho
de administração, as atribuições, competências e requisitos previstos nesta Resolução
devem ser imputados à sua diretoria ou aos seus administradores." (NR)
"Art. 23. As instituições mencionadas no art. 1º devem manter à disposição do
Banco Central do Brasil: