Resolução CMN 4.893 e Resolução BCB 85: o dever de quem contrata verificação

Quando um banco ou uma fintech regulada contrata um fornecedor de verificação de identidade, a compra nunca é só técnica. Documento, selfie e dado cadastral do cliente passam a ser processados e armazenados fora de casa, e a regulação de segurança cibernética do sistema financeiro trata exatamente desse movimento: o que a instituição precisa verificar antes de assinar, o que precisa constar do contrato e o que precisa ser comunicado ao Banco Central do Brasil, o BCB, quando o serviço é relevante.

O arcabouço são duas normas gêmeas. A Resolução CMN 4.893, de 26 de fevereiro de 2021, do Conselho Monetário Nacional, publicada no Diário Oficial da União (DOU) de 1º de março de 2021, dispõe sobre a política de segurança cibernética e sobre os requisitos para a contratação de serviços de processamento e armazenamento de dados e de computação em nuvem pelas instituições autorizadas a funcionar pelo BCB. A Resolução BCB 85, de 8 de abril de 2021, publicada no DOU de 12 de abril de 2021, aplica o mesmo desenho às instituições de pagamento, e alterações posteriores, como a Resolução BCB 368/2024, estenderam seu alcance a corretoras e distribuidoras. Quem vende verificação para esse mercado é cobrado por tabela: cada exigência que a norma faz ao contratante vira pergunta que o fornecedor precisa responder por escrito.

Política de segurança e a régua do serviço relevante

As duas normas têm a mesma espinha. A primeira metade é a política de segurança cibernética da própria instituição: na Resolução CMN 4.893, os artigos 2º e 3º mandam formular objetivos, procedimentos e controles, autenticação, criptografia, prevenção de intrusão e de vazamento, registro e tratamento de incidentes, e uma classificação dos dados e das informações quanto à relevância. A segunda metade é o capítulo de contratação, e o gatilho das obrigações mais pesadas é o serviço ser relevante.

A régua da relevância está no artigo 12, parágrafo 1º: criticidade do serviço e sensibilidade dos dados a serem processados, armazenados e gerenciados pelo contratado. Um fornecedor de verificação que recebe imagem de documento, selfie e dado cadastral da base de clientes dificilmente escapa dessa régua pelos dois lados: a selfie carrega dado biométrico, sensível nos termos do artigo 5º, inciso II, da Lei Geral de Proteção de Dados Pessoais, a LGPD, Lei 13.709/2018, e o serviço fica no caminho crítico do onboarding, onde indisponibilidade significa esteira parada.

Antes de assinar: a avaliação do fornecedor

O artigo 12 da Resolução CMN 4.893 exige, previamente à contratação de serviço relevante, governança proporcional à relevância e ao risco e a verificação da capacidade do potencial prestador de assegurar, entre outros itens: o cumprimento da legislação em vigor; o acesso da instituição aos dados processados e armazenados; a confidencialidade, a integridade, a disponibilidade e a recuperação desses dados; a aderência a certificações exigidas pela instituição; o acesso da contratante aos relatórios de auditoria especializada independente contratada pelo prestador; o provimento de informações e recursos adequados ao monitoramento do serviço; a identificação e a segregação dos dados dos clientes por controles físicos ou lógicos; e a qualidade dos controles de acesso.

Dois detalhes desse artigo valem sublinhar. Primeiro, o parágrafo 2º manda documentar os procedimentos e a verificação: avaliação que só existiu em reunião não existiu. Segundo, a norma não nomeia selo nenhum: quem define quais certificações exigir é a instituição contratante, e o que a norma garante é o direito de exigi-las e de acessar os relatórios de auditoria do prestador. O artigo 14 fecha a moldura: a contratante permanece responsável pela confiabilidade, pela segurança e pelo sigilo dos serviços contratados. Terceirizar o serviço não terceiriza o dever.

Contrato, comunicação ao BCB e plano de saída

O artigo 17 lista o que o contrato de serviço relevante deve prever: a indicação dos países e das regiões onde os dados podem ser armazenados, processados e gerenciados; medidas de segurança para transmissão e armazenamento; a manutenção da segregação de dados e dos controles de acesso durante a vigência; em caso de extinção do contrato, a transferência dos dados ao novo prestador ou à contratante e a exclusão pela empresa substituída após a transferência confirmada; o acesso da contratante às certificações e aos relatórios de auditoria; a obrigação de a contratada notificar a subcontratação de serviços relevantes; e a permissão de acesso do BCB aos contratos, à documentação e aos dados.

O artigo 15 acrescenta a obrigação de comunicar ao BCB a contratação de serviço relevante em até dez dias, com a denominação da contratada, os serviços contratados e, no caso de prestação no exterior, os países e as regiões envolvidos. E o artigo 16 trata do exterior: convênio de troca de informações entre o BCB e a autoridade supervisora do país onde o serviço será prestado ou, na ausência dele, autorização prévia do BCB com pelo menos sessenta dias; definição prévia de onde os dados podem ficar; e alternativas para a continuidade dos negócios em caso de impossibilidade de manutenção ou extinção do contrato. O plano de saída, portanto, não é boa prática de mercado: é requisito com número de artigo.

Como isso aterrissa na due diligence de KYC

O efeito prático das duas resoluções é transformar artigos em perguntas concretas de contratação de KYC (Know Your Customer, a verificação de identidade de clientes). Onde exatamente os dados residem, país e região, e isso está escrito no contrato? Qual criptografia protege o dado em trânsito e em repouso, e quem gerencia as chaves? Como o fornecedor detecta, trata e comunica incidente, e em qual prazo a contratante fica sabendo? Quem são os subcontratados que tocam o dado, e como a notificação de mudança dessa lista chega? Como os dados de cada cliente da plataforma são segregados entre si? As perguntas de multi-tenant e isolamento de dados respondem diretamente à alínea de segregação do artigo 12. E qual é o caminho de saída: exportação em formato utilizável, transferência ao novo prestador e prova de exclusão?

Do lado da evidência, a norma já diz o que pedir: os relatórios de auditoria independente e as certificações que a contratante definiu como exigíveis, a documentação da avaliação prévia e respostas por escrito, porque é esse conjunto que compõe o dossiê que o supervisor pode querer ver. O roteiro de avaliação de fornecedor de KYC organiza essas perguntas em sequência testável, e a due diligence de fornecedor mostra o mesmo movimento pelo ângulo do programa de integridade. A UNIFOKAL, por exemplo, responde a esse roteiro por escrito no processo de contratação, com a localização dos dados e os subcontratados declarados em contrato.

Para quem não é instituição autorizada, nada disso obriga diretamente. Ainda assim, as duas resoluções funcionam como o checklist público mais completo do país para contratar serviço que processa dado sensível, e as cláusulas que elas exigem descem a cadeia: o fornecedor que atende um banco vai receber essas mesmas perguntas no anexo de segurança, e o comprador que as adota por conta própria contrata melhor, com ou sem supervisor olhando.

Fontes citadas

• Resolução CMN 4.893, de 26 de fevereiro de 2021, artigos 2º, 3º e 11 a 17, publicada no DOU de 1º de março de 2021: bcb.gov.br
• Resolução BCB 85, de 8 de abril de 2021, publicada no DOU de 12 de abril de 2021: bcb.gov.br
• Resolução BCB 368/2024, que alterou a Resolução BCB 85, citada por número
• Lei 13.709/2018 (LGPD), artigo 5º, inciso II: planalto.gov.br