Versionar documento de PLD: a norma pede a versão anterior, não a atual

A avaliação interna de risco de uma instituição costuma morar num arquivo de texto compartilhado. Alguém abre, edita, salva, e o documento passa a descrever a instituição de hoje. É prático, e é exatamente o formato que falha na pergunta que a supervisão faz: o que a sua avaliação de risco dizia em março de 2024, quando você abriu aquele produto?

Um arquivo editado no lugar não responde. Ele tem uma versão só, a última. O histórico de edição de uma ferramenta de escritório não substitui o registro: ele some com a conta, muda de formato quando o fornecedor muda, e não carrega aprovação de ninguém.

A Circular BCB 3.978/2020, do Banco Central do Brasil, antecipou esse problema com uma precisão que passa despercebida. O artigo 66 não manda guardar o documento. Manda guardar, entre outras coisas, as versões anteriores dele.

O artigo 66 lista catorze itens, e dois deles são versões antigas

O caput do artigo 66 abre com uma frase de arquivo: devem permanecer à disposição do Banco Central do Brasil. Segue uma lista de catorze incisos, e vale ler alguns em separado.

O inciso IV pede o documento relativo à avaliação interna de risco de que trata o artigo 12, inciso I, juntamente com a documentação de suporte à sua elaboração. Não é só o relatório: é o relatório e o que sustentou o relatório.

O inciso VIII pede as versões anteriores da avaliação interna de risco de que trata o artigo 10. No plural, e sem teto de quantidade.

O padrão se repete para a avaliação de efetividade. O inciso VII pede o relatório do artigo 62, parágrafo 1º, e o inciso XII pede as versões anteriores desse mesmo relatório. O inciso XIV pede os documentos do plano de ação do artigo 65 e o respectivo relatório de acompanhamento.

E o parágrafo 2º do artigo 66 fixa prazo próprio para essa fatia: os documentos e informações dos incisos VIII a XIV devem permanecer à disposição do Banco Central pelo prazo mínimo de cinco anos.

Dois relógios na mesma circular

É aqui que uma política de retenção costuma errar, porque escreve um número só. A mesma circular tem ao menos dois relógios, e eles governam coisas diferentes.

O primeiro é o do artigo 66, parágrafo 2º: cinco anos para as versões anteriores e para os demais documentos de governança dos incisos VIII a XIV.

O segundo é o do artigo 67, que manda manter à disposição do Banco Central e conservar pelo período mínimo de dez anos quatro conjuntos: as informações coletadas nos procedimentos destinados a conhecer os clientes, contadas a partir do primeiro dia do ano seguinte ao término do relacionamento; as informações de conhecer funcionários, parceiros e prestadores de serviços terceirizados; as informações e registros dos artigos 28 a 37; e, no inciso IV, o dossiê do artigo 43, parágrafo 2º, que é o arquivo de cada análise de operação selecionada.

Abaixo de tudo isso existe o piso legal que vale para todos os obrigados, e não só para o perímetro do Banco Central: a Lei 9.613/1998, no artigo 10, parágrafo 2º, manda conservar cadastros e registros por no mínimo cinco anos, contados do encerramento da conta ou da conclusão da transação, prazo que a autoridade competente pode ampliar. É essa cláusula de ampliação que abre espaço para os dez anos da circular.

São prazos diferentes, com termos iniciais diferentes, sobre objetos diferentes. Uma configuração única de "guardar por X anos" já nasce errada, e o desenho que sobrevive guarda a classe do documento junto com o documento e deriva o prazo dela. O mesmo raciocínio vale para a mídia coletada no cadastro, detalhado no artigo sobre retenção de dados de verificação.

O que transforma um arquivo numa versão

Uma versão não é um arquivo com data no nome. Para servir ao artigo 66, ela precisa responder quatro coisas sem depender da memória de ninguém.

Que período ela descreve. Uma avaliação mede alguma coisa ao longo de uma janela, e a janela precisa estar escrita dentro do documento, não inferida da data de modificação do arquivo.

Quando ela nasceu e quando vence. O artigo 12, inciso III, dá dois gatilhos de revisão, não um: a cada dois anos, e também quando ocorrerem alterações significativas nos perfis de risco mencionados no artigo 10, parágrafo 1º. O calendário é o piso; o evento costuma chegar antes. Produto novo, canal novo ou mercado novo são os candidatos típicos a alteração significativa, e quem julga a significância é a própria instituição, o que só reforça a necessidade de a decisão ficar escrita.

Quem aprovou. O artigo 12, inciso I, exige que a avaliação seja documentada e aprovada pelo diretor referido no artigo 9º, que é aquele que a instituição indica formalmente ao Banco Central como responsável pelo cumprimento das obrigações previstas na circular. Aprovação é ato de pessoa, com nome e data.

E uma impressão digital do conteúdo. Um resumo criptográfico calculado no momento em que a versão foi fechada é o que permite verificar depois que aquele arquivo é o mesmo arquivo. Sem ele, "esta é a versão de 2024" é uma afirmação, não uma prova, e o repertório completo de camadas está no artigo sobre trilha de auditoria imutável.

No banco de dados a consequência é simples e chata: a tabela não recebe UPDATE nem DELETE. Correção vira linha nova, com número de sequência maior. Um documento que pode ser editado no lugar não tem versões anteriores; tem uma versão e um rastro perdido.

O relatório que a máquina gera não é a avaliação

Há uma tentação natural em quem tem os dados: gerar a avaliação interna de risco automaticamente e carimbar documento novo a cada ciclo.

Isso produz um artefato útil e um problema. Útil porque o inciso IV do artigo 66 pede justamente a documentação de suporte à elaboração, e medição reproduzível é exatamente isso. Problema porque o artigo 12, inciso I, exige aprovação do diretor: um documento que nasceu de um agendador, sem julgamento e sem aprovação, não é a avaliação interna de risco. É insumo dela.

A distinção tem consequência prática. Se a geração automática criar versão sozinha, o número de sequência avança sem que ninguém tenha decidido nada, e a série deixa de significar alguma coisa. A série tem de avançar por ato humano, nunca por agendador. Na UNIFOKAL, por exemplo, o painel compila a base fatual medida sobre a operação da própria empresa e a grava numa série append-only, numerada por ambiente, sem UPDATE e com o apagamento travado até o piso de retenção; os campos de formalidade, o nome do diretor responsável e a data de aprovação, saem em branco, para a instituição preencher, porque o julgamento e a aprovação são atos dela e não do fornecedor.

O cuidado inverso vale na hora de escrever o conteúdo: o que entra em cada fator está no artigo sobre a avaliação interna de risco.

O teste que a sua guarda precisa passar

Escolha uma data qualquer dos últimos cinco anos e peça três coisas: qual versão da avaliação interna de risco estava vigente naquele dia, quem a aprovou, e qual documentação de suporte sustentou aquela versão.

Se a resposta depender de vasculhar histórico de edição, de perguntar a quem estava lá ou de reconstruir por e-mail, a guarda não atende ao artigo 66. Se sair de uma consulta, com o resumo criptográfico batendo, atende, e o mesmo mecanismo serve para a avaliação de efetividade e para o plano de ação, que a norma trata com a mesma régua.

Guardar o documento atual é a parte fácil. O que a norma pede, e o que a supervisão cobra, é a fotografia da instituição que tomou a decisão, no dia em que ela foi tomada.

Fontes citadas

• Circular BCB 3.978/2020, do Banco Central do Brasil, artigos 10, 12, 43, 62, 65, 66 e 67, conferidos no texto consolidado publicado pelo Banco Central.
• Lei 9.613/1998, artigo 10, parágrafo 2º, sobre a conservação de cadastros e registros por no mínimo cinco anos: Presidência da República.