DOU 21/03/2023 - Diário Oficial da União - Brasil

TEXTO OFICIAL · ÍNTEGRA

Documento assinado digitalmente conforme MP nº 2.200-2 de 24/08/2001, que institui a Infraestrutura de Chaves Públicas Brasileira - ICP-Brasil. Este documento pode ser verificado no endereço eletrônico http://www.in.gov.br/autenticidade.html, pelo código 05152023032100139 139 Nº 55, terça-feira, 21 de março de 2023 ISSN 1677-7042 Seção 1 ordenado de que trata o inciso XXII do § 1º do art. 31, não podendo ser inferior a 6 (seis) meses de despesas operacionais, considerando-se, para tanto, a dedução de amortizações e depreciações; V - ser aprovados pelo conselho de administração ou, se inexistente, pela diretoria prevista em estatuto ou contrato social; e VI - ser submetidos a testes e revisões periódicas. § 2º A previsão de que trata inciso IV do § 1º deve: I - estar amparada nos princípios e nas melhores práticas associados ao tema; II - garantir escopo amplo e completo de atuação, prevendo a recuperação e o encerramento ordenado das atividades exercidas, dos sistemas operados, e da instituição; III - ser aprovado, em última instância, pelo conselho de administração ou, se inexistente, pela diretoria prevista em estatuto ou contrato social; e IV - ser submetido a testes e revisões periódicos. § 3º O montante de que trata o inciso IV do § 1º deve: I - ser baseado no patrimônio líquido da instituição; e II - ser apurado considerando-se os ativos que sejam líquidos e de alta qualidade, descontado o passivo circulante. § 4º O montante de que trata o inciso IV do § 1º não deve ser utilizado para cobrir inadimplências de participantes ou para cobrir outros riscos financeiros. § 5º As IOSMF devem ter planos para readequação nos casos de insuficiência de recursos para satisfazer o que determina o inciso IV do § 1º. § 6º As aplicações referentes ao montante de recursos próprios afetados para a finalidade descrita no inciso IV do § 1º devem ser controladas em subtítulos contábeis de uso interno. Seção II Do Patrimônio Líquido Art. 60. A IOSMF deve manter patrimônio líquido compatível com os riscos inerentes aos SMF que opere, observados os seguintes limites mínimos: I - R$100.000.000,00 (cem milhões de reais), no caso de ser responsável por contraparte central; II - R$50.000.000,00 (cinquenta milhões de reais), no caso de ser responsável por sistema de liquidação sistemicamente importante ou por depositário central; e III - R$30.000.000,00 (trinta milhões de reais), nos demais casos. § 1º Se a IOSMF operar mais de um SMF, os limites mínimos de patrimônio líquido referidos no caput devem corresponder à soma dos respectivos limites mínimos exigidos para operar cada SMF. § 2º Se o objeto social da IOSMF abarcar outras atividades que não sejam típicas de SMF, o montante mínimo de patrimônio líquido deve ser acrescido de outros exigidos pelo exercício das demais atividades. § 3º O Banco Central do Brasil poderá determinar limites superiores de patrimônio líquido, tanto no processo de autorização quanto ao longo do processo de supervisão, estabelecendo prazo para sua implementação, caso entenda que o montante é incompatível com os riscos em que a instituição incorre. CAPÍTULO V DOS RISCOS DE CUSTÓDIA E DE INVESTIMENTO Art. 61. As IOSMF devem estruturar gestão de seus ativos e, quando aplicável, dos ativos de seus participantes de modo a salvaguardá-los de eventuais perdas. Parágrafo único. A estrutura de que trata o caput deve: I - estar amparada nos princípios e nas melhores práticas associados ao tema; II - definir de forma clara e objetiva as responsabilidades das partes envolvidas, inclusive quando terceirizadas; III - ter como objetivo minimizar os riscos de perda financeira; IV - contemplar os riscos associados aos bancos custodiantes, considerando o escopo total de relacionamento existente; V - garantir que os investimentos se deem em instrumentos de baixo risco de crédito, de mercado e de liquidez, e em instituições reguladas que possuam uma gestão de recursos e de riscos robusta; VI - garantir o pronto acesso aos ativos quando necessário, mesmo em cenários de estresse e em jurisdições estrangeiras; VII - garantir que a estratégia de investimento seja consistente com a estrutura de gestão de riscos de que trata o Capítulo III do Título IV; VIII - garantir que a estratégia de investimento seja totalmente aberta aos seus participantes; IX - respeitar a segregação de funções entre a diretoria que negocia esses ativos e as diretorias que executam os procedimentos operacionais, calculam e contabilizam o resultado e gerenciam os riscos financeiros desses ativos; e X - ser submetida a avaliações e revisões periódicas. CAPÍTULO VI DO RISCO OPERACIONAL Seção I Dos Aspectos Gerais Art. 62. As IOSMF devem possuir uma estrutura robusta de gestão do risco operacional, compatível com sua natureza, porte, complexidade, estrutura e perfil de risco. § 1º A estrutura de que trata o caput deve: I - estar amparada nos princípios e nas melhores práticas da gestão do risco operacional, de forma a garantir elevados níveis de segurança, continuidade e confiabilidade e capacidade adequada e passível de expansão; II - definir de forma clara e objetiva as responsabilidades das partes envolvidas, inclusive quando terceirizadas; III - contemplar, entre outros temas, a gestão de fraudes, a gestão da terceirização de serviços, a continuidade de negócios, a gestão de serviços de tecnologia da informação e a segurança da informação e cibernética; IV - abranger a instituição como um todo, inclusive o sistema computacional responsável por operacionalizar as atividades listadas no Título V e os demais sistemas (periféricos) da instituição; V - prever, entre outros, políticas, planos, procedimentos e sistemas apropriados, que garantam a identificação, o monitoramento e o gerenciamento dos riscos operacionais, por meio de avaliações contínuas dos fatores de risco internos e externos, estabelecimento e revisão periódica de controles internos e contingências, conscientização e promoção da cultura de riscos, e relatórios, que devem ser levados ao conhecimento dos administradores; e VI - ser avaliada, revisada, auditada e testada periodicamente e após mudanças significativas. § 2º Os fatores de risco de que trata o inciso V do § 1º devem abranger o segmento de atuação ao qual a IOSMF pertença e contemplar, entre outros, aqueles advindos de outras IOSMF, de provedores de serviços e insumos, ainda que no mesmo conglomerado, de participantes, e os riscos que suas operações possam representar para outras IOSMF. § 3º A estrutura de que trata o caput deve ser própria. § 4º A estrutura de que trata o caput deve ser aprovada pelo conselho de administração ou, se inexistente, pela diretoria prevista em estatuto ou contrato social, que deve definir claramente funções e responsabilidades para lidar com o risco operacional. Art. 63. As IOSMF devem ter objetivos de resiliência operacional claramente definidos. Art. 64. As IOSMF devem instituir mecanismos de acompanhamento e de controle com vistas a assegurar a implementação e a efetividade da política de segurança da informação e cibernética, do plano diretor de segurança da informação, do plano de resposta a incidentes e dos requisitos para contratação de serviços, em especial os de processamento e armazenamento de dados e de computação em nuvem, incluindo: I - a definição de processos, testes e trilhas de auditoria; II - a definição de métricas e indicadores adequados; e III - a identificação e a correção de eventuais deficiências. § 1º As notificações recebidas sobre a subcontratação de serviços relevantes, descritas no inciso VI do art. 74, devem ser consideradas na definição dos mecanismos de que trata o caput. § 2º Os mecanismos de que trata o caput devem ser submetidos a testes periódicos pela auditoria interna compatíveis com os controles internos da instituição. § 3º As IOSMF devem definir e documentar papéis e responsabilidades relativas aos mecanismos de acompanhamento e de controle de que trata o caput. Seção II Das Políticas Art. 65. As IOSMF devem estabelecer, no mínimo, políticas de: I - gestão de risco operacional; II - gestão de fraudes; III - gestão da terceirização de serviços; IV - continuidade de negócios; V - gestão de serviços de tecnologia da informação; e VI - segurança da informação e cibernética. § 1º As políticas de que trata o caput: I - devem ser aprovadas pelo conselho de administração ou, se inexistente, pela diretoria prevista em estatuto ou contrato social; II - devem ser revisadas periodicamente; III - devem ser publicadas no sítio eletrônico da instituição em nível de detalhamento compatível com a sensibilidade das informações e com as informações referentes ao controle de versionamento, além de outras eventualmente requeridas pelo Banco Central do Brasil; IV - devem estar à disposição do Banco Central do Brasil pelo prazo mínimo de 5 (cinco) anos contados de sua revogação; V - podem ser tratadas em documento único, a critério da instituição; e VI - devem ser projetadas para alcançar os objetivos de que tratam os arts. 63 e 67. § 2º Caso a instituição pertença a conglomerado, admite-se a adoção de política única do conglomerado, garantindo, todavia, as peculiaridades associadas à instituição. Art. 66. A política para a gestão de continuidade de negócios de que trata o inciso IV do caput do art. 65 deve estabelecer, entre outros: I - processo para análise de impacto nos negócios que inclua: a) identificação, classificação e documentação dos processos críticos de negócio; b) avaliação dos potenciais efeitos da interrupção dos processos mencionados na alínea "a"; II - estratégias para assegurar a continuidade das atividades da IOSMF e limitar perdas decorrentes da interrupção dos processos críticos de negócio; III - planos de continuidade de negócios que estabeleçam procedimentos e prazos estimados para reinício e recuperação das atividades em caso de interrupção dos processos críticos de negócio, bem como as ações de comunicação necessárias; IV - testes e revisões dos planos de continuidade de negócios com periodicidade adequada; V - tratamento dos incidentes relevantes relacionados com o ambiente cibernético de que trata o inciso IV do art. 67; VI - procedimentos a serem seguidos no caso da interrupção de serviços relevantes contratados, especialmente os de processamento e armazenamento de dados e de computação em nuvem contratados, abrangendo cenários que considerem a substituição da empresa contratada e o reestabelecimento da operação normal da instituição; e VII - cenários de incidentes considerados nos testes de continuidade de serviços prestados de que trata a alínea "a" do inciso V do art. 67. Art. 67. A política de segurança da informação e cibernética de que trata o inciso VI do caput do art. 65 deve prever mecanismos de prevenção, detecção, redução de vulnerabilidade, resposta e recuperação de incidentes relacionados com o ambiente cibernético contemplando, no mínimo: I - os objetivos de segurança da informação e cibernética da IOSMF; II - os procedimentos e os controles adotados para reduzir a vulnerabilidade da entidade a incidentes e atender aos demais objetivos de segurança da informação e cibernética; III - os controles específicos, incluindo os voltados para a rastreabilidade da informação, que busquem garantir a segurança das informações sensíveis; IV - o registro, a análise da causa e do impacto, bem como o controle dos efeitos de incidentes relevantes para as atividades da entidade; V - as diretrizes para: a) a elaboração de cenários de incidentes considerados nos testes de continuidade de negócios e de operações de riscos significativos de ruptura, incluindo eventos que podem causar uma ruptura em larga escala; b) a definição de procedimentos e de controles voltados à prevenção e ao tratamento dos incidentes a serem adotados por empresas prestadoras de serviços a terceiros contratadas pela IOSMF; c) a classificação dos dados e das informações quanto à relevância; e d) a definição dos parâmetros a serem utilizados na avaliação da relevância dos incidentes; VI - os mecanismos para disseminação da cultura de segurança da informação e cibernética na IOSMF, incluindo: a) a implementação de programas de capacitação e de avaliação periódica de pessoal; b) a prestação de informações aos participantes sobre precauções na utilização de produtos e serviços oferecidos; e c) o comprometimento dos administradores com a melhoria contínua dos procedimentos relacionados com a segurança da informação e cibernética; VII - as iniciativas para compartilhamento de informações sobre os incidentes relevantes, mencionados no inciso XI do § 1º do art. 82, com as IOSMF, instituições financeiras, instituições de pagamento e demais instituições autorizadas a funcionar pelo Banco Central do Brasil. § 1º Os procedimentos e os controles de que trata o inciso II do caput devem abranger a autenticação, a criptografia, a prevenção e a detecção de intrusão, a prevenção de vazamento de informações, a realização periódica de testes e varreduras para detecção de vulnerabilidades, a proteção contra softwares maliciosos, o estabelecimento de mecanismos de rastreabilidade, os controles de acesso e de segmentação da rede de computadores e a manutenção de cópias de segurança dos dados e das informações. § 2º Os procedimentos e os controles citados no inciso II do caput devem ser aplicados, inclusive, no desenvolvimento de sistemas de informação seguros e na adoção de novas tecnologias empregadas nas atividades da IOSMF. § 3º O registro, a análise da causa e do impacto, bem como o controle dos efeitos de incidentes, de que trata o inciso IV do caput, devem abranger inclusive informações recebidas de empresas prestadoras de serviços a terceiros. § 4º As diretrizes de que trata a alínea "b" do inciso V do caput devem contemplar procedimentos e controles em níveis de complexidade, abrangência e precisão compatíveis com os utilizados pela própria IOSMF. Seção III Da Gestão de Fraudes Art. 68. A estrutura de gestão de risco operacional de que trata este Capítulo deve prever, em relação ao risco de fraudes: I - a identificação e a compreensão dos riscos e das possibilidades de fraude em produtos, serviços e processos, considerando, de forma individual e coletiva, a IOSMF e os seus participantes, bem como outros SMF com os quais exista algum tipo de relacionamento; II - a definição e a implementação de requisitos de segurança para prevenção, detecção e resposta a fraudes estabelecidos pela IOSMF, a serem observados tanto pela IOSMF quanto pelos participantes;