Atestação independente de parcerias no Open Finance

O que o auditor independente precisa fazer para atestar a capacidade das parceiras no Open Finance: prazos, procedimentos, evidências e relatório.

A Resolução Conjunta nº 21, de 22 de outubro de 2026, alterou a Resolução Conjunta nº 1/2020 e consolidou uma exigência que muda o trabalho do auditor: a verificação da capacidade da entidade parceira passa a ser atestada por auditor independente registrado na CVM, no mínimo uma vez por ano. Este guia explica o que esse trabalho precisa conter, quais prazos já estão fixados, o que ainda depende do Banco Central e como a MERC conduz o compromisso.

Para o serviço completo, veja a auditoria de Open Finance da MERC. Para o efeito da RC 21 sobre consentimento, veja o artigo Resolução Conjunta 21: o novo consentimento do Open Finance.

Aviso de fonte.As referências de artigo abaixo vêm do texto consolidado da Resolução Conjunta nº 1/2020 publicado pelo Banco Central, que incorpora as alterações da RC 21, mas não informa a data de consolidação. Os pontos sobre prazos de vigência e sobre dados derivados vêm da cobertura da imprensa especializada e devem ser confirmados no texto da RC 21 publicado no Diário Oficial antes de qualquer decisão.

O que a norma exige do auditor

O objeto do trabalho é a verificação de capacidade que a instituição integradora faz da entidade parceira. Não é auditoria das demonstrações financeiras e não é, por si só, uma auditoria de toda a instituição. Os dispositivos que sustentam o trabalho são estes:

Os dispositivos consultados não fixam a norma profissional, o nível de asseguração, o período de referência nem o modelo do relatório. Essas definições dependem de regulamentação do Banco Central ou de acordo contratual, e não devem ser presumidas.

Prazos regulatórios

Os prazos abaixo separam o que está fixado do que ainda será definido.

Na prática, três decisões precisam ser tomadas antes de 1º/12/2026, mesmo com pontos em aberto: fechar o inventário de parcerias, classificar cada contrato em relação ao art. 36 e confirmar quem será o responsável pela relação enviada ao Banco Central. A atestação não precisa esperar as regras documentais para começar a ser planejada, porque o desenho e a coleta de evidência dependem dos critérios do art. 37, que já estão em vigor.

O que a auditoria precisa fazer, etapa por etapa

O trabalho segue um ciclo de planejamento, avaliação de desenho, teste de efetividade, comunicação de achados e relatório. A descrição abaixo é a abordagem técnica da MERC, e não texto da norma.

1. Aceitação e independência

Antes de aceitar, o auditor confirma o registro na CVM, a estrutura técnica exigida pelo art. 37, §6º, e a inexistência de ameaças à independência. Se o auditor tiver desenhado, implantado ou operado os controles que vai avaliar, há autorrevisão e o trabalho não pode ser aceito sem salvaguardas. Também se define quem contrata o relatório: o art. 37, II, "e", fala em relatórios de auditor contratado pela entidade parceira, enquanto o art. 38, XX, coloca a atestação na verificação da integradora. Essa definição determina destinatários, uso restrito e responsabilidades.

2. Definição do objeto e do universo

Obtém-se o inventário de parcerias e testa-se sua completude contra fontes independentes: cadastro de fornecedores, contratos de tecnologia, logs de API e registros de integração. Uma parceria fora do inventário é limitação de escopo ou distorção a reportar. Cada contrato é classificado pelo art. 36, incluindo parcerias com entidades do mesmo grupo econômico (§10) e a exclusão dos operadores no sentido do art. 5º, VII, da LGPD (§11).

3. Critérios e matriz de risco

Os critérios são os dispositivos do art. 37, II, e dos arts. 36, 38, 38-A, 38-B e 39. O auditor constrói uma matriz que liga cada critério a um risco, a um controle esperado e a um teste. A profundidade dos testes cresce com o risco da parceria: volume de dados, sensibilidade, dados fora do país, histórico de incidentes e dependência de subprocessadores.

4. Avaliação do desenho dos controles

Para cada domínio, o auditor entende o processo, lê políticas e procedimentos e faz walkthroughs com amostras de ponta a ponta. A pergunta é se o controle, se operar como descrito, atinge o critério. Controles que existem apenas em política, sem dono, periodicidade ou evidência, são achados de desenho.

5. Testes de efetividade operacional

Os testes combinam indagação, observação, inspeção e reexecução. Indagação isolada não sustenta conclusão de efetividade. A tabela abaixo resume os principais domínios.

Quando a população é eletrônica, como consentimentos e eventos de compartilhamento, o teste sobre a população inteira por script é preferível à amostra. Para controles manuais recorrentes, a prática usual é amostrar conforme a frequência do controle: cerca de 2 itens para anual, 2 a 5 para trimestral, 5 a 15 para mensal e 25 a 40 para diário ou contínuo, ajustando pelo risco. São referências de prática, não valores da norma.

6. Dados derivados e repasse

A cobertura da imprensa indica que análises e modelos alimentados por dados do Open Finance que identifiquem o cliente, como scores, entram no regime, e que a parceira não pode repassar as informações a outras empresas. Enquanto isso não for confirmado no texto da RC 21, o auditor deve tratar como risco: mapear os modelos, rastrear a linhagem do dado até o destino e testar os contratos de subprocessamento da parceira.

7. Achados, resposta da administração e relatório

Os desvios são classificados por gravidade e discutidos com a administração antes da emissão. O relatório deve conter destinatário e uso restrito, objeto e período, critérios, responsabilidades da administração e do auditor, normas aplicadas, declaração de independência, procedimentos executados, limitações e conclusão. Como o Banco Central tem acesso aos relatórios (art. 38, VII) e pode determinar a suspensão ou o encerramento de contratos, a redação precisa ser objetiva e verificável.

Norma profissional e nível de asseguração

Como o normativo não fixa a norma, a MERC propõe como base a NBC TO 3000 (R1), norma brasileira para trabalhos de asseguração diferentes de auditoria e revisão de informações históricas, convergente com a ISAE 3000. A NBC TO 3402 serve como insumo quando a parceira já tem relatório de controles de organização prestadora de serviços, mas não como base, porque seu desenho é voltado a controles relevantes para o relato financeiro dos usuários.

Para atestação que sustenta a decisão de contratar uma parceira e é acessível ao regulador, recomendamos asseguração razoável, com conclusão positiva. Asseguração limitada só faz sentido se o Banco Central ou o contrato a admitirem. A escolha entre relatório de desenho em uma data e relatório de desenho e efetividade em um período deve ser alinhada ao ciclo anual do art. 38, XX.

Esta é recomendação técnica, não exigência da norma. Se o Banco Central regulamentar de forma diferente, o escopo é ajustado.

Preparação: o que a instituição deve ter pronto

• Inventário completo de parcerias e fluxos de dados, com dono e fonte de completude.

• Contratos e aditivos, com checklist do art. 38.

• Parecer do diretor responsável e dossiê da verificação prévia de cada parceira.

• Certificações, políticas e relatórios de auditor das parceiras.

• Trilha de consentimentos: concessão, vigência, revogação e representante que autorizou.

• Logs de compartilhamento reconciliáveis com consentimentos ativos.

• Registros de monitoramento, incidentes e interrupções.

• Mapa de localização dos dados e avaliação por país, quando houver tratamento no exterior.

Cronograma de referência do trabalho

O cronograma depende do número de parcerias, da qualidade do inventário e da disponibilidade das evidências. Como referência de planejamento, e não como compromisso, o ciclo se organiza em cinco fases: planejamento e independência, inventário e matriz de risco, avaliação de desenho, testes de efetividade e comunicação de achados com emissão do relatório. A primeira atestação costuma exigir mais esforço, porque envolve construir o inventário e reconciliar consentimentos. As seguintes herdam a matriz e concentram o esforço nos testes.

Como falar com a MERC

Para dimensionar o trabalho, a MERC precisa de seis informações: a instituição contratante e seu papel (integradora ou parceira); o número de parcerias e as empresas envolvidas; os serviços e fluxos de dados abrangidos; a disponibilidade de contratos, políticas, controles e evidências; o prazo e o período de referência da atestação; e eventual orientação sobre formato e destinatário do relatório. Antes de propor honorários, a MERC também confirma os requisitos específicos para o auditor e para a emissão da atestação, e prevê revisão de escopo quando o Banco Central editar as regras documentais.

Fale com a equipe pelo formulário de contato, pelo e-mail contato@mercgroup.com.br ou pelo WhatsApp +55 11 98196-1447, em horário comercial de segunda a sexta. O escritório fica na Av. Adolfo Pinheiro, 1001, Alto da Boa Vista, São Paulo (SP), CEP 04733-100.

Para um diagnóstico prévio das suas parceiras, conheça também o diagnóstico e adequação regulatória, a auditoria de controles internos e o relatório de controles em prestador de serviço.