Auditoria
Auditoria de Open Finance: Controles, Riscos e Regulação BCB
5 de junho de 2026
Open Finance no Brasil mudou a estrutura de controles de instituições financeiras: compartilhamento padronizado de dados, integrações via API, novos riscos operacionais e regulatórios. Para o auditor, o desafio é avaliar controles sobre uma arquitetura técnica complexa e em evolução, sob regulação BCB específica. Este guia mostra o que está em jogo.
Resumo
Open Finance é o ecossistema brasileiro de compartilhamento de dados, regulado por Resoluções BCB 32/2020 e correlatas.
Auditoria avalia segurança, integridade, disponibilidade, governança e conformidade de toda a operação.
Riscos críticos: integridade do dado compartilhado, consentimento do cliente, autenticação, logs, vazamento.
Foco: controles técnicos (API, criptografia, identidade), operacionais (process), governança (políticas) e regulatórios.
O que é Open Finance Brasil
Open Finance é o ecossistema regulado pelo BCB que permite o compartilhamento padronizado de dados e serviços financeiros entre instituições, mediante consentimento do cliente. Lançado em fases desde 2021, hoje cobre dados cadastrais, transacionais, de crédito, investimentos e câmbio.
Participantes obrigatórios: bancos S1/S2 (grandes), instituições de pagamento e demais conforme escopo. Veja compliance BCB instituições de pagamento.
Marco regulatório
Normas aplicáveis: Resolução Conjunta BCB/CMN 1/2020 (estabelece Open Banking), Resolução BCB 32/2020 (regulamentação), Circulares BCB 4015, 4032 e demais (operacionalização), Resolução CMN 4.893 (segurança cibernética), LGPD (Lei 13.709/2018) sobre tratamento de dados, e padrões técnicos da Estrutura Inicial de Governança (EIG).
Material no Open Finance Brasil.
Principais riscos de auditoria em Open Finance
Consentimento.Captura, registro, revogação e renovação do consentimento do cliente.Segurança da API.Autenticação OAuth, mTLS, criptografia, rotação de chaves.Integridade do dado.Garantia de que dado compartilhado é fiel ao dado interno.Disponibilidade.SLA de uptime das APIs (regulação exige >99,5%).Logs e auditoria.Trilha completa de quem acessou o quê.Vazamento de dados.Controles contra exfiltração.Conformidade LGPD.Finalidade, minimização, retenção.Governança.Comitê, políticas, supervisão.Risco de terceiros.Avaliação de TPPs (Third Party Providers).
Avaliação de controles técnicos
Auditoria de Open Finance exige conhecimento de: arquitetura OAuth 2.0 + FAPI, mTLS (mutual TLS), JWS/JWE (criptografia de payload), API REST com paginação e rate limiting, padrões OpenAPI definidos pela EIG, ambientes de produção, certificação e sandbox.
Testes típicos: revisão de logs de acesso (amostragem), validação de fluxo de consentimento end-to-end, teste de revogação, teste de expiração, verificação de criptografia, verificação de configuração TLS, análise de incidentes reportados.
Governança e papel do diretor responsável
Cada participante de Open Finance designa um diretor responsável perante o BCB pela conformidade. Esse diretor responde por: políticas internas, conformidade contínua, reporte de incidentes, supervisão de TPPs, treinamento de equipe, manutenção de controles. Auditor avalia se a função está estruturada e operante.
Conformidade com LGPD
Open Finance trafega dado pessoal sensível. Cumprimento da LGPD é obrigatório: base legal clara (consentimento explícito do titular), finalidade específica e informada, minimização de dados (não pedir mais que necessário), retenção limitada e justificada, direitos do titular (acesso, correção, exclusão, portabilidade) garantidos via canais funcionais, encarregado de dados (DPO) designado, registro de operações de tratamento, plano de resposta a incidentes com notificação à ANPD.
Auditoria valida toda essa documentação e controles operacionais.
Reportes obrigatórios ao BCB
Participantes de Open Finance reportam ao BCB: incidentes de segurança (críticos em até 24h), métricas de disponibilidade mensal, volume de consentimentos e revogações, indicadores de qualidade de dado, eventos de risco operacional relevantes. Auditor valida tempestividade, acurácia e completude desses reportes.
Caso real anonimizado: falha de logs identificada em auditoria
Banco médio (Tier S3) implementou Open Finance em 2023. Em auditoria 2024, identificamos: logs de acesso a APIs cobriam apenas 78% das transações (rest perdido por configuração de buffer), revogação de consentimento tinha defasagem média de 4h (regulação exige instantânea), 12% dos consentimentos não estavam na base de registro central.
Recomendamos plano de remediação em 90 dias: ajuste de infraestrutura de logging, refatoração do processo de revogação, reconciliação completa da base de consentimentos. Banco executou plano integralmente, sem ressalva, sem reporte adverso ao BCB, sem multa. Custo evitado estimado: R$ 2-5 mi em multas e ressalvas.
Como a MERC pode ajudar
A MERC tem expertise em auditoria de controles de Open Finance, segurança cibernética em IFs e conformidade LGPD. Conheça auditoria independente,auditoria interna e a MERC Audit & Advisory. Solicite proposta pelo contato.
FAQ
Toda IF participa de Open Finance?
Apenas as enquadradas (bancos S1/S2 obrigatórios; demais opcionais conforme escopo).
Quem audita Open Finance?
Auditor independente da IF, com expertise em controles tecnológicos.
O que é EIG?
Estrutura Inicial de Governança — entidade que define padrões técnicos.
Auditoria de Open Finance é separada da auditoria financeira?
Pode ser parte do escopo ou contratada separadamente.
LGPD aplica-se em Open Finance?
Sim, integralmente.
Logs precisam ser preservados por quanto tempo?
Mínimo 5 anos conforme regulação.
Quanto custa auditoria de Open Finance?
De R$ 150 mil a R$ 800 mil dependendo da complexidade.
Sandbox conta como ambiente auditável?
Sim, mas geralmente com escopo reduzido.
