Rastreabilidade e trilha de auditoria na Resolução Conjunta 18: da origem do dado à evidência guardada

Rastreabilidade deixou de ser boa prática

Entre as doze dimensões do art. 2º, § 2º, da Resolução Conjunta nº 18/2025, a rastreabilidade tem um papel diferente das demais. Ela é definida como as condições que permitam rastrear a informação desde a origem até a sua disponibilização ao usuário final. Não é um atributo do número: é um atributo do caminho que o número percorreu.

Na prática, esse ponto costuma ser endereçado por meio de diagnóstico e adequação regulatória.

Isso a torna a dimensão que organiza o programa. Sem linhagem, não há como provar acurácia, porque não se sabe de onde veio o valor; nem completude, porque não se sabe de qual base saiu o universo; nem integridade, porque não se prova que o arquivo enviado é o que foi aprovado. Quem começa pela rastreabilidade descobre cedo os pontos frágeis da arquitetura. Quem deixa por último costuma refazer o programa.

Documentação ponta a ponta no art. 3º, inciso III

A MERC atende essa demanda por meio de adequação à Resolução Conjunta nº 18/2025.

O inciso III exige documentar adequadamente as etapas de preparação, verificação e fornecimento das informações. As alíneas detalham cinco entregas, e a última é a que amarra tudo.

• Descrição geral dos procedimentos.Todas as fases, incluindo a ordem cronológica em que ocorrem. Fluxo sem sequência não permite identificar em que ponto o erro entrou.

• Listagem das áreas envolvidas.Quem elabora, quem valida, quem controla e quem aprova ao final, com as respectivas responsabilidades detalhadas.

• Dicionário de dados.Descrição do conteúdo, da estrutura e do formato da base ou do conjunto de dados.

• Medidas para atender às dimensões.Descrição do que a instituição faz, concretamente, para que as dimensões e características essenciais sejam atendidas.

• Garantia de auditabilidade.Garantia de que as informações sejam auditáveis, com trilhas de verificação. É a alínea que converte documentação em evidência.

Documento não é trilha.Um manual descrevendo o processo cumpre a alínea a. Ele não cumpre a alínea e. Trilha de verificação é o registro do evento: quem executou, quando, sobre qual base, com qual resultado e qual foi o tratamento da exceção. É a diferença entre dizer que existe controle e provar que ele operou naquela data-base.

O que precisa estar mapeado em cada reporte

Um mapa de linhagem útil parte do arquivo entregue e volta até o registro de origem. Cada elo precisa ser identificável e reexecutável.

• Sistema de origem:qual sistema gerou o dado primário, com identificação do campo, da tabela e da data de extração.

• Extração:regra de corte, filtros aplicados, responsável e evidência do que foi extraído, preservada para reexecução.

• Transformação:cada cálculo, agregação, reclassificação ou ajuste, com a regra aplicada e a autorização quando houver ajuste manual.

• Validação:testes executados antes do envio, com resultado, tratamento das exceções e aprovação formal.

• Consolidação e formatação:montagem do arquivo no leiaute exigido, com verificação de que o conteúdo aprovado é o conteúdo formatado.

• Envio:data, hora, canal, protocolo de recebimento e identificação do responsável pelo envio.

• Revisões posteriores:toda retificação, com o motivo, a diferença contra o valor original e a comunicação correspondente.

O ponto cego: planilha intermediária e ajuste manual

A quebra de linhagem quase nunca está no sistema de origem nem no arquivo final. Está no meio: a planilha que consolida, o ajuste que alguém fez para fechar, o arquivo que circulou por e-mail e voltou alterado. São etapas reais do processo que não deixam registro estruturado.

O art. 3º, inciso II, alínea c, pede o uso de ferramentas, tecnologia da informação e técnicas de gestão da informação automatizadas e integradas. A norma não proíbe a planilha, mas empurra a arquitetura na direção oposta a ela. Onde a planilha permanecer por decisão consciente, a instituição precisa compensar com controle: versionamento, acesso restrito, log de alteração e revisão independente do ajuste.

Ajuste manual exige dois registros.O que foi ajustado e por quê. Sem o segundo, a trilha mostra que o número mudou e não explica se a mudança corrigiu um erro ou criou um. É nesse registro que uma inspeção costuma concentrar atenção.

Cinco anos, contados de forma pouco intuitiva

O art. 11 exige manter à disposição do Banco Central, por no mínimo cinco anos, a documentação relativa à política e o relatório semestral de qualidade da informação. O parágrafo único traz a regra de contagem que mais gera erro: no caso da documentação da política, o prazo é contado a partir do fim da vigência de cada versão.

Isso significa que uma política revisada anualmente acumula versões, e cada versão inicia sua própria contagem quando deixa de vigorar. Um acervo que guarda apenas a versão vigente não cumpre o artigo. O desenho correto preserva cada versão, com data de início e de fim de vigência, o ato que a aprovou e a documentação de suporte daquele período.

• Política, por versão:mínimo de cinco anos contados do fim da vigência daquela versão, conforme o art. 11, parágrafo único.

• Relatório semestral:mínimo de cinco anos, conforme o art. 11, inciso II, preservada a versão efetivamente submetida.

• Trilhas de verificação:prazo compatível com a evidência que sustenta os reportes do período e com as demais obrigações de guarda aplicáveis à instituição.

• Atos de aprovação:ata ou registro da deliberação do conselho, associado à versão da política que aprovou.

O teste que fecha a conta

O melhor teste de maturidade do programa é simples de enunciar e desconfortável de executar. Escolha um número já reportado ao Banco Central em uma data-base passada. Sem avisar as áreas, peça a reconstituição completa: origem, extrações, transformações, validações, aprovação e envio, com a evidência de cada etapa.

Se a reconstituição exigir a memória de uma pessoa específica, a rastreabilidade não existe: existe dependência. Se exigir mais tempo do que o Banco Central daria em uma demanda, o programa não está pronto. Esse teste, aplicado a uma amostra por semestre, alimenta diretamente o relatório exigido pelo art. 3º, inciso V, alínea b.

Como a MERC pode ajudar

A MERC é firma de auditoria independente registrada na CVM, especializada em mercado financeiro, e mapeia a cadeia de dados de ponta a ponta: inventário regulatório, linhagem por reporte, dicionário de dados, padrões de evidência e organização do acervo para a guarda mínima de cinco anos. Como firma de auditoria, também realizamos a avaliação independente da política, observada a análise de independência de cada contratação. Detalhamos o programa completo em rc18.mercgroup.com.br e a equipe atende pelo canal de contato.

Perguntas frequentes

A norma proíbe planilhas no processo de reporte?

Não proíbe. Mas exige, no art. 3º, inciso II, alínea c, o uso de ferramentas e técnicas automatizadas e integradas, e cobra rastreabilidade e auditabilidade. Onde a planilha permanecer, os controles compensatórios precisam ser explícitos e documentados.

O dicionário de dados é obrigatório?

Sim. O art. 3º, inciso III, alínea c, exige a manutenção de dicionário de dados com a descrição do conteúdo, da estrutura e do formato da base ou do conjunto de dados.

Como se conta o prazo de guarda da política?

No caso da documentação da política, a partir do fim da vigência de cada versão, conforme o parágrafo único do art. 11.

O que a instituição comunica quando identifica um erro?

O art. 9º exige comunicar ao Banco Central as impropriedades ou irregularidades identificadas e não corrigidas até o dia do envio, com abrangência, relevância e previsão de prazo, além das providências de mitigação da reincidência e dos planos de ação.

Este material trata de alguma instituição específica?

Não. O conteúdo descreve a mecânica da Resolução Conjunta 18/2025 de forma genérica, sem referência a instituição nominal ou situação real particular.

Para aprofundar, conheça o serviço de revisão de controles internos e governança da MERC.

Precisa de apoio especializado? Conheça os serviços de Revisão de Controles Internos e Governança da MERC Group.