Resolução Conjunta 21: o novo consentimento do Open Finance

A Resolução Conjunta 21/2026 redesenha parceria, consentimento e governança no Open Finance. Veja o que muda para os controles e para a auditoria.

O Conselho Monetário Nacional e o Banco Central publicaram, em 22 de outubro de 2026, a Resolução Conjunta nº 21, que atualiza as regras de segurança e transparência do Open Finance. A norma mexe em três pontos que, até aqui, eram os mais frágeis do compartilhamento de dados: a definição de contrato de parceria, a granularidade do consentimento do cliente e a responsabilidade da alta administração sobre o monitoramento das parcerias. Não é um ajuste cosmético. Ela transforma deveres que antes viviam em cláusula contratual em obrigações de controle, com dono, com trilha e com exigência de verificação.

Para quem participa do ecossistema, o efeito prático é que o Open Finance deixa de ser tratado como um projeto de integração de APIs e passa a ser tratado como um processo sob governança formal, no mesmo nível de rigor de qualquer outro controle crítico da instituição. E, quando um processo vira controle formal, ele entra no radar da auditoria independente. Este artigo destrincha o que a Resolução Conjunta 21 altera e por que a norma empurra as instituições para um ambiente de controle testável.

Resumo

• A Resolução Conjunta CMN/BCB nº 21, de 22 de outubro de 2026, refina a definição de contrato de parceria no Open Finance para reduzir divergências de interpretação sobre quem é parceiro e qual o alcance do arranjo.

• O consentimento passa a ser específico por entidade parceira, no lugar de uma autorização genérica: o cliente consente para cada parceira, o que exige da instituição controle sobre o ciclo de vida de cada consentimento.

• As instituições ganham deveres mais fortes de monitorar suas parceiras e mecanismos para interromper o compartilhamento de dados em situação de risco, além de restrições contra o uso indevido das informações.

• Diretorias e conselhos de administração passam a responder expressamente pelo monitoramento, pela conformidade e pelas medidas preventivas e corretivas, o que coloca a governança do Open Finance no nível da alta administração.

O contrato de parceria deixa de ser uma zona cinzenta

O primeiro movimento da norma é conceitual, e é o que organiza todos os outros. Ao refinar a definição de contrato de parceria, a Resolução Conjunta 21 ataca uma ambiguidade que vinha gerando interpretações divergentes no mercado: quando uma relação entre instituições configura uma parceria sujeita às regras do compartilhamento, e quando é apenas uma contratação de serviço sem alcance de dados do cliente. Essa fronteira importa porque é ela que define o perímetro do que precisa ser monitorado, consentido e evidenciado.

Com a definição mais clara, cai a margem para tratar como simples terceirização uma relação que, na prática, move dados de clientes entre instituições. Para a área de controles, isso significa que o inventário de parcerias precisa ser revisto à luz do novo conceito: cada relação reclassificada como parceria passa a carregar as obrigações de consentimento específico, de monitoramento e de governança que a norma reforça. Delimitar corretamente o perímetro é o ponto de partida, e um erro de enquadramento aqui contamina tudo o que vem depois.

Consentimento específico por parceira: do genérico ao rastreável

A mudança de maior impacto operacional é a do consentimento. Em vez de uma autorização genérica que abria o compartilhamento de forma ampla, o cliente passa a consentir especificamente para cada entidade parceira. A diferença parece sutil, mas reorganiza o controle: a instituição deixa de gerenciar um consentimento único e passa a gerenciar uma coleção de consentimentos, cada um com seu objeto, sua parceira, sua data de concessão, sua vigência e sua eventual revogação.

A norma também abre caminho, para o futuro, para jornadas em que o consentimento ocorre em momentos distintos na instituição receptora e na transmissora, e, no caso de pessoas jurídicas, admite que usuários diferentes deem o consentimento conforme os processos internos de representação e aprovação da empresa. Isso aproxima o Open Finance da realidade das empresas, em que quem autoriza o compartilhamento de um dado financeiro nem sempre é a mesma pessoa que opera a conta, mas adiciona complexidade: a instituição precisa amarrar o consentimento à alçada correta e guardar a evidência de quem autorizou o quê, em nome de quem.

Para a auditoria, o consentimento específico é uma afirmação testável. O auditor pode selecionar compartilhamentos e verificar se existe consentimento válido, específico para aquela parceira, concedido pela alçada competente, dentro da vigência e sem revogação pendente. Onde antes havia um aceite genérico difícil de contestar, passa a haver um dado com começo, meio e fim, e dado com ciclo de vida é dado auditável.

Monitorar a parceira vira controle contínuo, não cláusula

A Resolução Conjunta 21 reforça o dever de a instituição monitorar suas parceiras e cria mecanismos para interromper o compartilhamento de dados em situações de risco, além de impor restrições contra o uso inadequado das informações. Esse conjunto tira o monitoramento do papel e o coloca na operação: não basta a instituição ter em contrato a obrigação da parceira de proteger dados, ela precisa acompanhar se isso ocorre e precisa ser capaz de cortar o fluxo quando o risco aparece.

Isso tem desenho de controle conhecido. A diligência inicial da parceira precisa ser documentada e periódica, não um evento único de onboarding. O monitoramento contínuo precisa de indicadores e de gatilhos que disparem revisão. A capacidade de interromper o compartilhamento precisa existir tecnicamente e precisa ter dono, procedimento e registro de acionamento. E a prevenção ao uso indevido precisa de controles que limitem o dado ao propósito consentido. São controles que a auditoria avalia em dois planos: o desenho, se o controle é adequado ao risco, e a eficácia operacional, se ele funcionou ao longo do período.

A governança sobe para a diretoria e o conselho

O ponto que muda a natureza do tema é a responsabilização da alta administração. A Resolução Conjunta 21 atribui expressamente à diretoria e ao conselho de administração responsabilidades maiores sobre o monitoramento, a conformidade e a adoção de medidas preventivas e corretivas no Open Finance. Quando a norma nomeia o topo como responsável, ela cria um ambiente de controle no sentido técnico: há tom dado pela administração, há accountability definida e há a expectativa de que decisões, exceções e incidentes cheguem a quem responde.

Esse é exatamente o insumo que a auditoria usa para avaliar o ambiente de controle de uma instituição. Um processo crítico sem dono no topo é um sinal de fragilidade; um processo com responsabilidade atribuída, reporte estruturado e evidência de que a administração acompanha é um sinal de maturidade. A norma, ao exigir essa estrutura, dá ao auditor um critério objetivo para avaliar se a governança do compartilhamento de dados existe de fato ou apenas no organograma.

Um caso anonimizado

Uma instituição de médio porte participante do Open Finance operava com um consentimento amplo e um inventário de parcerias montado por contrato, sem reclassificação à luz do conceito de parceria. O monitoramento das parceiras existia em cláusula, mas não havia indicador, gatilho de revisão nem procedimento testado de interrupção do compartilhamento. Em uma revisão de controles, três fragilidades apareceram: compartilhamentos ativos sem consentimento específico rastreável, uma parceira reclassificável que não passara por diligência adequada, e ausência de registro de qualquer acionamento do corte de fluxo.

Nenhuma dessas falhas era um incidente, mas as três eram exatamente o que a Resolução Conjunta 21 passa a cobrar como controle. A instituição reorganizou o inventário pelo novo conceito de parceria, reconstruiu a base de consentimentos por entidade e por alçada, instituiu monitoramento periódico com gatilhos e testou o procedimento de interrupção, levando o tema ao comitê que reporta à diretoria. O ponto do caso é simples: o custo de estruturar o controle antes da fiscalização é uma fração do custo de explicá-lo depois, sob exigência do supervisor.

Como a MERC pode ajudar

A MERC atua na fronteira entre a norma e o controle. No contexto da Resolução Conjunta 21, isso significa avaliar o ambiente de controle do Open Finance com a lente de quem audita instituições reguladas: revisar o enquadramento das parcerias ao novo conceito, testar o ciclo de vida do consentimento específico, examinar o desenho e a eficácia do monitoramento de parceiras e do mecanismo de interrupção, e verificar se a governança atribuída à diretoria e ao conselho opera com reporte e evidência. Para a cadeia de dados compartilhados com terceiros, o trabalho se apoia em asseguração de controles sob a NBC TO 3402, insumo que dá conforto sobre os controles operados fora da instituição. O caminho para estruturar esse diagnóstico é o contato.

Perguntas frequentes

A Resolução Conjunta 21 já está em vigor?

A norma foi publicada em 22 de outubro de 2026 pelo CMN e pelo Banco Central. O cronograma de vigência e eventuais prazos de adequação devem ser confirmados no texto oficial, já que parte das mudanças, como as jornadas de consentimento em momentos distintos, é descrita como viabilizada para o futuro. A recomendação é tratar a adequação de controles desde já, sem esperar o último prazo.

O que muda no consentimento do cliente?

O consentimento passa a ser específico por entidade parceira, no lugar de uma autorização genérica. O cliente consente para cada parceira, e a instituição precisa controlar cada consentimento ao longo de sua vida, da concessão à revogação. Para pessoas jurídicas, a norma admite que usuários diferentes deem o consentimento conforme a estrutura de representação da empresa.

Por que isso é um tema de auditoria e não só de tecnologia?

Porque a norma transforma deveres que viviam em contrato em controles com responsável, trilha e exigência de verificação, e porque atribui à diretoria e ao conselho a responsabilidade pelo monitoramento e pela conformidade. Ambiente de controle com dono no topo e processo testável é precisamente o que a auditoria avalia, em desenho e em eficácia operacional.

Quais controles a instituição deveria revisar primeiro?

O enquadramento das parcerias ao novo conceito, o ciclo de vida do consentimento específico, o monitoramento contínuo das parceiras com gatilhos de revisão, o procedimento testado de interrupção do compartilhamento em risco e a limitação do uso do dado ao propósito consentido. São esses os pontos em que a norma elevou a exigência.

Como começar?

O primeiro passo é um diagnóstico do ambiente de controle do Open Finance frente à Resolução Conjunta 21, para identificar lacunas de enquadramento, de consentimento, de monitoramento e de governança. A MERC estrutura esse diagnóstico e o plano de adequação ao caso concreto. O caminho é o contato.