Regulatório e supervisão

Open finance

Avaliação dos controles de participante do open finance: consentimento, compartilhamento de dados, segurança das interfaces e conciliação.

Open finance é o compartilhamento padronizado de dados e de serviços entre instituições participantes, mediante consentimento do cliente. Para o participante, isso significa operar interfaces de programação com requisitos de disponibilidade e de segurança, manter registro íntegro de cada consentimento concedido, renovado ou revogado, e responder pelo tratamento dos dados recebidos. O arranjo tem estrutura de governança própria, manuais técnicos versionados e obrigação de conformidade com as versões vigentes. A instituição participante responde perante o Banco Central pelo cumprimento, mesmo quando a implementação técnica está com fornecedor, o que torna o controle sobre o terceiro parte do controle sobre a própria obrigação.

Falha típica: o consentimento existe na tela e não existe no registro. Escopo de dados concedido que não bate com o dado efetivamente compartilhado, revogação processada com atraso, expiração não tratada e log que não permite reconstruir quem acessou o quê e quando. Outro campo de risco é o versionamento dos manuais. As especificações evoluem e a instituição precisa acompanhar prazos de adoção e descontinuidade de versões, com processo formal de leitura e implantação. Em iniciação de transação de pagamento, entra a conciliação: ordem iniciada, autorização do cliente, liquidação e registro contábil precisam fechar, e a tratativa de falha precisa ter regra e prazo.

A MERC testa a trilha do consentimento de ponta a ponta. Toma uma amostra de consentimentos e verifica escopo, prazo, renovação, revogação e coerência com os dados efetivamente trafegados. Examina controle de acesso, registro de logs, tratamento de erro nas interfaces e o processo de acompanhamento das versões dos manuais. Em iniciação de pagamento, reconstrói a conciliação da ponta contábil. Quando o cliente precisa de relatório de asseguração sobre esses controles, a MERC executa com a estrutura técnica de auditoria da casa. A firma não valida conformidade baseada apenas na certificação do fornecedor da plataforma. O responsável perante o regulador é a instituição participante.

O que examinamos

• Trilha completa de consentimento e revogação
• Escopo concedido frente ao dado efetivamente compartilhado
• Controle de acesso e integridade dos logs
• Acompanhamento de versões dos manuais técnicos
• Conciliação da iniciação de pagamento até a contabilidade
• Governança sobre o fornecedor da implementação

Norma aplicável

O open finance foi instituído por resolução conjunta do Conselho Monetário Nacional e do Banco Central, com requisitos operacionais detalhados em normas do Banco Central e em manuais técnicos versionados do arranjo.

Entregável

Relatório de avaliação dos controles de open finance, com testes de consentimento, acesso e conciliação, achados priorizados e plano de correção.