Bacen Res. 4.893/2021: Resiliência Cibernética

A Resolução Bacen nº 4.893/2021 — que trata da política de segurança cibernética e dos requisitos para contratação de serviços de processamento e armazenamento de dados — está em pleno vigor desde 1º de julho de 2021. Complementada pela Circular Bacen nº 3.909/2018 e pela Resolução CMN nº 4.658/2018, ela exige que toda instituição financeira que opere no Brasil mantenha um arcabouço documentado de gestão de risco de TI que abranja segurança cibernética, reporte de incidentes, testes de resiliência e supervisão de fornecedores de tecnologia. Para qualquer equipe que processe documentos no âmbito de suas operações — verificação de identidade, montagem de dossiês de crédito, conformidade KYC/PLD, processamento de sinistros — as consequências são significativas e imediatas.

Este artigo é fornecido apenas para fins informativos e não constitui aconselhamento jurídico, financeiro ou regulamentar. As referências regulamentares são exatas à data de publicação. Consulte um profissional qualificado para orientação adaptada à sua situação.

Na União Europeia, o Regulamento DORA (Regulamento (UE) 2022/2554) estabelece obrigações semelhantes para entidades financeiras. Empresas brasileiras com operações na UE devem observar ambos os arcabouços regulatórios.

Este artigo examina o que a regulamentação brasileira de resiliência cibernética muda para os fluxos de verificação documental, por que os processos manuais criam lacunas regulatórias e como a validação automatizada ajuda as instituições financeiras a cumprir os requisitos.

O que a regulamentação brasileira abrange

A Resolução Bacen nº 4.893/2021 se aplica a todas as instituições autorizadas a funcionar pelo Bacen — bancos, cooperativas de crédito, fintechs, instituições de pagamento, corretoras de valores e distribuidoras. A norma exige uma política de segurança cibernética compatível com o porte, perfil de risco e modelo de negócios da instituição.

O Bacen estabelece requisitos de rastreabilidade completa para processamento documental — uma validação automatizada com trilha de auditoria integrada é a forma mais eficaz de atender às exigências de rastreabilidade e detecção de anomalias sem aumento linear de equipe de compliance.

Escopo da regulamentação

O arcabouço regulatório brasileiro de resiliência cibernética para o setor financeiro assenta em cinco pilares:

Cronograma regulatório

• 1º de julho de 2021: Resolução Bacen nº 4.893/2021 entrou em vigor.
• 2022-2024: Bacen intensificou fiscalizações de segurança cibernética e aplicou multas.
• 2025: Circular Bacen nº 3.978/2020 (PLD/FT) reforçou as exigências de rastreabilidade para processos KYC.
• 2026: Bacen sinalizou revisão dos requisitos de resiliência cibernética para alinhar com padrões internacionais, incluindo referências ao DORA europeu.

O Bacen é a autoridade competente nacional para supervisão das instituições financeiras no Brasil. A CVM supervisiona as entidades do mercado de capitais.

Quem é afetado?

A regulamentação aplica-se a todas as instituições autorizadas pelo Bacen — um escopo substancialmente amplo.

A última categoria — prestadores de serviços de TI — merece atenção especial. A Resolução 4.893/2021 exige que a instituição contratante assuma responsabilidade pela conformidade do fornecedor e mantenha controles de supervisão efetivos. Isso impacta diretamente empresas de tecnologia que fornecem software de verificação documental ao setor financeiro.

Gestão de risco de TI: o que a regulamentação exige para o processamento documental

A Resolução Bacen nº 4.893/2021 coloca responsabilidade direta na alta administração de cada instituição financeira pela política de segurança cibernética — incluindo os sistemas de verificação documental — tornando a conformidade uma questão de governança corporativa, não apenas de operações de TI.

Arcabouço de governança (arts. 2º-7º)

O artigo 2º exige que a instituição implemente política de segurança cibernética compatível com seu porte, perfil de risco e modelo de negócios. Essa política deve abranger: procedimentos e controles para reduzir a vulnerabilidade a incidentes; mecanismos de proteção de dados sensíveis; registro, análise e controle dos efeitos de incidentes; e programas de capacitação dos funcionários.

O artigo 7º exige revisão anual da política de segurança cibernética e aprovação pelo conselho de administração ou, na sua ausência, pela diretoria.

Aplicação à verificação documental: qualquer processo que utilize ferramentas digitais para validar documentos — OCR, extração de dados, controles de autenticidade, cruzamento com bases de dados — enquadra-se no escopo da política de segurança cibernética e do arcabouço de gestão de risco de TI.

Por que a validação manual cria lacunas de conformidade

O custo real da validação manual de documentos deixou de ser apenas uma questão de eficiência operacional — é agora uma questão de conformidade regulatória.

Gestão de incidentes e verificação documental

A regulamentação exige classificação, documentação e reporte de incidentes relevantes de segurança cibernética — uma falha no processo de validação documental que comprometa a abertura de contas ou a confidencialidade de dados de identidade constitui um incidente reportável.

No Brasil, o Bacen é a autoridade competente para supervisão das instituições financeiras, com poder de exigir acesso imediato aos registros de processamento documental e impor medidas corretivas nos casos em que a rastreabilidade seja insuficiente. Um incidente é classificado como relevante quando afeta a continuidade de funções críticas, a confidencialidade, integridade ou disponibilidade de dados, ou serviços prestados a clientes.

Aplicação à verificação documental: uma falha no processo de validação documental pode constituir um incidente reportável em diversos cenários: validação errônea de documentos fraudulentos levando à abertura de conta para pessoa inelegível; indisponibilidade do sistema impedindo o processamento de dossiês; vazamento de documentos de identidade armazenados sem criptografia adequada; erro algorítmico sistemático no motor de validação não detectado durante período prolongado.

Gestão de risco de fornecedores de TI (arts. 18-26)

Controles sobre prestadores de serviços

A Resolução 4.893/2021 exige que as instituições financeiras gerenciem o risco de seus fornecedores de TI como componente integral de seu arcabouço de segurança cibernética. A obrigação inclui manter registro atualizado de todos os serviços contratados, com detalhamento da natureza dos dados processados.

Impacto na seleção de ferramentas de verificação documental

Se você utiliza qualquer ferramenta de terceiros para verificação documental — uma plataforma de validação SaaS, uma API de OCR, um serviço de autenticação, um fornecedor de cruzamento com bases de dados — esse fornecedor enquadra-se no escopo da gestão de risco de fornecedores. Você deve:

1. Registrar o fornecedor formalmente no inventário de serviços de TI contratados.
2. Avaliar os riscos associados à falha ou degradação do serviço do fornecedor.
3. Verificar as cláusulas contratuais cobrindo segurança, auditabilidade, localização de dados, níveis de serviço, direitos de acesso e disposições de rescisão.
4. Definir uma estratégia de saída caso o fornecedor falhe, seja adquirido ou se torne não conforme.
5. Testar a resiliência em caso de indisponibilidade do fornecedor.

Checklist de conformidade para verificação documental

Governança e arcabouço de segurança cibernética

• A verificação documental está identificada como função dependente de TI no arcabouço de gestão de risco.
• Os ativos de informação relacionados com a verificação estão inventariados e classificados.
• A alta administração aprovou a política de segurança cibernética que abrange a verificação documental.
• A política de segurança cibernética é revista pelo menos anualmente e após incidentes relevantes.

Rastreabilidade e trilhas de auditoria

• Cada documento processado gera uma trilha de auditoria completa (recebimento, processamento, resultado, decisão).
• As trilhas de auditoria possuem carimbo de data/hora utilizando uma fonte de tempo confiável.
• Os resultados de verificação são reprodutíveis e determinísticos.
• As trilhas de auditoria são retidas conforme os requisitos aplicáveis (mínimo 5 anos para dossiês KYC/PLD, conforme a Lei nº 9.613/1998).

Gestão de incidentes

• Os incidentes de verificação documental são registrados no registro de incidentes de segurança.
• Existe um procedimento de classificação e escalonamento para incidentes de verificação.
• Incidentes relevantes desencadeiam o processo de reporte ao Bacen.

Gestão de risco de fornecedores

• Todos os fornecedores de serviços de verificação documental estão registrados no inventário de serviços contratados.
• Os contratos incluem cláusulas exigidas pela regulamentação (auditabilidade, localização de dados, SLAs, direitos de rescisão, acesso para supervisores).
• Uma estratégia de saída está definida para cada fornecedor crítico.

A convergência PLD/FT e resiliência cibernética: um duplo imperativo documental

A regulamentação de resiliência cibernética não opera isoladamente. Ela converge com as obrigações de PLD/FT reforçadas pela Resolução Bacen nº 44/2021 e pela Lei nº 9.613/1998, criando um duplo imperativo de conformidade para as instituições financeiras:

• A legislação de PLD/FT impõe verificação confiável de documentos de identidade, rastreabilidade completa do processo KYC e retenção de evidências por um mínimo de 5 anos.
• A regulamentação de segurança cibernética impõe que os sistemas utilizados para essas verificações sejam eles próprios resilientes, auditados, rastreados e testados.

Uma regulamentação trata o "quê" (quais documentos verificar, com que padrão de confiabilidade), enquanto a outra trata o "como" (com quais sistemas, sob qual governança, com que nível de resiliência). Ambas convergem na mesma conclusão: a verificação documental manual já não atende aos padrões regulatórios.

Para empresas brasileiras com operações na UE, a convergência é ainda mais exigente, pois devem observar simultaneamente o arcabouço brasileiro e o DORA europeu.

Para entidades no setor de seguros, essa convergência é particularmente aguda. Os dossiês de sinistros envolvem tanto verificações de identidade (âmbito PLD/FT) quanto fluxos de processamento de TI críticos (âmbito segurança cibernética).

Preparar sua organização

As instituições financeiras no Brasil têm um arcabouço regulatório claro, mas a implementação continua sendo uma tarefa substancial. Veja as prioridades para 2026:

1. Mapear seus fluxos de processamento documental: identificar cada ponto onde documentos são recebidos, verificados, validados e arquivados.
2. Avaliar suas lacunas de rastreabilidade: para cada processo, determinar se você consegue reconstruir a cadeia de processamento completa de um documento submetido há 6 meses, 2 anos, 5 anos.
3. Registrar seus fornecedores de verificação: adicionar os fornecedores de ferramentas de verificação documental ao inventário de serviços contratados e verificar os contratos.
4. Automatizar onde mais importa: priorizar a automatização para processos de verificação de alto volume e criticidade (onboarding KYC, abertura de contas, montagem de dossiês de crédito, processamento de sinistros).
5. Testar sua resiliência: integrar os fluxos de verificação documental no programa de testes de continuidade de negócios.
6. Capacitar sua alta administração: a Resolução 4.893/2021 exige que a diretoria mantenha conhecimento suficiente sobre risco cibernético.

---

A verificação documental não é mais um processo periférico de back-office. Sob a regulamentação de segurança cibernética do Bacen, é uma componente central da resiliência operacional digital de sua instituição. As instituições financeiras que automatizam agora — com soluções que oferecem trilhas de auditoria completas, processamento determinístico e auditabilidade nativa — ganham uma vantagem estrutural no cumprimento dos requisitos regulatórios.

A CheckFile ajuda as instituições financeiras a navegar essa transição: validação documental automatizada, trilhas de auditoria abrangentes, integração via API e conformidade com os requisitos de gestão de fornecedores. Explore os nossos preços ou entre em contato com a nossa equipe para uma avaliação dos seus processos de verificação documental face aos requisitos regulatórios.

Para uma visão completa, consulte nosso guia completo conformidade documental.

Saiba mais

Para aprofundar este tema, consulte o nosso guia completo sobre verificação documental.

---

Saiba mais

Para aprofundar este tema, consulte o nosso guia completo sobre verificação documental.

---

Perguntas frequentes

A partir de quando é obrigatório cumprir a Resolução Bacen 4.893/2021?

A Resolução Bacen nº 4.893/2021 está em vigor desde 1º de julho de 2021. Todas as obrigações relativas à política de segurança cibernética, gestão de incidentes, plano de continuidade de negócios e supervisão de fornecedores de TI são executáveis desde essa data. Empresas brasileiras com operações na UE devem observar também o DORA europeu (Regulamento (UE) 2022/2554), aplicável desde 17 de janeiro de 2025.

Por que a verificação manual de documentos cria lacunas de conformidade?

A regulamentação exige rastreabilidade completa de cada etapa do processamento documental, reprodutibilidade dos resultados e detecção sistemática de anomalias, requisitos que a verificação manual não consegue atender por natureza. Os processos manuais não geram registros sistemáticos com carimbo de data/hora, os resultados variam entre operadores e os erros só são descobertos a posteriori, enquanto a validação automatizada registra cada passo, é determinística e emite alertas em tempo real.

A regulamentação se aplica a empresas de tecnologia que fornecem software de verificação documental a bancos?

Sim. A Resolução 4.893/2021 exige que as instituições financeiras contratantes assumam responsabilidade pela conformidade de seus fornecedores de TI, incluindo fornecedores de software de verificação documental, plataformas SaaS de validação e processadores de dados. As instituições devem registrar esses fornecedores no inventário de serviços contratados, verificar cláusulas contratuais relativas a auditabilidade e localização de dados, e definir estratégias de saída em caso de falha ou não conformidade.

Como a regulamentação de segurança cibernética e a de PLD/FT se complementam?

Os dois arcabouços regulatórios criam um duplo imperativo de conformidade: a legislação de PLD/FT (Lei 9.613/1998, Resolução Bacen 44/2021) define o quê verificar (quais documentos, com que padrão de confiabilidade, com conservação de evidências por cinco anos), enquanto a regulamentação de segurança cibernética (Resolução 4.893/2021) define o como verificar (com quais sistemas, sob qual governança, com que nível de resiliência e auditabilidade). A convergência dos dois instrumentos conduz à mesma conclusão prática: a verificação documental manual já não atende aos padrões regulatórios aplicáveis ao setor financeiro brasileiro.

Nossa plataforma processa mais de 180.000 documentos por mês no setor financeiro com uma precisão de OCR de 98,7% e uma disponibilidade de 99,97%.

---

Este artigo é fornecido com caráter informativo e não constitui aconselhamento jurídico, financeiro ou regulatório. Para situações específicas, consulte um profissional qualificado.