Política de Gestão de Mudanças Organizacionais

1. Introdução

1.1. Propósito

Esta Política de Gestão de Mudanças Organizacionais (“Política”) estabelece as diretrizes, procedimentos e responsabilidades para avaliação, aprovação, implementação, monitoramento e documentação de mudanças estruturais, tecnológicas, operacionais, processuais ou regulatórias que possam impactar os serviços, processos, fluxos de dados, segurança da informação, privacidade ou infraestrutura da Openbanx.

O objetivo principal é garantir que todas as mudanças sejam conduzidas de forma:

• segura;
• controlada;
• rastreável;
• auditável;
• em conformidade com normas e leis aplicáveis.

Incluindo:

• ISO/IEC 27001:2022;
• ISO/IEC 27701:2025;
• LGPD;
• Resolução CMN nº 4.893/21;
• padrões técnicos do Open Finance Brasil;
• normativos do Bacen e da ANPD.

1.2. Escopo

Esta Política se aplica a:

• todas as áreas da Openbanx, incluindo tecnologia, jurídico, segurança, produtos, atendimento e operações;
• todos os processos organizacionais sujeitos a mudança;
• sistemas, APIs, integrações Open Finance, bancos de dados, infraestrutura, canais de comunicação e fluxos de tratamento de dados pessoais;
• mudanças internas e externas que afetem privacidade, segurança, operação ou requisitos regulatórios.

1.3. Princípios fundamentais

A gestão de mudanças observará os seguintes princípios:

1. Segurança e Privacidade by Design;
2. riscos devidamente avaliados e documentados;
3. transparência e rastreabilidade total;
4. minimização de risco operacional e regulatório;
5. segregação de funções;
6. conformidade com Open Finance e Bacen;
7. reversibilidade (rollback) documentada.

2. Papéis e responsabilidades

2.1. Comitê de Mudanças Organizacionais (CMO)

• Avaliar, aprovar ou reprovar mudanças.
• Priorizar mudanças de acordo com o impacto e a urgência.
• Garantir o alinhamento com regulamentações, privacidade e segurança.

2.2. Gestor de Mudanças

• Conduzir o processo de avaliação e controle.
• Garantir o fluxo de aprovação formal.
• Registrar todas as evidências, riscos e validações.

2.3. Segurança da Informação

• Avaliar riscos de segurança e impactos no SGSI e no PIMS.
• Validar se a mudança atende aos controles ISO 27001, ISO 27701 e Open Finance.
• Aprovar mudanças críticas que afetem controles ou infraestrutura.

2.4. DPO (Encarregado)

• Avaliar o impacto sobre privacidade, ciclo de vida dos dados e atendimento à LGPD.
• Exigir Relatório de Impacto (DPIA/LIA) quando necessário.

2.5. Equipes técnicas (Dev, Infra, DevOps, Suporte)

• Implementar mudanças conforme práticas seguras e aprovadas.
• Elaborar plano de rollback e testes.
• Garantir que as alterações sejam registradas em sistemas de versionamento ou controle formal.

2.6. Área Jurídica / Compliance

• Verificar impactos legais, regulatórios ou contratuais.
• Garantir conformidade com Bacen, CMN, ANPD e Open Finance.

3. Tipos de mudança

3.1. Mudanças ordinárias

Alterações planejadas com impacto moderado ou baixo:

• ajustes de processos internos;
• revisões menores de sistemas;
• atualizações não críticas.

3.2. Mudanças significativas

Alterações com impacto potencial em:

• dados pessoais ou sensíveis;
• serviços regulados pelo Bacen;
• APIs do Open Finance;
• ambientes de produção;
• arquitetura ou infraestrutura.

Podem exigir:

• avaliação de impacto regulatório;
• avaliação de impacto à privacidade (DPIA);
• comunicação ao Bacen ou a parceiros Open Finance.

3.3. Mudanças emergenciais

Alterações imediatas para correção de falhas críticas:

• incidentes de segurança;
• vazamento de dados;
• inoperância de APIs;
• problemas de disponibilidade de serviços.

Exigem:

• execução rápida;
• documentação posterior;
• validação obrigatória pelo CMO.

4. Processo de gestão de mudanças

4.1. Solicitação formal

Toda mudança deve ser registrada em sistema formal contendo:

1. descrição da mudança;
2. justificativa;
3. escopo e áreas impactadas;
4. avaliação preliminar de riscos;
5. responsáveis técnicos;
6. necessidade de DPIA ou avaliação de privacidade;
7. evidências de testes e validações (quando aplicável).

4.2. Avaliação de riscos

A avaliação deve abranger:

• riscos operacionais;
• riscos cibernéticos;
• riscos regulatórios;
• riscos de privacidade;
• riscos sobre dados Open Finance;
• riscos de continuidade do negócio.

4.3. Aprovação

O fluxo de aprovação deve observar:

• Gestor de Mudanças;
• Segurança da Informação;
• DPO (para mudanças que envolvam dados pessoais);
• equipes técnicas responsáveis;
• Comitê de Mudanças (para mudanças significativas).

4.4. Planejamento e testes

O plano deve incluir:

1. ambiente de testes segregado;
2. evidências de testes funcionais e de segurança;
3. plano de comunicação interna;
4. plano de rollback;
5. cronograma detalhado.

4.5. Implementação

A execução deve ocorrer:

• em janelas de manutenção autorizadas;
• com monitoramento contínuo;
• conforme procedimentos aprovados.

4.6. Pós-implementação

Deve incluir:

• verificação de estabilidade;
• validação de segurança;
• atualização de documentação;
• comunicação aos usuários ou parceiros, quando aplicável;
• registro de lições aprendidas.

5. Rastreabilidade e auditoria

A rastreabilidade deve incluir:

• logs de aprovação;
• evidências técnicas;
• histórico de alterações;
• versionamento de código;
• atualização de inventários de ativos e dados;
• registros centralizados para auditoria interna e regulatória.

Em conformidade com:

• ISO 27001;
• ISO 27701;
• Open Finance (trilhas obrigatórias);
• Bacen (logs imutáveis).

6. Revisão e vigência

Esta Política será revisada pelo Comitê de Segurança e Privacidade (CSP) e pelo Comitê de Mudanças Organizacionais:

• anualmente; ou
• sempre que houver alteração relevante em frameworks ISO, normativos da ANPD, Bacen, CMN ou padrões do Open Finance Brasil.

7. Referências

1. ISO/IEC 27001:2022 – A.6, A.8, A.12 (Mudanças, Operações Seguras).
2. ISO/IEC 27701:2025 – Requisitos de privacidade em mudanças organizacionais.
3. LGPD – arts. 46 a 50 e princípios de privacy by design/default.
4. Resolução CMN nº 4.893/2021 – Segurança cibernética.
5. Resolução CMN nº 4.968/2021 – Compartilhamento de dados (Open Finance).
6. Padrões técnicos, funcionais e regulatórios do Open Finance Brasil.
7. Diretrizes da ANPD (Relatório de Impacto, Segurança, Governança).