Política de Monitoramento de Conformidade

1. Introdução

1.1. Propósito

Esta Política de Monitoramento de Conformidade (“Política”) estabelece diretrizes, regras e responsabilidades para o monitoramento contínuo, avaliação, auditoria e supervisão das obrigações legais, regulatórias e normativas aplicáveis à Openbanx, especialmente no que se refere ao Sistema de Gestão de Privacidade da Informação (PIMS), ao Sistema de Gestão de Segurança da Informação (SGSI), à Lei Geral de Proteção de Dados (LGPD), às Resoluções do Conselho Monetário Nacional (CMN) e do Banco Central do Brasil (Bacen), bem como às regras de governança e segurança do Open Finance Brasil.

O propósito central desta Política é garantir que todos os processos, sistemas, operações e tratamentos de dados pessoais — incluindo dados financeiros compartilhados via Open Finance — estejam permanentemente em conformidade com:

• ISO/IEC 27701:2025 (cláusulas 9 e 10);
• ISO/IEC 27001:2022 (monitoramento e auditoria);
• LGPD (arts. 46 a 50 – segurança, boas práticas e governança);
• Resolução CMN nº 4.893/21 (segurança cibernética e Open Finance);
• Resolução CMN nº 4.968/21 (compartilhamento de dados);
• normativos técnicos do Open Finance Brasil.

1.2. Escopo

Esta Política se aplica a:

• todos os colaboradores, estagiários, prestadores de serviços e fornecedores da Openbanx;
• todas as áreas envolvidas em tratamento de dados pessoais, dados financeiros ou qualquer operação vinculada ao ecossistema Open Finance;
• todos os sistemas, APIs, bases de dados, componentes de infraestrutura e ferramentas que armazenam, processam ou transmitem dados pessoais, dados sensíveis ou dados obtidos via Open Finance;
• todos os processos sujeitos à supervisão da ANPD, do Bacen, do CMN e dos demais órgãos reguladores.

1.3. Princípios fundamentais

O monitoramento de conformidade será conduzido observando os seguintes princípios:

1. Transparência – evidenciar, registrar e demonstrar conformidade regulatória.
2. Rastreabilidade – garantir logs completos, íntegros e auditáveis.
3. Accountability – evidenciar responsabilidade em todos os níveis organizacionais.
4. Privacidade e Segurança by Design – aplicação preventiva de requisitos de privacidade e segurança.
5. Melhoria Contínua – atualização permanente do PIMS e do SGSI.
6. Proporcionalidade e Necessidade – monitoramento adequado aos riscos envolvidos no tratamento.

2. Papéis e responsabilidades

2.1. Encarregado (DPO)

• Monitorar o cumprimento da LGPD e coordenar verificações de privacidade.
• Avaliar riscos de privacidade e emitir pareceres.
• Integrar evidências de conformidade ao PIMS.

2.2. Comitê de Segurança e Privacidade (CSP)

• Aprovar critérios, indicadores e planos de auditoria.
• Avaliar riscos críticos e incidentes relevantes.
• Exercer a supervisão geral do PIMS, do SGSI e do Open Finance.

2.3. Área de Segurança da Informação

• Monitorar continuamente eventos de segurança e riscos cibernéticos.
• Revisar logs, alertas, eventos e trilhas de auditoria.
• Implementar ferramentas de SIEM, SOAR e controles técnicos mandatórios.

2.4. Áreas de Negócio e Tecnologia

• Garantir conformidade operacional com políticas internas e normativas regulatórias.
• Manter evidências de execução dos controles.
• Reportar desvios ou irregularidades ao CSP.

2.5. Fornecedores e terceiros críticos

• Atender aos requisitos de Bacen, LGPD e Open Finance aplicáveis.
• Permitir auditorias e avaliações de conformidade.

3. Processo de monitoramento de conformidade

3.1. Monitoramento contínuo

A Openbanx executará monitoramento contínuo para garantir aderência aos controles previstos na ISO 27701, ISO 27001, LGPD, CMN e Open Finance, incluindo:

1. avaliação diária de logs de sistemas críticos;
2. monitoramento automatizado de riscos, APIs, consentimentos e acessos;
3. verificação de integridade e disponibilidade de serviços Open Finance;
4. acompanhamento regulatório de novas normas da ANPD, do Bacen, do CMN e do Open Finance Brasil.

3.2. Indicadores e métricas (KPIs/KRIs)

Serão monitorados indicadores específicos, incluindo:

1. tempo de resposta a solicitações de titulares (LGPD);
2. conformidade com SLAs regulatórios do Bacen;
3. taxa de incidentes de privacidade e segurança;
4. taxa de revogação, expiração e gestão de consentimentos no Open Finance;
5. proporção de controles implementados do Anexo A da ISO 27701;
6. status de planos de ação corretiva abertos e concluídos.

Os indicadores serão revisados trimestralmente pelo CSP.

3.3. Auditorias internas

1. Auditorias internas serão realizadas anualmente, no mínimo.
2. A auditoria abrangerá:
   • conformidade com a ISO 27701 e a ISO 27001;
   • obrigações da LGPD e da ANPD;
   • serviços e APIs do Open Finance;
   • controles definidos no PIMS e no SGSI.
3. Os resultados serão consolidados em relatório e submetidos ao CSP e à Diretoria.

3.4. Auditorias de terceiros e avaliações regulatórias

A Openbanx permitirá auditorias das instituições participantes do Open Finance, bem como:

1. avaliações de segurança por instituições transmissoras e receptoras;
2. auditorias dos organismos certificadores ISO;
3. solicitações de supervisão do Bacen ou da ANPD.

4. Monitoramento técnico e operacional

4.1. Logs e trilhas de auditoria

1. Todos os acessos, transações, chamadas de API e operações de dados serão registrados.
2. Os logs devem ser íntegros, imutáveis e armazenados conforme requisitos regulatórios (mínimo de 5 anos para dados financeiros).
3. Alertas automáticos devem ser configurados para:
   • tentativas de acesso indevido;
   • escalonamento de privilégios;
   • múltiplas falhas de autenticação;
   • comportamento anômalo em APIs do Open Finance.

4.2. Conformidade com padrões do Open Finance

1. Monitoramento contínuo das APIs conforme especificações técnicas vigentes.
2. Validação periódica de consentimento, autenticação e escopo.
3. Verificação de aderência à jornada de usuário (CX) exigida pelo Open Finance Brasil.

5. Ações corretivas e preventivas

1. Desvios identificados devem ser registrados e avaliados quanto ao risco.
2. Deve ser conduzida análise de causa raiz (RCA).
3. Planos de ação corretiva serão definidos com prazos e responsáveis.
4. A eficácia das ações será verificada no ciclo de auditorias.

6. Revisão e vigência

Esta Política será revisada pelo Comitê de Segurança e Privacidade:

• anualmente; ou
• sempre que houver mudanças significativas nas normas do Bacen, ANPD, CMN, exigências do Open Finance ou estrutura organizacional.

7. Referências

Esta Política foi elaborada com base nas seguintes normas e diretrizes:

1. ISO/IEC 27701:2025 — Privacy Information Management System (PIMS).
2. ISO/IEC 27001:2022 — Information Security Management Systems.
3. Lei nº 13.709/2018 — Lei Geral de Proteção de Dados (LGPD).
4. Resolução CMN nº 4.893/2021 — Requisitos de segurança cibernética e Open Finance.
5. Resolução CMN nº 4.968/2021 — Compartilhamento de dados no Open Finance.
6. Regulamentos técnicos, manuais operacionais e guias do Open Finance Brasil.
7. Comunicações, Ofícios e Circulares vigentes do Banco Central do Brasil.