Resolução BCB N° 386

RESOLUÇÃO BCB
Nº 386, DE 5 DE JUNHO DE 2024
Divulga a Política de Conformidade (Compliance) do Banco
Central do Brasil – PCO-BCB.
O
Comitê de Governança, Riscos e Controles – GRC do Banco Central do Brasil, em
sessão realizada em 5 de junho de 2024, no uso das atribuições previstas no
art. 139, inciso III, alínea “a”, do Regimento Interno do Banco Central do
Brasil, tendo em vista o disposto na Lei nº 13.709, de 14 de agosto de 2018, no
Decreto nº 9.203, de 22 de novembro de 2017, na Instrução Normativa Conjunta nº
1, de 10 de maio de 2016, do então Ministério do Planejamento, Orçamento e
Gestão e da Controladoria-Geral da União, na Portaria nº 1.089, de 25 de abril
de 2018, do então Ministro de Estado da Transparência e Controladoria-Geral da
União, alterada pela Portaria nº 57, de 4 de janeiro de 2019, da Controladoria-Geral
da União, e no Voto 112/2024–GRC, de 5 de junho de 2024,
R
E S O L V E :
Art.
1º  Fica divulgada a Política de
Conformidade (Compliance) do Banco Central do Brasil – PCO-BCB, na forma
anexa.
Art.
2º  Fica revogada a Resolução BCB nº 236,
de 27 de julho de 2022.
Art.
3º  Esta Resolução entra em vigor na data
de sua publicação.
ROBERTO DE
OLIVEIRA CAMPOS NETO
Presidente do
Banco Central do Brasil
 
POLÍTICA DE
CONFORMIDADE (COMPLIANCE) DO BANCO CENTRAL DO BRASIL – PCO-BCB, ANEXA À
RESOLUÇÃO BCB Nº 386, DE 5 DE JUNHO DE 2024
CAPÍTULO I
DISPOSIÇÕES
PRELIMINARES
Art.
1º  A gestão de conformidade é o processo
que visa a garantir que as atividades, executadas por servidores e demais
colaboradores, sejam conduzidas de acordo com o ordenamento normativo aplicável
à instituição.
Art.
2º  A gestão de conformidade engloba a
integridade, que é a conformidade específica para a prevenção, detecção,
punição e remediação de fraudes e atos de corrupção, além da adesão a valores,
princípios e normas de conduta, éticas e disciplinares, que visem ao sustento e
à priorização do interesse público.
Seção I
Das definições
Art.
3º  Para efeitos deste Regulamento, são
adotadas as seguintes definições:
I
- ação de conformidade: medida definida para tratamento de riscos de
conformidade e para prevenção, identificação e correção de procedimentos que
facilitem a ocorrência de falhas de conformidade;
II
- ativo de informação: os meios, os locais, os equipamentos e os sistemas de
armazenamento, transmissão e processamento da informação;
III
- colaborador: pessoa física que tenha vínculo funcional com o Banco Central do
Brasil ou preste serviços mediante contrato ou outro tipo de acordo congênere;
IV
- encarregado de dados pessoais: pessoa indicada pelo Banco Central do Brasil
para atuar como canal de comunicação entre a instituição, os titulares dos
dados e a Autoridade Nacional de Proteção de Dados – ANPD, sendo, neste
documento, referido como “encarregado”;
V
- incidente de segurança de dados pessoais: qualquer evento adverso confirmado,
relacionado à violação das propriedades de confidencialidade, integridade,
disponibilidade e autenticidade da segurança de dados pessoais, conforme
definido pela Resolução CD/ANPD nº 15, de 24 de abril de 2024;
VI
- instâncias de integridade: estruturas e arranjos institucionais que possuem
competências referentes à promoção da integridade;
VII
- integridade pública: alinhamento e aderência a valores, princípios e normas
para defender e priorizar o interesse público;
VIII
- plano de integridade: roteiro que operacionaliza o Programa de Integridade do
Banco Central do Brasil mediante a apresentação e consolidação de ações e
medidas com vistas à prevenção e à mitigação de vulnerabilidades;
IX
- política de conformidade: regras organizacionais que definem as finalidades, os
princípios e a estrutura de governança da gestão da conformidade no âmbito do
Banco Central do Brasil;
X
- privacidade na concepção: diretiva para que os meios de tratamento de dados
pessoais, o próprio tratamento, bem como os produtos, serviços, processos e
atividades incorporem, desde a concepção, medidas técnicas e organizacionais
adequadas para atender aos princípios da Lei nº
13.709, de 14 de agosto de 2018, de forma eficaz, levando em conta o estado da arte, o custo de
implementação e a natureza, o escopo, o contexto e os propósitos do tratamento,
bem como os riscos de probabilidade e gravidade variados para direitos e
liberdades das pessoas naturais representadas pelo tratamento;
XI
- privacidade por padrão: diretiva para que, independentemente de menção ou
determinação expressa, sejam adotadas medidas técnicas e organizacionais
adequadas para garantir que todos os produtos, serviços, processos e
atividades, existentes ou futuros, por padrão, somente viabilizem o tratamento
de dados pessoais necessários para cada finalidade específica permitida pela Lei
nº 13.709, de 14 de agosto de 2018, e segundo os princípios dessa lei, não permitindo acesso
indiscriminado sem controle de um responsável e a indivíduos indefinidos;
XII
- programa de integridade: medida administrativa que determina a formulação e a
adoção de política de integridade, de planos de integridade e de ações
relacionadas à sua continuidade;
XIII
- riscos de conformidade: eventos potenciais relacionados ao não cumprimento de
normas jurídicas e não jurídicas aplicáveis à instituição, englobando os riscos
para a integridade, que representam ações ou omissões que possam favorecer a
ocorrência de fraudes ou atos de corrupção e a não adesão a valores, princípios
e normas de conduta, éticas e disciplinares, que visem ao sustento e à
priorização do interesse público; e
XIV
- titular: pessoa natural a quem se referem os dados pessoais que são objeto de
tratamento.
Seção II
Dos objetivos
Art.
4º  A Política de Conformidade do Banco
Central do Brasil – PCO-BCB tem os seguintes objetivos:
I
- assegurar que as atividades do Banco Central do Brasil sejam conduzidas em
conformidade com o ordenamento jurídico aplicável à instituição;
II
- assegurar elevados padrões de conduta dos servidores e demais colaboradores;
III
- garantir a impessoalidade nos processos de tomada de decisão;
IV
- estabelecer abordagem estratégica para mitigar os riscos de conformidade;
V
- fortalecer a governança corporativa do Banco Central do Brasil; e
VI
- estimular uma cultura de conformidade.
Seção III
Dos princípios
Art.
5º  São princípios da PCO-BCB:
I
- ética;
II
- probidade;
III
- interesse público;
IV
- conformidade;
V
- integridade;
VI
- impessoalidade;
VII
- profissionalismo; e
VIII
- proteção de dados pessoais.
Seção IV
Das diretrizes
Art.
6º  São diretrizes da PCO-BCB:
I
- estabelecimento de responsabilidades institucionais, garantido o
comprometimento e o apoio da alta direção, para planejar, coordenar, liderar e
implantar ações de conformidade;
II
- estímulo à adoção e ao aprimoramento de controles que mitiguem riscos de
conformidade;
III
- integração e padronização das ações de conformidade, em respeito às
especificidades dos processos da cadeia de valor;
IV
- promoção da seleção, do desenvolvimento e da realização de avaliações
independentes da gestão de conformidade;
V
- promoção do monitoramento contínuo das ações de conformidade;
VI
- autonomia da gestão de conformidade;
VII
- geração, utilização e transmissão de informações relevantes, com qualidade e
de forma integrada, para assegurar a efetividade da gestão de conformidade;
VIII
- preservação da integridade pública e da boa reputação, ética e profissional;
IX
- promoção contínua da gestão de conformidade, adequada estrutura
organizacional e delegação de autoridade, eliminação de eventual conflito de
interesse, estímulo ao desenvolvimento de pessoas e avaliação dos resultados da
gestão de conformidade;
X
- fortalecimento das instâncias de integridade e a sua integração;
XI
- estímulo ao desenvolvimento de medidas que fomentem elevados padrões de
conduta dos servidores e demais colaboradores;
XII
- apoio à atuação das lideranças na promoção da integridade;
XIII
- manutenção de canais abertos para comunicação, esclarecimentos e denúncias
referentes à integridade;
XIV
- garantia de respostas adequadas às violações éticas e disciplinares; e
XV
- privacidade na concepção e privacidade por padrão.
CAPÍTULO II
COMPETÊNCIAS
E ATRIBUIÇÕES
Art.
7º  Cabe à Diretoria Colegiada a
responsabilidade pela gestão de conformidade, sem prejuízo dos deveres e
obrigações de servidores e colaboradores, no âmbito de suas atribuições.
Art.
8º  Compete ao Comitê de Governança,
Riscos e Controles – GRC:
I
- aprovar e revisar a PCO-BCB;
II
- avaliar periodicamente a execução da PCO-BCB;
III
- acompanhar a disseminação da cultura de conformidade;
IV
- aprovar e revisar o programa de integridade; e
V
- garantir que medidas corretivas sejam tomadas quando falhas de conformidade
forem identificadas.
Art.
9º  Compete ao Diretor de Assuntos
Internacionais e de Gestão de Riscos Corporativos  – Direx:
I
- propor ao GRC revisões na PCO-BCB; e
II
- propor ao GRC as estratégias do Banco Central do Brasil para a condução dos
processos relacionados à gestão de conformidade e, no caso dos temas de
integridade, em consonância com as deliberações do Comitê de Integridade do
Banco Central do Brasil – CIBCB.
Art.
10.  Compete ao CIBCB, no que se refere à
integridade:
I
- zelar pela observância da PCO-BCB;
II
- propor ao GRC revisões na PCO-BCB;
III
- coordenar a estruturação, a execução e o monitoramento do programa de integridade;
IV
- coordenar a elaboração e revisar o plano de integridade; e
V
- promover estratégias de ampla divulgação do programa de integridade.
Art.
11.  Compete ao Departamento de Riscos
Corporativos e Referências Operacionais – Deris, ressalvadas as competências
das demais unidades e componentes organizacionais:
I
- propor ao Direx revisões na PCO-BCB;
II
- elaborar os padrões de gestão de conformidade a serem utilizados pelas
unidades e demais componentes organizacionais, bem como definir periodicidade
para o envio de informações ao Deris;
III
- assegurar a integração das atividades relativas à função de conformidade com
a de controles internos da gestão, riscos e auditoria interna, por meio de
comunicações estruturadas e tempestivas, reuniões técnicas para harmonização de
metodologias e integração de sistemas, conforme o caso;
IV
- integrar as informações de conformidade e assegurar o envio tempestivo dessas
aos membros do GRC, chefes de unidades e demais componentes organizacionais,
conforme o caso;
V
- apoiar as discussões técnicas que envolvam a gestão de conformidade;
VI
- promover a adoção e a manutenção de boas práticas de conformidade;
VII
- promover a disseminação da cultura de conformidade, inclusive, auxiliando na
informação e na capacitação de todos os funcionários e dos prestadores de
serviços terceirizados relevantes, em assuntos relativos à conformidade;
VIII
- manter informações atualizadas sobre conformidade para o público interno e
externo;
IX
- coordenar avaliações e testes de aderência das unidades e demais componentes
organizacionais às obrigações aplicáveis aos seus processos de trabalho; e
X
- acompanhar as soluções dos pontos levantados no relatório de descumprimento
de dispositivos legais e regulamentares elaborado pela Auditoria Interna do
Banco Central do Brasil – Audit, por outros órgãos de controle e por auditor
independente.
Art.
12.  Compete à Procuradoria-Geral do
Banco Central – PGBC prestar consultoria e assessoramento jurídicos sobre os
temas tratados nesta Política de Conformidade, sempre que demandada pelas áreas
competentes.
Art.
13.  Compete às unidades e demais
componentes organizacionais do Banco Central do Brasil:
I
- garantir a conformidade na execução de seus processos de trabalho, segundo os
objetivos da PCO-BCB;
II
- reportar ao Deris as informações de conformidade, de acordo com a
periodicidade e os padrões de envio de informações definidos
institucionalmente;
III
- planejar, executar e monitorar ações de conformidade;
IV
- manter em adequado funcionamento as atividades de sua responsabilidade que
contribuam para a garantia da conformidade;
V
- comunicar eventuais falhas de conformidade tempestivamente ao Deris;
VI
- promover a disseminação da cultura de conformidade no âmbito da unidade ou
componente organizacional; e
VII
- designar Agente de Conformidade e Controles Internos – ACCI e alterno,
servidores detentores de função comissionada, responsáveis por centralizar a
comunicação com o Deris.
§
1º  Cabe ao chefe da unidade ou do
componente organizacional atestar as informações de conformidade.
§
2º  As unidades e demais componentes
organizacionais devem disponibilizar acesso do Deris às informações necessárias
ao fortalecimento da prevenção ou à detecção de falhas de conformidade.
§
3º  O exercício das competências do caput
também deve ter por objeto as atividades de empresas contratadas pelo Banco
Central do Brasil e relacionadas aos correspondentes contratos.
Art.
14.  Compete às unidades e demais
componentes organizacionais que atuam como instâncias de integridade implantar
as ações e medidas previstas no plano de integridade em sua área de
competência, de acordo com o Regimento Interno do Banco Central do Brasil.
CAPÍTULO III
PROGRAMA DE
INTEGRIDADE
Art.
15.  O programa de integridade será
operacionalizado a partir de um plano de integridade.
Art.
16.  As atividades desempenhadas no
âmbito do programa de integridade poderão contar com a participação de outras
áreas do Banco Central do Brasil, a convite do CIBCB.
CAPÍTULO IV
PLANO DE
INTEGRIDADE
Art.
17.  O plano de integridade poderá
contemplar, entre outras, ações referentes aos seguintes temas:
I
- padrões de ética e regras de conduta para servidores e demais colaboradores,
inclusive concernentes a conflito de interesses e nepotismo;
II
- comunicação e treinamento;
III
- tratamento de denúncias;
IV
- práticas de integridade no âmbito de processos de licitação e contratação;
V
- medidas de responsabilização;
VI
- transparência ativa e acesso à informação; e
VII
- controles internos e cumprimento de recomendações de auditoria.
Art.
18.  O plano de integridade será
elaborado a partir do mapeamento de riscos para a integridade e do exame das
ações de integridade existentes.
Parágrafo
único.  O plano de integridade contemplará
ações e medidas com vistas à prevenção e à mitigação de vulnerabilidades, com
indicação dos respectivos prazos de implantação e a definição dos responsáveis.
Art.
19.  As ações e medidas propostas para
constar no plano de integridade deverão ser submetidas à apreciação e à
aprovação do CIBCB.
Art.
20.  O monitoramento do plano de integridade
será realizado trimestralmente pelo CIBCB.
Parágrafo
único.  O CIBCB poderá solicitar aos
responsáveis pelas medidas do plano de integridade o encaminhamento de
informações sobre o andamento de suas ações.
Art.
21.  A implantação das medidas do plano
de integridade será reportada, anualmente, pelo secretário do CIBCB ao GRC.
CAPÍTULO V
PROTEÇÃO DE
DADOS PESSOAIS
Art.
22.  Compete ao GRC avaliar e revisar a
estrutura de governança da proteção de dados pessoais.
Art. 23.  Compete ao encarregado:

I
- aceitar reclamações e comunicações dos titulares, prestar esclarecimentos e
adotar providências;
II
- receber comunicações da ANPD e adotar providências;
III
- orientar os colaboradores, servidores ou contratados a respeito das práticas
a serem tomadas em relação à proteção de dados pessoais;
IV - providenciar a comunicação à ANPD e ao titular de ocorrência
de incidente de segurança de dados pessoais;

V
- coordenar o tratamento de incidente de segurança de dados pessoais;
VI
- propor ao GRC melhorias na estrutura de governança da proteção de dados
pessoais; e
VII
- validar comunicados, recomendações e relatórios.
Parágrafo único.  As
comunicações, os incidentes de segurança de dados pessoais e seus tratamentos,
mencionados neste artigo, deverão ser informados imediatamente ao Deris, ao Departamento
de Tecnologia da Informação – Deinf e ao Departamento de Segurança – Deseg.

Art.
24.  Compete ao Deris:
I
- propor a elaboração e a revisão de políticas e procedimentos de proteção de
dados pessoais, quando necessário, aos responsáveis técnicos;
II
- propor ações para o aprimoramento, se for o caso, do inventário de bases de
dados pessoais;
III
- coordenar o gerenciamento dos riscos organizacionais, dos controles internos
da gestão e de não conformidades referentes à proteção de dados pessoais;
IV
- coordenar a elaboração e a revisão de relatórios internos e externos
referentes à proteção de dados pessoais;
V
- coordenar a elaboração de recomendações de proteção de dados pessoais à
Diretoria Colegiada, às unidades e demais componentes organizacionais; e
VI
- coordenar a elaboração e a revisão das páginas de proteção de dados pessoais
na internet e na intranet do Banco Central do Brasil.
Art.
25.  Compete ao Deinf:
I
- gerir o inventário de bases de dados pessoais;
II
- agir, em seu âmbito de atuação, em conjunto com as demais unidades e
componentes organizacionais, para o tratamento de incidentes de segurança de
dados pessoais; e
III
- revisar a implementação das diretivas de privacidade na concepção e de privacidade
por padrão.
Art. 26.  Compete ao Deseg agir
em seu âmbito de atuação, em conjunto com as demais unidades e componentes
organizacionais, para o tratamento de incidentes de segurança de dados pessoais.

Art.
27.  Compete ao Departamento de
Infraestrutura e Gestão Patrimonial – Demap coordenar o gerenciamento de
cláusulas contratuais que vinculam terceiros.
Art.
28.  Compete ao Departamento de
Atendimento Institucional – Deati coordenar o gerenciamento de demandas de
titulares de dados pessoais.
Parágrafo
único.  Sempre que houver necessidade do
exercício das competências do encarregado previstas no art. 23, as demandas
formuladas com base na Lei nº 13.709, de 14 de agosto de
2018,
serão imediatamente encaminhadas a essa autoridade, salvo quando já houver sua
orientação para o respectivo tratamento.
Art.
29.  Compete a todas as unidades e demais
componentes organizacionais:
I
- manter atualizadas as informações que compõem o inventário de base de dados
pessoais;
II
- identificar, avaliar e promover o tratamento de riscos organizacionais e de
não conformidades referentes à proteção de dados pessoais;
III
- identificar, avaliar e promover a melhoria dos controles internos referentes
à proteção de dados pessoais;
IV
- adotar medidas, sempre que necessário, inclusive a avaliação da relevância de
incidente de segurança de dados pessoais, nas comunicações à ANPD e ao titular afetado,
bem como nas comunicações recebidas da ANPD;
V
- adotar providências para o tratamento de incidentes de segurança de dados
pessoais em ativos de informação que sejam de sua responsabilidade; e
VI
- implementar as diretivas de privacidade na concepção e de privacidade por
padrão.
Parágrafo
único. O incidente de segurança de dados pessoais pode acarretar risco ou dano
relevante aos titulares quando for avaliado ao menos no nível alto de
relevância, segundo a metodologia de avaliação de incidentes de segurança de
dados pessoais desenvolvida pelo Deris.
CAPÍTULO VI
DISPOSIÇÕES FINAIS
Art.
30.  As unidades que recepcionam e tratam
denúncias de integridade por meio dos canais institucionais devem restringir,
quando for o caso, o acesso a informações de identificação do denunciante de
boa-fé, como medidas para mitigar riscos de assédio ou retaliação.
Art.
31.  A revisão da PCO-BCB dar-se-á a cada
três anos ou em período inferior, sempre que necessário.