Por Paulo Baldin – Sócio Diretor de Segurança da Informação (CISO) e Amanda Marques – Consultora de Segurança da Informação
A CLA Brasil está acompanhando de perto a evolução regulatória do sistema financeiro brasileiro e as mudanças que impactam o ambiente normativo e operacional das instituições.
Nesse contexto, destaca-se a publicação da Instrução Normativa BCB nº 597, de 26 de março de 2025, que representa um marco relevante para a consolidação do ecossistema de duplicatas escriturais no Brasil, ao estabelecer diretrizes e requisitos regulatórios que impactam diretamente a estrutura de controles, os processos operacionais e os mecanismos de gestão de riscos e conformidade das instituições envolvidas.
Embora publicada em março de 2025, a Instrução Normativa ganha relevância à medida que o ecossistema de duplicatas escriturais avança para as etapas de homologação e comprovação operacional exigidas pelo Banco Central. Após um ano da publicação da norma, as instituições precisam demonstrar, na prática, que seus controles são capazes de atender às exigências regulatórias, comprovando por meio de testes, evidências e auditoria independente níveis adequados de segurança da informação, resiliência operacional, interoperabilidade e gestão de riscos.
Seu objetivo principal é estabelecer os requisitos para os ciclos de testes homologatórios necessários para que o Banco Central autorize as entidades responsáveis pelas atividades de escrituração, registro e depósito centralizado. Contudo, seu alcance vai muito além da homologação. Ao exigir evidências de segurança, resiliência, interoperabilidade e capacidade operacional, a norma sinaliza que a autorização regulatória não dependerá apenas do funcionamento dos sistemas, mas também da maturidade dos controles que sustentam sua operação. Como consequência, áreas como Segurança da Informação, Continuidade de Negócios, Gestão de Riscos e Resiliência Operacional passam a ocupar posição estratégica nesse processo.
Segurança da Informação como requisito para autorização operacional
Um dos aspectos mais relevantes da Instrução Normativa é a exigência explícita de testes voltados à segurança dos sistemas eletrônicos e do ambiente de interoperabilidade. O regulador determina que os planos de testes homologatórios contemplem a verificação da segurança dos ambientes tecnológicos — incluindo análises de vulnerabilidades e testes de intrusão — com identificação clara de falhas que possam impedir a entrada em produção.
Na prática, o Banco Central deixa claro que a simples implementação de controles de segurança não é suficiente. É necessário demonstrar sua eficácia por meio de evidências objetivas e verificáveis.
Essa abordagem aproxima o setor financeiro das melhores práticas internacionais. A ISO 27001 estabelece os requisitos para um sistema de gestão de segurança da informação baseado em risco, com controles auditáveis e melhoria contínua. O NIST Cybersecurity Framework organiza a maturidade em segurança em torno de cinco funções — identificar, proteger, detectar, responder e recuperar — que dialogam diretamente com a lógica de testes e evidências exigida pela IN 597/2025. Já o Digital Operational Resilience Act (DORA), adotado pela União Europeia, exige de instituições financeiras testes periódicos de resiliência operacional digital — incluindo testes de intrusão avançados — e gestão formal de riscos de terceiros, praticamente os mesmos pilares que o Banco Central agora formaliza para o ecossistema de duplicatas escriturais. Esse conjunto de referências dialoga diretamente com o arcabouço já consolidado no Brasil pela Resolução CMN nº 4.893/2021, que trata da política de segurança cibernética das instituições autorizadas a funcionar pelo Banco Central e foi recentemente atualizada pela Resolução CMN nº 5.274/2025, com prazo de adequação em 1º de março de 2026. Os requisitos de segurança da IN 597/2025 não surgem isolados: somam-se a uma exigência regulatória já vigente, reforçando a governança cibernética como tema transversal entre diferentes normativos do BCB.
A importância da interoperabilidade segura
A norma também dedica atenção especial a um ponto sensível: a interoperabilidade entre os diferentes participantes do ecossistema. Na prática, interoperabilidade é a capacidade de sistemas eletrônicos de diferentes instituições — escrituradoras, registradoras, depositárias e demais plataformas do ecossistema — se comunicarem e operarem de forma integrada, trocando informações sobre uma mesma duplicata escritural de maneira consistente, segura e rastreável, independentemente de quem a originou ou de qual instituição a está processando.
Historicamente, muitos incidentes de segurança ocorrem não dentro das organizações, mas nas interfaces de integração entre empresas, provedores de serviço e plataformas compartilhadas. A Instrução Normativa reconhece esse risco ao tratar a interoperabilidade como uma frente de teste própria, distinta da validação de cada sistema isoladamente. Além dos testes homologatórios individuais de cada signatária, a norma exige testes homologatórios de integração, conduzidos entre os sistemas eletrônicos de todas as instituições participantes, para assegurar o funcionamento do ambiente compartilhado como um todo.
Essa frente de testes precisa cobrir cenários funcionais de ponta a ponta — do fluxo esperado às condições de erro —, testes de carga e desempenho dimensionados para suportar o volume projetado de operações, testes específicos de segurança do ambiente de interoperabilidade e a validação dos mecanismos de resiliência e dos procedimentos de portabilidade entre participantes. A norma vai além: estabelece que devem existir critérios objetivos para o encerramento da participação de uma signatária no ciclo de testes corrente, caso problemas em seus próprios sistemas ou procedimentos coloquem em risco a execução dos testes de integração — o que evidencia que a fragilidade de um único participante pode comprometer todo o ambiente compartilhado.
A exigência também alcança as plataformas com as quais os sistemas das signatárias precisam se integrar, como os sistemas de emissão de notas fiscais eletrônicas e as plataformas de transmissão e controle de mensagens, além dos contratos com prestadores de serviços a terceiros envolvidos na operação do ambiente, que precisam estar formalizados e aderentes à regulamentação vigente.
Sob a ótica da segurança, isso significa que as organizações deverão adotar mecanismos robustos de gestão de identidade e acesso, autenticação forte entre sistemas, criptografia de dados e monitoramento contínuo das integrações — inclusive das vulnerabilidades introduzidas por terceiros e por prestadores de serviço contratados para sustentar o ambiente compartilhado.
A segurança deixa de ser um requisito isolado da instituição e passa a ser uma responsabilidade compartilhada entre todos os participantes do ecossistema.
Continuidade de Negócios e Resiliência Operacional
A Instrução Normativa também reforça a necessidade de validação dos planos de continuidade de negócios. Os testes homologatórios devem contemplar cenários de indisponibilidade, testes de recuperação e avaliação dos mecanismos de resiliência operacional, com critérios objetivos de sucesso e evidências documentadas da capacidade de recuperação.
Essa exigência está alinhada ao movimento global de fortalecimento da resiliência operacional digital, no qual o foco não é apenas evitar incidentes, mas garantir a capacidade de continuar operando mesmo diante de falhas, ataques cibernéticos ou indisponibilidades de infraestrutura.
Para as áreas de Segurança da Informação, isso amplia a necessidade de integração entre Gestão de Continuidade de Negócios (GCM), Disaster Recovery (DR), Cyber Resilience e Gestão de Crises.
Gestão de Fraudes e Incidentes como componente obrigatório
A Instrução Normativa também exige que os procedimentos operacionais submetidos aos testes homologatórios contemplem aspectos como gestão de incidentes operacionais, gestão de fraudes, gestão de contestações, processos de conciliação e atendimento aos participantes do ecossistema. Essa exigência demonstra que o Banco Central reconhece a estreita relação entre risco operacional, risco cibernético e risco de fraude em ambientes financeiros cada vez mais digitais e interconectados.
Como consequência, as organizações precisarão demonstrar não apenas a existência desses processos, mas também sua efetividade na prática. Isso inclui a capacidade de detectar, analisar e responder a incidentes, monitorar continuamente eventos de segurança, tratar fraudes digitais, correlacionar informações provenientes de diferentes fontes e manter uma estrutura consistente de governança dos riscos tecnológicos. Mais do que controles isolados, a norma reforça a necessidade de uma abordagem integrada capaz de sustentar a operação e a confiança no ecossistema de duplicatas escriturais.
Evidências e Auditoria Independente
Um dos pilares mais importantes da regulamentação é a exigência de emissão de Relatórios de Asseguração Razoável por empresa de auditoria independente registrada na Comissão de Valores Mobiliários (CVM).
Isso significa que todos os testes executados deverão produzir evidências auditáveis e rastreáveis. Para as equipes de Segurança da Informação, torna-se fundamental manter registros de testes, evidências de correção de falhas, logs de execução e documentação formal dos controles implementados.
A governança da informação passa a ser tão importante quanto a própria tecnologia.
O que as organizações devem fazer agora
As instituições que pretendem operar no ecossistema de duplicatas escriturais devem iniciar imediatamente uma avaliação de maturidade em segurança e resiliência operacional. Cinco frentes prioritárias:
- Diagnosticar a maturidade atual: revisar o programa de Segurança da Informação frente aos requisitos da IN BCB nº 597/2025, estabelecendo uma linha de base clara.
- Testar e validar os controles: executar análises de vulnerabilidade e testes de intrusão independentes, e revisar os planos de continuidade de negócios e recuperação de desastres à luz dos cenários exigidos pela norma.
- Mapear riscos de interoperabilidade: identificar integrações críticas e dependências de terceiros, pontos onde os riscos de interoperabilidade se concentram.
- Estruturar monitoramento e resposta contínuos: implementar mecanismos de detecção, gestão de incidentes e resposta a fraudes alinhados aos procedimentos operacionais exigidos.
- Organizar evidências para auditoria: estruturar processos formais de gestão de evidências e consolidar a documentação necessária para a comprovação perante a auditoria independente.
Conclusão
A Instrução Normativa BCB nº 597/2025 demonstra a evolução da visão regulatória do Banco Central em relação à segurança e à resiliência operacional. O foco deixa de estar apenas na conformidade documental e passa a exigir comprovação prática da capacidade tecnológica, operacional e de segurança das instituições participantes.
Para os profissionais de Segurança da Informação, a Instrução Normativa representa uma oportunidade estratégica de fortalecer controles, elevar a maturidade dos processos e posicionar a cibersegurança como elemento essencial para a estabilidade e confiança do ecossistema financeiro digital brasileiro.
Mais do que atender a um requisito regulatório, as organizações deverão demonstrar que possuem capacidade efetiva de proteger informações, sustentar operações críticas e responder adequadamente aos riscos de um ambiente cada vez mais interconectado. É nesse ponto que a experiência da CLA Brasil em segurança da informação, resiliência operacional e auditoria independente se torna um diferencial para acelerar a jornada de conformidade e maturidade das instituições participantes.
Na CLA Brasil, contamos com um time multidisciplinar de especialistas em Segurança da Informação, Resiliência Operacional, Gestão de Riscos e Auditoria Independente, pronto para apoiar sua organização em cada etapa da adequação à Instrução Normativa BCB nº 597/2025 — do diagnóstico de maturidade à comprovação de conformidade exigida pelo Banco Central.
Se a sua instituição atua ou pretende atuar no ecossistema de duplicatas escriturais, converse com quem entende do tema e transforme a exigência regulatória em vantagem competitiva.
