14 controles mínimos da BCB 538 e CMN 5.274: evidências
Controle por controle: o que a norma diz, o que mostrar, onde coletar a evidência e o erro que mais enfraquece a prova.
Resumo rápido
As Resoluções CMN nº 5.274/2025 e BCB nº 538/2025 transformaram uma frase genérica em 14 controles mínimos nomeados. O novo e-book gratuito da LC SEC mostra, para cada um deles, que evidência reunir e onde coletá-la.
A exigência mudou de patamar. O que antes aparecia como uma frase única no § 2º do art. 3º virou uma lista de 14 procedimentos e controles mínimos, com requisitos detalhados nos §§ 7º a 12 para seis deles. As Resoluções CMN nº 5.274/2025 e BCB nº 538/2025, publicadas no Diário Oficial da União de 22 de dezembro de 2025, alteraram a Resolução CMN nº 4.893/2021 e a Resolução BCB nº 85/2021.
O prazo de adequação das instituições em funcionamento era 1º de março de 2026 (art. 2º das duas resoluções) e já passou. A pergunta agora é outra: a instituição consegue demonstrar, com evidência extraída do sistema, que cada controle existe e funciona?
Para ajudar nessa travessia, a LC SEC disponibiliza o novo e-book gratuito "BCB 538 e CMN 5.274: os 14 controles mínimos e as evidências de adequação", que organiza cada controle em quatro partes: o que a norma diz, o que mostrar, onde coletar e o erro mais comum.
O que você encontra no material
O guia percorre os 14 incisos, os reforços para Pix, STR e RSFN e as obrigações de teste, relatório e guarda. Três recortes dão a medida do conteúdo:
Evidência por controle, não só política
Para cada controle, o material indica o que apresentar e onde buscar: provedor de identidade, cofre de credenciais privilegiadas, SIEM, console de backup, API gateway, HSM. Também aponta armadilhas recorrentes, como entregar apenas a política de senhas sem a extração que mostra quem está realmente coberto por múltiplos fatores.
Os seis reforços para Pix, STR e RSFN
Quem faz comunicação eletrônica de dados na RSFN precisa atender ao art. 3º-A, I, alíneas "a" a "f": múltiplos fatores no acesso administrativo a Pix e STR, isolamento físico e lógico desses ambientes, monitoramento de credenciais e certificados no SPI, validação de integridade fim a fim antes da assinatura digital e vedação de acesso de prestadores às chaves privadas.
Teste de intrusão, relatório anual e guarda
O art. 22-A exige periodicidade mínima anual e execução com independência e imparcialidade por pessoa natural ou empresa especializada contratada. Os resultados entram no relatório anual com data-base de 31 de dezembro, apresentado ao conselho ou à diretoria até 31 de março do ano seguinte, e a documentação fica à disposição do Banco Central por cinco anos, contados da execução (art. 23, X).
Para quem foi escrito
O conteúdo foi pensado para CISOs, compliance, auditoria interna e TI de bancos, fintechs e instituições de pagamento. Quem está sob a Resolução CMN nº 4.893/2021 acompanha a CMN nº 5.274/2025; instituições de pagamento, corretoras, distribuidoras, corretoras de câmbio e prestadoras de serviços de ativos virtuais, alcançadas pela Resolução BCB nº 85/2021, acompanham a BCB nº 538/2025. Como a numeração dos artigos é a mesma, o guia cita o artigo uma vez e as duas resoluções.
Como acessar
As evidências sugeridas são recomendação prática da LC SEC, não uma lista oficial do Banco Central: as resoluções definem o controle, não o formato da prova. O material tem caráter informativo, não substitui parecer jurídico e o download é gratuito.
Baixe gratuitamente: BCB 538 e CMN 5.274: os 14 controles mínimos e as evidências de adequação
Baixe o e-book gratuito
Receba o guia completo com os 14 controles, os reforços de Pix, STR e RSFN e o checklist de evidências para organizar a adequação da sua instituição.
Conheça: Pentest, Compliance e normas, Plataforma Orbisec.
Compartilhe nas redes sociais:
