BC anuncia novas ações de segurança para instituições financeiras que operam o PIX

O Banco Central (BC) anunciou, nesta sexta-feira (26), novas ações voltadas ao reforço da segurança do Sistema Financeiro Nacional por meio de uma resolução que altera o regulamento do PIX.
Desde o início de setembro, um conjunto de medidas vem sendo apresentado em resposta aos recentes ataques do crime organizado a instituições financeiras e empresas de pagamento.
No começo de setembro, Banco Central endureceu regras para dificultar uso do sistema financeiro pelo crime organizado e criou um teto para o PIX
O texto apresentado hoje estabelece mudanças no ecossistema da ferramenta, como:
exclusão do participante (instituição financeira) que não atenda a exigência de patrimônio líquido mínimo de R$ 5 milhões, sem o qual haverá a perda da condição de participante do serviço;
aumento de 12 para 60 meses do prazo para que os participantes sancionados com a pena de exclusão do Pix possam apresentar novo pedido de adesão;
permissão para que os participantes (instituições financeiras) estabeleçam limites de valor por transação com base exclusivamente no perfil de risco e comportamento do cliente, desvinculando a obrigatoriedade de ter o mesmo limite da TED;
ampliação do bloqueio cautelar para pessoas jurídicas, anteriormente aplicável apenas a pessoas físicas;
obrigatoriedade de que instituições que criem ou aceitem notificação para marcação de fraude transacional restrinjam a iniciação e o recebimento de transações PIX e rejeitem pedido de registro, de portabilidade e de reinvindicação de posse de chave PIX em qualquer conta transacional mantida por aquele cliente naquela instituição.
Relembre medidas já anunciadas
No começo de setembro, a autoridade monetária já havia anunciado medidas para fortalecer o sistema financeiro.
Crescimento do PIX e falhas de segurança: por que ataques a bancos têm se repetido?
Após ataques de hackers, BC anunciou limites para transferências via PIX e regras mais rígidas para autorização de novas instituições
📄Entre as medidas já divulgadas naquele momento estão:
Limites de transferências
O valor de transferências via TED e PIX foi limitado em R$ 15 mil para instituições de pagamento não autorizadas e as que se conectam à Rede do Sistema Financeiro Nacional via Prestadores de Serviços de Tecnologia da Informação (PSTIs).
A limitação poderá ser removida quando o participante e seu respectivo PSTI atenderem aos novos processos de controle de segurança.
Transitoriamente, os participantes que atestarem a adoção de controles de segurança da informação poderão ser dispensados da limitação por até 90 dias.
Prévia autorização para novas instituições de pagamentos
A autoridade monetária informou que nenhuma instituição de pagamento poderá começar a operar sem prévia autorização.
“Além disso, o prazo final para que instituições de pagamento não autorizadas a funcionar pelo BC solicitem autorização para funcionamento será antecipado de dezembro de 2029 para maio do ano que vem”, acrescentou o BC.
Medidas incluíram mudanças em limites das transações e autorização de empresas para atuarem usando o sistema de pagamentos.
Getty Images via BBC
Controles adicionais no PIX
O Banco Central informou que haverá controles adicionais às instituições de pagamento.
“Somente integrantes dos segmentos S1, S2, S3 ou S4 que não sejam cooperativas poderão atuar como responsáveis no PIX por instituições de pagamento não autorizadas. Os contratos vigentes deverão ser adequados em até 180 dias”, explicou o BC é época do anúncio.
🔎 A segmentação em S1, S2, S3 e S4 é uma classificação do BC para as instituições financeiras, conforme o porte dessas entidades. O objetivo da segmentação é a aplicação de regras de regulamentação e fiscalização proporcionais ao tamanho e ao risco de cada instituição.
Certificação técnica
O BC também informou que poderá requerer “certificação técnica ou avaliação emitida por empresa qualificada independente que ateste o cumprimento dos requisitos autorizativos”.
“A instituição de pagamento que já estiver prestando serviços e tenha seu pedido de autorização indeferido deverá encerrar suas atividades em até 30 dias”, disse o BC.
Capital mínimo para prestadores de serviços de tecnologia
Também foram elevados, de acordo com a instituição, os requisitos e controles para o credenciamento das Provedoras de Serviços de Tecnologia da Informação (PSTIs).
Os requerimentos de governança e de gestão de riscos foram ampliados. Passa-se a exigir capital mínimo de R$ 15 milhões.
O descumprimento, segundo o BC, estará sujeito à aplicação de medidas cautelares ou até ao descredenciamento. Os PSTIs em atividade têm até quatro meses para se adequarem.