Banco Central altera procedimento de adesão ao Pix

Resumo Em 25.4.2023, o Banco Central do Brasil (BCB) divulgou duas novas instruções normativas, a IN BCB 372/2023 e a IN BCB 373/2023, ambas entraram em vigor na última terça-feira, 2.5.2023. Essas e outras mudanças destacadas abaixo aperfeiçoam as funcionalidades do Pix para fins de segurança, buscando reforçar o compromisso do BCB com a melhoria e confiança do sistema de pagamento. IN BCB 372/2023 Em linhas gerais, a IN BCB 372/2023 altera a Instrução Normativa BCB 290/2022 sobre os procedimentos necessários aos testes formais de homologação no DICT, validação de QR Codes e de prestação de serviços de iniciação de transação de pagamentos, entre outros. O objetivo da IN BCB 372/2023 foi alterar a regra para geração de QR Codes – a partir de 2.5.2023, a oferta de QR Codes dinâmicos e de forma automatizada, para pessoas jurídicas, deverá a ser exclusivamente realizada por meio da API PIX. Para refletir essa nova regra, os Anexos I e II da IN BCB 290/2022 foram atualizados e integralmente substituídos pelos modelos dispostos na IN BCB 372/2023. ​​​​​ IN BCB 373/2023 A IN BCB 373/2023, por sua vez, alterou a redação da IN BCB 291/2022, a qual dispõe sobre os procedimentos necessários para adesão ao PIX. A principal novidade da IN BCB 373/2023 é a inclusão do questionário de autoavaliação em segurança como documento adicional a ser apresentado pelas instituições em processo de adesão ao PIX, o qual deverá ser devidamente assinado pelo diretor responsável pela política de segurança cibernética. O BCB incluiu à redação original da IN BCB 291/2022 os Anexos VI a XI com diferentes modelos de questionários de autoavaliação em segurança com aplicações a diferentes instituições, a depender do tipo de instituição (provedoras de conta transacional, liquidantes especiais, sem autorização para funcionamento, iniciadores de transação de pagamento) e forma de acesso (direta ou indiretamente) pretendida pelas aderentes ao DICT e ao SPI. Ainda, os Anexos I a IV foram alterados e substituídos para refletirem o novo texto da Resolução. Outro ponto incluído pela nova regulamentação é a obrigação dos participantes do PIX de armazenar evidências do cumprimento do questionário de autoavaliação de segurança apresentado ao BCB por, no mínimo, 5 anos. Além disso, se solicitado pelo BCB, as instituições deverão fornecer essas informações no prazo e na forma indicados pelo BCB. Dentre os pontos disciplinados pela IN BCB 373/2023, destacamos, também que:

• as instituições com processo de adesão já em andamento deverão cadastrar no UNICAD, além do diretor responsável pelo PIX, um diretor responsável pela sua política segurança cibernética;
• o prazo de 5 meses para conclusão da etapa homologatória, prorrogável por 2 meses – conforme já válido antes das novas disposições do BCB, poderá ser automaticamente prorrogado para instituições em processo de adesão como participantes diretos do SPI, se houver prorrogação do prazo dos testes de adesão;
• novas hipóteses de reprovação na etapa homologatória foram incluídas, em especial, referentes à participação indireta dos aderentes e descumprimento de critérios de indicação de participantes diretos não autorizados/não aprovados nos testes de homologação;
• instituições em regime de transição não estão sujeitas ao prazo de homologação de 5 meses, desde que manifestem sua elegibilidade ao regime de transição no preenchimento do formulário de adesão ao PIX;
• instituições com pedidos de adesão ao PIX submetidos até 30.4.2023, em etapa cadastral ou homologatória, deverão enviar ao DECEM, por meio do Protocolo Digital, o questionário de autoavaliação em segurança, o qual ficará sujeito à aprovação do DECEM para conclusão da etapa aplicável; e
• instituições cuja etapa homologatória fora concluída antes de 30.4.2023, estão dispensadas do envio do questionaria de autoavaliação em segurança.

Outras mudanças Além disso, o BCB anunciou que o Pix ganhará reforço de segurança com aprimoramentos nas informações armazenadas pelo BCB para fins de segurança e que são compartilhadas com as instituições financeiras e instituições de pagamento participantes do Pix, que as utilizam nos mecanismos para prevenção à fraude. As mudanças aperfeiçoam duas funcionalidades disponíveis aos participantes do Pix: a notificação de infração e a consulta de informações vinculadas às chaves Pix para fins de segurança. A notificação de infração é a funcionalidade que permite que as instituições façam uma marcação das chaves e usuários sempre que houver suspeita de fraude na transação. Esse registro passará a contar com novos campos, possibilitando especificar a razão da notificação, por exemplo, golpe, estelionato, invasão da conta, coação, entre outros; e identificar o tipo de fraude cometido, como, por exemplo, usuário que abriu uma conta sob falsidade ideológica ou emprestou indevidamente sua conta para alguma fraude (“conta laranja”). A outra funcionalidade aperfeiçoada é a consulta das informações de segurança armazenadas no âmbito do Pix. O BCB reformulou os dados a serem disponibilizados às instituições no âmbito da análise antifraude de transações Pix, promovendo o acesso a um conjunto mais relevante de informações, incluindo, por exemplo, a quantidade de infrações do tipo conta laranja ou falsidade ideológica relacionada ao usuário ou chave Pix, quantidade de participantes que aceitaram notificação de infração daquele usuário ou chave, quantidade de contas vinculadas a determinado usuário, entre outros, bem como serão apresentadas informações relacionadas a um maior período de tempo. Atualmente são disponibilizados dados de 6 meses e passará a contemplar dados de até 5 anos. Essa consulta pode ser feita pelas instituições por chave Pix ou pelo usuário (CPF/CNPJ), 24 horas por dia, todos os dias do ano. Essas outras medidas foram construídas em conjunto com o Grupo Estratégico de Segurança (GE-SEG), formado no âmbito do Fórum Pix, e entrarão em vigor em 5 de novembro deste ano, porque demandarão ajustes nos sistemas, tanto por parte do BCB como das instituições participantes do Pix. Para mais informações, entre em contato com: Gabriela Ponte Machado