A Resolução CMN 4.595, de 28 de agosto de 2017, obriga bancos e demais instituições financeiras autorizadas pelo Banco Central do Brasil a ter uma política de conformidade (compliance) aprovada pelo conselho de administração, com uma função de conformidade independente das áreas de negócio e segregada da auditoria interna. Quem executa essa função testa a aderência da instituição às leis, aos regulamentos e às recomendações do supervisor, e entrega ao conselho um relatório pelo menos uma vez por ano.
A norma tem 14 artigos e segue em vigor, com duas mudanças de alcance. Desde 1º de março de 2024, corretoras e distribuidoras de títulos e valores mobiliários e corretoras de câmbio saíram do escopo (Resolução CMN 5.117). Elas, as administradoras de consórcio e as instituições de pagamento seguem a Resolução BCB nº 65, que desde março de 2026 também alcança as prestadoras de serviços de ativos virtuais. E desde 1º de janeiro de 2025 a remuneração do pessoal de compliance é tratada na Resolução CMN 5.177.
A palavra que mais pesa é «testar»
O art. 7º lista o que a função faz: testar e avaliar a aderência às normas e às recomendações do supervisor, apoiar o conselho e a diretoria, capacitar empregados e terceirizados relevantes, acompanhar os pontos de descumprimento apontados pelo auditor independente e elaborar o relatório anual com resultados, recomendações e providências da administração. Parte disso pode ser feita por especialistas externos, mas a responsabilidade continua com o conselho.
Na nossa leitura, o primeiro verbo é o que separa um programa de compliance de verdade de um programa só documental. Testar pede um plano de testes priorizado por risco, critérios e evidência do que foi verificado. Uma área que apenas distribui normas internas e responde consultas dificilmente sustenta o relatório anual do inciso V.
A norma não obriga a criar uma unidade específica: fala em «unidade responsável, quando constituída» e deixa ao Banco Central o poder de exigi-la caso a caso (art. 13, I). Mas as atividades do art. 7º precisam ser executadas por alguém, e a política do art. 5º tem de dizer por quem, com que recursos, com que independência e por quais canais os resultados chegam ao conselho e ao comitê de auditoria. Política e relatórios ficam à disposição do Banco Central por no mínimo cinco anos (art. 11).
Independência, em duas regras
A unidade de conformidade fica totalmente segregada da auditoria interna (art. 6º), porque a auditoria precisa poder avaliar também o trabalho do compliance. E, pelo art. 4º da Resolução CMN 5.177, o desempenho de quem faz conformidade, riscos, controles e auditoria interna deve ser medido pelos objetivos da própria função, e não pelo resultado das áreas que controla. Vale confirmar que as metas do time já seguem essa regra.
Um inventário para três normas
O risco de conformidade deve ser gerenciado de forma integrada com os demais (art. 2º, parágrafo único), o que leva à Resolução CMN 4.557. E a conformidade é um dos objetivos que a Resolução CMN 4.968 fixa para os controles internos. Por isso começaríamos por um único inventário de obrigações regulatórias, com dono, data de revisão e os controles que atendem cada uma. A conformidade testa os controles, riscos usa o mesmo inventário para medir o risco de conformidade e a auditoria interna avalia os dois.
No GlobalSuite®, o módulo de Gestão de conformidade trabalha com uma biblioteca regulatória e um catálogo de controles reutilizável entre normas, e o Compliance Agent aponta lacunas antes da auditoria.
Fontes oficiais: Resolução nº 4.595, de 28 de agosto de 2017 (texto consolidado), Resolução CMN nº 5.117, de 25 de janeiro de 2024, Resolução CMN nº 5.177, de 26 de setembro de 2024 e Resolução BCB nº 65, de 26 de janeiro de 2021, no site do Banco Central do Brasil. Conteúdo revisado em outubro de 2026.
