A Resolução CMN 4.968, de 25 de novembro de 2021, é a norma que rege os sistemas de controles internos das instituições financeiras autorizadas pelo Banco Central do Brasil. Ela exige controles compatíveis com o porte e o perfil de risco da instituição, um relatório anual sobre a adequação e a efetividade desses controles, enviado ao conselho e às auditorias interna e externa, e um diretor responsável designado perante o Banco Central.
A 4.968 entrou em vigor em 1º de janeiro de 2022 e revogou a Resolução nº 2.554, de 1998, que regulou o tema por mais de vinte anos. A obrigação do diretor responsável vale desde 1º de janeiro de 2023 (art. 13). A mudança mais recente é de 2026: a verificação da qualidade das informações prestadas ao Banco Central saiu da 4.968 e ganhou norma própria, com prazo de adequação até 31 de dezembro de 2026.
A quem se aplica
Às instituições financeiras e demais instituições autorizadas pelo Banco Central, exceto administradoras de consórcio, instituições de pagamento, corretoras e distribuidoras de títulos e valores mobiliários e corretoras de câmbio (art. 1º, parágrafo único, com a redação da Resolução CMN 5.117). Para essas, a norma equivalente é a Resolução BCB nº 260, de 2022.
Três objetivos e três características
Os controles internos existem para três objetivos (art. 3º): desempenho, ligado à eficiência e à efetividade no uso dos recursos; informação, ligado à divulgação interna e externa de informações financeiras, operacionais e gerenciais úteis para decidir; e conformidade, ligado ao cumprimento de leis, regulamentos, políticas e códigos internos.
E precisam ser contínuos e efetivos, com atividades de controle para todos os níveis de negócio e todos os riscos, integrados à rotina das áreas e revisados periodicamente (art. 4º). Na nossa leitura, a expressão «integrar as atividades rotineiras» é a que mais pesa na supervisão: um controle que só aparece na véspera da auditoria não está integrado à rotina.
Os cinco blocos do art. 5º
O art. 5º organiza o conteúdo mínimo em cinco blocos. A estrutura lembra a dos cinco componentes do COSO: ambiente de controle, avaliação de riscos, atividades de controle, informação e comunicação, e monitoramento.
| Bloco | O que a norma pede (exemplos) |
|---|---|
| Cultura de controle (inciso I) | Responsabilidades definidas; obrigação de reportar problemas, desvios de conduta e violações; proibição de metas que incentivem riscos acima do aprovado; código de ética formalizado e divulgado. |
| Identificação e avaliação de riscos (II) | Avaliação contínua de fatores internos e externos; atualização dos controles para riscos novos; mitigação de riscos não tolerados; análise do potencial de fraude em todos os níveis. |
| Atividades de controle e segregação (III) | Políticas e procedimentos; aprovações para transações sensíveis; reconciliações; controle físico de ativos de valor; segregação de funções; controles sobre riscos sociais, ambientais e climáticos, PLD/FT e fraude. |
| Informação e comunicação (IV) | Canais de comunicação; fluxos de informação; sistemas confiáveis com trilha de auditoria; testes periódicos de segurança; planos de retomada e contingência, inclusive para serviços de terceiros. |
| Monitoramento (V) | Monitoramento contínuo; avaliações periódicas, inclusive pela auditoria interna; verificação de limites e correção de desvios; canais para relatar deficiências até o conselho. |
Dois pontos costumam passar despercebidos. O primeiro é a proibição de metas de desempenho que incentivem a tomada de riscos fora dos níveis definidos pela alta administração (inciso I, c), que liga controles internos à política de remuneração. O segundo é a fraude: a norma pede análise do potencial de fraude (inciso II, d) e controles de prevenção, detecção, investigação e correção (inciso III, k). Um canal de denúncias ajuda, mas a norma também pede que a instituição mostre como procura a fraude.
O relatório anual
O acompanhamento dos controles internos vira um relatório anual (art. 6º) com três conteúdos: a avaliação da adequação e da efetividade dos controles, as recomendações sobre deficiências com cronograma de saneamento e a manifestação dos responsáveis pelas áreas sobre as deficiências apontadas antes e o que fizeram para corrigi-las. O relatório vai ao conselho de administração (ou à diretoria, se não houver conselho) e às auditorias interna e externa, e fica à disposição do Banco Central por cinco anos.
O terceiro conteúdo é o mais trabalhoso. Ele exige rastrear cada deficiência ao longo do tempo, do apontamento ao fechamento, com a palavra do dono da área. Se as deficiências do ano anterior estão em planilhas diferentes de cada auditoria, o relatório tende a ficar incompleto.
Quem responde pelo quê
- Conselho e diretoria (art. 7º): envolvimento ativo, padrões éticos elevados, cultura de controle, estrutura organizacional adequada e recursos suficientes para que os controles funcionem com independência.
- Conselho (art. 8º): garantir que a diretoria identifique, meça, monitore e controle os riscos, que as falhas sejam corrigidas a tempo e que os controles sejam mantidos conforme a norma.
- Diretoria (art. 9º): implementar as diretrizes aprovadas pelo conselho e monitorar a adequação e a eficácia dos controles.
- Diretor responsável (art. 10): designado perante o Banco Central; pode acumular outras funções se não houver conflito de interesses.
Se o Banco Central constatar controles inadequados, pode determinar controles adicionais (art. 11).
Qualidade da informação: agora em norma própria
Durante 2025, a 4.968 teve uma alínea que pedia medidas para garantir que dados e documentos enviados ao Banco Central fossem corretos e entregues no prazo, com testes específicos de qualidade. A Resolução Conjunta nº 18, de 28 de novembro de 2025, revogou essa alínea a partir de 1º de janeiro de 2026 e criou a obrigação de uma política de qualidade das informações prestadas, com relatório de qualidade. As instituições têm até 31 de dezembro de 2026 para cumprir (art. 12 da Resolução Conjunta).
Para quem ainda não começou, a nossa sugestão é aproveitar o que já existe nos controles internos: a trilha de auditoria e a verificação de informações do art. 5º, IV, são a base natural da nova política.
Por onde começaríamos
- Matriz de riscos e controles por processo. Com dono, frequência e evidência de cada controle. Sem ela, não há como avaliar a efetividade que o art. 6º pede.
- Registro único de deficiências. Uma lista só, com origem (auditoria interna, externa, supervisor, autoavaliação), plano, prazo e status.
- Fraude como risco explícito. Cenários de fraude por processo e os controles que os cobrem.
- Política de qualidade da informação. O prazo da Resolução Conjunta 18 vence no fim deste ano.
No GlobalSuite®, o catálogo de controles é reutilizável entre normas, então o mesmo controle pode atender à 4.968, à SOX ou à ISO 27001 com uma única evidência. O módulo de Gestão de auditorias registra os apontamentos e acompanha os planos de ação até o fechamento, que é o que alimenta a parte de deficiências do relatório anual.
Fontes oficiais: Resolução CMN nº 4.968, de 25 de novembro de 2021, Resolução CMN nº 5.117, de 25 de janeiro de 2024, Resolução Conjunta nº 18, de 28 de novembro de 2025 e Resolução BCB nº 260, de 22 de novembro de 2022, no site do Banco Central do Brasil. Conteúdo revisado em outubro de 2026.
