IN BCB 590 e Unicad: checklist do fornecedor antifraude

A Instrução Normativa BCB 590/2025 obriga instituições autorizadas pelo Banco Central a registrar no Unicad quem contrataram para compartilhar dados sobre indícios de fraude. Se você contrata ou fornece esse serviço, isso virou item de due diligence.

Normas mudam: confirme a redação vigente no sítio do Banco Central antes de aplicar qualquer item deste texto a um contrato.

A mudança parece burocrática e não é. Ela transforma uma relação comercial privada, entre a instituição e o seu fornecedor de antifraude, em vínculo declarado ao regulador, com prazo e responsável. Vínculo declarado é vínculo auditável.

O que a norma determina, em termos exatos

A Instrução Normativa BCB nº 590, de 5 de fevereiro de 2025, alterou a Instrução Normativa BCB nº 330, de 2022, para criar o procedimento de registro, no sistema Unicad, das informações cadastrais da prestação de serviço de compartilhamento de dados sobre indícios de fraude. Os registros vão no módulo de vínculos.

O conteúdo do registro, previsto no art. 10-C incluído na IN BCB 330/2022, é enxuto: CNPJ da contratante, CNPJ da contratada, data de início do serviço, data de término quando houver e observações quando necessário. O prazo é de até dez dias após a contratação ou, no caso de não contratação, após essa decisão. A instituição que opta por não contratar empresa informa o próprio CNPJ nos campos de contratante e de contratada. A norma entrou em vigor em 3 de março de 2025 e passou a produzir efeitos em 2 de maio de 2025, data fixada pela Instrução Normativa BCB nº 592, de 19 de março de 2025.

A origem do serviço é a Resolução Conjunta CMN e BCB nº 6, de 23 de maio de 2023, que disciplinou o compartilhamento de dados sobre indícios de fraude entre instituições autorizadas. A IN BCB 590/2025 não cria a obrigação de compartilhar: cria a obrigação de dizer ao regulador com quem você faz isso.

Um ponto passa despercebido com frequência. O § 2º do art. 5º da Resolução Conjunta nº 6 considera esse serviço relevante para efeito da regulamentação sobre contratação de processamento e armazenamento de dados e de computação em nuvem, tratada na Resolução CMN nº 4.893, de 2021, e na Resolução BCB nº 85, de 2021, conforme o tipo de instituição. A contratação do prestador antifraude carrega junto os requisitos de política de segurança cibernética, avaliação prévia do prestador e cláusulas contratuais específicas.

A quem a norma se aplica, e a quem não se aplica

Aplica-se a instituições financeiras, instituições de pagamento e demais instituições autorizadas a funcionar pelo Banco Central do Brasil, destinatárias do arcabouço de compartilhamento de dados sobre fraude.

Não se aplica diretamente a marketplace, telecom, provedor de internet, plataforma P2P não regulada ou empresa de tecnologia não autorizada pelo Banco Central. Se você está nesse grupo, não tem obrigação de registro no Unicad.

A norma não deixa de ser relevante para você, por duas razões. Se presta serviço antifraude para instituições reguladas, seus clientes precisarão registrar o vínculo e vão pedir dados cadastrais consistentes e prazos bem definidos. E o padrão de due diligence criado ali serve como lista pronta do que perguntar, independentemente de obrigação.

Checklist de contratação: o que pedir por escrito ao fornecedor

A tabela abaixo transforma a exigência regulatória em roteiro de homologação. Ela serve tanto para instituição regulada, onde é obrigação, quanto para empresa não regulada, onde é boa prática de gestão de terceiros.

• Identificação cadastral. O que pedir por escrito: CNPJ completo, razão social, quadro societário e situação cadastral ativa. Por que importa: É o dado que entra no registro do Unicad e precisa bater exatamente. Onde registrar: Dossiê do fornecedor.
• Escopo do serviço. O que pedir por escrito: Descrição do que é compartilhado, em que formato e com que finalidade. Por que importa: Define se o contrato se enquadra como compartilhamento de dados sobre indícios de fraude. Onde registrar: Contrato e ficha de homologação.
• Datas de início e término. O que pedir por escrito: Vigência com data certa, renovação e regras de rescisão. Por que importa: O registro no Unicad exige início e término declarados. Onde registrar: Contrato e controle de prazos.
• Enquadramento em nuvem e dados. O que pedir por escrito: Declaração sobre processamento e armazenamento, com localização e subcontratados. Por que importa: Aciona os requisitos da Resolução CMN nº 4.893, de 2021. Onde registrar: Avaliação prévia do prestador.
• Base legal e retenção. O que pedir por escrito: Base legal de tratamento, finalidade, prazo de guarda e política de descarte. Por que importa: Lei 13.709/2018, com atenção redobrada quando há dado biométrico. Onde registrar: Relatório de impacto e contrato.
• Segurança e incidentes. O que pedir por escrito: Política de segurança cibernética, prazo de notificação de incidente e plano de continuidade. Por que importa: Exigência contratual do arcabouço de terceirização. Onde registrar: Ficha de homologação.
• Auditabilidade. O que pedir por escrito: Direito de auditoria, acesso a logs e evidências de decisão. Por que importa: Sem isso, você não consegue responder a questionamento do regulador ou do cliente. Onde registrar: Cláusula contratual.
• Subcontratação. O que pedir por escrito: Lista de subcontratados relevantes e obrigação de comunicação prévia de mudança. Por que importa: O vínculo declarado é com você, mas a cadeia continua atrás. Onde registrar: Dossiê do fornecedor.
• Reversibilidade. O que pedir por escrito: Plano de saída, portabilidade de dados e prazo de devolução ou eliminação. Por que importa: Término de contrato também é evento de registro. Onde registrar: Plano de continuidade.

Uma advertência sobre a coluna de escopo: nem todo fornecedor de verificação de identidade presta o serviço de compartilhamento de dados sobre indícios de fraude no sentido do arcabouço. Peça que ele declare, por escrito, se entende que o contrato se enquadra nessa categoria e por quê.

Como transformar isso em processo de homologação

Controle de fornecedor só funciona com gatilho, dono e prazo.

Gatilho de registro. Amarre o registro ao momento da assinatura, não ao momento em que alguém lembra. O prazo previsto na norma é de até dez dias a partir da contratação ou da decisão de não contratar, e essa decisão também é evento, o que costuma ser a parte esquecida.

Dono nomeado. O registro precisa de um responsável com acesso ao sistema e de um substituto. Em instituição pequena, o acesso costuma estar com uma pessoa só, o que vira risco operacional em férias e desligamentos.

Revisão periódica. Vigência, subcontratados e situação cadastral mudam. Revisão trimestral do dossiê evita o caso clássico do contrato renovado automaticamente com data de término desatualizada no registro.

O item não vive sozinho. Ele conversa com as exigências antifraude do Banco Central de 2025, em especial a Resolução BCB nº 501, de 2025, sobre rejeição de transação com fundada suspeita de fraude, e a Resolução BCB nº 506, de 2025, sobre marcação de fraude. Quem contrata prestador antifraude contrata também a capacidade de sustentar essas decisões com evidência. A pauta sobre como escolher um fornecedor de KYC cobre as perguntas comerciais, e a pauta sobre o que exigir em contrato de verificação trata dos níveis de serviço.

O que fazer agora

1. Levante todos os contratos vigentes de antifraude, verificação e compartilhamento de dados, com CNPJ, escopo e datas. A lista costuma ser maior do que a área de compliance imagina.
2. Peça a cada fornecedor declaração escrita de enquadramento quanto ao serviço de compartilhamento de dados sobre indícios de fraude.
3. Nomeie um responsável e um substituto pelo registro no Unicad, com acesso testado, e inclua o registro no fluxo de assinatura de contrato.
4. Registre também as decisões de não contratar, porque elas entram no mesmo prazo e são a omissão mais comum.
5. Cruze o dossiê com os requisitos da Resolução CMN nº 4.893, de 2021, e marque as lacunas de avaliação prévia, segurança e reversibilidade.

Perguntas frequentes

A IN BCB 590/2025 se aplica à minha empresa de tecnologia? Diretamente, não. A obrigação de registro recai sobre instituições autorizadas a funcionar pelo Banco Central. Se você presta serviço para essas instituições, porém, seus clientes precisarão registrar o vínculo e vão cobrar consistência cadastral e prazos contratuais claros.

Qual é o prazo para fazer o registro no Unicad? O § 2º do art. 10-C da IN BCB 330/2022, incluído pela IN BCB 590/2025, fixa prazo de até dez dias contados da contratação ou da decisão de não contratar. Confirme a redação vigente no sítio do Banco Central, porque o procedimento pode ser ajustado.

O que acontece se a instituição não contratar nenhum prestador externo? Pelo § 1º do art. 10-C da IN BCB 330/2022, incluído pela IN BCB 590/2025, a instituição que opta por não contratar empresa informa o próprio CNPJ nos campos de contratante e de contratada. A ausência de contratação não dispensa a declaração.

O registro no Unicad significa que o Banco Central aprovou o fornecedor? Não. O registro é declaratório e dá visibilidade ao regulador sobre os vínculos existentes. Não substitui a avaliação prévia do prestador nem a homologação interna, que seguem sendo responsabilidade da contratante.

Qual norma criou o compartilhamento de dados sobre indícios de fraude? A Resolução Conjunta CMN e BCB nº 6, de 23 de maio de 2023. A IN BCB 590/2025 apenas disciplina como o vínculo com o prestador desse serviço é registrado no Unicad.

Para avaliar como isso se aplica à sua operação, fale com o time comercial da Shiel ID.