Início › Setores › Mercado de capitais

Setores regulados · Mercado de capitais

Mercado de capitais: confiança também é infraestrutura.

Corretoras, distribuidoras e demais intermediários seguem a Resolução CVM nº 35/2021, que trata de continuidade de negócios, sistemas críticos, segurança da informação e um programa de segurança cibernética com comunicação de incidentes à CVM.

Em uma frase: todo intermediário precisa de plano de continuidade testado ao menos uma vez por ano, política de segurança da informação com programa de segurança cibernética, orientação pública aos clientes e comunicação tempestiva de incidentes relevantes à Superintendência de Relações com o Mercado e Intermediários (SMI).

Quem precisa cumprir

O núcleo das regras de segurança está na Resolução CVM 35 e vale para quem intermedeia operações em mercados regulamentados.

Corretoras de títulos e valores mobiliáriosDistribuidoras de títulos e valores mobiliáriosBancos e demais instituições que atuam como intermediáriosPrestadores de serviços relevantes contratados por intermediáriosCompanhias abertas, na divulgação de fato relevante

As regras que importam

O que cada norma pede, em linguagem direta.

CVM

Resolução CVM nº 35/2021: continuidade de negócios

Exige análise de impacto, plano de continuidade para os processos críticos (ordens, liquidação, conciliação de posições) e testes em periodicidade não superior a um ano. Todo acionamento do plano deve ser reportado à SMI.

CVM

Resolução CVM nº 35/2021: segurança da informação

Política que cubra dados de clientes, segurança cibernética, critérios de relevância de incidentes e contratação de terceiros. Dados cadastrais, operações e posições de custódia são, no mínimo, informações sensíveis.

CVM

Programa de segurança cibernética (art. 45)

Identificação dos riscos, medidas para reduzir vulnerabilidades, monitoramento contínuo, tratamento de incidentes e recuperação, testes e revisões periódicos e participação em iniciativas de compartilhamento de ameaças.

CVM

Incidente relevante (art. 46)

Incidente que afete processos críticos ou dados sensíveis e tenha impacto significativo sobre os clientes. Deve ser comunicado tempestivamente à SMI e à administração, com relatório final depois.

CVM

Resolução CVM nº 50/2021

Prevenção à lavagem de dinheiro e ao financiamento do terrorismo: abordagem baseada em risco, cadastro e monitoramento de operações. Dados e trilhas confiáveis são parte da conformidade.

Lei

LGPD e Agência Nacional de Proteção de Dados

Os dados de investidores estão protegidos pela LGPD. Incidente com risco ou dano relevante deve ser comunicado à ANPD e aos titulares em até 3 dias úteis (Resolução CD/ANPD nº 15/2024).

Os três erros mais comuns

O que mais aparece nos diagnósticos do setor.

Plano de continuidade nunca testadoA norma pede teste em periodicidade não superior a um ano, com resultado levado à administração. Plano só no papel não atende.

Esperar a investigação terminar para avisar a SMIA comunicação deve ser tempestiva. O relatório final vem depois, e a demora na primeira comunicação é um erro comum.

Esquecer a página de orientação aos clientesO intermediário deve manter no site orientações sobre suas práticas de segurança e os cuidados do cliente, o que muitas vezes fica desatualizado.

Números para não esquecer

1 por anoteste do plano de continuidade, no mínimo

abrilúltimo dia útil para o relatório anual do diretor de controles internos

7 dias úteispara informar à CVM a nomeação ou substituição dos diretores responsáveis

5 anosde guarda de documentos, gravações e trilhas de auditoria

3 dias úteispara comunicar incidente de risco relevante à ANPD e aos titulares

O que precisa existir na prática

Exigências dos Capítulos XI e XII da Resolução CVM 35, que a CVM e a autorregulação podem verificar.

Diretores definidosDiretor de cumprimento das normas e diretor de controles internos, em pessoas diferentes, com a possibilidade de um diretor específico para continuidade e segurança da informação.

Análise de impacto e continuidadeProcessos críticos identificados, plano de continuidade com prazos de recuperação e testes anuais reportados à administração.

Sistemas críticos protegidosPolíticas para garantir integridade, segurança e disponibilidade dos sistemas ligados aos processos críticos.

Política de segurança da informaçãoCompatível com o porte e o perfil de risco, aplicável a funcionários, prepostos e prestadores, com periodicidade de treinamento definida.

Acesso individual e segregaçãoAcessos individualizados a sistemas, bases e redes, segregação de dados e proteção contra vazamento ou adulteração.

Programa cibernético testadoRiscos avaliados, monitoramento contínuo, testes e revisões periódicos para identificar novas vulnerabilidades.

Orientação pública aos clientesPágina no site com as práticas de segurança e os cuidados que o cliente deve ter, em linguagem clara.

Terceiros relevantesLista de prestadores relevantes, avaliação dos controles e contratos que garantam acesso da CVM e da autorregulação aos dados.

Guarda por 5 anosDocumentos, correspondências, gravações e trilhas de auditoria guardados por no mínimo 5 anos.

Se acontecer um incidente

A Resolução CVM 35 pede comunicação tempestiva à SMI, sem prazo em horas, e a LGPD fixa prazo próprio quando há dados pessoais.

Acione a resposta e a continuidadeUse o plano de continuidade se processos críticos forem afetados e envolva o diretor responsável.
Contenha e preserve evidênciasIsole o que foi afetado e preserve trilhas de auditoria e registros de ordens.
Comunique a SMI e a administraçãoDescrição do incidente, dados afetados, número estimado de clientes atingidos, medidas e prazo de solução.
Avalie os dados pessoaisSe houver risco ou dano relevante aos titulares, comunique a ANPD e os titulares em até 3 dias úteis.
Envie o relatório finalImpacto na operação e nos dados dos clientes e melhorias de controle, guardando comunicações e relatórios de investigação.

Como a VORIK LABS atende, pilar por pilar

Cada exigência ligada a um pilar e a um serviço concreto.

VORIK REGULATÓRIODiagnóstico de aderência aos Capítulos XI e XII da Resolução CVM 35, com mapa do que falta e plano de ação.

VORIK COMPLIANCEPolítica de segurança da informação, programa de segurança cibernética, plano de continuidade e apoio ao relatório anual de controles internos.

VORIK INTELIGÊNCIAAcompanhamento das normas e ofícios da CVM e avaliação dos prestadores de serviços relevantes.

VORIK CYBERPentest em plataformas de negociação e home brokers, testes de continuidade e campanhas contra golpes de falsa assessoria de investimentos.

Conteúdo informativo, atualizado em 18 de outubro de 2026. Ele resume as normas em linguagem simples e não substitui a leitura do texto oficial nem uma análise do seu caso.

Fontes oficiais: