Os 22 documentos do toolkit Ley 10.889, um por um

Explica o instrumento de autodiagnóstico da Ley 10.889 e do Regulamento SUGEF 5-26: as suas 11 perguntas de perfil e 84 controles exigíveis em dez domínios, quem responde cada pergunta, que efeito tem cada resposta e como se leem os índices de conformidade, certeza e respaldo. Diz também o que não calcula: multas.

Reúne em um só lugar os canais onde se recebem reclamações e os canais digitais, com o que a lei e o regulamento exigem de cada um: disponibilidade 24/7, registro do momento e do canal, autobloqueio, duplo fator e notificação em menos de um minuto. Uma planilha de lacunas conta o que falta.

Registra cada caso de golpe com os nove dados mínimos do art. 4 do Regulamento SUGEF 5-26 e calcula a análise estatística por tipologia que esse mesmo artigo exige. Traz um catálogo de tipologias para ajustar. O formato de envio à SUGEF é provisório: a SUGEF ainda não o definiu.

O documento de governança do risco de golpes nos canais digitais: objeto, canais abrangidos, avaliação de riscos com as unidades de negócio e as funções de controle, quando se atualiza, linhas de ação e governança. Reúne sob uma só decisão do Órgão de Direção os controles, a educação do cliente e a informação estatística.

Fixa o valor abaixo do qual a instituição devolve o que foi subtraído sem investigação detalhada (Ley 10.889, art. 13), com os componentes da análise custo-benefício e a regra de envio à SUGEF. O limite é declarado em cada envio, então a SUGEF poderá compará-lo entre instituições.

Autenticação robusta no acesso, nas ações de risco e no autoatendimento; revisão dos fatores que o cliente poderia transferir a um terceiro; e os cinco mecanismos de proteção do art. 14 do regulamento. É também a fonte do log do duplo fator que o Anexo 1 exige para recusar uma reclamação.

Documenta os controles preventivos, detectivos e corretivos, os oito fatores da análise multifatorial (art. 12 do regulamento), os parâmetros para aprovar ou negar transações, a confirmação prévia das atípicas e os bloqueios preventivos de fundos (art. 17). É a prova central da instituição quando um cliente reclama.

O programa permanente dirigido aos clientes: os oito conteúdos mínimos do art. 5 do regulamento —do sequestro do número telefônico aos links, ligações e e-mails falsos—, as campanhas próprias da instituição e como explicar ao cliente que reclame com o formulário e a denúncia ao OIJ.

O procedimento central da lei: canais de recebimento 24 horas, recebimento e bloqueio imediato, prazos, investigação em duas etapas —primeiro os controles e sistemas da instituição, depois a conduta do cliente—, decisão, restituição, compensação, limite de 120 dias, devolução abaixo do limite e as reclamações pendentes em 22 de abril de 2026. Abre com os três erros frequentes que evita.

O formulário simples que o art. 3 da lei exige, em oito seções: uso da instituição (código, hora, canal e bloqueio), dados de quem reclama, produto, transações que não reconhece, o que aconteceu com as suas palavras, denúncia ao OIJ, os seus prazos e direitos, e o aviso de proteção de dados da Ley 8968.

A resposta dos primeiros minutos quando alguém informa que sofreu um golpe ou está em risco imediato: quando é ativado, quem o aplica —toda a equipe—, os seus princípios, oito passos de atendimento imediato com o seu fundamento, o alinhamento com os controles do regulamento, a capacitação e a atualização anual com autorização da SUGEF.

Como recusar uma reclamação com prova: o requisito prévio de demonstrar que os controles eram cumpridos, as três causas com a prova que cada uma exige, o conteúdo da decisão de recusa, a cópia ao OIJ e à SUGEF, a lista de verificação do Anexo 1 e um modelo de ofício de envio. Recolhe o efeito da Circular SGF-OFC-0831-2026.

O que se notifica ao cliente e em quanto tempo —transações e eventos de segurança, em menos de um minuto—, por quais meios, como se verifica a sua identidade nas confirmações sensíveis, que evidência se conserva e a regra de não usar links encurtados. As notificações são também a fonte de dois logs do Anexo 1.

O reporte à SUGEF e ao OIJ das contas usadas para receber recursos de fraudes, que procede só com decisão judicial transitada em julgado: quatro passos, os limites impostos pela proteção de dados e como se incorpora ao monitoramento a informação que a SUGEF comunicar.

A avaliação de riscos que enquadra a estratégia: por canal e por tipologia, probabilidade, impacto, controles existentes, a sua efetividade e o risco residual, com plano de ação e responsável. Uma planilha registra os participantes das unidades de negócio e das funções de controle. A metodologia é uma proposta: o regulamento não fixa nenhuma.

Calcula o limite comparando o que custa investigar uma reclamação —incluindo o risco de pagar a compensação por decidir tarde— com o que se pagaria a mais devolvendo sem investigar. A fórmula é uma proposta construída com as consequências que a própria lei fixa; a lei exige a análise, mas não o seu método.

Reúne em uma só deliberação as decisões que o regulamento deixa ao Órgão de Direção: aprovar a estratégia, fixar a periodicidade da sua revisão e a da atualização da avaliação de riscos. Pode aprovar também a política de devolução abaixo do limite. Com considerandos, cinco deliberações e assinaturas.

Como cumprir as duas exigências do art. 11 da lei sobre o protocolo: que toda a equipe o conheça e que seja capacitada regularmente. Público, conteúdo, modalidade e frequência —toda a equipe, atendimento ao público e central telefônica, novos colaboradores—, avaliação e registro por pessoa.

Calcula, desde a data de apresentação de cada reclamação, os vencimentos da lei —30 dias corridos, aviso e validade da prorrogação, crédito e limite de 120 dias— e avisa quando uma reclamação está para vencer ou vencida. Traz o salário base vigente, um resumo e uma planilha de feriados para que a prorrogação conte dias úteis.

Registra o que pode mudar as obrigações da instituição: as matérias que a SUGEF ainda não editou, a ação de inconstitucionalidade contra o art. 3 da lei e as atualizações anuais da regulamentação. Vem pré-carregado com a situação na data de corte, 15 de outubro de 2026.

Em que ordem usar os arquivos, quem os preenche e como se priorizam: cinco etapas, da operação imediata à continuidade; os cinco passos para preencher um modelo; e os quatro documentos com efeito perante terceiros que convém que a área jurídica revise primeiro.

Os 22 arquivos com a sua fase, o seu formato, os controles do autodiagnóstico que cada um fecha e se requer aprovação prioritária da área jurídica; e a rastreabilidade dos 87 controles com o arquivo que os remedia. Explica também por que não há arquivos sobre fornecedores: a norma não impõe obrigações sobre eles.