CMF define regras do SFA e sandbox Atena

A Comissão para o Mercado Financeiro avança na implementação do Sistema de Finanças Abertas no Chile e definiu que o sandbox regulatório Atena, associado ao esquema, estará disponível em outubro de 2026. O desenvolvimento vem acompanhado de novas exigências técnicas para as entidades financeiras participantes, que incluem disponibilidade, desempenho, contingência e segurança.

¿Qué fijó la CMF para las APIs del Sistema de Finanzas Abiertas?

A Norma de Caráter Geral nº 514 estabeleceu padrões técnicos para as APIs do Sistema de Finanças Abertas sob a Lei Fintech nº 21.521, com mínimo de 95% de disponibilidade diária e tempos de processamento abaixo de 4.000 milissegundos para solicitações de dados, segundo a Buk. Esses parâmetros valem para bancos, emissores de cartões e outras instituições financeiras obrigadas.

A guia técnica independente da Ozone API acrescenta que a CMF diferencia metas de serviço entre APIs de informação e de pagamentos. As primeiras devem atingir 95% de disponibilidade diária e 99% mensal, com tempos de processamento abaixo de 4.000 ms no percentil 95. As de pagamento enfrentam limites mais rigorosos, com 95% diário, 99,5% mensal e respostas abaixo de 800 ms.

A Ozone API também detalha uma pilha de segurança específica para as APIs obrigatórias. O marco inclui FAPI 2.0 com assinatura de mensagens para não repúdio, OAuth 2.0, OpenID Connect, TLS 1.3 com mTLS e certificados X.509 v3 de validação estendida sob uma infraestrutura de certificação em duas camadas. A mesma guia afirma que a CMF descarta mecanismos alternativos como DPoP ou private_key_jwt.

¿Cómo cambió el calendario de implementación?

A CMF alterou em 2026 a NCG nº 514 por meio da NCG nº 569, incorporou um Anexo Técnico nº 3 e estendeu o prazo de entrada em vigor do Sistema de Finanças Abertas de 24 para 36 meses, de acordo com a Ozone API. Também estabeleceu um período-piloto com participação simplificada e exigência suavizada para as entidades financeiras obrigadas.

A mesma mudança definiu como data efetiva do Sistema de Finanças Abertas 3 de julho de 2027. Para as entidades do Grupo 1, que incluem bancos estabelecidos no Chile, filiais de bancos estrangeiros e emissores de cartões de crédito ou pré-pago, a solicitação de registro deve ser apresentada dentro de 60 dias após essa data, com prazos posteriores de 5 a 18 meses para cumprir os requisitos de APIs.

¿Qué otras obligaciones operativas impone el marco?

A Ozone API aponta que o marco chileno soma regras de tráfego, consentimento, monitoramento e reporte que tornam mais rígida a operação diária das entidades. Entre elas estão limites iniciais de 10 transações por segundo para APIs de informação e 10 TPS por minuto para pagamentos, além de vigência máxima de 36 meses do consentimento e 90 dias para pagamentos programados únicos.

O esquema também obriga a oferecer aos clientes um painel gratuito de gestão de consentimentos com visibilidade de cinco anos, proíbe caixas pré-marcadas ou desenhos manipulativos e exige que a revogação chegue ao terceiro em no máximo cinco minutos via webhook. Soma-se a isso o reporte mensal à CMF sobre disponibilidade, atividade e manutenções, o reporte de incidentes em até 30 minutos após a detecção e testes anuais de qualidade de dados.

¿Qué cambia en prevención de fraude y datos personales?

A Lei nº 20.009 obriga os emissores de cartões de pagamento a adotar medidas de segurança e sistemas de monitoramento capazes de detectar operações que não correspondam ao comportamento habitual do usuário, gerir alertas e identificar padrões de fraude, segundo o EstadoDiario. Essa análise amplia o dever de vigilância, rastreabilidade, bloqueio e avaliação de riscos no setor financeiro.

O mesmo levantamento sustenta que, para detectar operações anômalas, as instituições devem tratar movimentações, valores, horários, destinatários, telefones, dispositivos, endereços IP, eventos de autenticação e padrões de conduta. Também precisam considerar o contexto de frequência, valores, dispositivos e relação com o comportamento histórico do cliente, além de regras estáticas.

Em paralelo, a futura entrada em vigor da Lei nº 21.719, em dezembro de 2026, permitirá que bancos e emissores de cartões fundamentem o tratamento de dados pessoais para fins de prevenção de fraude bancária em obrigações legais, execução de contratos ou interesses legítimos, sem exigir novo consentimento a cada análise de transferência. Isso deverá ser feito respeitando os direitos do titular e limitando o tratamento a finalidades específicas e lícitas.

¿Qué obligaciones de transparencia mantiene la CMF?

A CMF exige que toda pessoa jurídica que tenha a qualidade de controladora, ou de membro controlador, de um banco envie suas demonstrações financeiras auditadas por uma empresa de auditoria externa inscrita nos registros da Comissão. A obrigação integra os deveres de transparência e governança do setor bancário no Chile.

O conjunto de medidas deixa um calendário definido para o SFA, uma plataforma de testes como Atena para outubro de 2026 e um esquema de conformidade que combina disponibilidade, segurança, monitoramento antifraude e regras de tratamento de dados pessoais.