Canal de Denúncias no Mercado Financeiro: O Que o BACEN e a CVM Realmente Exigem e Por Que Apenas Ter um Canal Não É o Mesmo Que Estar em Conformidade

Introdução: O problema não é ter o canal de denúncias. É saber se ele funciona

No mercado financeiro brasileiro, a obrigação de manter um canal de denúncias existe desde 2017, originalmente estabelecida pela Resolução CMN nº 4.567/2017 e, a partir de dezembro de 2020, consolidada pela Resolução CMN nº 4.859/2020, que a revogou e atualizou. Quase uma década depois, a maioria das instituições autorizadas pelo Banco Central já dispõe de alguma forma de canal. O problema não está mais em saber se a instituição tem o canal. Está em saber se ele funciona.

A Operação Carbono Oculto, deflagrada em agosto de 2025 com mais de 350 alvos em oito estados, e a Operação Compliance Zero, iniciada em novembro de 2025 e ainda em curso em abril de 2026, revelaram exatamente isso: instituições financeiras reguladas, auditadas e supervisionadas cujos programas de compliance funcionavam apenas formalmente. Em ambos os casos, as investigações descrevem estruturas internas projetadas para aparentar conformidade, não para produzi-la. O programa existia no papel. Não existia como função.

Este artigo mapeia o que o BACEN e a CVM efetivamente exigem de um canal de denúncias no mercado financeiro, quem está obrigado em 2026, e por que a maioria das instituições ainda confunde “ter o canal” com “estar em conformidade”.

1. A base legal que muitos conhecem pela metade

A obrigatoriedade do canal de denúncias para instituições financeiras tem sua origem na Resolução CMN nº 4.567/2017, o primeiro normativo a formalizar a exigência no Brasil. Em dezembro de 2020, essa resolução foi revogada e substituída pela Resolução CMN nº 4.859/2020, que manteve e aprimorou os mesmos pilares.

A Res. CMN 4.859/2020 exige que todas as instituições financeiras e demais autorizadas a funcionar pelo Banco Central disponibilizem canal de comunicação por meio do qual funcionários, colaboradores, clientes, usuários, parceiros e fornecedores possam reportar sem necessidade de se identificarem situações com indícios de ilicitude relacionadas às atividades da instituição.

Mas a leitura incompleta dessa norma gera o erro mais comum do mercado: a de que basta disponibilizar um canal de denúncias. A resolução vai além. Ela exige:

Publicidade dos procedimentos

Os procedimentos de utilização devem constar de regulamento próprio e ser divulgados no site da instituição. O canal de denúncias invisível não atende.

Componente organizacional independente

Deve ser designada uma área responsável pelo recebimento e encaminhamento das comunicações, com garantia de independência, imparcialidade e isenção. A norma não exige gestão externa, mas exige que a arquitetura do canal de denúncias impossibilite qualquer adulteração ou acesso indevido aos relatos, com anonimato técnico garantido ao denunciante e auditabilidade completa de todas as ações de tratamento.

Garantia de anonimato

A possibilidade de comunicação sem identificação deve ser assegurada. A norma usa a expressão “sem necessidade de se identificarem”, o que não apenas assegura ao denunciante o direito ao anonimato, mas impõe à instituição a obrigação estrutural de viabilizá-lo tecnicamente.

Relatório semestral

Deve ser elaborado relatório semestral, referenciado nas datas-base de 30 de junho e 31 de dezembro, aprovado pelo conselho de administração ou diretoria e mantido à disposição do Banco Central do

Brasil pelo prazo mínimo de cinco anos. A norma não exige envio automático periódico, mas exige que o documento exista, seja aprovado pela alta administração e esteja disponível para fiscalização a qualquer momento.

O risco concreto: quando o BACEN solicitar o relatório semestral, a instituição precisa conseguir mostrar denúncias recebidas, prazos de apuração e medidas adotadas. Um canal de denúncias que não gera esses dados não atende à norma, independentemente de existir formalmente.

2. O que o BACEN chama de “canal de fachada” e como ele identifica

O mercado financeiro brasileiro é supervisionado por um regulador que aprendeu, especialmente a partir de 2025, a distinguir entre estruturas formais e estruturas funcionais. A Operação Carbono Oculto, deflagrada em agosto de 2025 contra fintechs usadas em esquemas de lavagem de dinheiro pelo crime organizado, e a Operação Compliance Zero, deflagrada a partir de novembro de 2025 e ainda em curso, deixaram claro que o BACEN passou a buscar evidências de funcionamento real dos controles internos, não apenas sua existência documental.

Na prática supervisória, observada em processos de fiscalização e nas orientações regulatórias do BACEN, os critérios que sinalizam se um canal de denúncias é efetivo ou de fachada incluem:

O volume de denúncias recebidas em relação ao porte da instituição.

Uma empresa com 200 colaboradores que não recebe nenhuma denúncia em 12 meses não é necessariamente ética. Pode ter um canal de denúncias inacessível ou uma cultura de retaliação que suprime os relatos.

O tempo médio de apuração.

Casos parados por mais de 60 dias sem justificativa sinalizam ausência de processo investigativo estruturado.

A qualidade e completude do relatório semestral mantido à disposição do BACEN.

Relatórios genéricos, sem dados desagregados por categoria e área, evidenciam que o canal de denúncias não está integrado ao programa de compliance.

A independência funcional do canal de denúncias.

A Res. CMN 4.859/2020 exige que o componente organizacional responsável pelo tratamento atue com confidencialidade, independência, imparcialidade e isenção. Isso não significa necessariamente gestão externa, mas sim que a arquitetura do canal precisa impossibilitar qualquer adulteração, supressão ou acesso indevido aos relatos recebidos. Três elementos sustentam essa independência funcional na prática: a garantia técnica de anonimato ao denunciante, a imutabilidade das denúncias registradas e a auditabilidade completa de todas as ações de tratamento. São esses os elementos que o regulador pode verificar objetivamente, não apenas a origem da gestão.

A existência de proteção documentada ao denunciante.

Não basta haver uma política de não retaliação no papel. É preciso demonstrar que ela foi comunicada, treinada e aplicada.

O risco concreto: quando o regulador pede o relatório semestral e encontra dados genéricos, ou, pior, ausência de dados, e a conversa deixa de ser sobre compliance e passa a ser sobre governança. Esse é o momento em que a ausência de um canal de denúncias funcional vira passivo, não apenas lacuna.

3. O tsunami regulatório de 2025/2026 e o que ele adiciona às obrigações

A Resolução CMN 4.859/2020 estabeleceu a base vigente para compliance. Entre 2023 e 2026, houve aceleração regulatória no mercado financeiro brasileiro, impulsionada pela Operação Carbono Oculto e pelo aumento de fraudes digitais.

Pacote BACEN Setembro-Dezembro 2025

Entre setembro e dezembro de 2025, o BACEN publicou mais de dez resoluções alterando o ambiente de compliance. As Resoluções BCB 494 a 498 (setembro 2025) e BCB 501 reforçaram prevenção a fraudes no sistema de pagamentos, exigindo critérios documentados, aprovados pela diretoria e auditáveis para detecção de irregularidades — canais de denúncias apoiam esse sistema como boa prática.

Cibersegurança Elevada

As Resoluções CMN 5.274 e BCB 538 (dezembro 2025), com vigência a partir de março de 2026, aumentam exigências de cibersegurança para bancos, fintechs, cooperativas e IPs. Demandam controles técnicos, políticas aplicadas e monitoradas, com canais de denúncias como instrumento de suporte para detecção de incidentes internos.

SPSAVs e Criptoativos

A Resolução BCB 519/2025 criou as Sociedades Prestadoras de Serviços de Ativos Virtuais (SPSAVs), integrando exchanges e serviços de criptoativos ao Sistema Financeiro Nacional com vigência progressiva a partir de fevereiro de 2026. Essas entidades seguem exigências gerais de compliance, incluindo canais de denúncias como prática recomendada.

Relatórios à Receita Federal

A Instrução Normativa RFB 2.278/2025 obriga fintechs e IPs a informar à Receita Federal via e-Financeira, equiparando-as a bancos em transparência. Isso reforça controles internos robustos, com canais de denúncias integrados ao conjunto de medidas antifraude.

Sustentabilidade na CVM

A Resolução CVM 193/2023 torna obrigatório o relatório de informações financeiras de sustentabilidade para companhias abertas, com primeiro relatório para ano-base 2026 (divulgado em 2027). O pilar G (governança) abrange monitoramento e reporte de irregularidades, recomendando canais de denúncias como boa prática para gestoras, corretoras e listadas.

O risco concreto: cada nova resolução amplia o perímetro de exposição regulatória da instituição financeira. Uma fintech que ainda não implementou seu canal de denúncias, por exemplo, acumula passivos simultâneos em PLD/FT, cibersegurança, e-Financeira e governança, já que essas frentes estão interligadas nos processos de supervisão do BACEN, CVM e RFB.

4. Quem está obrigado em 2026: o mapa completo

Uma dúvida comum no mercado financeiro é saber se determinada instituição, especialmente as menores, está efetivamente obrigada a manter um canal de denúncias. A resposta é sim, em praticamente todos os casos. Veja o mapa:

Bancos, financeiras e instituições de crédito de todos os portes estão obrigados pela Resolução CMN 4.859/2020, norma vigente que consolidou e atualizou a exigência originalmente estabelecida em 2017.

Instituições de pagamento autorizadas pelo BACEN, incluindo emissores de moeda eletrônica, credenciadores e emissores de instrumento de pagamento pós-pago, estão sujeitas às mesmas exigências desde que operam sob autorização do BC. A Resolução BCB 495/2025 tornou a autorização obrigatória para quem ainda não a possuía, com prazos escalonados até maio de 2026.

Fintechs que operam como IPs, SCDs (Sociedades de Crédito Direto) ou SEPs (Sociedades de Empréstimo entre Pessoas) estão integralmente no perímetro regulatório do BACEN.

Cooperativas de crédito estão incluídas no escopo da Resolução CMN 4.859/2020, Art. 1º, que abrange todas as instituições autorizadas a funcionar pelo Banco Central do Brasil, o que inclui expressamente as cooperativas de crédito autorizadas pelo BACEN.

Gestoras de recursos e corretoras autorizadas pela CVM estão sujeitas às exigências de programa de compliance e integridade previstas nas regulações CVM, com o canal de denúncias como componente esperado.

Exchanges e prestadores de serviços de ativos virtuais (SPSAVs) foram integrados ao SFN pelas Resoluções BCB 519/2025 e estão sujeitos às mesmas obrigações a partir de fevereiro de 2026.

Entidades Fechadas de Previdência Complementar (EFPCs) têm o canal de denúncias como obrigatório pela Resolução CNPC 62/2024, com o programa de integridade recomendado formalmente pela Resolução PREVIC 26/2025 para entidades S1 e S2.

O risco concreto: a ausência de canal de denúncias não é uma lacuna que pode ser corrigida após notificação regulatória. Em processos de supervisão, a inexistência ou inoperância do canal é registrada como evidência de fragilidade do programa de compliance, afetando diretamente a avaliação de toda a estrutura de governança da instituição.

5. Canal de e-mail, formulário de site e caixa postal não atendem

Esse é o ponto que mais frequentemente separa as instituições que acham que estão em conformidade daquelas que efetivamente estão.

A Resolução CMN 4.859/2020 e as práticas esperadas pelo BACEN não definem explicitamente os meios técnicos do canal de denúncias. Mas a interpretação regulatória consolidada, especialmente à luz dos critérios de avaliação do programa de compliance, deixa claro o que não atende:

Um endereço de e-mail corporativo não garante a possibilidade de anonimato, não produz rastreabilidade auditável e não viabiliza a elaboração do relatório semestral exigido pela norma. Qualquer extração de dados depende de processos manuais sujeitos a erro e manipulação.

Um formulário no site institucional sem gestão independente coloca o tratamento das denúncias dentro da própria estrutura da empresa, comprometendo a independência exigida.

Uma caixa postal ou linha telefônica gerida pelo RH interno concentra o processo na mesma área que frequentemente é parte interessada nas denúncias de assédio, conduta e gestão de pessoas.

O que a regulação e as boas práticas efetivamente exigem é um canal de denúncias estruturado com independência operacional, anonimato técnico garantido, registro e rastreabilidade auditável de cada relato, fluxo documentado de triagem e apuração, relatório gerencial periódico e interface de comunicação com o denunciante mesmo em anonimato.

O risco concreto: uma instituição que apresenta ao BACEN um e-mail ou formulário como “canal de denúncias” não está apenas em não conformidade. Está demonstrando que não compreende o que a norma exige. Essa é a diferença entre uma correção pontual e uma revisão completa do programa de compliance.

6. A conexão com PLD/FT que muitos ignoram

Há uma dimensão do canal de denúncias no mercado financeiro que frequentemente é tratada como separada, mas que na prática é inseparável: a Prevenção à Lavagem de Dinheiro e ao Financiamento do Terrorismo.

A Circular BCB 3.978/2020 exige que as instituições implementem controles internos robustos para PLD/FT, incluindo mecanismos de monitoramento interno de condutas suspeitas. O colaborador que identifica uma operação suspeita, ou que percebe que um colega está facilitando transações irregulares, precisa de um caminho seguro para reportar internamente. Sem um canal de denúncias estruturado e independente, esse caminho não existe, e a primeira linha de defesa da instituição falha antes de ser ativada.

O COAF anunciou movimento de adoção crescente de tecnologia avançada, incluindo inteligência artificial, para a produção dos Relatórios de Inteligência Financeira a partir de 2026. Isso significa que o cruzamento de dados entre as comunicações das instituições e os padrões identificados pelo COAF tende a se tornar mais sofisticado. Instituições com controles internos frágeis estarão mais expostas a investigações.

O risco concreto: a ausência de canal de denúncias independente não é apenas um problema de compliance formal. É uma vulnerabilidade de PLD/FT. Em investigações que envolvem ambas as frentes, a sobreposição de fragilidades multiplica a exposição da instituição e dos seus administradores.

7. O canal de denúncias como elemento do programa de integridade e sua conexão com a Lei Anticorrupção

Para além das exigências setoriais do BACEN e da CVM, o canal de denúncias no mercado financeiro se conecta diretamente à Lei Anticorrupção (Lei 12.846/2013) e ao Decreto 11.129/2022, que regulamenta os programas de integridade e revogou o Decreto 8.420/2015.

O programa de integridade é avaliado pelo regulador quando a instituição está sob investigação ou quando busca atenuar sanções. Um dos critérios expressamente previstos no artigo 57, inciso X, do Decreto 11.129/2022 é a existência de canais de denúncia de irregularidades abertos a colaboradores e terceiros, e de mecanismos destinados ao seu efetivo tratamento, não apenas o canal de denúncias em si, mas a estrutura de apuração que o torna funcional.

Isso significa que um canal de denúncias mal estruturado não apenas gera risco regulatório direto. Ele elimina a principal linha de defesa da instituição em processos administrativos e judiciais: a demonstração de que havia um programa de compliance funcionando de boa-fé. Como resultado, as multas previstas na Lei Anticorrupção, que podem chegar a 20% do faturamento bruto, tornam-se muito mais difíceis de contestar ou reduzir.

O risco concreto: em um processo administrativo de responsabilização, a ausência de canal de denúncias funcional não é apenas um item a menos no checklist de integridade. É o argumento que o regulador usará para demonstrar que o programa existia apenas formalmente e, portanto, não atenua nada.

8. O que um canal de denúncias efetivo precisa ter para resistir a uma fiscalização do BACEN

O risco concreto: em fiscalização, o BACEN verifica documentação comprobatória (relatórios, políticas, logs). Ausência de elementos essenciais ou apenas declaração formal configura não conformidade, expondo a sanções por fragilidade de governança.

Conclusão: a pergunta que o seu regulador já está fazendo

O mercado financeiro brasileiro está em um momento de supervisão intensiva. A Operação Carbono Oculto e a Operação Compliance Zero deixaram claro que o BACEN passou a buscar evidências de funcionamento real dos controles internos, não apenas sua existência documental. O problema não está apenas nos agentes externos ao sistema. Está dentro das próprias instituições. E um canal de denúncias que existe apenas formalmente é, na prática, a ausência de qualquer mecanismo real de detecção interna.

A pergunta que o regulador fará na próxima supervisão não será “você tem um canal de denúncias?”. Será “mostre-me como ele funciona, quantas denúncias recebeu, quanto tempo levou para apurar cada uma, e o que foi feito com os resultados”.

A sua instituição financeira está pronta para mostrar ao regulador que o seu canal de denúncias funciona de verdade, ou apenas que ele existe?

Se a resposta gerar alguma dúvida, a BCompliance&Law pode ajudar. Conheça nossa solução especializada para o mercado financeiro e descubra o caminho mais adequado para o porte e o momento da sua instituição.

[Conheça a solução →]