Pular para o conteúdo
Openbanx

Política de Gestão de Mudanças Organizacionais

Diretrizes para avaliar, aprovar, implementar e documentar mudanças que impactem serviços, dados e segurança da Openbanx.

  • Versão 1.0
  • Aprovação 20 de outubro de 2026
  • Aprovado por Comitê de Segurança e Privacidade (CSP)
  • Referenciais ISO/IEC 27701 · LGPD · Bacen · Open Finance

Nesta página

  1. 1. Introdução
  2. 2. Papéis e responsabilidades
  3. 3. Tipos de mudança
  4. 4. Processo de gestão de mudanças
  5. 5. Rastreabilidade e auditoria
  6. 6. Revisão e vigência
  7. 7. Referências

1. Introdução

1.1. Propósito

Esta Política de Gestão de Mudanças Organizacionais (“Política”) estabelece as diretrizes, procedimentos e responsabilidades para avaliação, aprovação, implementação, monitoramento e documentação de mudanças estruturais, tecnológicas, operacionais, processuais ou regulatórias que possam impactar os serviços, processos, fluxos de dados, segurança da informação, privacidade ou infraestrutura da Openbanx.

O objetivo principal é garantir que todas as mudanças sejam conduzidas de forma:

  • segura;
  • controlada;
  • rastreável;
  • auditável;
  • em conformidade com normas e leis aplicáveis.

Incluindo:

  • ISO/IEC 27001:2022;
  • ISO/IEC 27701:2025;
  • LGPD;
  • Resolução CMN nº 4.893/21;
  • padrões técnicos do Open Finance Brasil;
  • normativos do Bacen e da ANPD.

1.2. Escopo

Esta Política se aplica a:

  • todas as áreas da Openbanx, incluindo tecnologia, jurídico, segurança, produtos, atendimento e operações;
  • todos os processos organizacionais sujeitos a mudança;
  • sistemas, APIs, integrações Open Finance, bancos de dados, infraestrutura, canais de comunicação e fluxos de tratamento de dados pessoais;
  • mudanças internas e externas que afetem privacidade, segurança, operação ou requisitos regulatórios.

1.3. Princípios fundamentais

A gestão de mudanças observará os seguintes princípios:

  1. Segurança e Privacidade by Design;
  2. riscos devidamente avaliados e documentados;
  3. transparência e rastreabilidade total;
  4. minimização de risco operacional e regulatório;
  5. segregação de funções;
  6. conformidade com Open Finance e Bacen;
  7. reversibilidade (rollback) documentada.

2. Papéis e responsabilidades

2.1. Comitê de Mudanças Organizacionais (CMO)

  • Avaliar, aprovar ou reprovar mudanças.
  • Priorizar mudanças de acordo com o impacto e a urgência.
  • Garantir o alinhamento com regulamentações, privacidade e segurança.

2.2. Gestor de Mudanças

  • Conduzir o processo de avaliação e controle.
  • Garantir o fluxo de aprovação formal.
  • Registrar todas as evidências, riscos e validações.

2.3. Segurança da Informação

  • Avaliar riscos de segurança e impactos no SGSI e no PIMS.
  • Validar se a mudança atende aos controles ISO 27001, ISO 27701 e Open Finance.
  • Aprovar mudanças críticas que afetem controles ou infraestrutura.

2.4. DPO (Encarregado)

  • Avaliar o impacto sobre privacidade, ciclo de vida dos dados e atendimento à LGPD.
  • Exigir Relatório de Impacto (DPIA/LIA) quando necessário.

2.5. Equipes técnicas (Dev, Infra, DevOps, Suporte)

  • Implementar mudanças conforme práticas seguras e aprovadas.
  • Elaborar plano de rollback e testes.
  • Garantir que as alterações sejam registradas em sistemas de versionamento ou controle formal.

2.6. Área Jurídica / Compliance

  • Verificar impactos legais, regulatórios ou contratuais.
  • Garantir conformidade com Bacen, CMN, ANPD e Open Finance.

3. Tipos de mudança

3.1. Mudanças ordinárias

Alterações planejadas com impacto moderado ou baixo:

  • ajustes de processos internos;
  • revisões menores de sistemas;
  • atualizações não críticas.

3.2. Mudanças significativas

Alterações com impacto potencial em:

  • dados pessoais ou sensíveis;
  • serviços regulados pelo Bacen;
  • APIs do Open Finance;
  • ambientes de produção;
  • arquitetura ou infraestrutura.

Podem exigir:

  • avaliação de impacto regulatório;
  • avaliação de impacto à privacidade (DPIA);
  • comunicação ao Bacen ou a parceiros Open Finance.

3.3. Mudanças emergenciais

Alterações imediatas para correção de falhas críticas:

  • incidentes de segurança;
  • vazamento de dados;
  • inoperância de APIs;
  • problemas de disponibilidade de serviços.

Exigem:

  • execução rápida;
  • documentação posterior;
  • validação obrigatória pelo CMO.

4. Processo de gestão de mudanças

4.1. Solicitação formal

Toda mudança deve ser registrada em sistema formal contendo:

  1. descrição da mudança;
  2. justificativa;
  3. escopo e áreas impactadas;
  4. avaliação preliminar de riscos;
  5. responsáveis técnicos;
  6. necessidade de DPIA ou avaliação de privacidade;
  7. evidências de testes e validações (quando aplicável).

4.2. Avaliação de riscos

A avaliação deve abranger:

  • riscos operacionais;
  • riscos cibernéticos;
  • riscos regulatórios;
  • riscos de privacidade;
  • riscos sobre dados Open Finance;
  • riscos de continuidade do negócio.

4.3. Aprovação

O fluxo de aprovação deve observar:

  • Gestor de Mudanças;
  • Segurança da Informação;
  • DPO (para mudanças que envolvam dados pessoais);
  • equipes técnicas responsáveis;
  • Comitê de Mudanças (para mudanças significativas).

4.4. Planejamento e testes

O plano deve incluir:

  1. ambiente de testes segregado;
  2. evidências de testes funcionais e de segurança;
  3. plano de comunicação interna;
  4. plano de rollback;
  5. cronograma detalhado.

4.5. Implementação

A execução deve ocorrer:

  • em janelas de manutenção autorizadas;
  • com monitoramento contínuo;
  • conforme procedimentos aprovados.

4.6. Pós-implementação

Deve incluir:

  • verificação de estabilidade;
  • validação de segurança;
  • atualização de documentação;
  • comunicação aos usuários ou parceiros, quando aplicável;
  • registro de lições aprendidas.

5. Rastreabilidade e auditoria

A rastreabilidade deve incluir:

  • logs de aprovação;
  • evidências técnicas;
  • histórico de alterações;
  • versionamento de código;
  • atualização de inventários de ativos e dados;
  • registros centralizados para auditoria interna e regulatória.

Em conformidade com:

  • ISO 27001;
  • ISO 27701;
  • Open Finance (trilhas obrigatórias);
  • Bacen (logs imutáveis).

6. Revisão e vigência

Esta Política será revisada pelo Comitê de Segurança e Privacidade (CSP) e pelo Comitê de Mudanças Organizacionais:

  • anualmente; ou
  • sempre que houver alteração relevante em frameworks ISO, normativos da ANPD, Bacen, CMN ou padrões do Open Finance Brasil.

7. Referências

  1. ISO/IEC 27001:2022 – A.6, A.8, A.12 (Mudanças, Operações Seguras).
  2. ISO/IEC 27701:2025 – Requisitos de privacidade em mudanças organizacionais.
  3. LGPD – arts. 46 a 50 e princípios de privacy by design/default.
  4. Resolução CMN nº 4.893/2021 – Segurança cibernética.
  5. Resolução CMN nº 4.968/2021 – Compartilhamento de dados (Open Finance).
  6. Padrões técnicos, funcionais e regulatórios do Open Finance Brasil.
  7. Diretrizes da ANPD (Relatório de Impacto, Segurança, Governança).

Versão: 1.0 · Data de aprovação: 20 de outubro de 2026 · Aprovado por: Comitê de Segurança e Privacidade (CSP) – Openbanx

Documentos legais

Governança e segurança da informação