G R U P O V I P C A R D

BIBLIOTECA CORPORATIVA

N O R M A T I V O S I N S T I T U C I O N A I S

MANUAL 01

POLÍTICA DE PREVENÇÃO À LAVAGEM DE DINHEIRO

E AO FINANCIAMENTO DO TERRORISMO (PLD-FT)

DOCUMENTO INSTITUCIONAL

C O N F I D E N C I A L

VIP CARD LTDA | CNPJ nº 54.384.331/0001-00

Código: VPC-PLD-001 | Versão: 1.0 | Status: Vigente

CONTROLE DO DOCUMENTO

CAMPO	VALOR	CAMPO	VALOR
CÓDIGO DO DOCUMENTO	VPC-PLD-001	VERSÃO	1.0
DATA DE EMISSÃO	22/07/2026	STATUS	Vigente
ÁREA RESPONSÁVEL	Compliance / PLD-FT	ÁREA REVISORA	Riscos e Controles Internos
ÁREA APROVADORA	Diretoria Executiva	CLASSIFICAÇÃO	Confidencial — Uso Interno
PRÓXIMA REVISÃO	22/07/2027	PERIODICIDADE	Anual ou por evento regulatório
ELABORAÇÃO TÉCNICA	LivrePay Tecnologia Financeira Ltda	VÍNCULO	Contrato de Implantação Fintech VIPCard®

Histórico de Revisões

VERSÃO	DATA	RESPONSÁVEL	DESCRIÇÃO DA ALTERAÇÃO
1.0	22/07/2026	LivrePay / Compliance / PLD-FT	Emissão inicial do documento — edição integral (Capítulos 1 a 60).

SUMÁRIO

1. INTRODUÇÃO

A presente Política de PLD-FT constitui o normativo institucional máximo da VIP CARD LTDA em matéria de prevenção aos crimes previstos na Lei nº 9.613/1998 e na Lei nº 13.260/2016, estabelecendo diretrizes, controles, responsabilidades e procedimentos que asseguram que os produtos, serviços, canais e parcerias da instituição não sejam utilizados para lavagem de dinheiro ou financiamento do terrorismo.

A VIPCard® opera ecossistema que abrange conta digital, conta de pagamento, PIX, TED, boletos, cartões, arranjo de pagamento, Banking as a Service, Open Finance, correspondentes, crédito consignado público, marketplace financeiro, convênios públicos e integrações com FIDC, banco liquidante e core bancário — cada qual com vetores próprios de risco de LD-FT, exigindo política única, transversal e proporcional. A ausência de controles efetivos expõe a instituição a multas de até R$ 20 milhões por infração (art. 12, Lei nº 9.613/1998), responsabilização penal de administradores, encerramento de parcerias reguladas e dano reputacional de difícil reversão.

NOTA DE APLICABILIDADE REGULATÓRIA A VIP CARD LTDA encontra-se em fase de estruturação de suas operações financeiras, atuando por meio de parceiros regulados (bancarizadora, instituições de pagamento, banco liquidante e fundos de investimento em direitos creditórios). Este normativo é redigido no padrão exigido de instituições autorizadas pelo Banco Central do Brasil por três razões: (1) diversas obrigações alcançam a VIPCard® diretamente por força de lei; (2) os parceiros regulados exigem contratualmente equivalência de controles; e (3) a instituição prepara-se para eventual pedido de autorização ao BCB, quando a aderência integral será mandatória. O status regulatório vigente da instituição será reavaliado a cada revisão anual deste documento.

2. OBJETIVOS

2.1 Objetivo Geral

Estabelecer o arcabouço institucional de prevenção à lavagem de dinheiro e ao financiamento do terrorismo, em conformidade com a Lei nº 9.613/1998, a Lei nº 13.260/2016, a Lei nº 13.810/2019, a Circular BCB nº 3.978/2020 e a Carta Circular BCB nº 4.001/2020, com base na Abordagem Baseada em Risco (ABR).

2.2 Objetivos Específicos

• Definir a governança de PLD-FT, com diretor responsável e segregação entre Compliance e Operações;

• Estabelecer KYC, KYE, KYP e KYS com classificação de risco e diligência proporcional;

• Definir monitoramento, seleção, análise e comunicação de operações suspeitas ao COAF, com trilhas completas;

• Estabelecer a Avaliação Interna de Risco (AIR) e a avaliação de efetividade anual;

• Definir tratamento de PEP, sanções CSNU e bloqueio imediato de ativos (Lei nº 13.810/2019);

• Integrar os controles ao motor antifraude, à documentoscopia e à biometria facial;

• Estabelecer treinamento contínuo e cultura organizacional de prevenção.

3. ESCOPO

Este normativo aplica-se às seguintes dimensões da operação VIPCard®:

DIMENSÃO	ABRANGÊNCIA
Produtos	Conta digital e de pagamento, PIX, TED, boletos, cartões, consignado público, antecipações e marketplace financeiro.
Canais	App mobile, internet banking, portais (corporativo, administrativo, comercial, correspondentes, convênios), API pública e atendimento 0800/WhatsApp.
Parcerias	Correspondentes, convênios públicos, bancarizadora, banco liquidante, FIDC, fornecedores BaaS e participantes do arranjo.
Pessoas	Sócios, administradores, colaboradores, prestadores e terceiros com acesso a sistemas ou dados.
Sistemas	Core bancário, motor antifraude, documentoscopia, biometria facial, assinatura eletrônica, ERP e trilhas de auditoria.

Exclusões: não há exclusões de escopo. Exceções pontuais somente mediante parecer formal do Compliance e aprovação registrada da Diretoria Executiva, com prazo determinado e controles compensatórios documentados.

4. APLICABILIDADE

Este normativo vincula administradores, colaboradores (CLT, PJ e estagiários), correspondentes, prestadores de serviço e parceiros da VIPCard®, mediante termo de ciência, cláusula contratual de aderência ou instrumento de parceria, conforme o público. O descumprimento sujeita o infrator às medidas do Código de Conduta, sem prejuízo das responsabilidades civil, administrativa e penal cabíveis; correspondentes e parceiros sujeitam-se a advertência, suspensão ou rescisão contratual, conforme a gravidade.

5. BASE REGULATÓRIA

Hierarquia normativa aplicável, prevalecendo as normas brasileiras em caso de conflito com boas práticas internacionais:

NORMA	EMENTA / RELEVÂNCIA
Lei nº 9.613/1998	Lei de Lavagem: crimes, pessoas sujeitas (art. 9º), deveres de identificação, registro e comunicação (arts. 10 e 11) e sanções (art. 12).
Lei nº 13.260/2016	Lei Antiterrorismo — tipifica o terrorismo e seu financiamento.
Lei nº 13.810/2019	Sanções CSNU: indisponibilidade imediata de ativos, sem aviso prévio, com comunicação ao BCB e ao MJSP.
Circular BCB nº 3.978/2020	Norma central de PLD-FT: governança, ABR, AIR, KYC, monitoramento, comunicação ao COAF e avaliação de efetividade.
Carta Circular BCB nº 4.001/2020	Catálogo exemplificativo de operações e situações com indícios de LD-FT — base dos alertas de monitoramento.
Resolução COAF nº 36/2021	PLD-FT para setores supervisionados diretamente pelo COAF.
Resolução CMN nº 4.935/2021	Correspondentes — responsabilidade da contratante pelos atos dos correspondentes.
Recomendações GAFI/FATF	Padrão internacional de ABR, beneficiário final, PEP e sanções — aplicação subsidiária.
Lei nº 13.709/2018 (LGPD)	Tratamento de dados no KYC e monitoramento — base legal: obrigação legal (art. 7º, II).

6. REFERÊNCIAS NORMATIVAS

• ISO 31000:2018 — Gestão de Riscos: princípios aplicados às avaliações de risco deste normativo;

• ISO/IEC 27001:2022 e ISO/IEC 27701:2019 — segurança da informação e privacidade nos sistemas de suporte;

• COSO ERM 2017 e COSO ICIF 2013 — integração de riscos e controles internos à estratégia;

• COBIT 2019 e ITIL 4 — governança e gestão dos serviços de TI correlatos;

• NIST Cybersecurity Framework 2.0 — proteção de dados e trilhas de auditoria;

• PCI DSS v4.0 — proteção de dados de cartão de pagamento, quando aplicável ao processo;

• Guias e manuais de melhores práticas FEBRABAN — referência setorial de mercado.

Documentos internos relacionados: Código de Conduta e Ética; Política de PLD-FT (VPC-PLD-001); Política de Crédito (VPC-CRD-002); Política de Segurança Cibernética (VPC-SEG-003); Política de Privacidade e Proteção de Dados (VPC-LGPD-004); Manual de Cobrança (VPC-COB-005); Manual de Compliance e Controles Internos (VPC-CPL-006); Manual de Atendimento, SAC e Ouvidoria (VPC-ATD-007); Manual de Convênios e Averbação (VPC-CNV-008); Manual de Correspondentes (VPC-COR-009); Plano de Continuidade de Negócios (VPC-PCN-010).

7. GLOSSÁRIO

TERMO / SIGLA	SIGNIFICADO
ABR	Abordagem Baseada em Risco — controles proporcionais ao risco identificado.
AIR	Avaliação Interna de Risco de LD-FT da instituição (art. 10, Circ. 3.978/2020).
Bancarizadora	Instituição financeira parceira emissora de CCB e responsável pela liquidação das operações de crédito.
Beneficiário Final	Pessoa natural que, em última instância, possui, controla ou influencia a pessoa jurídica cliente.
COAF	Unidade de inteligência financeira do Brasil, destinatária das comunicações de operações suspeitas.
CSNU	Conselho de Segurança da ONU — listas de sanções de cumprimento imediato.
KYC/KYE/KYP/KYS	Conheça seu Cliente / Empregado / Parceiro / Prestador.
PEP	Pessoa Exposta Politicamente — sujeita a diligência reforçada (art. 27, Circ. 3.978/2020).
SISCOAF	Plataforma de envio das comunicações ao COAF.
Tipping-off	Alertar o cliente sobre análise ou comunicação em curso — conduta vedada.

8. DEFINIÇÕES

8.1 Lavagem de Dinheiro

Ocultação ou dissimulação da natureza, origem, localização, disposição, movimentação ou propriedade de bens provenientes de infração penal (art. 1º, Lei nº 9.613/1998), nas fases de colocação (entrada dos recursos ilícitos — ex.: aportes fracionados via boleto incompatíveis com a renda), ocultação (camadas de transações — ex.: cadeias de PIX entre titulares distintos sem propósito econômico) e integração (reinserção com aparência lícita — ex.: compras no marketplace ou quitação antecipada de crédito de terceiros).

8.2 Financiamento do Terrorismo

Custeio de atos ou organizações terroristas, ainda que com recursos lícitos (Lei nº 13.260/2016) — por isso o monitoramento não se limita a valores elevados.

8.3 Operação Suspeita

Operação incompatível com a capacidade econômico-financeira do cliente ou enquadrada no catálogo da Carta Circular BCB nº 4.001/2020, internalizado no motor de monitoramento.

9. DIRETRIZES GERAIS

• Abordagem Baseada em Risco: controles dimensionados pelo perfil de risco de clientes, produtos, canais e jurisdições, documentado na AIR; diligência reforçada para riscos maiores, simplificada com justificativa para menores.

• Tolerância zero: nenhuma meta comercial justifica flexibilizar controles; conflitos são escalados ao Comitê de Compliance.

• Sigilo das comunicações: comunicações ao COAF sem ciência do cliente (vedação de tipping-off); violação constitui falta grave.

• Conservação de registros: identificação e registros de operações conservados por no mínimo 10 anos após o fim do relacionamento.

• Bloqueio imediato CSNU: hit em lista do CSNU gera indisponibilidade imediata de ativos, sem aviso prévio, com comunicação ao BCB, MJSP e COAF, validação humana em até 24 horas.

• Primazia dos parceiros regulados: nas operações via bancarizadora, liquidante ou FIDC, cumpre-se a matriz de responsabilidades pactuada, prevalecendo o requisito mais rigoroso.

• Transparência com partes relacionadas: relacionamentos com partes relacionadas são identificados, documentados e divulgados aos parceiros regulados e fundos.

10. PRINCÍPIOS

PRINCÍPIO	APLICAÇÃO PRÁTICA
Legalidade	Nenhum controle pode contrariar norma legal ou regulamentar brasileira; boas práticas internacionais aplicam-se subsidiariamente e, em conflito, prevalecem as normas brasileiras.
Proporcionalidade	Controles compatíveis com porte, volume e complexidade das operações, revisados a cada ciclo anual.
Efetividade	Controles avaliados por resultados mensuráveis (indicadores e testes), não pela mera existência formal.
Independência	Funções de controle com autonomia, acesso a informações e reporte sem subordinação às áreas de negócio.
Rastreabilidade	Toda decisão relevante possui autor, data, fundamento e evidência em trilha de auditoria.
Segregação de Funções	Comercial segregado de Crédito e Compliance segregado de Operações, independentemente do porte da equipe.
Melhoria Contínua	Lições de incidentes, auditorias e supervisão realimentam riscos, controles e treinamentos.

11. PAPÉIS E RESPONSABILIDADES

11.1 Diretoria Executiva

• Aprovar a política, revisões e AIR, com registro em ata;

• Designar o Diretor responsável por PLD-FT;

• Prover recursos adequados à função;

• Deliberar sobre relacionamentos de risco extremo.

11.2 Diretor Responsável por PLD-FT

• Responder pela efetividade do programa e tempestividade das comunicações ao COAF;

• Relacionar-se com reguladores e parceiros no tema;

• Vedado o acúmulo com funções comerciais. Titular: <<DEFINIÇÃO DA DIRETORIA>>.

11.3 Compliance / Núcleo PLD-FT

• Manter política, AIR e avaliação de efetividade anual;

• Analisar alertas, conduzir diligências e operar o SISCOAF;

• Gerir listas restritivas e o bloqueio da Lei nº 13.810/2019;

• Treinar e reportar indicadores mensais.

11.4 Áreas de Negócio

• Executar o KYC na ponta com qualidade de dados;

• Reportar atipicidades imediatamente ao Compliance;

• Jamais praticar tipping-off.

11.5 TI

• Sustentar motor antifraude, monitoramento, documentoscopia e biometria;

• Garantir trilhas de auditoria íntegras;

• Implementar parametrizações aprovadas pelo Compliance com controle de versão.

Titulares nominais dos cargos e substitutos eventuais: <<DEFINIÇÃO DA DIRETORIA>>, mantidos em anexo controlado deste documento.

12. ORGANOGRAMA FUNCIONAL

FLUXO HIERÁRQUICO E DE REPORTE Diretoria Executiva → Diretor Responsável PLD-FT → Compliance / Núcleo PLD-FT (alertas, SISCOAF, listas, treinamento) ⇄ interfaces: Operações e Crédito (esteira), Comercial e Correspondentes (originação), TI (sistemas e trilhas), RH (KYE), Jurídico (pareceres) e Auditoria (avaliação independente, reporte direto à Diretoria). Reporte extraordinário: qualquer colaborador → Canal de Denúncias → Compliance.

Na fase inicial de operação, com equipe enxuta de 8 a 12 pessoas, admite-se acúmulo de funções, observadas as segregações inegociáveis: Comercial segregado de Crédito e Compliance segregado de Operações. O organograma nominal é mantido em anexo controlado.

13. MATRIZ RACI

Legenda: R = Responsável pela execução; A = Autoridade que aprova; C = Consultado; I = Informado. DIR = Diretoria Executiva; RESP = Área Responsável do manual; CPL = Compliance; NEG = Áreas de Negócio; TI = Tecnologia; AUD = Auditoria.

ATIVIDADE	DIR	RESP	CPL	NEG	TI	AUD
Aprovação da política e da AIR	A	R	R	C	I	I
KYC — coleta e classificação de risco	I	A	C	R	C	I
Diligência reforçada (PEP/alto risco)	I	A	R	C	C	I
Parametrização de regras de monitoramento	I	A	R	C	R	I
Análise de alertas e dossiês	I	A	R	C	C	I
Comunicação ao COAF (SISCOAF)	I	A	R	—	C	I
Bloqueio Lei 13.810 (CSNU)	I	A	R	C	R	I
Avaliação de efetividade anual	A	A	R	C	C	C
Auditoria do programa	A	I	I	I	I	R

14. ESTRUTURA DE GOVERNANÇA

14.1 Instância Colegiada

Comitê de Compliance e PLD-FT: coordenado pelo Diretor PLD-FT, com Compliance, Operações/Crédito e TI; reunião ordinária mensal e extraordinária por caso de risco extremo, ofício de regulador ou incidente relevante; quórum de maioria simples com presença obrigatória do coordenador e voto de qualidade; competências: deliberar relacionamentos de alto risco, aprovar parâmetros de monitoramento, acompanhar indicadores e validar AIR e avaliação de efetividade antes da Diretoria; atas numeradas arquivadas por 10 anos.

14.2 Três Linhas de Atuação

LINHA	QUEM	O QUE FAZ
1ª linha	Áreas de negócio e operações	Executam os processos e aplicam os controles no dia a dia, reportando atipicidades.
2ª linha	Compliance, Riscos e Controles	Definem controles, monitoram, testam e reportam à Diretoria.
3ª linha	Auditoria interna/independente	Avalia com independência a aderência e a efetividade, com reporte direto à Diretoria.

14.3 Escalonamento

Reporte ordinário mensal ao comitê competente e síntese trimestral à Diretoria. Escalonamento imediato (até 24 horas) para: ofício de regulador, incidente relevante, suspeita envolvendo administrador ou parceiro, e eventos definidos nos capítulos 41 e 46. Canal de denúncias disponível a colaboradores e terceiros, com opção de anonimato e proteção contra retaliação.

15. FLUXO MACRO

#	ETAPA	DESCRIÇÃO	RESPONSÁVEL
1	Onboarding / KYC	Identificação, qualificação (documentoscopia + biometria facial), verificação em listas (PEP, CSNU, internas) e classificação de risco do cliente.	Negócio + Compliance
2	Aprovação do relacionamento	Aprovação automática (risco baixo/médio) ou diligência reforçada com decisão do Compliance (alto risco/PEP).	Compliance
3	Monitoramento transacional	Regras e modelos sobre transações (PIX, TED, boletos, cartões, crédito) geram alertas priorizados.	Motor + Compliance
4	Análise de alertas	Triagem em até 5 dias úteis; dossiê com contexto cadastral, transacional e diligências.	Compliance
5	Decisão	Arquivar com fundamento, solicitar informações, restringir produto ou comunicar ao COAF.	Compliance / Diretor PLD
6	Comunicação ao COAF	Registro no SISCOAF em até 24h da decisão de comunicar; sigilo absoluto.	Compliance
7	Revisão cadastral periódica	Atualização conforme risco: alto 12 meses; médio 24; baixo 36.	Negócio + Compliance

16. FLUXOGRAMAS DETALHADOS

Fluxos descritivos (notação: → sequência; ⇒ decisão; [G] gate de controle obrigatório):

FLUXO 16.1 — ONBOARDING COM GATES DE PLD Solicitação de abertura → captura de documentos ⇒ [G] documentoscopia aprovada? (não → reprovação/reenvio) → [G] biometria facial aprovada? → [G] triagem em listas (CSNU ⇒ hit? → bloqueio imediato + escalonamento 24h; PEP ⇒ diligência reforçada) → classificação de risco (baixo/médio/alto) → alto risco ⇒ aprovação manual Compliance → ativação do relacionamento → registro em trilha.

FLUXO 16.2 — ALERTA À COMUNICAÇÃO Alerta gerado → priorização por severidade → análise (5 d.u.) → dossiê ⇒ decisão: arquivar (fundamento registrado) | pedir informações | restringir | comunicar → [G] validação Diretor PLD → SISCOAF em 24h → arquivamento do protocolo por 10 anos → retroalimentação dos parâmetros.

17. PROCEDIMENTOS OPERACIONAIS

17.1 Identificação e Qualificação (KYC)

• Coletar nome completo/razão social, CPF/CNPJ, endereço, renda ou faturamento, propósito do relacionamento e, para PJ, quadro societário até o beneficiário final (participação ≥ 25% ou controle de fato);

• Validar documentos por documentoscopia e vivacidade por biometria facial;

• Consultar listas PEP, CSNU e restritivas internas antes da ativação;

• Atribuir classificação de risco por modelo aprovado (fatores: produto, canal, localização, perfil, exposição PEP);

• Registrar tudo em trilha de auditoria com data, autor e resultado.

17.2 Diligência Reforçada

• Aplicável a PEP, alto risco, beneficiário final opaco ou mídia negativa relevante;

• Obter origem de recursos e patrimônio compatível documentado;

• Aprovação do relacionamento pelo Compliance com registro; revisão a cada 12 meses.

17.3 Monitoramento e Análise

• Executar diariamente as regras aprovadas (fracionamento, incompatibilidade com renda, contas de passagem, uso atípico de canais, recarga/saque atípico de cartões);

• Priorizar alertas por severidade e SLA; montar dossiê padronizado;

• Decidir com fundamento registrado; comunicar ao COAF quando presentes os indícios; jamais informar o cliente.

17.4 Bloqueio CSNU (Lei 13.810)

• Atualizar listas do CSNU em D+0 da publicação;

• Hit confirmado → indisponibilidade imediata de ativos e vedação de novas operações;

• Comunicar BCB, MJSP e COAF nos prazos legais; registrar cronologia completa.

18. REGRAS DE NEGÓCIO

ID	REGRA	CRITICIDADE
PLD-RN-01	Nenhum relacionamento é ativado sem documentoscopia e biometria aprovadas e triagem de listas concluída.	Crítica
PLD-RN-02	Cliente com hit CSNU confirmado tem ativos indisponibilizados imediatamente, sem aviso prévio.	Crítica
PLD-RN-03	PEP e alto risco exigem aprovação manual do Compliance e revisão cadastral a cada 12 meses.	Alta
PLD-RN-04	Alerta de monitoramento tem análise iniciada em até 5 dias úteis da geração.	Alta
PLD-RN-05	Comunicação ao COAF registrada no SISCOAF em até 24 horas da decisão de comunicar.	Crítica
PLD-RN-06	Dossiês, protocolos e cadastros conservados por 10 anos após o encerramento do relacionamento.	Alta
PLD-RN-07	Alterações de parâmetros do monitoramento exigem aprovação do Comitê e controle de versão.	Alta

19. CONTROLES INTERNOS

Controles instituídos pela administração para assegurar a execução conforme deste processo, integrados ao Manual de Compliance (VPC-CPL-006):

CONTROLE	RESPONSÁVEL	FREQUÊNCIA	EVIDÊNCIA / REGISTRO
Dupla validação (maker-checker) nas decisões de arquivamento de alertas de alta severidade	Compliance	Por evento	Registro de dupla aprovação no sistema
Revisão trimestral de acessos aos sistemas de PLD	TI + Compliance	Trimestral	Relatório de revisão assinado
Conciliação mensal alertas gerados × analisados × decididos	Compliance	Mensal	Planilha de conciliação arquivada

20. CONTROLES REGULATÓRIOS

Controles cuja existência decorre diretamente de exigência normativa, com rastreio à base regulatória do Capítulo 5:

CONTROLE	RESPONSÁVEL	FREQUÊNCIA	EVIDÊNCIA / REGISTRO
Manutenção da AIR atualizada e aprovada (art. 10, Circ. 3.978/2020)	Compliance	Anual	AIR + ata de aprovação
Avaliação de efetividade do programa (art. 62, Circ. 3.978/2020)	Compliance	Anual	Relatório de efetividade
Comunicação de não ocorrência ao COAF, quando aplicável	Compliance	Anual	Protocolo SISCOAF

21. CONTROLES PREVENTIVOS

Atuam antes do evento de risco, impedindo sua materialização. Justificativa: prevenir custa menos que remediar e evita dano regulatório e reputacional:

CONTROLE	RESPONSÁVEL	FREQUÊNCIA	EVIDÊNCIA / REGISTRO
Documentoscopia + biometria facial no onboarding	Negócio/TI	Por evento	Log de aprovação por cliente
Triagem em listas PEP/CSNU/internas pré-ativação e recorrente	Compliance/TI	Diária	Log de triagem com data/hora
Trava de produtos de maior risco para perfis incompatíveis	TI	Contínua	Parametrização versionada

22. CONTROLES DETECTIVOS

Atuam durante ou imediatamente após o evento, identificando desvios tempestivamente para limitar impacto:

CONTROLE	RESPONSÁVEL	FREQUÊNCIA	EVIDÊNCIA / REGISTRO
Motor de monitoramento transacional com regras da CC 4.001/2020	Compliance/TI	Diária	Alertas com trilha completa
Revisão de amostra de operações abaixo dos limites de alerta	Compliance	Mensal	Relatório de amostragem
Batimento periódico da base contra atualizações de listas	TI	Diária	Log de reprocessamento

23. CONTROLES CORRETIVOS

Atuam após a detecção, saneando o desvio, contendo o dano e restabelecendo a conformidade:

CONTROLE	RESPONSÁVEL	FREQUÊNCIA	EVIDÊNCIA / REGISTRO
Bloqueio cautelar de conta/produto sob análise	Compliance	Por evento	Registro de bloqueio e fundamento
Comunicação ao COAF e encerramento de relacionamento quando cabível	Compliance	Por evento	Protocolo + carta de encerramento
Recalibragem de regra após falso-negativo identificado	Compliance/TI	Por evento	Change log do motor

24. CONTROLES COMPENSATÓRIOS

Mitigam riscos residuais quando o controle primário é inviável na fase atual de estruturação, com prazo e plano de convergência ao controle definitivo:

CONTROLE	RESPONSÁVEL	FREQUÊNCIA	EVIDÊNCIA / REGISTRO
Enquanto o monitoramento automatizado não cobrir 100% dos produtos: revisão manual diária de relatórios transacionais dos produtos não cobertos	Compliance	Diária	Relatório assinado; prazo de convergência: <<DEFINIÇÃO DA DIRETORIA>>
Enquanto não constituída auditoria interna: auditoria independente anual contratada	Diretoria	Anual	Contrato + relatório

25. GESTÃO DE RISCOS

A gestão de riscos deste processo segue a ISO 31000:2018 e integra-se ao gerenciamento corporativo de riscos: identificação, análise (probabilidade × impacto em escala 1–5), avaliação contra o apetite de risco definido pela Diretoria, tratamento (mitigar, transferir, evitar ou aceitar com registro formal) e monitoramento contínuo por KRIs. Riscos com nível igual ou superior a 12 (produto probabilidade × impacto) exigem plano de ação imediato aprovado pela instância de governança; riscos aceitos exigem registro de aceite pela Diretoria com prazo de reavaliação.

26. MATRIZ DE RISCOS

Escalas: Probabilidade (P) e Impacto (I) de 1 (mínimo) a 5 (máximo); Nível = P × I. Classificação: 1–5 Baixo; 6–11 Médio; 12–19 Alto; 20–25 Crítico.

RISCO	CAUSA RAIZ	P	I	NÍVEL	TRATAMENTO / MITIGAÇÃO
Uso da plataforma para lavagem (contas de passagem)	Onboarding frágil ou monitoramento incompleto	3	5	15 — Alto	Gates de onboarding + motor de regras + revisão de amostras
Não comunicação tempestiva ao COAF	Fila de alertas represada	2	5	10 — Médio	SLA de análise + KRI de backlog + dupla validação
Operação com sancionado CSNU	Atraso na atualização de listas	2	5	10 — Médio	Atualização D+0 + batimento diário + bloqueio automático
Tipping-off por colaborador	Desconhecimento ou má-fé	2	4	8 — Médio	Treinamento + segregação de acesso a dossiês + trilha
Fraude de identidade no onboarding	Documentos falsos / deepfake	3	4	12 — Alto	Documentoscopia + vivacidade biométrica + motor antifraude

27. INDICADORES

O desempenho e o risco deste processo são medidos por três famílias de indicadores: KRIs (risco), KPIs (desempenho) e SLAs (níveis de serviço), apurados mensalmente pelo responsável indicado, reportados ao comitê competente e arquivados como evidência de monitoramento. Estouros de limite geram plano de ação obrigatório (Capítulo 48).

28. KRIs — INDICADORES-CHAVE DE RISCO

KRI	CRITÉRIO / FÓRMULA	LIMITE	FREQ.	RESPONSÁVEL
Backlog de alertas > 5 d.u.	Qtde de alertas sem análise iniciada no SLA	0	Semanal	Compliance
Idade média da fila de alertas	Média de dias dos alertas abertos	≤ 3 dias	Semanal	Compliance
Hits CSNU sem tratamento em 24h	Contagem absoluta	0	Diária	Compliance
Cadastros de alto risco vencidos	% além do ciclo de 12 meses	≤ 2%	Mensal	Compliance

29. KPIs — INDICADORES-CHAVE DE DESEMPENHO

KPI	CRITÉRIO / FÓRMULA	META	FREQ.	RESPONSÁVEL
Tempo médio de análise de alerta	Da geração à decisão	≤ 5 d.u.	Mensal	Compliance
Cobertura de treinamento PLD	% colaboradores ativos treinados no ciclo	100%	Mensal	RH/Compliance
Qualidade cadastral	% cadastros completos na 1ª verificação	≥ 97%	Mensal	Negócio
Comunicações dentro do prazo	% registradas no SISCOAF em 24h	100%	Mensal	Compliance

30. SLAs — NÍVEIS DE SERVIÇO

SERVIÇO / ATIVIDADE	PRAZO ACORDADO	MEDIÇÃO
Início de análise de alerta	Até 5 dias úteis da geração	Timestamp do sistema
Registro no SISCOAF após decisão	Até 24 horas	Protocolo × data da decisão
Tratamento de hit CSNU	Bloqueio imediato; validação humana ≤ 24h	Cronologia do evento
Resposta a ofícios de reguladores/parceiros	Prazo do ofício; padrão ≤ 10 d.u.	Controle de ofícios

31. EVIDÊNCIAS

EVIDÊNCIA	ORIGEM / SISTEMA	RETENÇÃO
Dossiê de análise de alerta	Sistema de monitoramento	10 anos
Protocolo SISCOAF	SISCOAF / arquivo Compliance	10 anos
Logs de documentoscopia e biometria	Fornecedores integrados / core	10 anos
Atas do Comitê e da Diretoria	Governança	10 anos

32. REGISTROS OBRIGATÓRIOS

REGISTRO	BASE NORMATIVA	RETENÇÃO MÍNIMA
Cadastro e qualificação de clientes	Arts. 10-11, Lei 9.613/1998; Circ. 3.978/2020	10 anos após encerramento
Registros de operações e transações	Art. 10, Lei 9.613/1998	10 anos
AIR e avaliação de efetividade	Circ. 3.978/2020, arts. 10 e 62	5 anos por versão
Comunicações ao COAF e fundamentos de arquivamento	Circ. 3.978/2020	10 anos

33. SISTEMAS ENVOLVIDOS

SISTEMA	PAPEL NO PROCESSO
Core bancário	Cadastro, contas, transações e trilhas primárias.
Motor antifraude / monitoramento	Regras de LD-FT, geração e gestão de alertas.
Documentoscopia e biometria facial	Validação documental e prova de vida no onboarding.
SISCOAF	Envio e protocolo das comunicações ao COAF.
ERP / integração contábil	Suporte a conciliações e evidências financeiras.

34. INTEGRAÇÕES

INTEGRAÇÃO	FINALIDADE	CRITICIDADE
Core ⇄ Motor de monitoramento	Envio de eventos transacionais em tempo quase-real	Crítica
Provedores de listas (PEP/CSNU)	Atualização diária e triagem	Crítica
Bancarizadora / liquidante	Troca de informações de PLD conforme matriz de responsabilidades	Alta
FIDC / gestora	Reporte de diligências sobre cedentes e sacados	Alta

35. SEGURANÇA DA INFORMAÇÃO

As informações deste processo são classificadas conforme a política corporativa (Pública, Interna, Confidencial, Restrita) e protegidas por: controle de acesso por perfil com privilégio mínimo e revisão trimestral de acessos; autenticação multifator para funções sensíveis; criptografia em trânsito (TLS 1.2+) e em repouso; trilhas de auditoria imutáveis com retenção mínima de 5 anos; e vedação de extração de dados para ambientes não controlados. Requisitos detalhados na Política de Segurança Cibernética (VPC-SEG-003).

36. SEGURANÇA CIBERNÉTICA

Aplicam-se a este processo os controles da VPC-SEG-003, alinhados à Resolução BCB nº 85/2021 e à Resolução CMN nº 4.893/2021 (por equivalência contratual com parceiros regulados): gestão de vulnerabilidades, testes de intrusão anuais, resposta a incidentes cibernéticos com comunicação a parceiros e autoridades quando cabível, requisitos de segurança para APIs (autenticação OAuth 2.0, rate limiting, versionamento) e avaliação de segurança de terceiros relevantes antes da contratação.

37. LGPD — PROTEÇÃO DE DADOS PESSOAIS

O tratamento de dados pessoais neste processo observa a Lei nº 13.709/2018 e a Política VPC-LGPD-004. Mapeamento do tratamento específico deste processo:

CATEGORIA DE DADOS	FINALIDADE	BASE LEGAL (ART. 7º/11 LGPD)
Identificação civil e documentos	KYC e prevenção a fraudes	Obrigação legal (art. 7º, II)
Dados biométricos faciais	Prova de vida e antifraude	Prevenção à fraude (art. 11, II, g)
Dados transacionais	Monitoramento LD-FT	Obrigação legal (art. 7º, II)
Exposição política (PEP)	Diligência reforçada	Obrigação legal (art. 7º, II)

Direitos dos titulares são atendidos pelo canal do Encarregado (DPO) no prazo legal; incidentes com dados pessoais seguem o Capítulo 41 e, quando de risco relevante, são comunicados à ANPD e aos titulares.

38. CONTINUIDADE DE NEGÓCIO

Processos críticos deste manual, com objetivos de recuperação definidos no PCN corporativo (VPC-PCN-010):

PROCESSO CRÍTICO	RTO (tempo máx. de recuperação)	RPO (perda máx. de dados)
Triagem de listas CSNU	4 horas	0 (sem perda)
Monitoramento transacional	24 horas	24 horas
Acesso ao SISCOAF	24 horas	0

39. PLANO DE CONTINGÊNCIA

CENÁRIO DE INDISPONIBILIDADE	RESPOSTA IMEDIATA
Indisponibilidade do motor de monitoramento	Relatórios transacionais manuais diários analisados pelo Compliance até restabelecimento; registro do período em ata.
Indisponibilidade do provedor de listas	Uso da última base válida + verificação manual no sítio do CSNU para novos onboardings.
Indisponibilidade do SISCOAF	Registro interno datado da decisão; envio imediato no restabelecimento com justificativa.

40. PLANO DE RECUPERAÇÃO

Após contenção: (1) acionamento do gestor do processo e da TI conforme severidade; (2) restauração a partir de backups validados ou reprocessamento controlado; (3) verificação de integridade e conciliação com sistemas parceiros (bancarizadora, liquidante, FIDC) antes da retomada; (4) registro do incidente e do tempo de recuperação contra RTO/RPO; (5) relatório de lições aprendidas em até 10 dias úteis, com revisão dos controles quando cabível.

41. GESTÃO DE INCIDENTES

SEVERIDADE	DEFINIÇÃO	RESPOSTA	PRAZO DE COMUNICAÇÃO INTERNA
Crítica (S1)	Interrupção total, dano a clientes, exigência regulatória ou exposição de dados sensíveis.	War room imediato; Diretoria e parceiros afetados.	Imediata (até 2h)
Alta (S2)	Degradação relevante ou risco de descumprimento de prazo regulatório.	Gestor do processo + TI + Compliance.	Até 4h
Média (S3)	Falha pontual sem impacto a cliente ou regulador.	Tratamento na rotina com registro.	Até 24h
Baixa (S4)	Desvio menor, sem impacto operacional.	Registro e correção programada.	Relatório semanal

Todo incidente recebe número único, responsável, cronologia e causa raiz (metodologia dos 5 porquês ou Ishikawa), alimentando os capítulos 47 a 49.

42. MONITORAMENTO

ROTINA DE MONITORAMENTO	FREQUÊNCIA	RESPONSÁVEL
Execução das regras e revisão da fila de alertas	Diária	Compliance
Conciliação alertas × decisões × comunicações	Mensal	Compliance
Teste de amostra de onboardings (qualidade KYC)	Mensal	Compliance
Revisão de parâmetros e falsos positivos/negativos	Trimestral	Comitê

43. AUDITORIA

Plano mínimo de auditoria deste processo, executado por auditoria interna ou independente contratada, com reporte direto à Diretoria e follow-up formal dos apontamentos:

ESCOPO DO TESTE	PERIODICIDADE
Reexecução de amostra de análises de alertas e fundamentos de arquivamento	Anual
Teste dos gates de onboarding (documentoscopia, biometria, listas)	Anual
Verificação de prazos SISCOAF e retenção de registros	Anual

44. COMPLIANCE

O Compliance verifica a aderência deste normativo por meio de testes de segunda linha (amostragem documental, reexecução de controles e inspeção de trilhas), consolida os resultados no relatório mensal ao comitê competente e mantém o inventário de obrigações regulatórias deste processo atualizado, com responsável e prazo por obrigação. Divergências identificadas seguem os capítulos 47 e 48.

45. TREINAMENTOS

PÚBLICO	CONTEÚDO	FREQUÊNCIA	EVIDÊNCIA
Todos os colaboradores	Fundamentos de PLD-FT, tipologias e canal de reporte	Anual + admissão	Lista de presença + avaliação ≥ 80%
Compliance / análise	Tipologias avançadas, CC 4.001/2020, SISCOAF	Semestral	Certificado
Correspondentes	Obrigações de PLD na originação	Anual + integração	Certificado por correspondente

46. COMUNICAÇÃO

EVENTO	PÚBLICO	CANAL	PRAZO
Publicação/revisão desta política	Todos + parceiros	Portal + e-mail com ciência	5 d.u. da aprovação
Indicadores mensais	Comitê	Painel + ata	Mensal
Hit CSNU / caso crítico	Diretoria + parceiros afetados	Protocolo de crise	Imediato (≤ 24h)

47. NÃO CONFORMIDADES

Não conformidade é qualquer desvio entre a prática observada e este normativo, identificado por autoavaliação, monitoramento, auditoria, denúncia ou supervisão de parceiro/regulador. Tratamento: registro em até 2 dias úteis com classificação de severidade; análise de causa raiz; definição de correção (imediata) e ação corretiva (estrutural); e verificação de eficácia após implementação. Reincidência da mesma causa raiz eleva a severidade em um nível e exige deliberação do comitê.

48. PLANO DE AÇÃO

Planos de ação seguem o padrão 5W2H, com registro centralizado e acompanhamento mensal pelo comitê:

CAMPO	CONTEÚDO EXIGIDO
O quê (What)	Descrição objetiva da ação corretiva ou de melhoria.
Por quê (Why)	Causa raiz ou risco que a ação endereça, com referência ao capítulo 26.
Quem (Who)	Responsável nominal único pela entrega.
Quando (When)	Prazo com data; ações de risco Alto/Crítico não excedem 60 dias.
Onde (Where)	Processo, sistema ou área de aplicação.
Como (How)	Etapas de execução e evidência de conclusão exigida.
Quanto (How much)	Recursos ou orçamento, quando aplicável: <<DEFINIÇÃO DA DIRETORIA>>.

49. LIÇÕES APRENDIDAS

Ao encerramento de incidentes S1/S2, auditorias, ciclos de supervisão de parceiros e projetos relevantes, o gestor do processo registra as lições aprendidas em ata padronizada: o que funcionou, o que falhou, causa raiz, e alterações decorrentes em controles, parâmetros, treinamentos ou neste normativo. O repositório de lições é insumo obrigatório da revisão anual deste documento.

50. MODELOS

Modelos padronizados anexos a este manual (arquivos controlados pelo Compliance, com versão própria):

• Modelo de Dossiê de Análise de Alerta;

• Modelo de AIR (matriz de fatores de risco);

• Modelo de Relatório Anual de Efetividade;

• Modelo de Termo de Ciência da Política;

• Modelo de Matriz de Responsabilidades PLD com Parceiros.

51. CHECKLISTS

Checklist operacional de verificação obrigatória (aplicado no gate correspondente do fluxo do Capítulo 15):

#	ITEM DE VERIFICAÇÃO	CONFORME? (S/N/NA)
1	Documentoscopia aprovada e arquivada	____
2	Biometria facial com prova de vida aprovada	____
3	Triagem PEP/CSNU/listas internas executada e registrada	____
4	Beneficiário final identificado (PJ)	____
5	Classificação de risco atribuída e compatível com o perfil	____
6	Diligência reforçada concluída (se PEP/alto risco)	____
7	Termo de ciência/contratos assinados	____
8	Registro completo em trilha de auditoria	____

52. FORMULÁRIOS

• Formulário de Reporte Interno de Atipicidade (RIA);

• Formulário de Diligência Reforçada;

• Formulário de Solicitação de Exceção (com controles compensatórios).

53. EXEMPLOS PRÁTICOS

53.1 Fracionamento em boletos

Cliente PF com renda declarada de R$ 3.500 recebe 14 boletos de R$ 1.900 em 6 dias, seguidos de transferências PIX integrais a terceiros em até 12 horas. Tratamento: alerta de fracionamento + incompatibilidade de renda; análise com pedido de origem de recursos; ausência de justificativa → comunicação ao COAF em 24h da decisão; conta restrita durante a análise; cliente não informado.

53.2 PEP em onboarding

Secretário municipal solicita conta e cartão. Tratamento: classificação automática PEP; diligência reforçada com origem de recursos e patrimônio; aprovação manual do Compliance; monitoramento intensificado e revisão em 12 meses. A condição de PEP não impede o relacionamento — impõe diligência.

54. ESTUDOS DE CASO

ESTUDO DE CASO — CONTAS DE PASSAGEM EM ARRANJO DE PAGAMENTO Instituição de pagamento brasileira foi sancionada após permitir rede de contas com permanência média de recursos inferior a 24 horas e ausência de propósito econômico, movimentando R$ 40 milhões em 4 meses. Falhas: monitoramento sem regra de permanência mínima, alertas represados por 60 dias e ausência de dupla validação nos arquivamentos. Aplicação à VIPCard®: regra de permanência implementada no motor; KRI de backlog com limite zero; maker-checker nos arquivamentos de alta severidade.

55. PERGUNTAS FREQUENTES

P: Posso avisar o cliente de que a conta está sob análise de PLD?

R: Não. É tipping-off, vedado pelo art. 11 da Lei nº 9.613/1998 e por esta política; sujeita o infrator a medida disciplinar e responsabilização pessoal.

P: Cliente PEP deve ser recusado?

R: Não necessariamente. PEP exige diligência reforçada, aprovação do Compliance e monitoramento intensificado — não vedação automática.

P: Quem decide comunicar ao COAF?

R: O Compliance propõe e o Diretor PLD-FT valida. A comunicação é registrada no SISCOAF em até 24 horas da decisão.

P: O que fazer ao identificar operação estranha na minha rotina?

R: Registrar imediatamente o Formulário RIA ao Compliance, sem comentar com o cliente ou colegas sem necessidade funcional.

56. BOAS PRÁTICAS

• Priorizar qualidade do dado cadastral na origem — retrabalho de KYC é o maior custo oculto do programa;

• Retroalimentar o motor com cada falso positivo/negativo analisado;

• Manter dossiês autossuficientes: um terceiro deve entender a decisão sem explicações verbais;

• Tratar exigências de parceiros regulados como piso, não teto.

57. ERROS COMUNS

• Arquivar alertas sem fundamento escrito;

• Deixar cadastros de alto risco vencerem;

• Tratar comunicação ao COAF como denúncia criminal (é reporte administrativo de indícios);

• Parametrizar o motor sem controle de versão e aprovação formal.

58. RECOMENDAÇÕES

• Formalizar em ata a designação do Diretor PLD-FT antes da primeira apresentação a fundos;

• Assinar a matriz de responsabilidades PLD com a bancarizadora antes do go-live;

• Executar a primeira AIR sobre o portfólio real nos primeiros 90 dias de operação;

• Contratar avaliação independente do programa ao final do primeiro ano.

59. REFERÊNCIAS

As referências normativas e técnicas deste manual constam dos Capítulos 5 (Base Regulatória) e 6 (Referências Normativas). Documentos internos relacionados constam do Capítulo 6. Versões atualizadas das normas devem ser verificadas nos sítios oficiais do Banco Central do Brasil, do COAF, da ANPD e do Planalto antes de cada revisão anual.

60. HISTÓRICO DE REVISÃO

VERSÃO	DATA	RESPONSÁVEL	APROVAÇÃO	DESCRIÇÃO
1.0	22/07/2026	LivrePay / Compliance / PLD-FT	Diretoria Executiva	Emissão inicial — edição integral (Capítulos 1 a 60).

G R U P O V I P C A R D

BIBLIOTECA CORPORATIVA

N O R M A T I V O S I N S T I T U C I O N A I S

MANUAL 02

POLÍTICA DE CRÉDITO E CONCESSÃO

CRÉDITO CONSIGNADO PÚBLICO

DOCUMENTO INSTITUCIONAL

C O N F I D E N C I A L

VIP CARD LTDA | CNPJ nº 54.384.331/0001-00

Código: VPC-CRD-002 | Versão: 1.0 | Status: Vigente

CONTROLE DO DOCUMENTO

CAMPO	VALOR	CAMPO	VALOR
CÓDIGO DO DOCUMENTO	VPC-CRD-002	VERSÃO	1.0
DATA DE EMISSÃO	22/07/2026	STATUS	Vigente
ÁREA RESPONSÁVEL	Crédito	ÁREA REVISORA	Compliance
ÁREA APROVADORA	Diretoria Executiva	CLASSIFICAÇÃO	Confidencial — Uso Interno
PRÓXIMA REVISÃO	22/07/2027	PERIODICIDADE	Anual ou por evento regulatório
ELABORAÇÃO TÉCNICA	LivrePay Tecnologia Financeira Ltda	VÍNCULO	Contrato de Implantação Fintech VIPCard®

Histórico de Revisões

VERSÃO	DATA	RESPONSÁVEL	DESCRIÇÃO DA ALTERAÇÃO
1.0	22/07/2026	LivrePay / Crédito	Emissão inicial do documento — edição integral (Capítulos 1 a 60).

SUMÁRIO

1. INTRODUÇÃO

Esta Política de Crédito disciplina a originação, análise, formalização, liberação e gestão das operações de crédito consignado público do ecossistema VIPCard®, instrumentalizadas por CCB emitida por bancarizadora parceira e passíveis de cessão a FIDC. Define o apetite de risco, os critérios de elegibilidade, os limites, as alçadas e os controles da esteira, assegurando carteira de qualidade auditável por fundos, bancarizadoras e instituições financeiras.

Por que esta política existe: no consignado público, o risco de crédito é mitigado pela averbação em margem consignável, mas permanecem riscos relevantes de fraude documental, averbação indevida, margem inexistente, vícios de formalização (que comprometem a exequibilidade da CCB e a elegibilidade dos créditos à cessão) e conduta comercial inadequada com público majoritariamente idoso — cada qual com impacto direto na precificação e no rating da carteira junto aos cessionários.

NOTA DE APLICABILIDADE REGULATÓRIA A VIP CARD LTDA encontra-se em fase de estruturação de suas operações financeiras, atuando por meio de parceiros regulados (bancarizadora, instituições de pagamento, banco liquidante e fundos de investimento em direitos creditórios). Este normativo é redigido no padrão exigido de instituições autorizadas pelo Banco Central do Brasil por três razões: (1) diversas obrigações alcançam a VIPCard® diretamente por força de lei; (2) os parceiros regulados exigem contratualmente equivalência de controles; e (3) a instituição prepara-se para eventual pedido de autorização ao BCB, quando a aderência integral será mandatória. O status regulatório vigente da instituição será reavaliado a cada revisão anual deste documento.

2. OBJETIVOS

2.1 Objetivo Geral

Estabelecer critérios, limites, alçadas, procedimentos e controles da concessão de crédito consignado público, assegurando conformidade com a legislação aplicável, exequibilidade dos títulos e elegibilidade dos créditos à cessão a FIDC.

2.2 Objetivos Específicos

• Definir elegibilidade de tomadores, convênios e produtos, com política de apetite aprovada pela Diretoria;

• Estruturar a esteira com gates obrigatórios de identidade, margem, averbação e formalização;

• Estabelecer alçadas de aprovação e vedação de conflitos (Comercial segregado de Crédito);

• Garantir formalização íntegra da CCB e do dossiê digital exigido pela bancarizadora e pelo FIDC;

• Definir critérios de elegibilidade de cessão e conciliação com cessionários;

• Proteger o consumidor idoso contra assédio comercial e superendividamento (Lei nº 14.181/2021).

3. ESCOPO

Este normativo aplica-se às seguintes dimensões da operação VIPCard®:

DIMENSÃO	ABRANGÊNCIA
Produtos	Crédito consignado público (novo, refinanciamento e portabilidade ativa/passiva) e cartão benefício/consignado, quando habilitado por convênio.
Canais	Correspondentes bancários, portal comercial, app e atendimento receptivo — todos sob as mesmas regras de esteira.
Convênios	Órgãos e entidades públicas com convênio vigente e averbação eletrônica ou documental ativa (VPC-CNV-008).
Parcerias	Bancarizadora (emissão/CCB), banco liquidante (liquidação) e FIDC (cessão), conforme matrizes contratuais.

Exclusões: não há exclusões de escopo. Exceções pontuais somente mediante parecer formal do Compliance e aprovação registrada da Diretoria Executiva, com prazo determinado e controles compensatórios documentados.

4. APLICABILIDADE

Este normativo vincula administradores, colaboradores (CLT, PJ e estagiários), correspondentes, prestadores de serviço e parceiros da VIPCard®, mediante termo de ciência, cláusula contratual de aderência ou instrumento de parceria, conforme o público. O descumprimento sujeita o infrator às medidas do Código de Conduta, sem prejuízo das responsabilidades civil, administrativa e penal cabíveis; correspondentes e parceiros sujeitam-se a advertência, suspensão ou rescisão contratual, conforme a gravidade.

5. BASE REGULATÓRIA

Hierarquia normativa aplicável, prevalecendo as normas brasileiras em caso de conflito com boas práticas internacionais:

NORMA	EMENTA / RELEVÂNCIA
Lei nº 10.820/2003	Consignação em folha de empregados CLT — referência estrutural do produto.
Lei nº 8.112/1990 e regramentos locais	Consignações de servidores públicos — margens e regras por ente/convênio.
Res. CMN nº 4.949/2021	Princípios de relacionamento com clientes: adequação de produtos (suitability), transparência e conduta.
Lei nº 14.181/2021	Prevenção ao superendividamento — crédito responsável e avaliação da capacidade de pagamento.
CDC (Lei nº 8.078/1990) e Estatuto do Idoso (Lei nº 10.741/2003)	Proteção do consumidor e vedação de práticas abusivas com idosos.
Res. CMN nº 4.935/2021	Correspondentes: responsabilidade da contratante, certificação e vedações na originação.
Lei nº 10.931/2004	CCB — requisitos de validade e executividade do título.
Res. CMN nº 2.907/2001 e ICVM 175	Cessão a FIDC — elegibilidade e padrões dos direitos creditórios.
LGPD (Lei nº 13.709/2018)	Tratamento de dados do tomador — execução de contrato e obrigação legal.

6. REFERÊNCIAS NORMATIVAS

• ISO 31000:2018 — Gestão de Riscos: princípios aplicados às avaliações de risco deste normativo;

• ISO/IEC 27001:2022 e ISO/IEC 27701:2019 — segurança da informação e privacidade nos sistemas de suporte;

• COSO ERM 2017 e COSO ICIF 2013 — integração de riscos e controles internos à estratégia;

• COBIT 2019 e ITIL 4 — governança e gestão dos serviços de TI correlatos;

• NIST Cybersecurity Framework 2.0 — proteção de dados e trilhas de auditoria;

• PCI DSS v4.0 — proteção de dados de cartão de pagamento, quando aplicável ao processo;

• Guias e manuais de melhores práticas FEBRABAN — referência setorial de mercado.

Documentos internos relacionados: Código de Conduta e Ética; Política de PLD-FT (VPC-PLD-001); Política de Crédito (VPC-CRD-002); Política de Segurança Cibernética (VPC-SEG-003); Política de Privacidade e Proteção de Dados (VPC-LGPD-004); Manual de Cobrança (VPC-COB-005); Manual de Compliance e Controles Internos (VPC-CPL-006); Manual de Atendimento, SAC e Ouvidoria (VPC-ATD-007); Manual de Convênios e Averbação (VPC-CNV-008); Manual de Correspondentes (VPC-COR-009); Plano de Continuidade de Negócios (VPC-PCN-010).

7. GLOSSÁRIO

TERMO / SIGLA	SIGNIFICADO
Averbação	Registro da consignação na folha do órgão, reservando a margem do servidor.
Margem Consignável	Percentual da remuneração passível de consignação, conforme norma do ente.
CCB	Cédula de Crédito Bancário (Lei nº 10.931/2004) — título executivo da operação.
Esteira	Pipeline de originação → análise → formalização → averbação → liberação.
Refin	Refinanciamento de operação própria com novo prazo/valor.
Portabilidade	Transferência da operação entre credores por iniciativa do cliente (Res. CMN 5.057/2022).
Suitability	Adequação do produto ao perfil e à necessidade do cliente.
Elegibilidade de cessão	Conjunto de critérios que o crédito deve cumprir para ser cedido ao FIDC.

8. DEFINIÇÕES

8.1 Crédito Consignado Público

Empréstimo com desconto em folha de servidor/beneficiário de ente público conveniado, mediante averbação de margem.

8.2 Dossiê Digital da Operação

Conjunto probatório mínimo: proposta assinada, documentos de identidade validados, comprovantes, CCB, autorização de desconto, evidência de averbação e trilha de consentimentos — na forma exigida pela bancarizadora e pelo FIDC.

8.3 Vício de Formalização

Ausência ou defeito de elemento essencial do dossiê que comprometa executividade ou elegibilidade de cessão — tratado como não conformidade crítica.

9. DIRETRIZES GERAIS

• Crédito responsável: concessão condicionada a margem disponível confirmada e avaliação de comprometimento, vedado induzir superendividamento (Lei nº 14.181/2021).

• Segregação Comercial × Crédito: quem origina não aprova; alçadas de crédito são exclusivas da área de Crédito, sem metas comerciais.

• Formalização íntegra: nenhuma liberação sem dossiê digital completo e conforme; vício de formalização bloqueia a operação.

• Averbação antes da liberação: recursos somente são liberados após averbação confirmada (ou garantia equivalente prevista em convênio).

• Conduta com idosos: vedadas ligações insistentes, oferta não solicitada agressiva e qualquer prática vedada pelo Estatuto do Idoso e pela Res. CMN 4.949/2021.

• Rastreabilidade comercial: toda proposta identifica o canal e o agente originador, para responsabilização e métricas de qualidade por origem.

• Elegibilidade de cessão: créditos cedidos ao FIDC cumprem integralmente os critérios do regulamento e do contrato de cessão; divergências são reportadas ao cessionário proativamente.

10. PRINCÍPIOS

PRINCÍPIO	APLICAÇÃO PRÁTICA
Legalidade	Nenhum controle pode contrariar norma legal ou regulamentar brasileira; boas práticas internacionais aplicam-se subsidiariamente e, em conflito, prevalecem as normas brasileiras.
Proporcionalidade	Controles compatíveis com porte, volume e complexidade das operações, revisados a cada ciclo anual.
Efetividade	Controles avaliados por resultados mensuráveis (indicadores e testes), não pela mera existência formal.
Independência	Funções de controle com autonomia, acesso a informações e reporte sem subordinação às áreas de negócio.
Rastreabilidade	Toda decisão relevante possui autor, data, fundamento e evidência em trilha de auditoria.
Segregação de Funções	Comercial segregado de Crédito e Compliance segregado de Operações, independentemente do porte da equipe.
Melhoria Contínua	Lições de incidentes, auditorias e supervisão realimentam riscos, controles e treinamentos.

11. PAPÉIS E RESPONSABILIDADES

11.1 Diretoria Executiva

• Aprovar a política, o apetite de risco, limites e alçadas;

• Deliberar exceções acima das alçadas delegadas.

11.2 Crédito

• Analisar e decidir propostas conforme alçadas;

• Gerir a esteira e os gates; monitorar qualidade por safra e por canal;

• Manter parametrizações de política no motor de crédito com versão.

11.3 Comercial / Correspondentes

• Originar propostas com exatidão de informações;

• Cumprir o script de conduta e suitability;

• Vedado prometer aprovação, alterar dados ou reter documentos do cliente.

11.4 Operações / Formalização

• Montar e conferir o dossiê digital;

• Executar averbação junto ao convênio;

• Comandar a liberação somente com checklist aprovado.

11.5 Compliance

• Testar aderência da esteira; tratar denúncias de conduta;

• Validar aderência dos créditos aos critérios de cessão em amostras.

Titulares nominais dos cargos e substitutos eventuais: <<DEFINIÇÃO DA DIRETORIA>>, mantidos em anexo controlado deste documento.

12. ORGANOGRAMA FUNCIONAL

FLUXO HIERÁRQUICO E DE REPORTE Diretoria Executiva → Gerência de Crédito (análise e decisão) ∥ Gerência Comercial (originação — segregada) → Operações/Formalização (dossiê, averbação, liberação) ⇄ TI (motor de crédito, esteira, integrações) ⇄ Compliance (testes de 2ª linha) → interfaces externas: convênios (averbação), bancarizadora (emissão CCB), liquidante (liberação) e FIDC (cessão).

Na fase inicial de operação, com equipe enxuta de 8 a 12 pessoas, admite-se acúmulo de funções, observadas as segregações inegociáveis: Comercial segregado de Crédito e Compliance segregado de Operações. O organograma nominal é mantido em anexo controlado.

13. MATRIZ RACI

Legenda: R = Responsável pela execução; A = Autoridade que aprova; C = Consultado; I = Informado. DIR = Diretoria Executiva; RESP = Área Responsável do manual; CPL = Compliance; NEG = Áreas de Negócio; TI = Tecnologia; AUD = Auditoria.

ATIVIDADE	DIR	RESP	CPL	NEG	TI	AUD
Aprovação da política e alçadas	A	R	C	C	I	I
Originação da proposta	I	I	I	R	C	I
Análise e decisão de crédito	I	R	C	—	C	I
Formalização e dossiê digital	I	A	C	R	C	I
Averbação no convênio	I	A	I	R	C	I
Liberação de recursos	I	A	C	R	C	I
Seleção de créditos para cessão	A	R	C	—	C	I
Monitoramento de qualidade por safra	I	R	C	I	C	I
Auditoria da esteira	A	I	I	I	I	R

14. ESTRUTURA DE GOVERNANÇA

14.1 Instância Colegiada

Comitê de Crédito: coordenado pelo gestor de Crédito com participação da Diretoria, Operações e Compliance (convidado); ordinário mensal; competências: acompanhar qualidade por safra/canal/convênio, deliberar exceções dentro das alçadas colegiadas, aprovar alterações de parâmetros do motor de crédito e revisar os critérios de elegibilidade de cessão com o cessionário; atas numeradas e plano de ação de pendências.

14.2 Três Linhas de Atuação

LINHA	QUEM	O QUE FAZ
1ª linha	Áreas de negócio e operações	Executam os processos e aplicam os controles no dia a dia, reportando atipicidades.
2ª linha	Compliance, Riscos e Controles	Definem controles, monitoram, testam e reportam à Diretoria.
3ª linha	Auditoria interna/independente	Avalia com independência a aderência e a efetividade, com reporte direto à Diretoria.

14.3 Escalonamento

Reporte ordinário mensal ao comitê competente e síntese trimestral à Diretoria. Escalonamento imediato (até 24 horas) para: ofício de regulador, incidente relevante, suspeita envolvendo administrador ou parceiro, e eventos definidos nos capítulos 41 e 46. Canal de denúncias disponível a colaboradores e terceiros, com opção de anonimato e proteção contra retaliação.

15. FLUXO MACRO

#	ETAPA	DESCRIÇÃO	RESPONSÁVEL
1	Simulação e proposta	Correspondente/canal simula com margem informada; proposta registrada com identificação do originador.	Comercial
2	Validação de identidade	Documentoscopia + biometria facial + triagem PLD (VPC-PLD-001).	Operações/TI
3	Consulta de margem	Consulta eletrônica (ou documental) da margem no convênio.	Operações
4	Análise de crédito	Motor aplica política (elegibilidade, limites, comprometimento); exceções sobem por alçada.	Crédito
5	Formalização	Assinatura eletrônica da CCB e do kit contratual; montagem do dossiê digital.	Operações
6	Averbação	Averbação da parcela na folha do convênio; confirmação registrada.	Operações
7	Liberação	Liquidação pela bancarizadora/liquidante somente após averbação confirmada.	Operações + Parceiros
8	Pós-venda e cessão	Conferência final do dossiê; marcação de elegibilidade; cessão ao FIDC conforme contrato.	Crédito/Operações

16. FLUXOGRAMAS DETALHADOS

Fluxos descritivos (notação: → sequência; ⇒ decisão; [G] gate de controle obrigatório):

FLUXO 16.1 — ESTEIRA COM GATES Proposta → [G1] identidade (documentoscopia+biometria) ⇒ reprovado? → fim com registro → [G2] margem confirmada ⇒ insuficiente? → recusa fundamentada → [G3] decisão de crédito (motor/alçada) → [G4] formalização completa (CCB assinada + kit) → [G5] averbação confirmada → liberação → [G6] conferência de dossiê e marcação de elegibilidade de cessão. Nenhum gate pode ser pulado; exceções só por alçada com registro.

FLUXO 16.2 — PORTABILIDADE Pedido do cliente → validação de identidade → consulta do saldo devedor no credor original (prazo regulamentar) → proposta equivalente/melhor → formalização → quitação interbancária → averbação da nova operação → dossiê com evidências da portabilidade.

17. PROCEDIMENTOS OPERACIONAIS

17.1 Análise e Decisão

• Verificar elegibilidade: convênio ativo, vínculo do tomador, idade e prazo dentro dos limites do produto;

• Confirmar margem disponível pela via oficial do convênio (eletrônica preferencial);

• Aplicar limites de comprometimento e regras de refin/portabilidade;

• Registrar decisão com fundamento; recusas comunicadas ao cliente com transparência (Res. 4.949/2021).

17.2 Formalização e Dossiê

• Gerar CCB com requisitos da Lei nº 10.931/2004 e taxas idênticas à proposta;

• Colher assinatura eletrônica com trilha (IP, carimbo de tempo, geolocalização quando disponível);

• Compor dossiê digital no padrão exigido por bancarizadora/FIDC; checklist do Capítulo 51 obrigatório;

• Qualquer pendência bloqueia a etapa seguinte até saneamento.

17.3 Averbação e Liberação

• Averbar no sistema do convênio; guardar comprovante com data/hora;

• Conferir batimento valor/parcela/prazo entre CCB e averbação;

• Comandar liberação junto ao parceiro liquidante somente com averbação confirmada;

• Registrar cronologia completa na esteira.

17.4 Gestão de Qualidade por Safra

• Acompanhar mensalmente inadimplência, cancelamentos, reclamações e fraudes por safra, canal e convênio;

• Suspender canal/correspondente com desvio recorrente até plano de ação;

• Reportar ao Comitê e ao cessionário quando contratualmente previsto.

18. REGRAS DE NEGÓCIO

ID	REGRA	CRITICIDADE
CRD-RN-01	Nenhuma liberação sem averbação confirmada e dossiê digital completo.	Crítica
CRD-RN-02	Comercial não possui alçada de aprovação de crédito em nenhuma hipótese.	Crítica
CRD-RN-03	Comprometimento máximo do tomador limitado à margem oficial do convênio; vedado uso de margem estimada.	Crítica
CRD-RN-04	Taxa da CCB idêntica à da proposta apresentada ao cliente; divergência bloqueia formalização.	Alta
CRD-RN-05	Operações com indício de fraude são suspensas e encaminhadas ao Compliance/PLD em D+0.	Crítica
CRD-RN-06	Créditos só recebem marcação de elegíveis à cessão após conferência final do dossiê.	Alta
CRD-RN-07	Contato comercial ativo com idosos segue janela e frequência definidas: <<DEFINIÇÃO DA DIRETORIA>>.	Alta

19. CONTROLES INTERNOS

Controles instituídos pela administração para assegurar a execução conforme deste processo, integrados ao Manual de Compliance (VPC-CPL-006):

CONTROLE	RESPONSÁVEL	FREQUÊNCIA	EVIDÊNCIA / REGISTRO
Alçadas de decisão parametrizadas no motor, sem override manual fora de alçada	Crédito/TI	Contínua	Log de decisões e alçadas
Checklist de formalização maker-checker antes da liberação	Operações	Por operação	Checklist assinado no dossiê
Monitoramento de qualidade por safra/canal/convênio	Crédito	Mensal	Relatório de safras

20. CONTROLES REGULATÓRIOS

Controles cuja existência decorre diretamente de exigência normativa, com rastreio à base regulatória do Capítulo 5:

CONTROLE	RESPONSÁVEL	FREQUÊNCIA	EVIDÊNCIA / REGISTRO
Avaliação de capacidade de pagamento e suitability (Res. 4.949/2021; Lei 14.181/2021)	Crédito	Por operação	Registro na esteira
Conformidade da CCB à Lei nº 10.931/2004	Operações/Jurídico	Por operação	CCB validada no dossiê
Certificação e supervisão de correspondentes (Res. 4.935/2021)	Comercial/Compliance	Contínua	Cadastro e certificados

21. CONTROLES PREVENTIVOS

Atuam antes do evento de risco, impedindo sua materialização. Justificativa: prevenir custa menos que remediar e evita dano regulatório e reputacional:

CONTROLE	RESPONSÁVEL	FREQUÊNCIA	EVIDÊNCIA / REGISTRO
Gates sequenciais da esteira (identidade, margem, crédito, formalização, averbação)	Operações/TI	Por operação	Trilha da esteira
Trava de originação para correspondente suspenso	TI	Contínua	Parametrização versionada
Dupla checagem de dados bancários do cliente antes da liberação	Operações	Por operação	Registro de conferência

22. CONTROLES DETECTIVOS

Atuam durante ou imediatamente após o evento, identificando desvios tempestivamente para limitar impacto:

CONTROLE	RESPONSÁVEL	FREQUÊNCIA	EVIDÊNCIA / REGISTRO
Batimento diário averbações × liberações × CCBs emitidas	Operações	Diária	Relatório de batimento
Indicadores de fraude por canal (documentos reprovados, chargebacks de identidade)	Crédito/Compliance	Semanal	Painel de fraude
Amostragem mensal de dossiês liberados (reconferência independente)	Compliance	Mensal	Relatório de amostragem

23. CONTROLES CORRETIVOS

Atuam após a detecção, saneando o desvio, contendo o dano e restabelecendo a conformidade:

CONTROLE	RESPONSÁVEL	FREQUÊNCIA	EVIDÊNCIA / REGISTRO
Suspensão de canal/correspondente com desvio confirmado	Comercial/Diretoria	Por evento	Ata + notificação
Saneamento de dossiê com vício (re-formalização ou recompra do crédito cedido)	Operações/Crédito	Por evento	Registro de saneamento
Devolução/estorno de liberação indevida	Operações/Financeiro	Por evento	Comprovante + conciliação

24. CONTROLES COMPENSATÓRIOS

Mitigam riscos residuais quando o controle primário é inviável na fase atual de estruturação, com prazo e plano de convergência ao controle definitivo:

CONTROLE	RESPONSÁVEL	FREQUÊNCIA	EVIDÊNCIA / REGISTRO
Convênios sem averbação eletrônica: averbação documental com dupla conferência e prazo máximo de confirmação	Operações	Por operação	Comprovantes com dupla assinatura
Enquanto não houver motor de crédito pleno: mesa de análise manual com checklist integral e dupla aprovação	Crédito	Por operação	Fichas de análise; convergência: <<DEFINIÇÃO DA DIRETORIA>>

25. GESTÃO DE RISCOS

A gestão de riscos deste processo segue a ISO 31000:2018 e integra-se ao gerenciamento corporativo de riscos: identificação, análise (probabilidade × impacto em escala 1–5), avaliação contra o apetite de risco definido pela Diretoria, tratamento (mitigar, transferir, evitar ou aceitar com registro formal) e monitoramento contínuo por KRIs. Riscos com nível igual ou superior a 12 (produto probabilidade × impacto) exigem plano de ação imediato aprovado pela instância de governança; riscos aceitos exigem registro de aceite pela Diretoria com prazo de reavaliação.

26. MATRIZ DE RISCOS

Escalas: Probabilidade (P) e Impacto (I) de 1 (mínimo) a 5 (máximo); Nível = P × I. Classificação: 1–5 Baixo; 6–11 Médio; 12–19 Alto; 20–25 Crítico.

RISCO	CAUSA RAIZ	P	I	NÍVEL	TRATAMENTO / MITIGAÇÃO
Fraude de identidade na originação	Documentos falsos / coação de idosos	3	5	15 — Alto	Documentoscopia + biometria + rastreio por originador
Liberação sem averbação	Falha de processo ou pressão comercial	2	5	10 — Médio	Gate G5 travado por sistema + batimento diário
Vício de formalização (CCB inexequível)	Dossiê incompleto/divergente	3	4	12 — Alto	Checklist maker-checker + amostragem mensal
Crédito inelegível cedido ao FIDC	Marcação incorreta de elegibilidade	2	5	10 — Médio	Conferência final + conciliação com cessionário + recompra
Assédio comercial a idosos	Conduta de canal terceirizado	3	4	12 — Alto	Script obrigatório + monitoria + suspensão de canal

27. INDICADORES

O desempenho e o risco deste processo são medidos por três famílias de indicadores: KRIs (risco), KPIs (desempenho) e SLAs (níveis de serviço), apurados mensalmente pelo responsável indicado, reportados ao comitê competente e arquivados como evidência de monitoramento. Estouros de limite geram plano de ação obrigatório (Capítulo 48).

28. KRIs — INDICADORES-CHAVE DE RISCO

KRI	CRITÉRIO / FÓRMULA	LIMITE	FREQ.	RESPONSÁVEL
Fraudes confirmadas / propostas	% mensal por canal	≤ 0,3%	Mensal	Crédito
Operações liberadas com pendência de dossiê	Contagem absoluta	0	Semanal	Operações
Averbações não confirmadas em D+2	% do volume	≤ 1%	Semanal	Operações
Reclamações de conduta por 1.000 propostas	Índice por canal	≤ 2	Mensal	Compliance

29. KPIs — INDICADORES-CHAVE DE DESEMPENHO

KPI	CRITÉRIO / FÓRMULA	META	FREQ.	RESPONSÁVEL
Tempo de esteira (proposta → liberação)	Mediana em dias úteis	≤ 3 d.u.	Mensal	Operações
Aprovação na 1ª análise	% sem pendência devolvida	≥ 85%	Mensal	Crédito
Dossiês conformes na amostragem	% conforme	≥ 98%	Mensal	Compliance
Créditos aceitos pelo cessionário sem ressalva	% da carteira ofertada	≥ 99%	Por cessão	Crédito

30. SLAs — NÍVEIS DE SERVIÇO

SERVIÇO / ATIVIDADE	PRAZO ACORDADO	MEDIÇÃO
Análise de proposta completa	Até 1 dia útil	Timestamp esteira
Averbação após formalização	Até 2 dias úteis (eletrônica)	Comprovante convênio
Liberação após averbação confirmada	Até 1 dia útil	Data liquidação
Resposta a apontamento do cessionário	Até 5 dias úteis	Controle de ofícios

31. EVIDÊNCIAS

EVIDÊNCIA	ORIGEM / SISTEMA	RETENÇÃO
Dossiê digital da operação (kit completo)	Esteira / GED	Vigência + 10 anos
Comprovante de averbação	Sistema do convênio / GED	Vigência + 10 anos
Logs de decisão do motor e alçadas	Motor de crédito	10 anos
Termos de cessão e listas de créditos cedidos	Jurídico / FIDC	Vigência do fundo + 5 anos

32. REGISTROS OBRIGATÓRIOS

REGISTRO	BASE NORMATIVA	RETENÇÃO MÍNIMA
Contratos e CCBs	Lei nº 10.931/2004; CDC	Vigência + 10 anos
Autorização de desconto e consentimentos	Convênio; LGPD	Vigência + 10 anos
Registros de suitability e capacidade de pagamento	Res. 4.949/2021; Lei 14.181/2021	10 anos
Trilhas de assinatura eletrônica	MP 2.200-2/2001; Lei 14.063/2020	Vigência + 10 anos

33. SISTEMAS ENVOLVIDOS

SISTEMA	PAPEL NO PROCESSO
Motor de crédito / esteira	Política parametrizada, gates, decisões e trilhas.
Documentoscopia e biometria	Gate de identidade da originação.
GED / dossiê digital	Guarda estruturada do kit probatório.
Assinatura eletrônica	Formalização da CCB e do kit contratual.
Integrações de averbação	Consulta de margem e averbação por convênio.

34. INTEGRAÇÕES

INTEGRAÇÃO	FINALIDADE	CRITICIDADE
Esteira ⇄ Convênios (margem/averbação)	Consulta e averbação eletrônicas	Crítica
Esteira ⇄ Bancarizadora	Emissão de CCB e liquidação	Crítica
Esteira ⇄ FIDC/gestora	Oferta, cessão e conciliação de créditos	Alta
Esteira ⇄ Motor PLD	Triagem e reporte de atipicidades	Alta

35. SEGURANÇA DA INFORMAÇÃO

As informações deste processo são classificadas conforme a política corporativa (Pública, Interna, Confidencial, Restrita) e protegidas por: controle de acesso por perfil com privilégio mínimo e revisão trimestral de acessos; autenticação multifator para funções sensíveis; criptografia em trânsito (TLS 1.2+) e em repouso; trilhas de auditoria imutáveis com retenção mínima de 5 anos; e vedação de extração de dados para ambientes não controlados. Requisitos detalhados na Política de Segurança Cibernética (VPC-SEG-003).

36. SEGURANÇA CIBERNÉTICA

Aplicam-se a este processo os controles da VPC-SEG-003, alinhados à Resolução BCB nº 85/2021 e à Resolução CMN nº 4.893/2021 (por equivalência contratual com parceiros regulados): gestão de vulnerabilidades, testes de intrusão anuais, resposta a incidentes cibernéticos com comunicação a parceiros e autoridades quando cabível, requisitos de segurança para APIs (autenticação OAuth 2.0, rate limiting, versionamento) e avaliação de segurança de terceiros relevantes antes da contratação.

37. LGPD — PROTEÇÃO DE DADOS PESSOAIS

O tratamento de dados pessoais neste processo observa a Lei nº 13.709/2018 e a Política VPC-LGPD-004. Mapeamento do tratamento específico deste processo:

CATEGORIA DE DADOS	FINALIDADE	BASE LEGAL (ART. 7º/11 LGPD)
Identificação e documentos do tomador	Contratação e execução do crédito	Execução de contrato (art. 7º, V)
Dados funcionais e de margem	Elegibilidade e averbação	Execução de contrato (art. 7º, V)
Dados biométricos	Prevenção à fraude na contratação	Prevenção à fraude (art. 11, II, g)
Histórico de crédito	Análise de capacidade de pagamento	Obrigação legal / proteção ao crédito (art. 7º, II e X)

Direitos dos titulares são atendidos pelo canal do Encarregado (DPO) no prazo legal; incidentes com dados pessoais seguem o Capítulo 41 e, quando de risco relevante, são comunicados à ANPD e aos titulares.

38. CONTINUIDADE DE NEGÓCIO

Processos críticos deste manual, com objetivos de recuperação definidos no PCN corporativo (VPC-PCN-010):

PROCESSO CRÍTICO	RTO (tempo máx. de recuperação)	RPO (perda máx. de dados)
Esteira de originação	24 horas	4 horas
Averbação em convênios	48 horas	0 (reprocessável)
Liquidação com parceiros	24 horas	0

39. PLANO DE CONTINGÊNCIA

CENÁRIO DE INDISPONIBILIDADE	RESPOSTA IMEDIATA
Indisponibilidade da integração de averbação	Fila represada com priorização por vencimento de proposta; averbação documental onde o convênio admitir; nenhuma liberação sem confirmação.
Indisponibilidade do motor de crédito	Mesa manual com checklist integral e dupla aprovação, limitada a alçadas reduzidas: <<DEFINIÇÃO DA DIRETORIA>>.
Falha na liquidação do parceiro	Comunicação imediata ao cliente sobre novo prazo; reprocessamento prioritário; registro de incidente.

40. PLANO DE RECUPERAÇÃO

Após contenção: (1) acionamento do gestor do processo e da TI conforme severidade; (2) restauração a partir de backups validados ou reprocessamento controlado; (3) verificação de integridade e conciliação com sistemas parceiros (bancarizadora, liquidante, FIDC) antes da retomada; (4) registro do incidente e do tempo de recuperação contra RTO/RPO; (5) relatório de lições aprendidas em até 10 dias úteis, com revisão dos controles quando cabível.

41. GESTÃO DE INCIDENTES

SEVERIDADE	DEFINIÇÃO	RESPOSTA	PRAZO DE COMUNICAÇÃO INTERNA
Crítica (S1)	Interrupção total, dano a clientes, exigência regulatória ou exposição de dados sensíveis.	War room imediato; Diretoria e parceiros afetados.	Imediata (até 2h)
Alta (S2)	Degradação relevante ou risco de descumprimento de prazo regulatório.	Gestor do processo + TI + Compliance.	Até 4h
Média (S3)	Falha pontual sem impacto a cliente ou regulador.	Tratamento na rotina com registro.	Até 24h
Baixa (S4)	Desvio menor, sem impacto operacional.	Registro e correção programada.	Relatório semanal

Todo incidente recebe número único, responsável, cronologia e causa raiz (metodologia dos 5 porquês ou Ishikawa), alimentando os capítulos 47 a 49.

42. MONITORAMENTO

ROTINA DE MONITORAMENTO	FREQUÊNCIA	RESPONSÁVEL
Batimento averbação × liberação × CCB	Diária	Operações
Painel de fraude e qualidade por canal	Semanal	Crédito
Amostragem independente de dossiês	Mensal	Compliance
Revisão de parâmetros da política no motor	Trimestral	Comitê de Crédito

43. AUDITORIA

Plano mínimo de auditoria deste processo, executado por auditoria interna ou independente contratada, com reporte direto à Diretoria e follow-up formal dos apontamentos:

ESCOPO DO TESTE	PERIODICIDADE
Teste de gates da esteira em amostra de operações liberadas	Anual
Reexecução da conferência de elegibilidade de créditos cedidos	Anual
Verificação de alçadas e overrides	Anual

44. COMPLIANCE

O Compliance verifica a aderência deste normativo por meio de testes de segunda linha (amostragem documental, reexecução de controles e inspeção de trilhas), consolida os resultados no relatório mensal ao comitê competente e mantém o inventário de obrigações regulatórias deste processo atualizado, com responsável e prazo por obrigação. Divergências identificadas seguem os capítulos 47 e 48.

45. TREINAMENTOS

PÚBLICO	CONTEÚDO	FREQUÊNCIA	EVIDÊNCIA
Correspondentes e Comercial	Produto, conduta, suitability, vedações com idosos	Integração + anual	Certificado por agente
Crédito e Operações	Política, gates, formalização e averbação	Semestral	Lista + avaliação
Todos	Prevenção a fraude na originação	Anual	Lista de presença

46. COMUNICAÇÃO

EVENTO	PÚBLICO	CANAL	PRAZO
Alteração de política/limites	Crédito, Comercial, parceiros	Portal + comunicado	5 d.u. antes da vigência
Suspensão de canal	Canal afetado + Diretoria	Notificação formal	Imediata
Relatório de safras	Comitê de Crédito	Painel + ata	Mensal

47. NÃO CONFORMIDADES

Não conformidade é qualquer desvio entre a prática observada e este normativo, identificado por autoavaliação, monitoramento, auditoria, denúncia ou supervisão de parceiro/regulador. Tratamento: registro em até 2 dias úteis com classificação de severidade; análise de causa raiz; definição de correção (imediata) e ação corretiva (estrutural); e verificação de eficácia após implementação. Reincidência da mesma causa raiz eleva a severidade em um nível e exige deliberação do comitê.

48. PLANO DE AÇÃO

Planos de ação seguem o padrão 5W2H, com registro centralizado e acompanhamento mensal pelo comitê:

CAMPO	CONTEÚDO EXIGIDO
O quê (What)	Descrição objetiva da ação corretiva ou de melhoria.
Por quê (Why)	Causa raiz ou risco que a ação endereça, com referência ao capítulo 26.
Quem (Who)	Responsável nominal único pela entrega.
Quando (When)	Prazo com data; ações de risco Alto/Crítico não excedem 60 dias.
Onde (Where)	Processo, sistema ou área de aplicação.
Como (How)	Etapas de execução e evidência de conclusão exigida.
Quanto (How much)	Recursos ou orçamento, quando aplicável: <<DEFINIÇÃO DA DIRETORIA>>.

49. LIÇÕES APRENDIDAS

Ao encerramento de incidentes S1/S2, auditorias, ciclos de supervisão de parceiros e projetos relevantes, o gestor do processo registra as lições aprendidas em ata padronizada: o que funcionou, o que falhou, causa raiz, e alterações decorrentes em controles, parâmetros, treinamentos ou neste normativo. O repositório de lições é insumo obrigatório da revisão anual deste documento.

50. MODELOS

Modelos padronizados anexos a este manual (arquivos controlados pelo Compliance, com versão própria):

• Modelo de Dossiê Digital (índice do kit);

• Modelo de Ficha de Análise Manual;

• Modelo de Termo de Esclarecimento ao Cliente Idoso;

• Modelo de Notificação de Suspensão de Canal;

• Modelo de Lista de Créditos para Cessão.

51. CHECKLISTS

Checklist operacional de verificação obrigatória (aplicado no gate correspondente do fluxo do Capítulo 15):

#	ITEM DE VERIFICAÇÃO	CONFORME? (S/N/NA)
1	Identidade validada (documentoscopia + biometria)	____
2	Margem consultada na via oficial e suficiente	____
3	Decisão de crédito registrada com alçada correta	____
4	CCB gerada com taxa idêntica à proposta	____
5	Kit contratual assinado com trilha eletrônica completa	____
6	Averbação confirmada com comprovante	____
7	Dados bancários do cliente duplamente conferidos	____
8	Dossiê completo e marcado quanto à elegibilidade de cessão	____

52. FORMULÁRIOS

• Formulário de Exceção de Alçada;

• Formulário de Reporte de Suspeita de Fraude na Originação;

• Formulário de Saneamento de Dossiê.

53. EXEMPLOS PRÁTICOS

53.1 Margem divergente

Proposta simulada com margem informada de R$ 420; consulta oficial retorna R$ 180. Tratamento: recusa automática do valor original; contraproposta dentro da margem oficial; registro da divergência por originador — reincidência do agente gera monitoria de conduta.

53.2 Vício detectado pós-liberação

Amostragem identifica CCB sem página de assinatura no GED. Tratamento: não conformidade crítica; localização da via assinada ou re-formalização com o cliente; crédito retirado da lista de cessão até saneamento; causa raiz no processo de upload corrigida com dupla conferência.

54. ESTUDOS DE CASO

ESTUDO DE CASO — QUALIDADE POR SAFRA E CANAL Originadora de consignado observou inadimplência precoce 4× superior em um único correspondente, concentrada em propostas noturnas com documentos reprovados em segunda análise. Investigação revelou fraude de quadrilha com dados de servidores aposentados. Aplicação à VIPCard®: painel semanal por canal com KRI de fraude, trava automática de originação por desvio, e responsabilização contratual do correspondente (Res. 4.935/2021) — a contratante responde perante o cliente, mas o regresso contratual deve estar previsto.

55. PERGUNTAS FREQUENTES

P: Posso liberar antes da averbação para ajudar o cliente com urgência?

R: Não. A regra CRD-RN-01 é crítica e não admite exceção operacional; liberação antecipada exige deliberação formal da Diretoria com garantia equivalente prevista no convênio.

P: Quem aprova exceções à política?

R: Somente as alçadas definidas: Crédito até seu limite; acima disso, Comitê de Crédito; casos extraordinários, Diretoria — sempre com registro.

P: O correspondente pode coletar senha ou cartão do cliente?

R: Jamais. É vedação absoluta (Res. 4.935/2021) e motivo de rescisão por justa causa contratual.

P: O que torna um crédito inelegível à cessão?

R: Qualquer item do checklist do Capítulo 51 pendente, litígio instaurado, indício de fraude ou desacordo com os critérios do regulamento do FIDC.

56. BOAS PRÁTICAS

• Tratar o dossiê digital como produto da esteira — não como burocracia posterior;

• Medir qualidade por safra e por origem desde o primeiro mês;

• Alinhar previamente com o cessionário o layout exato do dossiê exigido;

• Gravar e monitorar scripts de venda por amostragem.

57. ERROS COMUNS

• Aceitar margem informada pelo cliente/agente sem consulta oficial;

• Formalizar com taxa diferente da proposta;

• Ceder créditos antes da conferência final;

• Ignorar reclamações de conduta como 'ruído comercial'.

58. RECOMENDAÇÕES

• Assinar com a bancarizadora o padrão de dossiê e os SLAs de emissão antes do go-live;

• Definir em ata as alçadas nominais de crédito;

• Implantar o painel de safras antes da primeira cessão;

• Formalizar a janela de contato ativo com idosos.

59. REFERÊNCIAS

As referências normativas e técnicas deste manual constam dos Capítulos 5 (Base Regulatória) e 6 (Referências Normativas). Documentos internos relacionados constam do Capítulo 6. Versões atualizadas das normas devem ser verificadas nos sítios oficiais do Banco Central do Brasil, do COAF, da ANPD e do Planalto antes de cada revisão anual.

60. HISTÓRICO DE REVISÃO

VERSÃO	DATA	RESPONSÁVEL	APROVAÇÃO	DESCRIÇÃO
1.0	22/07/2026	LivrePay / Crédito	Diretoria Executiva	Emissão inicial — edição integral (Capítulos 1 a 60).