PORTARIA COAF No 5, DE 23 DE FEVEREIRO DE 2026 Estabelece a governança do uso de software e de serviços de computação em nuvem no âmbito do Conselho de Controle de Atividades Financeiras - Coaf. O PRESIDENTE DO CONSELHO DE CONTROLE DE ATIVIDADES FINANCEIRAS - COAF, no uso das atribuições que lhe conferem os incisos IX, X e XII do art. 20 do Regimento Interno do Coaf, aprovado pela Resolução no 427, de 16 de outubro de 2024, do Banco Central do Brasil, e tendo em vista o disposto: na Política de Segurança da Informação e Comunicações do Coaf - POSIC; na Portaria SGD/MGI no 9.511, de 28 de outubro de 2025, que institui o Programa de Privacidade e Segurança da Informação - PPSI 2.0; na Instrução Normativa GSI/PR no 1, de 27 de maio de 2020; na Instrução Normativa GSI/PR no 3, de 28 de maio de 2021; na Instrução Normativa GSI/PR no 5, de 30 de agosto de 2021; no Decreto no 10.543, de 13 de novembro de 2020; no Decreto no 12.572, de 4 de agosto de 2025; na Lei no 13.709, de 14 de agosto de 2018 (Lei Geral de Proteção de Dados Pessoais - LGPD); nos Padrões de Interoperabilidade de Governo Eletrônico - e PING; e na Estratégia de Uso de Software e de Serviços de Computação em Nuvem do Banco Central do Brasil, divulgada pela Resolução BCB no 454, de 30 de janeiro de 2025, resolve: Art. 1o Esta Portaria estabelece os princípios, diretrizes, instâncias decisórias e responsabilidades de governança aplicáveis ao uso de software e de serviços de computação em nuvem no âmbito do Coaf. Parágrafo único. Esta Portaria não disciplina procedimentos operacionais, técnicos ou contratuais, os quais serão objeto de normativos internos específicos. Art. 2o A governança do uso de software e de serviços de computação em nuvem tem por objetivos: I - alinhar a adoção de soluções tecnológicas aos objetivos estratégicos institucionais do Coaf; II - assegurar a observância dos princípios de segurança da informação, privacidade, proteção de dados pessoais e continuidade de negócios; III - promover a interoperabilidade, a eficiência administrativa e a racionalização do uso de recursos públicos; IV - mitigar riscos institucionais, regulatórios, cibernéticos e de dependência tecnológica; V - fomentar a inovação responsável e o uso sustentável de tecnologias digitais. Art. 3o A governança do uso de software e de serviços de computação em nuvem observará, no mínimo, os seguintes princípios: I - segurança e privacidade por concepção e por padrão; II - gestão de riscos como elemento central do processo decisório; III - interoperabilidade e adoção de padrões abertos; IV - transparência, responsabilização e prestação de contas; V - segregação entre as funções de governança, gestão e execução. Art. 4o Compete ao Comitê de Gestão e Governança - CGG deliberar sobre as diretrizes estratégicas relacionadas ao uso de software e de serviços de computação em nuvem no âmbito do Coaf. § 1o São de competência do CGG as decisões relativas a situações excepcionais, inclusive aquelas que envolvam: I - localização e tratamento de dados e informações; II - transferência internacional de dados pessoais; III - riscos elevados de dependência tecnológica ou impacto institucional relevante. § 2o Compete ainda ao CGG aprovar revisões desta Portaria e de seus instrumentos correlatos. Art. 5o Compete à Coordenação-Geral de Tecnologia da Informação - COTIN: I - propor ao CGG diretrizes, critérios e modelos de decisão relacionados ao uso de software e de computação em nuvem; II - monitorar a aderência das iniciativas de tecnologia da informação às decisões e diretrizes de governança estabelecidas; III - consolidar informações técnicas e gerenciais para subsidiar o processo decisório colegiado. Art. 6o O uso de software e de serviços de computação em nuvem no Coaf deverá observar: I - a Política de Segurança da Informação e Comunicações - POSIC; II - o Programa de Privacidade e Segurança da Informação - PPSI; III - as normas do Gabinete de Segurança Institucional da Presidência da República; IV - a legislação aplicável à proteção de dados pessoais; V - os Padrões de Interoperabilidade de Governo Eletrônico - e PING. Art. 7o As decisões de governança relacionadas ao uso de software e de serviços de computação em nuvem deverão considerar, de forma expressa: I - a classificação da informação; II - o impacto institucional, operacional e reputacional; III - os riscos cibernéticos e de continuidade de negócios; IV - a necessidade de interoperabilidade, portabilidade e mitigação de dependência tecnológica. Art. 8o Os aspectos operacionais, técnicos, procedimentais e contratuais necessários à implementação das diretrizes estabelecidas nesta Portaria serão disciplinados por normativos internos específicos. Art. 9o Esta Portaria entra em vigor na data de sua publicação. RICARDO ANDRADE SAADI