Open Finance para empresas: como o Certificado Digital protege o compartilhamento de dados financeiros

Quando Fábio Drummond, CFO de uma rede varejista com operações em três estados, recebeu uma proposta de um banco digital oferecendo crédito com taxa significativamente abaixo do mercado, a condição era simples: autorizar o compartilhamento dos extratos bancários da empresa dos últimos 12 meses via Open Finance. O processo era rápido, tecnicamente elegante — e Fábio ficou com uma dúvida legítima: quem garante que esses dados, uma vez compartilhados, não vão para outros destinos? A resposta está, em grande parte, no Certificado Digital e na estrutura de segurança que o Banco Central construiu para o Open Finance empresarial.

O que é Open Finance e como chegou ao segmento PJ

O Open Finance — sucessor e ampliação do Open Banking — é o sistema regulamentado pelo Banco Central que permite o compartilhamento padronizado de dados e serviços financeiros entre instituições autorizadas, com o consentimento do titular dos dados. No Brasil, o Open Finance foi implantado em fases a partir de 2021 e hoje abrange um ecossistema de centenas de instituições participantes.

Para pessoas físicas, o Open Finance já é uma realidade amplamente conhecida: é possível autorizar que um banco acesse seus extratos de outro banco para oferecer crédito, ou que um aplicativo de gestão financeira consolide todas as contas em um único painel.

Para pessoas jurídicas, o Open Finance chegou com especificidades importantes. As empresas têm dados financeiros mais complexos, volumes maiores e uma estrutura de decisão que envolve múltiplos representantes legais — o que torna o processo de consentimento e a proteção dos dados ainda mais críticos.

Open Finance PF vs. PJ: quais dados estão disponíveis para compartilhamento

Antes de entender como o Certificado Digital protege os dados, é importante saber o que pode ser compartilhado no Open Finance para empresas.

Para pessoas jurídicas, as categorias de dados disponíveis para compartilhamento incluem:

• Dados cadastrais: razão social, CNPJ, endereço, representantes legais, contatos
• Dados transacionais: extratos de conta corrente, conta de pagamento e poupança empresarial
• Operações de crédito: contratos de capital de giro, financiamentos, leasing, linhas de crédito rotativo
• Dados de investimentos: aplicações financeiras mantidas pela empresa
• Limite de cheque especial e limites de crédito
• Histórico de pagamentos e adimplência

Esse conjunto de dados representa, efetivamente, um retrato completo da saúde financeira da empresa. Nas mãos certas — um banco que vai oferecer crédito em melhores condições, por exemplo — esse compartilhamento é altamente benéfico. Nas mãos erradas — um agente fraudulento que obteve consentimento de forma enganosa — pode ser catastrófico.

Como o Certificado Digital autentica o consentimento PJ no Open Finance

O consentimento é a peça central do Open Finance. Nenhum dado pode ser compartilhado sem que o titular — no caso PJ, o representante legal da empresa — tenha autorizado explicitamente.

Para pessoas físicas, o consentimento é dado via autenticação no app do banco (biometria, senha, token). Para pessoas jurídicas, o processo é mais robusto porque os dados são mais sensíveis e porque pode haver múltiplos representantes legais com poderes diferentes.

O Banco Central estabelece que, para consentimentos PJ, a autenticação deve ser feita com nível de segurança compatível com a sensibilidade dos dados compartilhados. Para os níveis mais altos de compartilhamento — especialmente operações de crédito e dados transacionais históricos —, a autenticação com Certificado Digital é a forma mais robusta de garantir que:

• O consentimento foi dado por quem de direito (o representante legal com poderes suficientes)
• O consentimento é auditável (há um registro digital vinculante e com timestamp)
• O consentimento não pode ser repudiado (a assinatura digital com e-CNPJ não pode ser negada posteriormente)

Na prática, bancos e fintechs que participam do Open Finance como receptoras de dados (aquelas que solicitam o compartilhamento) são obrigadas a manter registros completos do processo de consentimento — e a assinatura digital é o elemento mais forte nesses registros.

APIs do Open Finance: mTLS, OAuth e o papel do certificado ICP-Brasil

O Open Finance brasileiro usa padrões técnicos modernos para garantir a segurança na transmissão de dados entre instituições. Os dois principais são:

mTLS (mutual TLS)

Assim como no PIX, todas as comunicações entre as APIs das instituições participantes do Open Finance são feitas via mTLS. Isso significa que tanto a instituição transmissora (que tem os dados) quanto a receptora (que os solicita) precisam apresentar certificados digitais válidos para estabelecer a conexão.

O Banco Central exige que esses certificados sejam emitidos por Autoridades Certificadoras credenciadas na ICP-Brasil. Uma fintech que queira participar do Open Finance como receptora de dados PJ precisa, obrigatoriamente, ter seus sistemas certificados com certificados ICP-Brasil.

OAuth 2.0 com FAPI (Financial-grade API)

O fluxo de autorização do Open Finance usa OAuth 2.0 com o perfil FAPI (Financial-grade API Security Profile), que é um conjunto de restrições e extensões do OAuth voltadas especificamente para APIs financeiras. O FAPI exige, entre outros controles, que os tokens de autorização sejam assinados digitalmente — e aqui o certificado digital volta a aparecer.

Para o usuário final (o representante legal da empresa), isso é transparente — ele vê uma tela de autorização no app ou portal do banco. Mas por trás dessa tela, há um fluxo complexo de troca de tokens assinados digitalmente que garantem que apenas a instituição autorizada acesse os dados, pelo período autorizado, com o escopo autorizado.

Quais dados financeiros PJ estão mais expostos no Open Finance

Nem todos os dados têm o mesmo nível de sensibilidade. Para empresas, os dados que merecem maior atenção são:

• Extratos detalhados: revelam os parceiros comerciais, fornecedores, clientes e a cadeia de pagamentos da empresa — informações que um concorrente pagaria caro para ter
• Operações de crédito: revelam o nível de endividamento, as garantias oferecidas e a capacidade de pagamento da empresa
• Limites e exposição bancária: revelam o quanto de crédito a empresa tem disponível, o que pode ser usado em negociações comerciais
• Histórico de adimplência: afeta diretamente o score de crédito e as condições de financiamento futuras

Uma vez compartilhados via Open Finance, esses dados ficam disponíveis para a instituição receptora pelo período do consentimento. Embora o Banco Central imponha restrições rigorosas sobre o uso secundário desses dados, a empresa deve ter um processo formal de avaliação antes de conceder qualquer consentimento.

Riscos de phishing no Open Finance empresarial

Um dos vetores de ataque mais preocupantes no Open Finance é o phishing de consentimento: o representante legal da empresa recebe uma comunicação aparentemente legítima (e-mail, mensagem, ligação) solicitando que autorize o compartilhamento de dados via Open Finance, sem que a empresa tenha solicitado isso.

Esse tipo de ataque é especialmente eficaz porque:

• O processo de consentimento do Open Finance é relativamente novo e muitos gestores ainda não o conhecem bem
• A interface de autorização pode ser facilmente clonada por criminosos
• A urgência fabricada ("sua empresa precisa autorizar isso para liberar uma operação de crédito em andamento") é um gatilho poderoso

Como o Certificado Digital protege contra isso: quando a empresa adota a prática de exigir assinatura digital com e-CNPJ para qualquer consentimento de compartilhamento de dados financeiros, o phishing perde eficácia. Uma página falsa de consentimento não consegue capturar ou falsificar a assinatura digital com o certificado real da empresa — diferentemente de uma senha ou um código de autenticação, que podem ser interceptados.

Casos de uso práticos do Open Finance PJ

Solicitação de crédito com dados de múltiplos bancos

Uma empresa que mantém contas em três bancos diferentes pode usar o Open Finance para consolidar todo o seu histórico financeiro em uma única proposta de crédito. Ao invés de fornecer manualmente extratos e documentos de cada banco (processo que pode levar dias), a empresa autoriza o compartilhamento direto — e a análise é feita em horas.

Para que esse processo seja seguro e juridicamente válido, o consentimento precisa ser dado por um representante com poderes para comprometer a empresa em operações de crédito — e a assinatura digital com e-CNPJ é a forma mais clara de demonstrar isso.

Gestão financeira centralizada

Plataformas de gestão financeira como Conta Simples, Nibo e similares usam o Open Finance para consolidar todas as contas bancárias da empresa em um único painel de controle. O CFO tem visibilidade em tempo real do saldo total, dos fluxos de pagamentos e recebimentos, e das posições de crédito — sem precisar acessar cada banco individualmente.

Esse uso é de baixo risco e alto benefício para a maioria das empresas. Mas mesmo aqui, o processo de autorização precisa ser feito com cuidado — especialmente verificando as credenciais da plataforma receptora e certificando-se de que ela está devidamente cadastrada no Banco Central como participante do Open Finance.

Análise de crédito para fornecedores e clientes

Com o Open Finance, empresas podem solicitar que fornecedores e clientes compartilhem seus dados financeiros como parte do processo de análise de crisco comercial. Um grande varejista pode pedir a um fornecedor que autorize o compartilhamento de seus dados bancários antes de fechar um contrato de fornecimento de longo prazo.

Essa é uma área ainda em desenvolvimento, mas com enorme potencial para reduzir os custos de análise de risco nas cadeias de fornecimento brasileiras.

Como revogar consentimentos já concedidos no Open Finance

Um ponto que muitos gestores desconhecem: o consentimento dado no Open Finance pode — e deve — ser revogado quando não for mais necessário.

A revogação pode ser feita de duas formas:

• Pelo banco transmissor: no portal ou app do banco onde os dados estão, o representante legal da empresa pode ver todos os consentimentos ativos e revogar qualquer um deles
• Pela instituição receptora: a plataforma ou banco que recebe os dados também deve oferecer uma interface para cancelamento do consentimento

Boas práticas de governança no Open Finance PJ incluem:

• Manter um registro interno de todos os consentimentos concedidos (quem autorizou, para qual instituição, por qual período, com qual escopo)
• Revisar trimestralmente os consentimentos ativos e revogar os que não são mais necessários
• Exigir aprovação formal do CFO ou do conselho para consentimentos que incluam dados de operações de crédito
• Nunca conceder consentimento de compartilhamento em resposta a solicitações não iniciadas pela própria empresa

LGPD e Open Finance: as responsabilidades da empresa como titular de dados

A Lei Geral de Proteção de Dados (LGPD) se aplica plenamente às operações de Open Finance. Como titular dos dados financeiros compartilhados, a empresa tem direitos que precisam ser exercidos ativamente:

• Direito de saber quais dados estão sendo compartilhados e com quem
• Direito de revogar o consentimento a qualquer momento
• Direito de solicitar a exclusão dos dados após o encerramento do consentimento
• Direito de ser informada sobre incidentes de segurança que envolvam seus dados

A intersecção entre LGPD e Open Finance cria um dever de diligência para os gestores financeiros: não basta autorizar o compartilhamento por conveniência — é preciso entender o que está sendo compartilhado, com quem, por quanto tempo e para qual finalidade.

O que a empresa deve exigir das fintechs que solicitam acesso via Open Finance

Antes de conceder qualquer consentimento de compartilhamento de dados financeiros, o gestor da empresa deve verificar:

• Registro no Banco Central: a instituição receptora está devidamente cadastrada como participante do Open Finance? A lista está disponível no site do BACEN
• Política de privacidade: como a instituição usa os dados após o recebimento? Por quanto tempo os armazena?
• Escopo mínimo necessário: a instituição está solicitando apenas os dados necessários para a finalidade declarada, ou está pedindo acesso amplo sem justificativa?
• Certificação de segurança: a plataforma da instituição receptora possui os certificados de segurança exigidos pelo Banco Central?

Conclusão: Open Finance é oportunidade — com o Certificado Digital como guardião

O Open Finance representa uma das maiores oportunidades da última década para empresas brasileiras otimizarem seu acesso a crédito, reduzirem custos financeiros e ganharem visibilidade sobre sua própria saúde financeira. Para PMEs, em particular, a possibilidade de apresentar seu histórico financeiro consolidado a múltiplas instituições simultaneamente pode ser o diferencial que viabiliza o crescimento.

Mas essa oportunidade vem com responsabilidades. Os dados financeiros da empresa são ativos estratégicos e precisam ser protegidos com a mesma seriedade com que se protege o caixa ou os contratos comerciais. O Certificado Digital — especialmente o e-CNPJ — é o instrumento que garante que apenas representantes autorizados possam dar consentimentos, que esses consentimentos sejam auditáveis e que a empresa possa demonstrar, a qualquer momento, que suas decisões de compartilhamento de dados foram tomadas com propriedade.

Em um mundo onde os dados financeiros são cada vez mais o insumo para decisões de crédito, parcerias e negócios, cuidar do Certificado Digital da empresa é cuidar de sua reputação e de seu futuro financeiro.

A ValidAR está pronta para ajudar sua empresa a navegar com segurança no Open Finance. Oferecemos Certificados Digitais e-CNPJ A1, A3 e em nuvem, com orientação especializada para que sua equipe entenda como usar o certificado para proteger os dados financeiros da empresa. Fale conosco e fortaleça a segurança digital do seu negócio.