Revisamos a sua operação real —dossiês de clientes, gravações, contratos e reportes— à luz do que exige a MiFID II. Entregamos achados priorizados, as evidências que faltam e um plano de remediação com responsável e prazo.
Quer uma auditoria MiFID II independente?
Diga-nos que tipo de entidade você é e quais serviços presta, e nós propomos escopo, amostra e cronograma, sem compromisso.
Seis frentes onde se concentram os achados. Nós as revisamos sobre os seus dossiês reais, não sobre o índice dos seus manuais.
Percorremos todo o ciclo do cliente: classificação, avaliação prévia, informação pré-contratual, custos, incentivos, execução e acompanhamento posterior. Confrontamos cada política escrita com o que de fato aparece no dossiê.
Pedimos a mesma documentação, no mesmo formato e com a mesma urgência com que o supervisor a pediria. Se a sua equipe não consegue localizá-la, o problema não está na política: está na rastreabilidade.
Amostra de clientes reais: teste vigente, coerência com o que foi recomendado, preferências de sustentabilidade e relatório entregue.
Verificamos se a informação prévia e o relatório anual existem, se batem entre si e se mostram o efeito acumulado sobre a rentabilidade.
Mapa de fluxos com terceiros, compatibilidade com o serviço que você presta e prova do aumento de qualidade que os justifica.
Perímetro de canais cobertos, mensagens em canais não corporativos, recuperação por cliente e data e prazos de conservação aplicados.
Quatro situações que se repetem. Em nenhuma há um processo sancionador aberto: em todas há alguém que prefere saber antes.
“Fomos autorizados há anos e, desde então, duplicamos a base de clientes e ampliamos a gama. Os manuais continuam sendo os do processo de autorização inicial e ninguém verificou se alguém os aplica.”
“Acabo de assumir a função de compliance. Antes de assinar meu primeiro relatório ao conselho, quero saber exatamente o que estou herdando, e quero que alguém de fora me diga.”
“Comercializamos nossos produtos para clientes de varejo e o mercado-alvo foi definido há algum tempo. Preciso saber se a governança de produtos resiste a uma revisão externa.”
“O grupo exige uma revisão local independente da regulação espanhola. Queremos um relatório com achados, criticidade e plano de ação que a matriz possa ler e acompanhar.”
Quando revisamos entidades já autorizadas, aparecem quase sempre os mesmos três. Nenhum deles se vê lendo o manual: eles aparecem ao abrir um dossiê ao acaso.
A política existe e ninguém a aplica: manuais impecáveis herdados do processo de autorização que nenhum gestor leu. Em um requerimento não se examina o índice do manual, examina-se o dossiê do cliente.
Adequação envelhecida: testes assinados há anos, carteiras que já não correspondem ao perfil declarado e preferências de sustentabilidade que nunca foram perguntadas. É o achado mais caro de corrigir retroativamente.
Evidência dispersa: a informação existe, mas está espalhada entre o CRM, o e-mail de um gestor e uma pasta compartilhada. Se você não consegue reconstruir um caso concreto em horas, na prática você não a tem.
| Área revisada | Achado habitual | Evidência que o resolve |
|---|---|---|
| Idoneidade | Teste vencido ou incoerente com a carteira recomendada | Teste vigente, relatório de adequação entregue ao cliente e rastreabilidade de cada recomendação. |
| Incentivos | Recebimentos de terceiros sem justificar o aumento de qualidade do serviço | Mapa de fluxos, catálogo de melhorias comprovadas e informação ao cliente prévia e periódica. |
| Gravação | Ordens e instruções que entram por canais não cobertos | Perímetro de canais aprovado, teste de recuperação por cliente e conservação por 5 anos, prorrogável até 7 mediante requerimento. |
Revisamos o seu compliance MiFID II com a mesma lógica com que o supervisor o revisaria: amostra de dossiês reais, entrevistas com a equipe e testes de rastreabilidade. Você sai com um relatório de achados priorizados e um plano de remediação que pode executar e apresentar.
É uma revisão independente de como você aplica no dia a dia as normas de conduta da MiFID II: classificação de clientes, adequação e conveniência, informação de custos, incentivos, registro de comunicações, governança de produtos e melhor execução.
Não é um curso nem um relatório sobre o que diz a diretiva. É um trabalho de campo: pegamos uma amostra dos seus dossiês, entrevistamos quem atende o cliente e verificamos se o que o seu manual diz pode ser comprovado com documentos. O resultado é uma lista de achados com criticidade e um plano para resolvê-los.
São dois momentos distintos. No compliance MiFID II construímos o sistema: políticas, modelos, contratos e procedimentos. Na auditoria verificamos se esse sistema —o nosso ou o que você já tinha— funciona com clientes reais.
Se você nunca montou a estrutura, comece pelo serviço de compliance. Se já a tem há algum tempo e não sabe em que estado está, comece pela auditoria: o diagnóstico dirá onde vale a pena investir. Se quiser o contexto normativo completo, ele está em MiFID II.
No início, enviamos uma lista fechada de solicitação. Em termos gerais, pedimos: políticas e manuais vigentes com a data de aprovação, contratos-padrão de cliente, modelos de teste de adequação e de conveniência, modelos de informação de custos ex ante e ex post, catálogo de produtos e seu mercado-alvo, acordos com terceiros que gerem recebimentos ou pagamentos, política de melhor execução, mapa de canais gravados e o registro de capacitação do pessoal.
Depois selecionamos a amostra de dossiês concretos. É aí que aparece a maioria dos achados.
Pouco. O grosso é revisão documental, que fazemos com a informação que você nos fornece. Precisamos, sim, de entrevistas curtas com as pessoas-chave: quem atende o cliente, quem elabora a informação de custos, quem administra os sistemas e quem exerce a função de compliance.
Essas conversas são imprescindíveis porque o achado típico não é “falta um documento”, mas sim “o documento existe, mas o gestor faz outra coisa”. A duração total depende do porte da entidade, do número de serviços e do volume de dossiês que entrem na amostra.
Três peças. Primeira: o relatório de auditoria, com cada achado descrito, o critério normativo com o qual é confrontado, a evidência examinada, o risco associado e a recomendação concreta. Segunda: o plano de remediação, com ação, responsável interno e data de conclusão para cada ponto. Terceira: a pasta de evidências, organizada por matéria, para que você possa responder a um requerimento sem reconstruir nada.
Se você quiser, acrescentamos uma sessão de apresentação ao órgão de administração: a aprovação do plano deve ficar documentada.
Eles são priorizados e resolvidos. Os achados de criticidade alta —os que afetam a proteção do cliente ou deixam a entidade sem prova— são tratados primeiro, normalmente com medidas rápidas: atualizar modelos, refazer testes vencidos, fechar canais de comunicação não cobertos.
Os estruturais exigem um projeto: redesenhar o fluxo de custos, revisar a governança de produtos ou reorganizar o arquivo. Podemos executar a remediação com você ou nos limitar a supervisionar o avanço e verificar a conclusão. O importante é que o plano tenha datas e que alguém responda por cada uma delas.
Serve, mas muda a ordem do trabalho. Com um requerimento sobre a mesa, a primeira coisa é preparar uma resposta completa, coerente e dentro do prazo; a revisão geral vem depois, para evitar que a próxima pergunta encontre você na mesma situação.
O que não funciona é improvisar: respostas contraditórias entre departamentos e evidências que aparecem pela metade são o que transforma uma ação de supervisão em algo mais sério. Explicamos como uma ação se desenvolve e como respondê-la em supervisão e inspeção da CNMV.
O que a regulação exige é que você tenha uma função de compliance que revise e avalie periodicamente a adequação e a eficácia das suas políticas e procedimentos, e que informe as suas conclusões ao órgão de administração. A forma de instrumentar essa revisão é decisão sua.
Uma revisão externa traz duas coisas que a interna nem sempre consegue: independência real e experiência comparada com outras entidades. E deixa um documento datado que comprova que a entidade se autoavalia, algo que conta a favor quando chega uma ação de supervisão. Nas EAF (empresas de consultoria financeira), além disso, encaixa-se com as demais obrigações posteriores à autorização.
Auditar não é reler manuais: é verificar se a sua operação deixa rastro. Este é o percurso que seguimos, do escopo à resolução dos achados.
Delimitamos quais serviços você presta de fato e a quais clientes, acordamos as áreas que entram na revisão e selecionamos a amostra de dossiês: por produto, por gestor e por casos-limite. Sem um escopo escrito, a auditoria se dilui.
Revisão documental, entrevistas com as pessoas que atendem o cliente e testes de rastreabilidade: pedimos um dossiê concreto e medimos quanto tempo você leva para reuni-lo completo. Tudo fica documentado em papéis de trabalho.
Achados priorizados por criticidade, plano de ação com responsável e prazo, apresentação ao órgão de administração e, se você contratar, verificação da conclusão depois de algum tempo. A auditoria termina quando os achados estão resolvidos, não quando o PDF é entregue.
Se o que você precisa é construir a estrutura do zero, comece pelo nosso serviço de compliance MiFID II. Se você já está autorizado, revise também o calendário de obrigações contínuas.
Os 10 controles de conduta que a CNMV espera ver funcionando em uma EAF ou ESI, com a evidência típica de cada um. Ideal como autodiagnóstico trimestral com sua equipe.
Sem spam. Seu e-mail só é usado para enviar este checklist e, ocasionalmente, novidades regulatórias relevantes.
O checklist está sendo baixado agora mesmo. Se o download não começar automaticamente, clique aqui.
Depois de ler, precisa de ajuda para implementar alguma das etapas? Escreva diretamente para nós:
Termos que você verá na proposta, no relatório e na conversa com o seu órgão de administração. Convém que signifiquem o mesmo para todos.
Confronto entre o que exigem as normas de conduta da MiFID II e o que comprova a sua documentação real de clientes e operações.
Documento inicial que fixa as áreas revisadas, o período examinado, as unidades envolvidas e os limites do trabalho. É acordado antes de começar.
Seleção de casos concretos por produto, gestor e tipo de cliente, incluindo os casos-limite em que o processo costuma falhar.
Diferença comprovada entre a exigência normativa e a prática observada, com a evidência examinada e o risco que gera.
Classificação do achado segundo seu impacto sobre o cliente, sua recorrência e a capacidade da entidade de provar o contrário.
Tradução de cada achado em uma tarefa concreta com dono interno e prazo de conclusão, aprovada pelo órgão de administração.
Área que revisa e avalia periodicamente a adequação e a eficácia das políticas e procedimentos e reporta ao órgão de administração.
Suporte interno de cada verificação: o que foi revisado, sobre qual documento, em que data e com qual conclusão.
Arquivo organizado por matéria com políticas vigentes, evidências e registros, preparado para responder a um requerimento sem improvisar.
Categoria atribuída conforme o Anexo II da MiFID II, comunicada ao cliente, com as mudanças de categoria justificadas e documentadas.
Ficha do cliente com categoria e data, comunicação ao cliente, solicitações de reclassificação e a análise que as sustenta.
Teste de adequação vigente antes de cada recomendação (art. 25 da MiFID II) e teste de conveniência em serviços sem assessoria sobre produtos complexos.
Questionários preenchidos e datados, relatório de adequação entregue, advertências em caso de resultado negativo e registro da isenção de mera execução.
Recebimentos de terceiros apenas onde o art. 24 da MiFID II permite, com aumento de qualidade comprovado, e informação de custos ex ante e ex post anual.
Contratos com terceiros, quadro de fluxos, catálogo de melhorias comprovadas e amostra de relatórios de custos entregues e conciliados.
Gravação das conversas e comunicações que possam dar origem a operações (art. 16(7) da MiFID II), mesmo que a operação não seja executada.
Inventário de canais, política de dispositivos, teste de recuperação de uma comunicação concreta e conservação por 5 anos, prorrogável até 7 mediante requerimento.
Mercado-alvo positivo e negativo definido e aplicado (arts. 16(3) e 24(2) da MiFID II) e política de melhor execução do art. 27 revisada.
Ficha de governança de produto por instrumento, retorno de informação ao fabricante, política de execução e atas da sua revisão.
Se você reconhece dois ou mais, a sua exposição não está no manual: está no dossiê que alguém vai lhe pedir.
Quase nenhuma revisão termina dentro do seu próprio perímetro. Um achado em incentivos abre o registro de conflitos; um em adequação abre a capacitação da equipe; um em rastreabilidade abre o arquivo. Estas são as páginas onde desenvolvemos cada frente.
Mapa de conflitos, medidas organizacionais e registro. É o primeiro documento pedido quando aparecem recebimentos de terceiros.
Reporting, auditoria, taxas e compliance contínuo: o calendário que a auditoria verifica se você está cumprindo.
O contexto normativo completo: diretiva, regulamento delegado e normas de conduta que são confrontadas na revisão.
Se o achado é que o gestor não soube aplicar a política, o problema é de comprovação da capacitação, não de redação.
Se o que você tem pela frente é uma ação do supervisor, comece por supervisão e inspeção da CNMV e pelo regime de sanções da CNMV. Se quiser montar o sistema completo antes de auditá-lo, vá para compliance MiFID II.
Conte-nos quais serviços de investimento você presta e em que ponto está o seu compliance MiFID II: diremos o que convém revisar primeiro e com qual profundidade.
Última atualização: 4 de agosto de 2026
Uma auditoria MiFID II não explica a regulação: ela a confronta com a sua operação. O marco de referência é a Diretiva 2014/65/UE (MiFID II), o Regulamento (UE) 600/2014 (MiFIR) e o Regulamento Delegado (UE) 2017/565, aplicados na Espanha por meio da Lei 6/2023 e do RD 813/2023. A revisão mede uma única coisa: se cada obrigação de conduta deixa um rastro documental que você possa mostrar à CNMV sem reconstruir nada. Trabalhamos sobre dossiês reais, entrevistamos quem atende o cliente e entregamos achados priorizados com um plano de remediação executável.
O perímetro é o ciclo completo do cliente. Começa na classificação —varejo, profissional ou contraparte elegível conforme o Anexo II da MiFID II—, porque dela dependem as proteções devidas e as advertências exigíveis. Segue com a avaliação prévia: teste de adequação quando há assessoria ou gestão de carteiras (art. 25 da MiFID II), com as preferências de sustentabilidade incorporadas pelas orientações de adequação da ESMA atualizadas em 2023, e teste de conveniência em serviços sem assessoria sobre produtos complexos, com seu regime de advertências e a isenção de mera execução. Continua pela transparência econômica: informação de custos e encargos ex ante e ex post anual, agregada, com detalhamento a pedido e efeito acumulado sobre a rentabilidade (art. 24(4) da MiFID II e art. 50 do Regulamento Delegado (UE) 2017/565), e pelo regime de incentivos do art. 24, proibidos na consultoria independente e na gestão discricionária de carteiras. E termina com a gravação de comunicações do art. 16(7), a governança de produtos dos arts. 16(3) e 24(2) com seu mercado-alvo positivo e negativo, a melhor execução do art. 27 e a gestão de conflitos de interesse.
A metodologia é deliberadamente incômoda, porque é a que replica a lógica do supervisor. Primeiro se fixa o escopo por escrito: áreas, período examinado e unidades envolvidas. Depois se seleciona a amostra, e quem a seleciona é o auditor, não o auditado: dossiês por produto, por gestor e por casos-limite —clientes reclassificados, produtos complexos, operações por iniciativa do cliente, contratos antigos que ninguém voltou a olhar—. Sobre essa amostra são feitas duas coisas. Uma, revisão documental: verificar se o documento existe, está assinado, está vigente e é coerente com o elo seguinte da cadeia. Duas, testes de rastreabilidade: pedir um caso concreto e medir quanto tempo a entidade leva para reuni-lo completo, porque uma evidência que leva semanas para aparecer não serve para responder a um requerimento. Somam-se a isso entrevistas curtas com quem atende o cliente, com quem elabora a informação de custos e com a função de compliance. Tudo fica documentado em papéis de trabalho que permitem reconstruir a revisão anos depois.
O relatório não é uma lista de censuras. Cada achado é documentado com quatro elementos: a exigência normativa concreta, a evidência examinada, o desvio observado e a recomendação operacional. A cada um é atribuída uma criticidade, que ordena o trabalho: primeiro o que afeta a proteção do cliente ou deixa a entidade sem prova, depois o estrutural. Daí sai o plano de remediação, que é a parte realmente usada: uma tabela com ação, responsável interno e data de conclusão, pensada para ser levada ao órgão de administração e aprovada em ata. Fechamos com a pasta de evidências, organizada por matéria, para que a entidade não volte a procurar os mesmos documentos na próxima vez. Se você contratar, verificamos a conclusão depois de algum tempo e deixamos registro de quais achados foram resolvidos e quais continuam abertos, com a respectiva justificativa. Esse rastro —autoavaliação, plano aprovado e acompanhamento— é exatamente o que demonstra que a entidade controla a si mesma.
Há quatro momentos naturais: quando muda o modelo de negócio ou a gama de produtos, quando entra um novo responsável de compliance, quando uma reclamação questiona uma recomendação concreta e quando o supervisor se movimenta. A CNMV supervisiona de forma contínua a distância e também in loco, e o seu enfoque é sempre o mesmo: não pergunta o que diz o seu manual, pede que você mostre o caso. Desenvolvemos isso em supervisão e inspeção da CNMV. A regulação do mercado de valores classifica as infrações em leves, graves e muito graves, e o leque de consequências vai da multa à advertência pública, à revogação da autorização ou à inabilitação de administradores; o detalhe está em sanções da CNMV. Diante disso, uma revisão independente datada, com seu plano aprovado e seu acompanhamento, é a diferença entre uma entidade que corrige e uma entidade que descobre. Se o seu caso é o de uma EAF já autorizada, encaixe-o no calendário de obrigações contínuas.
Este conteúdo tem caráter informativo e não constitui assessoria jurídica. As normas citadas podem ter sido modificadas após a data de atualização indicada: verifique sempre a versão vigente ou consulte-nos para analisar o seu caso concreto.
Normas de referência, com link para o texto oficial:
Normas e links revisados em .