Normativo interno vencido na intranet: o risco de compliance que o Copilot amplifica
Em banco, seguradora ou cooperativa, um normativo interno vencido que continua acessível na intranet deixa de ser só conteúdo desatualizado e passa a ser instrução operacional errada. Com o Microsoft 365 Copilot, o risco cresce, porque o assistente usa todo o conteúdo que o colaborador tem permissão de ver, inclusive arquivos amplamente compartilhados de que ele nem sabe, segundo a documentação da Microsoft. Apagar a versão antiga não resolve: no mercado de seguros, a Resolução CNSP 416/2021 exige conservar as versões vigentes e anteriores das políticas e normativos internos, com pronto acesso à Susep. A saída é separar o acervo de versões, mantido para o regulador e a auditoria, da superfície de consulta do colaborador, onde só a versão vigente pode estar.
O que as normas pedem sobre normativos internos
A Resolução CNSP 416, de 20 de julho de 2021, que trata do sistema de controles internos das supervisionadas pela Susep, pede no artigo 7º que as disposições do sistema de controles internos sejam formalizadas e acessíveis a todos os colaboradores, em linguagem clara e com detalhamento compatível com a função de cada um. O artigo 8º, parágrafo 2º, exige que a política de conformidade seja registrada por escrito, aprovada pelo órgão de administração máximo, divulgada aos colaboradores e reavaliada no mínimo a cada dois anos. O artigo 43 manda conservar as versões vigentes e anteriores das políticas e dos normativos internos, com pronto acesso à Susep.
Para as instituições autorizadas pelo Banco Central, a Resolução CMN 4.968/2021, que regulamenta os sistemas de controles internos, pede no artigo 5º, inciso IV, canais de comunicação que assegurem aos funcionários acesso a informações adequadas, mecanismos para que as políticas e os procedimentos estabelecidos cheguem a eles e metodologias para o registro e a manutenção de informações internas. O artigo 4º acrescenta que os controles devem ser revisados e atualizados periodicamente.
Juntas, as duas normas descrevem uma obrigação com dois lados. O colaborador precisa acessar o normativo certo, e a instituição precisa provar, depois, qual versão valia em cada momento. A intranet costuma atender ao primeiro lado e falhar no segundo, ou atender ao segundo guardando tudo no mesmo lugar e falhar no primeiro.
Tese da CSP Tech: em instituição regulada, o normativo revogado precisa continuar existindo e precisa deixar de responder. A intranet que guarda versões antigas na mesma biblioteca da versão vigente cumpre a obrigação de conservar e quebra a de orientar, e o Copilot torna essa falha visível, porque responde com o que encontra. O desenho que atende às duas obrigações separa o acervo, com acesso restrito a compliance, auditoria e regulador, da superfície de consulta, onde só existe o que está em vigor.
Por que o Copilot amplifica o problema
Antes do assistente, um normativo vencido esquecido em uma pasta só causava dano se alguém o encontrasse e confiasse nele. Com o Copilot, a busca deixa de depender de o colaborador saber onde procurar. A Microsoft afirma que o Copilot só traz dados organizacionais aos quais o usuário tem ao menos permissão de visualização, e que isso pode incluir arquivos compartilhados de forma ampla. Se a versão revogada de uma política de crédito ou de prevenção à lavagem de dinheiro está em uma biblioteca aberta a toda a empresa, ela pode virar a base de uma resposta, sem que o colaborador perceba que o documento já não vale.
O mecanismo de permissão e de conteúdo desatualizado no SharePoint está detalhado no artigo “Intranet no SharePoint com IA: o conteúdo que deveria ter saído de circulação continua respondendo”. O ponto específico do setor regulado é outro: a resposta errada sobre um normativo deixa de ser um problema de produtividade e passa a ser uma falha de controle interno, que a auditoria pode apontar e o supervisor pode cobrar.
O desenho em duas camadas: acervo e consulta
A camada de consulta
É onde o colaborador e o Copilot encontram normativos. Ela contém apenas versões vigentes, cada uma com dono identificado, data de vigência, próxima revisão e indicação do normativo que ela substitui. A revogação é um evento com data e responsável: no momento em que uma nova versão entra em vigor, a anterior sai dessa camada no mesmo fluxo de aprovação, sem depender de alguém lembrar de removê-la.
A camada de acervo
É onde ficam as versões anteriores, conservadas para atender ao artigo 43 da Resolução CNSP 416 e às necessidades de prova da instituição. O acesso é restrito a compliance, controles internos, auditoria e às pessoas que respondem ao regulador. No SharePoint, a Microsoft descreve a política de Restricted Access Control, do SharePoint Advanced Management, que limita o acesso a um site a um grupo definido pelo administrador; com ela, o conteúdo do site aparece no Copilot só para esse grupo.
O que liga as duas camadas
Um registro de normativos, que pode ser uma lista do próprio SharePoint ou um fluxo em outra ferramenta, guarda para cada documento o status (vigente, em revisão ou revogado), o dono, as datas e o vínculo entre versões. É esse registro que responde à pergunta da auditoria sobre qual versão valia em determinada data, e é ele que dispara a revisão periódica antes do prazo vencer. Sem o registro, as duas camadas viram duas pastas que divergem com o tempo.
Critérios para avaliar a intranet atual
Onde estão as versões revogadas. Se estão na mesma biblioteca ou no mesmo site da versão vigente, a camada de consulta está contaminada, ainda que os arquivos tenham “antigo” no nome.
Quem enxerga o acervo. Se as versões anteriores estão abertas a toda a empresa, o Copilot pode usá-las. Os relatórios de governança de acesso do SharePoint Advanced Management, segundo a Microsoft, mostram o uso de compartilhamentos amplos, como “todos exceto usuários externos”, e ajudam a localizar esse problema.
Quem é o dono de cada normativo. Normativo sem dono não é revisado no prazo nem revogado na hora certa. O dono precisa estar registrado, e não só implícito na área que publicou.
Como a revogação acontece. Se depende de um pedido manual à equipe da intranet, ela vai atrasar. O ideal é que a aprovação da nova versão e a retirada da anterior aconteçam no mesmo fluxo.
Sites esquecidos. Sites de projetos encerrados costumam guardar cópias de políticas antigas. A Microsoft recomenda identificar sites inativos com as políticas do SharePoint Advanced Management e restringir ou excluir esse conteúdo antes de ampliar o uso do Copilot.
A camada regulatória, com a ressalva devida
Nenhuma das normas citadas trata de intranet, de SharePoint ou de assistentes de IA. Elas tratam de controles, de comunicação aos colaboradores e de conservação de registros, e a forma de cumprir essas obrigações é decisão de cada instituição. A leitura de que o normativo revogado precisa ser conservado e retirado da consulta é uma interpretação editorial da CSP Tech sobre o efeito prático das normas. O prazo de guarda, o escopo do acervo e quem pode acessá-lo devem ser definidos pelas áreas de compliance, controles internos e jurídico. A Microsoft também mantém orientações para configurar a segurança de dados no Copilot, que valem como referência técnica, não como critério regulatório.
Quando essa estrutura é desproporcional
Uma instituição com poucos normativos, sem Copilot e com a intranet usada apenas para comunicação interna pode resolver o problema com uma biblioteca única de versões vigentes e uma pasta restrita de histórico, sem fluxo automatizado. O mesmo vale quando os normativos já vivem em um sistema próprio de gestão documental com controle de versão e a intranet só aponta para ele: nesse caso, o trabalho está em garantir que a intranet não guarde cópias.
Perguntas frequentes
Posso apagar da intranet um normativo interno revogado?
No mercado de seguros, não sem guardá-lo em outro lugar: a Resolução CNSP 416/2021, no artigo 43, exige conservar as versões vigentes e anteriores das políticas e normativos internos, com pronto acesso à Susep. O caminho é tirar a versão revogada da área de consulta dos colaboradores e mantê-la em um acervo de acesso restrito.
O Copilot pode responder com base em um normativo revogado?
Pode, se o documento estiver em um local que o usuário tem permissão de ver. Segundo a Microsoft, o Copilot usa os dados organizacionais aos quais o usuário tem ao menos permissão de visualização, inclusive arquivos compartilhados de forma ampla.
Com que frequência a política de conformidade de uma seguradora precisa ser revisada?
A Resolução CNSP 416/2021, no artigo 8º, parágrafo 2º, exige que a política de conformidade seja reavaliada no mínimo a cada dois anos, ou sempre que a supervisionada julgar necessário, além de registrada por escrito, aprovada pelo órgão de administração máximo e divulgada aos colaboradores.
Como evitar que o Copilot encontre versões antigas de normativos?
Separando o acervo de versões anteriores da área de consulta e restringindo o acesso ao acervo a um grupo definido. No SharePoint, a política de Restricted Access Control, do SharePoint Advanced Management, limita um site a um grupo de usuários, e o conteúdo desse site aparece no Copilot só para esse grupo.
Próximo passo
Faça um teste de dez minutos: pergunte ao Copilot qual é a versão vigente de uma política que foi revisada no último ano e confira se a resposta cita o documento certo. Depois, procure na intranet a versão anterior dessa política e veja quem consegue abri-la. Se o Copilot citou a versão antiga, ou se a versão antiga está aberta a toda a empresa, a camada de consulta está contaminada. Solicite um diagnóstico da intranet da sua instituição para separar acervo e consulta antes de ampliar o uso do Copilot.
Leituras relacionadas
Intranet e governança no setor financeiro
- Empresa de intranet para banco, cooperativa ou seguradora: como comparar plataforma pronta, SharePoint e desenvolvimento sob medida
- Portfólio de projetos regulatórios no Jira: quando o prazo vem do Banco Central, e não do negócio
- Circuit breaker na B3: o que a interrupção de 26 de outubro exige da TI de bancos, corretoras e instituições de pagamento
IA, permissão e dado confiável
- Segurança de agentes de IA: por que permissão virou o novo perímetro (e como limitar o agente sem inutilizá-lo)
- Agentes de IA não autorizados chegaram às contas bancárias dos EUA. Seus sistemas sabem quem está do outro lado?
- Data lake ou pântano de dados: por que a IA não fracassa por falta de dado, e sim por não achar o dado certo
Autor: Guilherme Matos, estrategista de conteúdo e IA, certificado HubSpot, Google, Anthropic e Semrush. Revisão técnica por especialistas Atlassian e de dados da CSP Tech (Atlassian Gold Partner, parceira Databricks, Microsoft Gold Partner, participante do Anthropic Partner Network, 38 anos de mercado, produto próprio Power BI for Jira no Atlassian Marketplace).
Fontes (acesso em 13/11/2026): Resolução CNSP nº 416, de 20/07/2021, arts. 7º, 8º (§ 2º) e 43. Resolução CMN nº 4.968, de 25/11/2021, arts. 4º e 5º (inciso IV). Microsoft Learn, “Microsoft Copilot for Microsoft 365: best practices with SharePoint” (permissão de visualização, sites inativos, Restricted Access Control, relatórios de governança de acesso) e “Configure data security for Microsoft 365 Copilot” (atualizada em 03/11/2026). O desenho em duas camadas e a leitura das normas são formulação editorial da CSP Tech. Este conteúdo não constitui aconselhamento jurídico ou regulatório.

Jira em sistema cooperativo de crédito: uma instância por cooperativa ou uma para o sistema inteiro?









