Julia Costa Diretora Corporativa

MANUAL DE CONTROLES S E 1 de 18 MANUAL DE CONTROLES S E CONTROLE DE APROVAÇÃO ELABORAÇÃO REVISÃO APROVAÇÃO Lilian Harriz Gerência de Controles Internos e Compliance Julia Costa Diretora Corporativa Luiz Eduardo Franco de Abreu Diretor-Presidente

MANUAL DE CONTROLES S E 2 de 18 SUMÁRIO PARTE I IDENTIFICAÇÃO... 3 1. OBJETIVO... 3 2. VIGÊNCIA... 3 3. ABRANGÊNCIA... 3 4. FREQUÊNCIA... 3 5. RESPONSÁVEL... 3 6. HISTÓRICO DAS REVISÕES... 3 7. DOCUMENTO DE REFERÊNCIA... 4 8. DOCUMENTOS COMPLEMENTARES... 4 9. DEFINIÇÕES... 4 PARTE II CONTEÚDO... 7 1. INTRODUÇÃO... 7 2. PROCEDIMENTOS... 7

MANUAL DE CONTROLES S E 3 de 18 PARTE I IDENTIFICAÇÃO 1. OBJETIVO 1.1. O objetivo desta Norma é descrever o modelo do sistema de controles internos da POSITIVA Corretora de Títulos e Valores Mobiliários S.A. ( POSITIVA CTVM ) para assessorar e dar suporte ao gerenciamento dos procedimentos internos da organização no que concerne ao sistema de Controles Internos e Compliance, a fim de assegurar o cumprimento das disposições dos órgãos reguladores e autorreguladores a que a empresa está sujeita, notadamente as trazidas pela Instrução CVM nº 558, de 26 de março de 2015 ( ICVM 558/15 ), e pela Resolução BACEN n 2.554, de 19 de setembro de 1998 ( Res. BACEN 2.554/15 ). Uma versão atualizada deste manual estará disponível no site Positiva CTVM. 2. VIGÊNCIA 2.1. Esta norma possui vigência a partir de sua publicação, conforme consta no cabeçalho desta Norma. 3. ABRANGÊNCIA 3.1. Aplica-se aos processos executados pela POSITIVA CTVM. 4. FREQUÊNCIA 4.1. A Norma deve ser aplicada na identificação e tratamento das atividades das áreas pela POSITIVA CTVM. 5. RESPONSÁVEL 5.1. A aplicação desta norma é de responsabilidade da Diretoria Corporativa e da Gerência de Controles Internos e Compliance. 6. HISTÓRICO DAS REVISÕES 6.1. Esta é a versão da Norma Manual de Controles Internos e Compliance. Todas as alterações estão destacadas em fonte negrito itálico. 7. DOCUMENTO DE REFERÊNCIA

MANUAL DE CONTROLES S E 4 de 18 Circular BACEN N 3.467, de 15 de setembro de 20. Resolução BACEN n 2.554, de 24 de setembro de 1998. Resolução BACEN nº 4.595, de 28 de agosto de 2017. Código ANBIMA de Regulação e Melhores Práticas dos Serviços Qualificados ao Mercado de Capitais. Comunicado Técnico IBRACON n 03/2010. INSTRUÇÃO CVM nº 558, de 26 de março de 2015. INSTRUÇÃO CVM nº 505, de 27 de setembro de 2011. INSTRUÇÃO CVM nº 539, de 13 de novembro de 2013. OFÍCIO-CIRCULAR CVM nº 05, de 16 de julho de 2015. OFÍCIO-CIRCULAR CVM nº 10, de 18 de dezembro de 2015. 8. DOCUMENTOS COMPLEMENTARES NR-DIR-2.02.001 - Gestão do Plano de Continuidade de Negócios PCN NR-CON-4.06.001 - Manual de Marcação a Mercado NR-SUP-5.03.002 - Backup das Informações NR-SUP-6.01.001 - Cadastro Geral de Pessoas NR-SUP-5.05.002 - Gestão de Acesso à Infraestrutura Física e Lógica PL-DIR-004 - Gestão de Riscos PL-CON- 2.01.001 - Código de Ética e de Conduta PL-CON-2.05.001 - Negociação de Valores Mobiliários PL-SUP-5.01.001 - Segurança da Informação PL-NEG-8.02.001 - Diretrizes para Alocação de Ordens e Investimentos 9. DEFINIÇÕES 9.1. Auditoria Externa: é uma atividade independente, que constitui um conjunto de procedimentos técnicos, cujo objetivo é a emissão de parecer sobre a adequação dos registros contábeis e/ ou de outros processos auditados, identificando

MANUAL DE CONTROLES S E 5 de 18 oportunidades de melhorias para o aperfeiçoamento dos controles e sistemas da empresa contratante. 9.2. Auditoria Interna: é uma atividade independente e objetiva de garantia e consultoria, concebida para adicionar valor e melhorar as operações de uma organização, através de uma abordagem sistemática e disciplinada para avaliar e melhorar a efetividade dos processos de gerenciamento de riscos, controle e governança. 9.3. Colaborador: funcionários e prestadores de serviço regulares que atuam dentro das dependências da POSITIVA CTVM. 9.4. Controles Internos: conjunto de práticas adotadas pelas quais se busca assegurar que as ações planejadas e aprovadas sejam executadas adequadamente. Compreende os métodos, políticas e procedimentos adotados dentro de uma organização para assegurar a salvaguarda dos ativos, a exatidão e a confiabilidade das informações e registros, a promoção da eficiência administrativa e a aderência às políticas da organização, diminuindo a incerteza em relação a eventos futuros. O controle interno auxilia na prevenção de atos ilícitos, fraudes e outros eventos anormais que interferem no funcionamento eficiente da organização. 9.5. CVM: Comissão de Valores Mobiliários 9.6. CobiT - Control Objectives for Information and related Technology: é um guia de boas práticas apresentado como framework, dirigido para a gestão de tecnologia de informação (TI). 9.7. Código ANBIMA Código de Regulação e Melhores Práticas: parâmetros pelos quais as atividades das Instituições Participantes, relacionadas à prestação de serviços de custódia qualificada e controladoria ( Serviços ) devem se orientar. 9.8. Compliance: Tem origem no verbo em inglês to comply, que significa agir de acordo com uma regra, uma instrução interna, um comando ou um pedido, ou seja, estar em compliance é estar em conformidade com leis e regulamentos externos e internos. 9.9. COSO - Committee of Sponsoring Organizations of the Treadway Commission: é uma entidade sem fins lucrativos, dedicada à melhoria dos relatórios financeiros através da ética, efetividade dos controles internos e

MANUAL DE CONTROLES S E 6 de 18 governança corporativa. 9.10. DICOR: Diretoria Corporativa. 9.11. DINEG: Diretoria de Negócios. 9.12. GEJUR: Gerência Jurídica. 9.13. GECOC: Gerência de Controles Internos e Compliance. 9.14. GERTI: Gerência de Tecnologia da Informação. 9.15. Programas Utilitários: são programas utilizados para suprir deficiências dos sistemas operacionais. Pode-se incluir nos utilitários programas para: compactação de dados, aumento de desempenho de máquinas, overclock, limpeza de discos rígidos, acesso à internet, partilha de conexões, etc.

MANUAL DE CONTROLES S E 7 de 18 PARTE II CONTEÚDO 1. INTRODUÇÃO 1.1. O ambiente de controles internos e compliance da POSITIVA CTVM considera os componentes do COSO e COBIT como metodologia de melhores práticas de mercado a fim de atingir os objetivos da empresa sejam alcançados e prover uma governança corporativa e de tecnologia da informação que suporte estes objetivos, respectivamente, aplicável a todos os processos e operações praticadas pela Positiva CTVM. 2. PROCEDIMENTOS 2.1. Garantir a Estrutura de Controles Internos e Compliance 2.1.1. A estrutura de Controles Internos e Compliance é compartilhada entre as empresas que compõem o Grupo NPF, do qual a POSITIVA CTVM participa e está constituída da seguinte forma: 2.1.2. Cabe à DICOR garantir a implementação e o cumprimento das regras, políticas, procedimentos e controles internos da POSITIVA CTVM, de acordo com a regulamentação aplicável. 2.2. Gerenciar conflito de interesse 2.2.1. Cabe à GECOC elaborar, anualmente, relatório de revisão dos acessos aos sistemas internos e às áreas físicas, de forma a verificar se estão em conformidade com as Normas internas e externas, no que tange à Chinese Wall e controle de informações confidenciais.

MANUAL DE CONTROLES S E 8 de 18 2.2.2. Cabe à DICOR garantir que a atividade de administração de carteiras de valores mobiliários seja segregada das demais atividades exercidas pelas empresas da POSITIVA CTVM, assegurando a segregação das funções dos seus Diretores, para que atuem com independência e imparcialidade. 2.3. Estabelecer a metodologia de avaliação do sistema de controles internos de acordo com os componentes do COSO 2.3.1. A GECOC tem a responsabilidade de estabelecer, em conjunto com as demais áreas da empresa, os mecanismos de controles, preventivo ou corretivo, sobre os processos operacionais e estratégicos, baseados nos princípios da metodologia COSO, de forma a minimizar os riscos envolvidos nestes processos. Ambiente de Controle a) Analisar os processos existentes através de documentos referentes às normas e políticas, dentre outros. b) Identificar os riscos associados aos processos existentes. c) Verificar quais serão as ações de controles a serem implementadas em conjunto com os gestores das áreas, podendo ser controles preventivos ou detectivos, a fim de mitigar os riscos inerentes. d) Monitoramento das ações de controles através de testes periódicos, a fim de analisar o desempenho do controle estabelecido nos processos e os respectivos fatores de riscos. Avaliação e Gerenciamento dos Riscos a) Identificar os riscos inerentes aos processos, tanto estratégicos quanto operacionais. b) Coordenar ações para estabelecer mecanismos/recomendações para o gerenciamento dos riscos. c) Registrar todos os riscos e controles associados, por processo, em uma matriz de riscos e controles, representada pelo formulário FM-CON-4.04.001 - Matriz de Riscos e Controles, a

MANUAL DE CONTROLES S E 9 de 18 qual contempla a análise do controle no processo, bem como o risco inerente a esse processo. d) Realizar procedimento de testes para verificar se as ações recomendadas foram implementadas, além de verificar a situação do controle quanto à sua eficácia. Atividade de Controle para o gerenciamento e a redução dos riscos São classificadas em três categorias detectiva, preventiva e corretiva. a) Estabelecer as principais atividades de controles nos processos internos da POSITIVA CTVM: o Alçadas (preventiva): definir alçadas e permissões para o ambiente operacional. o Autorização (preventiva): definir as atividades de transações que necessitam de aprovação de um superior para que sejam efetivadas, podendo ser de forma manual ou eletrônica. o Conciliação (detectiva): confrontar a mesma informação de fontes distintas, com adoção de ações corretivas, quando necessário. o Revisão de Desempenho (detectiva): acompanhar um determinado processo ou atividade para checagem de seu desempenho em relação aos objetivos. o Segurança Física e Lógica (preventiva e detectiva): estabelecer controle de acessos a sistemas, redes e áreas físicas segregadas, controle de entrada e saída de funcionários, dentre outros, a fim de impedir a difusão de informações consideradas confidenciais, privilegiadas e sigilosas, bem como evitar o conflito de interesses. o Segregação de Funções (preventiva): estabelecer a

MANUAL DE CONTROLES S E 10 de 18 separação entre as funções de autorização, aprovação de operações, execução e controles de forma que os colaboradores não possuam permissões e atribuições que estejam em desacordo com este princípio de controles internos e que possam gerar, inclusive, conflito de interesses, no termo de regulamentação aplicável. o Normatização Interna (preventiva): propor responsabilidades, políticas corporativas, fluxos operacionais, funções e procedimentos para o funcionamento da POSITIVA CTVM. o Sistemas Informatizados (preventiva e detectiva): estabelecer controles no ambiente de sistemas informatizados, tanto nos aplicativos corporativos, para validação das informações, quanto para processamento de dados, para manutenção e organização de back-up. o Plano de Contingência: Usado para reduzir impacto ou corrigir erros, uma vez detectados. Informação e Comunicação a) Definir procedimentos que abordem aspectos relativos à informação e comunicação que assegurem aos colaboradores da POSITIVA CTVM, de acordo com o nível de atuação, o acesso a informações confiáveis, tempestivas e compreensíveis consideradas relevantes para as suas respectivas tarefas e responsabilidades. Monitoramento a) Verificar se os controles internos estão adequados e efetivos de acordo com as informações levantadas. b) Elaborar, periodicamente, de acordo com o planejamento de revisão de controles dos processos internos, relatório de avaliação dos controles internos, contemplando todos os pontos levantados, juntamente com as ações recomendadas e os seus

MANUAL DE CONTROLES S E 11 de 18 respectivos riscos associados. c) Submeter ao Gestor da área ou do processo revisado o relatório para conhecimento, revisão das informações e manifestação acerca das ações a serem implantadas. d) Após a revisão do relatório, submeter o relatório ao Comitê de Auditoria e, posteriormente, ao Conselho Diretor para conhecimento e acompanhamento das ações pertinentes. 2.4. Definir os procedimentos de avaliação do ambiente de TI de acordo com o CobiT 2.4.1. Os controles gerais de TI são controles que se aplicam a qualquer processo dentro de um ambiente de tecnologia, por estarem relacionados aos processos que existem para suportar o funcionamento e manutenção de uma ou mais aplicação. Por esse motivo, esses controles são o ponto de partida para a avaliação dos procedimentos requeridos por órgãos reguladores. 2.4.2. Utilizando-se o CobiT como framework de controle para aplicação das melhores práticas de mercado, devem ser fornecidas informações necessárias para dar o suporte aos objetivos e requisitos do negócio, tratando as informações e combinando aplicações de TI e recursos que precisam ser gerenciados por processos de TI. 2.4.3. O foco da avaliação do ambiente de TI deve ser centrado nas seguintes ações: a) Definir Processos de TI, Organização e Relacionamento; b) Avaliar e Gerenciar Riscos; c) Gerenciar Projetos; d) Desenvolver e manter procedimentos de TI; e) Gerenciar Mudanças; f) Gerenciar Serviços de Terceiros; g) Garantir Segurança dos Sistemas;

MANUAL DE CONTROLES S E 12 de 18 h) Educar e Treinar Usuários; i) Assegurar Conformidade Regulatória; j) Fornecer Governança de TI. 2.5. Disseminar a cultura de controles 2.5.1. A GECOC tem a responsabilidade de identificar o grau de conhecimento dos Colaboradores em relação aos controles e em relação aos riscos envolvidos no descumprimento das normas, leis e regulamentos, considerando os seguintes aspectos: a) Assegurar que, no ato da contratação, bem como sempre que houver atualização dos documentos, o Colaborador tenha aderido ao Código de Ética e de Conduta, à Política de Prevenção à Lavagem de Dinheiro e Combate ao Financiamento do Terrorismo e à Política de Negociação de Valores Mobiliários da instituição. b) Assegurar que, no ato da contratação, o Colaborador assine Termo de Ciência e Compromisso com a Segurança das Informações. c) Formular políticas e normas de controles internos e de segurança física e lógica e das práticas orientadas à detecção e mitigação dos riscos. d) Divulgar a todos os colaboradores a importância dos controles. e) Disponibilizar no Sharepoint os documentos de gestão (normas, políticas, manuais, etc.) a todos os Colaboradores, ressaltando a importância de sempre acessá-los nesta plataforma e não reproduzi-los, de maneira a garantir que a consulta seja feita aos documentos atualizados. 2.6. Veiculação de informação ao mercado site da POSITIVA CTVM 2.6.1. A Positiva CTVM, de acordo com o artigo 14 da Instrução CVM nº 558/15, deverão manter em sua página na rede mundial de computadores as seguintes informações atualizadas: I. formulário de referência, cujo conteúdo deve refletir o Anexo 15- II da referida Instrução;

MANUAL DE CONTROLES S E 13 de 18 II. código de ética, de modo a concretizar os deveres do administrador previstos no art. 16 da referida Instrução; III. IV. o presente Manual de Controles Internos e Compliance; a Política PL-DIR-004 - Gestão de Riscos; V. a Política PL-CON-2.05.001 - Negociação de Valores Mobiliários; VI. VII. o NR-CON-4.06.001 - Manual de Marcação a Mercado; e a Política PL-NEG-8.02.001-Diretrizes para Alocação de Ordens e Investimentos. 2.6.2. Cabe à GECOC assegurar a revisão e a divulgação dos documentos requeridos acima para cumprimento da Instrução CVM nº 558/15. 2.7. Revisar normas e procedimentos operacionais com vistas a avaliar a conformidade e a aplicabilidade 2.7.1. Cabe à GECOC assegurar que os processos relacionados às atividades da POSITIVA CTVM, bem como serviços e rotinas de trabalho estejam em conformidade com as normas, políticas e regulamentações vigentes. 2.7.2. Cabe à GECOC participar do processo de elaboração e revisão dos normativos internos em conjunto com as demais áreas da POSITIVA CTVM. A revisão dos documentos normativos pode ocorrer em um prazo máximo de 02 anos, ordinariamente; ou extraordinariamente, quando necessário. 2.7.3. Cabe à GECOC elaborar, anualmente, relatório de controles internos com objetivo de avaliar o sistema de controles internos da POSITIVA CTVM, em atenção à Resolução BACEN nº 2.554/98, e apresentar neste relatório a descrição da estrutura de controles interno s pela POSITIVA CTVM e a avaliação do sistema, conforme metodologia estabelecida no item 2.4 deste manual. 2.7.4. Cabe à DICOR elaborar e encaminhar ao Conselho Diretor, até o último dia útil dos meses de janeiro e julho, nos termos da ICVM nº 505/11, relatório relativo ao semestre imediatamente anterior à data de entrega, contendo:

MANUAL DE CONTROLES S E 14 de 18 I. as conclusões dos exames efetuados; II. as recomendações a respeito de eventuais deficiências, com o estabelecimento de cronogramas de saneamento, quando for o caso; e III. a manifestação da DINEG, diretoria estatutária responsável pelo cumprimento das normas estabelecidas na referida Instrução, a respeito das deficiências encontradas em verificações anteriores e das medidas planejadas, de acordo com cronograma específico, ou efetivamente adotadas para saná-las. 2.7.5. Cabe à DICOR elaborar e encaminhar ao Conselho Diretor, até o último dia útil do mês de janeiro de cada ano, nos termos da ICVM nº 558/15, relatório relativo ao ano civil imediatamente anterior à data de entrega, contendo: I. as conclusões dos exames efetuados; II. as recomendações a respeito de eventuais deficiências, com o estabelecimento de cronogramas de saneamento, quando for o caso; e III. a manifestação do Diretor responsável pela Administração Fiduciária a respeito das deficiências encontradas em verificações anteriores e das medidas planejadas, de acordo com cronograma específico, ou efetivamente adotadas para saná-las. 2.7.6. Cabe à DINEG elaborar e encaminhar ao Conselho Diretor, até o último dia útil dos meses de janeiro e julho, nos termos da ICVM nº 539/13, relatório relativo ao semestre encerrado no mês imediatamente anterior à data de entrega, contendo: I. uma avaliação do cumprimento pela pessoa jurídica das regras, procedimentos e controles internos referidos no inciso I do caput da referida Instrução; e II. as recomendações a respeito de eventuais deficiências, com o estabelecimento de cronogramas de saneamento. 2.7.7. Todos os relatórios deverão ficar disponíveis para os órgãos reguladores,

MANUAL DE CONTROLES S E 15 de 18 na sede da POSITIVA CTVM. 2.8. Atender às Auditorias Interna e Externa 2.8.1. A GECOC tem por atribuição fornecer informação para as auditorias interna e externa, a fim de que possam emitir opinião em relação ao funcionamento dos controles internos e aos resultados obtidos, e analisar o relatório emitido pelas Auditorias Interna e Externa. 2.8.2. Após o recebimento de relatórios emitidos por Auditoria Interna ou Externa, a GECOC deverá providenciar que os mesmos sejam submetidos à análise do COAUD e do Conselho Diretor. 2.8.3. Caso haja recomendações de melhoria e/ ou inconformidades identificadas em trabalhos de Auditoria Interna ou Externa, a GECOC deverá submeter a questão às respectivas áreas envolvidas para que seja elaborado um Plano de Ação para saneamento dos apontamentos. 2.8.4. Cabe à GECOC acompanhar a implementação dos Planos de Ação para saneamento dos apontamentos feitos pelos auditores. 2.9. Definir a norma de conduta dos auditores internos e externos 2.9.1. A GECOC define que, no exercício da atividade de auditoria, o Auditor deverá observar as seguintes regras de conduta: 2.9.1.1. Deverá ter acesso irrestrito ao objeto a ser analisado, incluindo documentação e informações solicitadas. 2.9.1.2. Deverá comunicar à GECOC, formalmente, caso identifique qualquer limitação de ação, para que sejam tomadas as devidas providências. 2.9.1.3. Deverá guardar rigoroso sigilo sobre toda a informação que tenha conhecimento no exercício da atividade de auditoria. 2.10. Procedimentos de auditoria interna de sistemas 2.10.1. A GECOC define que, no exercício da atividade de auditoria interna de sistemas, o Auditor, seja Interno ou Externo, deverá observar e considerar os seguintes procedimentos de verificação:

MANUAL DE CONTROLES S E 16 de 18 a) Segregação de Funções b) Visão Global de Segurança c) Acesso Lógico d) Controle de Acesso de Segurança dos Sistemas e) Controle de Acesso de Segurança Física f) Planejamento de Continuidade dos Negócios g) Administração de Rede h) Backup i) Atualizações de Software do Sistema j) Manutenção de Versões em Sistemas 2.11. Informações periódicas aos Reguladores 2.11.1. Questionário Due Diligence (DDQ) - padrão ANBIMA 2.11.1.1. A GECOC é responsável pela coordenação da atualização semestral do questionário de due diligence das empresas da POSITIVA CTVM - Seção I e pela elaboração do questionário de due diligence de Fundos de Investimentos Seção II, quando necessário. 2.11.2. Formulário de Referência (FRE) 2.11.2.1. Cabe à GEJUR manter o formulário de referência atualizado, cujo conteúdo deve estar em consonância ao Anexo 15-II da ICVM 558/15 e, enviar à CVM, por meio do CVMWeb, até o dia 31 de março de cada ano. 2.11.2.2. Sempre que houver atualização das informações constantes no Formulário de Referência, a GEJUR deverá providenciar a atualização do documento, nos termos do item 66 do Ofício-Circular nº 10/2015/CVM/SIN, enviando-o à CVM, por meio do CVMWeb. 2.11.2.3. A GEJUR deverá submeter à GERTI o formulário de referência

MANUAL DE CONTROLES S E 17 de 18 atualizado para publicação nas páginas das empresas da POSITIVA CTVM na rede mundial de computadores. 2.12. Prover treinamento sobre regulamentação 2.12.1. A GECOC é responsável por prover treinamentos específicos sobre a regulamentação vigente referente aos processos de negócios e operacionais. Para tanto, deverá solicitar as devidas providências à Gerência de Pessoal, conforme as regras previstas na Norma NR-SUP- 1.05.001 Treinamento. 2.13. Monitoramento para Prevenção à Lavagem de Dinheiro e Combate ao Financiamento ao Terrorismo (PLDCFT) 2.13.1. A GECOC é responsável por estabelecer procedimentos que possam identificar as operações suspeitas relativas aos seus clientes. 2.13.2. Os procedimentos estão descritos na Política PL-CON-2.03.001 - Prevenção à Lavagem de Dinheiro e Combate ao Financiamento do Terrorismo e na Norma NR-SUP-6.01.001- Cadastro Geral de Pessoas. 2.14. Acompanhamento da regulamentação, demandas e fiscalizações de Órgãos Reguladores e Autorreguladores 2.14.1. Acompanhar regularmente os normativos emitidos por órgãos reguladores e autorreguladores, por meio dos sites e/ou e-mails de divulgação. 2.14.2. Analisar a aplicação do normativo para a Positiva CTVM, em conjunto com as áreas envolvidas, quando necessário. 2.14.3. Divulgar aos responsáveis pelos processos envolvidos o novo normativo, destacando os principais pontos e prazo para atendimento. 2.14.4. Receber, analisar e distribuir aos responsáveis pelos processos envolvidos as demandas feitas por Órgãos Reguladores e Autorreguladores, coordenando, controlando e monitorando seu atendimento tempestivo, seja no âmbito de solicitações pontuais, seja no âmbito de fiscalizações rotineiras. 2.14.5. Criar mecanismos para o acompanhamento do cumprimento tempestivo

MANUAL DE CONTROLES S E 18 de 18 das obrigações legais definidas pelos Órgãos Reguladores e Autorreguladores.