Aquisições em Serviços Bancários e Financeiros: Risco de Fornecedores e Governança de Terceiros

1. Introdução

O setor de serviços financeiros passou por uma profunda transformação estrutural nas últimas duas décadas. Instituições que antes desenvolviam e mantinham a maior parte de suas capacidades operacionais internamente agora confiam rotineiramente em fornecedores terceirizados para computação em nuvem, processamento de pagamentos, verificação de conheça seu cliente (KYC), segurança cibernética, sistemas bancários centrais e uma ampla gama de serviços auxiliares. A pandemia de COVID-19 acelerou essa trajetória, forçando a rápida adoção de canais digitais e infraestrutura de trabalho remoto, muitas vezes por meio de provedores terceirizados [1].

 

Essa dependência cria vantagens estratégicas: acesso a conhecimento especializado, escalabilidade e eficiência de custos. No entanto, ela também introduz camadas de risco operacional, jurídico, reputacional e sistêmico com as quais os reguladores de todas as jurisdições estão cada vez mais preocupados. Incidentes de alto perfil — desde a falha tecnológica da Knight Capital em 2012 até a violação da cadeia de suprimentos da MOVEit em 2023, que afetou dezenas de instituições financeiras — destacaram o potencial de eventos envolvendo terceiros se transformarem em interrupções sistêmicas [2].

 

Nesse contexto, as aquisições em serviços bancários e financeiros foram reimaginadas. A função tradicional de compras — incumbida de obter bens e serviços ao menor custo — está sendo suplantada por um mandato mais amplo de governança de fornecedores que engloba conformidade regulatória, avaliação de risco, supervisão de segurança da informação e planejamento de resiliência operacional. Este artigo explora as principais dimensões dessa evolução, examinando a arquitetura regulatória que molda a governança de terceiros e as estruturas operacionais que as instituições devem implementar para estarem em conformidade.

 

2. O Panorama Regulatório

2.1 A Lei de Resiliência Operacional Digital (DORA)

Adotada pela União Europeia em janeiro de 2023 e aplicável a partir de janeiro de 2025, a DORA (Regulamento (UE) 2022/2554) representa a intervenção regulatória mais abrangente na gestão de risco de TIC em serviços financeiros até hoje. Sua ambição é harmonizar as regras entre os estados-membros da UE sobre como as entidades financeiras — incluindo bancos, seguradoras, empresas de investimento e provedores de serviços de criptoativos — gerenciam a resiliência operacional digital de seus sistemas de TIC, com foco particular no risco de TIC de terceiros [3].

 

Sob a DORA, as entidades financeiras devem manter um registro de todos os provedores de serviços de TIC terceirizados e categorizá-los por criticidade. Os provedores terceirizados críticos (CTPPs) estão sujeitos a uma nova estrutura de supervisão administrada pelas Autoridades Europeias de Supervisão (ESAs), incluindo a Autoridade Bancária Europeia (EBA), que pode realizar inspeções e auditorias diretas desses provedores. Isso representa uma mudança fundamental: os reguladores não estão mais satisfeitos em responsabilizar apenas a instituição financeira; eles agora exercem poderes de supervisão direta sobre os próprios fornecedores [4].

 

Para as funções de aquisição, a DORA impõe requisitos contratuais obrigatórios. Os contratos escritos com provedores de TIC terceirizados devem incluir disposições sobre níveis de serviço, direitos de auditoria, localização e portabilidade de dados, obrigações de notificação de incidentes, direitos de rescisão e estratégias de saída. Criticamente, a DORA exige que as entidades financeiras garantam que os riscos de concentração de seus portfólios de provedores de TIC sejam identificados e gerenciados, e que testem sua capacidade de sair de arranjos críticos sem interromper as operações [5].

2.2 Orientação do OCC sobre Relacionamentos com Terceiros

Nos Estados Unidos, o Office of the Comptroller of the Currency estabeleceu expectativas de longa data para a gestão de relacionamentos com terceiros pelos bancos. A orientação interagências de 2023 emitida conjuntamente pelo OCC, pelo Federal Reserve e pela FDIC consolida a orientação anterior em uma estrutura unificada aplicável a todos os relacionamentos com terceiros, não apenas aos 'críticos' [6]. A orientação identifica três fases do ciclo de vida do relacionamento — planejamento, monitoramento contínuo e rescisão — e especifica que as instituições devem conduzir a devida diligência baseada em risco, proporcional ao nível de risco representado por cada relacionamento.

 

A estrutura do OCC coloca responsabilidade explícita nos conselhos de administração e na alta gestão. A atividade de aquisição é elevada de uma função operacional para uma questão de governança: espera-se que os conselhos aprovem políticas para gerenciar relacionamentos com terceiros, analisem relatórios periódicos sobre arranjos significativos e garantam recursos adequados dedicados à supervisão. Esse enquadramento de governança alinha as decisões de aquisição ao apetite ao risco e aos objetivos estratégicos da instituição, em vez de tratar a seleção de fornecedores como um exercício puramente comercial [7].

2.3 FCA SYSC 8 e o Regime de Terceirização do Reino Unido

No Reino Unido, o manual de Arranjos, Sistemas e Controles da Alta Gestão da Financial Conduct Authority — especificamente o Capítulo 8 (SYSC 8) — rege a terceirização por empresas autorizadas. O SYSC 8 exige que as empresas não terceirizem atividades de forma que prejudique materialmente a qualidade dos controles internos ou a capacidade da FCA ou PRA de supervisionar a empresa. As regras impõem deveres para manter a supervisão das funções terceirizadas, garantir que o provedor atenda a padrões equivalentes e preservar a continuidade do serviço [8].

 

Após a publicação das Diretrizes da EBA sobre Arranjos de Terceirização (EBA/GL/2019/02) e sua incorporação à prática regulatória do Reino Unido pós-Brexit, as instituições financeiras britânicas devem agora realizar extensas avaliações pré-terceirização, manter um registro de terceirização, incluir disposições contratuais específicas e notificar os reguladores sobre arranjos de terceirização materiais. A Declaração de Supervisão SS2/21 da Prudential Regulation Authority (PRA) sobre terceirização e gestão de risco de terceiros elabora ainda mais as expectativas para empresas reguladas pela PRA, incluindo requisitos para controles de sub-terceirização e arranjos de continuidade de negócios [9].

 

3. Estruturas de Gestão de Risco de Terceiros

3.1 O Ciclo de Vida de Risco do Fornecedor

A TPRM eficaz em serviços financeiros é estruturada em torno de um modelo de ciclo de vida do fornecedor que abrange cinco estágios: (i) identificação e categorização de fornecedores; (ii) devida diligência e avaliação pré-contratual; (iii) negociação e execução de contrato; (iv) monitoramento contínuo e gestão de desempenho; e (v) desligamento e gestão de saída. Cada estágio acarreta exposições de risco distintas que as equipes de aquisição devem gerenciar em colaboração com departamentos jurídicos, de conformidade, de segurança da informação e linhas de negócios [10].

 

No estágio de identificação e categorização, as instituições segmentam os fornecedores pelo risco inerente que apresentam, tipicamente em dimensões que incluem sensibilidade de dados, criticidade para as operações, exposição regulatória, saúde financeira e risco jurisdicional. Modelos de risco em níveis — como os recomendados pelo Shared Assessments Program ou pelo Financial Services Information Sharing and Analysis Center (FS-ISAC) — permitem que os recursos de devida diligência sejam alocados de forma proporcional, com a análise mais intensiva aplicada a provedores de nível um, de missão crítica [11].

3.2 Devida Diligência e Avaliação de Segurança da Informação

A devida diligência pré-contratual em serviços financeiros vai muito além da análise financeira e verificação de referências. As avaliações de segurança da informação tornaram-se um componente central, impulsionadas pelo reconhecimento de que violações de dados originadas em sistemas de terceiros representam um dos vetores de ameaça mais significativos que o setor enfrenta. As instituições exigem rotineiramente que os fornecedores preencham questionários padronizados — como aqueles desenvolvidos pela iniciativa Standardised Information Gathering (SIG) — cobrindo controles em domínios que incluem gestão de acesso, criptografia, resposta a incidentes e continuidade de negócios [12].

 

Auditorias e certificações de terceiros, incluindo relatórios SOC 2 Tipo II, certificação ISO/IEC 27001 e atestados específicos de nuvem (como CSA STAR), fornecem garantia estruturada de que os controles do fornecedor atendem aos padrões definidos. No entanto, reguladores e profissionais reconhecem cada vez mais que as avaliações pontuais são insuficientes: ferramentas de monitoramento contínuo — que rastreiam a postura de segurança do fornecedor, notícias e saúde financeira em tempo real — estão se tornando um padrão da indústria e são exigidas ou fortemente incentivadas sob estruturas como a DORA [13].

3.3 Proteções Contratuais e SLAs

O contrato em si serve como o principal instrumento de governança de risco do fornecedor. Os contratos de aquisição de serviços financeiros evoluíram substancialmente em resposta aos requisitos regulatórios, incorporando disposições sobre: processamento e sub-processamento de dados (alinhados com o GDPR e regimes equivalentes); direitos de auditoria e inspeção; prazos de notificação de incidentes (tipicamente 24-72 horas para incidentes materiais); padrões de continuidade de negócios e recuperação de desastres; direitos de rescisão acionados por insolvência, mudança de controle ou objeção regulatória; e obrigações de devolução e exclusão de dados ao final do contrato [14].

 

Os Acordos de Nível de Serviço (SLAs) em setores regulados devem equilibrar a praticidade comercial com a defensibilidade regulatória. Os reguladores esperam que os SLAs reflitam limites de desempenho genuinamente materiais — não metas aspiracionais — e que as reparações por violação sejam proporcionais ao impacto do desempenho abaixo do esperado para a instituição e seus clientes. A FCA do Reino Unido criticou explicitamente a prática de incorporar SLAs tão frouxos que não oferecem proteção significativa [15].

 

4. Risco de Concentração de Fornecedores

Um dos riscos estruturalmente mais significativos na aquisição de serviços financeiros é a concentração de fornecedores: o grau em que as instituições — individualmente e coletivamente — dependem de um pequeno número de provedores para funções críticas. A infraestrutura em nuvem oferece a ilustração mais clara. Uma análise de 2023 do Bank of England constatou que a maioria das instituições reguladas pelo Reino Unido dependia de um dos três provedores de nuvem de hiperescala — Amazon Web Services, Microsoft Azure ou Google Cloud Platform — para elementos materiais de suas operações [16].

 

Essa concentração não é apenas um problema de uma empresa individual; é um problema sistêmico. Uma interrupção ou incidente de segurança afetando um provedor dominante poderia prejudicar simultaneamente as operações de múltiplas instituições sistemicamente importantes, desencadeando efeitos de contágio em sistemas de pagamento, mercados de capitais e captação de depósitos. Os reguladores responderam com maior escrutínio: a DORA exige explicitamente que as entidades financeiras mapeiem e avaliem o risco de concentração de TIC, tanto no nível da entidade quanto, por meio da coordenação das ESAs, no nível setorial. A EBA publicou relatórios regulares sobre concentração em nuvem no setor bancário da UE, sinalizando o risco como uma preocupação de supervisão prioritária [17].

 

Do ponto de vista da estratégia de aquisição, gerenciar o risco de concentração requer arquiteturas deliberadas com múltiplos fornecedores, padrões de portabilidade e requisitos de interoperabilidade incorporados nos contratos desde o início. As estratégias de saída — incluindo a capacidade de migrar cargas de trabalho ou dados para um provedor alternativo dentro de um prazo definido — devem ser testadas, não apenas documentadas. As equipes de aquisição devem trabalhar em estreita colaboração com as funções de tecnologia e arquitetura empresarial para garantir que as decisões comerciais não criem inadvertidamente uma dependência que comprometa a resiliência operacional [18].

 

5. O Papel Evolutivo das Aquisições

A convergência de demandas regulatórias, risco cibernético e requisitos de resiliência operacional está reformulando fundamentalmente a função de aquisição em serviços financeiros. O CPO e sua equipe não podem mais operar como intermediários transacionais focados principalmente em redução de custos e conformidade contratual. Em vez disso, eles devem atuar como orquestradores conscientes dos riscos, capazes de coordenar entre partes interessadas jurídicas, de conformidade, tecnologia e negócios para entregar relacionamentos com fornecedores que sejam comercialmente sólidos, operacionalmente resilientes e comprovadamente compatíveis com as expectativas regulatórias [19].

 

Isso requer investimento em capacidades que são relativamente novas para as aquisições: plataformas de tecnologia de TPRM (como Coupa, Ariba integrado com módulos de risco ou ferramentas especializadas como ProcessUnity e OneTrust), pontuação de risco baseada em dados e funcionários de aquisição com conhecimento suficiente de segurança da informação e estruturas regulatórias para conduzir conversas significativas com fornecedores. O Chartered Institute of Procurement and Supply (CIPS) reconheceu essa mudança, desenvolvendo orientações sobre risco na cadeia de suprimentos em serviços financeiros que incorporam dimensões comerciais e regulatórias [20].

 

As estruturas de governança também devem se adaptar. Muitas instituições estabeleceram Comitês de Risco de Terceiros dedicados ou integraram a TPRM em suas estruturas de gestão de risco empresarial sob o modelo de Três Linhas de Defesa — com a aquisição ocupando a primeira linha, a conformidade e a gestão de risco a segunda e a auditoria interna a terceira. O relatório regular aos conselhos e comitês de risco seniores sobre o perfil de risco de terceiros da instituição — incluindo concentração, desempenho e riscos emergentes dentro do ecossistema de fornecedores — é cada vez mais considerado como uma expectativa básica de governança pelos reguladores [21].

 

6. Conclusão

As aquisições em serviços bancários e financeiros entraram em uma nova era, definida não apenas pela busca de redução de custos, mas pelo imperativo de gerenciar o risco de terceiros dentro de um panorama regulatório denso e em evolução. A DORA, a orientação interagências do OCC, a FCA SYSC 8 e estruturas equivalentes em outras jurisdições elevaram coletivamente a governança de terceiros de uma preocupação de back-office para uma responsabilidade de nível de conselho.

 

Os desafios são substanciais. As instituições financeiras devem gerenciar simultaneamente o desempenho comercial de centenas ou milhares de relacionamentos com fornecedores, manter avaliações de risco atualizadas em um ambiente de ameaças que muda rapidamente, incorporar requisitos regulatórios complexos em contratos e processos de devida diligência e abordar vulnerabilidades estruturais, como o risco de concentração de fornecedores. Nenhum desses objetivos pode ser alcançado por equipes de aquisição trabalhando isoladamente.

 

O que é necessário é um modelo de governança integrada de terceiros — um no qual as funções de aquisição, risco, conformidade, jurídico e tecnologia operem como uma unidade coerente, apoiada por estruturas apropriadas de tecnologia e supervisão. As instituições que investirem nesse modelo estarão melhor posicionadas não apenas para satisfazer as expectativas regulatórias, mas para realizar o potencial estratégico de seus relacionamentos com fornecedores, tornando a governança de terceiros uma fonte de resiliência competitiva em vez de apenas um ônus de conformidade.

 

\"