Credenciamento de provedores de TI: controles e evidência

O credenciamento de provedores de TI aperta a régua. O que a terceirização de tecnologia crítica exige de controles, cibersegurança e evidência.

Este artigo não trata de nenhuma instituição específica. A MERC atua em diagnóstico e adequação regulatória para instituições que precisam demonstrar controle, conciliação e trilha auditável sobre esse fluxo.

Resumo

Terceirizar tecnologia crítica deixa de ser uma decisão só de custo e vira uma decisão de controle.Quando parte relevante do processamento e da conectividade que sustentam a operação roda em um prestador, a instituição continua responsável pelos riscos daquilo que terceirizou. O credenciamento do provedor formaliza uma régua mínima de capacidade técnica, governança e segurança, mas não transfere para o fornecedor a responsabilidade da instituição pela integridade e pela continuidade dos seus processos.

Os controles gerais de tecnologia passam a incluir a fronteira com o terceiro.Acesso, mudança, operação, continuidade e segurança não param na porta da instituição: seguem para dentro do provedor. Avaliar esses controles gerais significa entender onde o dado trafega, quem tem acesso a quê, como as mudanças são controladas e como a segurança é monitorada ao longo de toda a cadeia, e não apenas dentro do próprio ambiente.

Cibersegurança e continuidade viram exigência verificável, não promessa contratual.A régua pede detecção de acessos indevidos, monitoramento de comportamento, resposta a incidentes e capacidade de recuperação. Do ponto de vista de quem examina, o que importa não é a cláusula do contrato, e sim a evidência de que o controle existe, opera e é testado com regularidade.

A dependência de terceiros aproxima o tema da asseguração de controles de organizações prestadoras de serviço.Quando processos relevantes rodam fora da instituição, a forma madura de dar conforto a auditores, ao supervisor e aos clientes é um trabalho de asseguração sobre o desenho e a operação dos controles do prestador, com nível de confiança definido e trilha de evidência.

Por que a terceirização de tecnologia crítica é, no fundo, um problema de controle

A lógica de credenciar quem presta serviços de tecnologia da informação para o sistema financeiro parte de uma constatação simples: a resiliência e a segurança do sistema como um todo dependem de uma cadeia de prestadores que, até então, era contratada sob critérios muito desiguais. Ao exigir do provedor patrimônio mínimo, governança específica para segurança da informação, riscos, compliance e gestão de crises, e controles operacionais objetivamente verificáveis, o regulador não está apenas elevando a barra de entrada. Está reconhecendo que a falha de um elo terceirizado se propaga para dentro das instituições que dele dependem, com efeito sobre a continuidade dos serviços, sobre a integridade dos dados e sobre a confiança do próprio sistema.

Para a instituição contratante, o ponto central é este: credenciar o provedor não terceiriza a responsabilidade. A instituição continua respondendo pela integridade e pela continuidade dos processos que dependem daquela tecnologia, ainda que o processamento ocorra fora dela. Isso muda a natureza da relação. O contrato deixa de ser um documento comercial guardado no jurídico e passa a ser parte da arquitetura de controle da instituição, com direitos de acesso à informação, obrigações de reporte, definição de responsabilidades e capacidade de demonstrar, quando questionada, que sabe onde o dado está, quem o acessa e como a segurança é mantida.

O segundo motivo pelo qual o tema é sensível está na fronteira. Controles gerais de tecnologia, aquilo que sustenta a confiança em todos os sistemas que produzem informação contábil e operacional, não param no perímetro da instituição. Gestão de acessos, controle de mudanças, operação de rotinas, continuidade e segurança seguem para dentro do provedor. Uma avaliação que só olha o ambiente interno e assume que o resto está coberto pelo contrato deixa um vão perigoso justamente onde hoje mora boa parte do risco tecnológico: na infraestrutura terceirizada de que a operação depende para funcionar.

Onde a régua encosta nos controles, na cibersegurança e na auditoria

O primeiro ponto é de controles gerais de tecnologia na fronteira com o terceiro. Sob a lógica da NBC TA 315 (R2), que trata do entendimento da entidade e do seu ambiente, incluindo os controles relevantes, e da NBC TA 330, que trata das respostas aos riscos avaliados, os controles gerais de tecnologia são a base sobre a qual repousa a confiança nos sistemas que geram informação. Quando esses sistemas rodam, no todo ou em parte, em um provedor, a avaliação precisa alcançar a gestão de acessos, o controle de mudanças e a operação também nesse ambiente. A pergunta não é se existe um bom fornecedor, e sim se os controles gerais permanecem confiáveis ao longo de toda a cadeia.

O segundo ponto é de cibersegurança e continuidade como controle verificável. Detecção de acessos indevidos, monitoramento de comportamento nas interfaces, resposta a incidentes e capacidade de recuperação deixam de ser promessas e passam a ser controles que precisam ter desenho claro e operação testada. Do ponto de vista de quem examina, isso significa procurar evidência: registros de monitoramento, testes de recuperação, tratamento documentado de incidentes e trilha das ações de segurança. Um controle de segurança que não deixa rastro é, para efeito de exame, um controle que não se pode confirmar.

O terceiro ponto é de dependência de terceiros e asseguração. Quando processos relevantes ocorrem fora da instituição, a maneira madura de dar conforto a auditores, ao supervisor e aos clientes é um trabalho de asseguração sobre os controles da organização prestadora de serviço, sob a lógica da NBC TO 3402, complementado, quando o objeto pede, por trabalhos de asseguração de propósito mais amplo sob a NBC TO 3000 (R1). Esses relatórios permitem que a instituição contratante e seus auditores confiem, com evidência e nível de confiança definido, nos controles operados pelo prestador, em vez de dependerem apenas de declarações contratuais. É a diferença entre acreditar que o terceiro controla e conseguir demonstrar que controla.

Como a MERC pode ajudar: o que fazemos e o que você recebe

A MERC é a primeira e única auditoria especializada no mercado financeiro brasileiro, e a terceirização de tecnologia crítica é exatamente o tipo de tema em que a especialização pesa, porque exige ler ao mesmo tempo a arquitetura tecnológica da operação, a fronteira dos controles com o prestador e a evidência que sustenta a segurança e a continuidade. A abordagem cobre do diagnóstico da dependência à asseguração de controles, com profundidade ajustável ao porte da instituição, à criticidade dos serviços terceirizados e ao grau de dependência de terceiros. O escopo abaixo mostra, frente a frente, o que executamos e o que fica na sua mão como entregável.

Sobre esse ciclo, a especialização da MERC agrega a leitura da dependência tecnológica pela ótica de quem depois vai examinar a evidência. Quando a instituição trata a terceirização de tecnologia crítica já pensando nos controles gerais que atravessam a fronteira, na cibersegurança que precisa deixar rastro e na asseguração que dá conforto sobre os controles do prestador, ela não contrata apenas um bom fornecedor: constrói uma dependência que resiste ao exame. É a diferença entre confiar no terceiro e conseguir demonstrar que os controles de que a operação depende funcionam, mesmo quando rodam fora de casa.

Um caso ilustrativo (anonimizado)

Considere uma instituição de médio porte que migrou parte relevante do seu processamento para um prestador especializado e tratou a mudança como um projeto de custo e de eficiência, conduzido pela área de infraestrutura. A migração correu bem, os custos caíram e o assunto foi considerado resolvido. No diagnóstico, o problema real aparece: a gestão de acessos ao ambiente terceirizado seguia critérios diferentes dos internos, sem revisão periódica; os controles de mudança do provedor não tinham trilha compartilhada com a instituição; a resposta a incidentes dependia de um fluxo informal, sem registro consistente; e não havia qualquer relatório de asseguração sobre os controles do prestador. O que parecia uma terceirização bem-sucedida era, na verdade, uma dependência crítica sem cobertura de controle na fronteira.

O trabalho é reorganizado em frentes. Primeiro o mapa de dependência e a criticidade dos serviços, depois os controles gerais de tecnologia na instituição e na fronteira com o provedor, em seguida a cibersegurança e a continuidade com evidência, e por fim a governança do contrato e a asseguração dos controles do prestador. Nenhuma etapa exigiu trazer a tecnologia de volta para dentro: exigiu tratar o terceiro como parte da cadeia de controle, com acesso à informação, trilha e asseguração. O caso é ilustrativo e não se refere a nenhuma instituição ou provedor específico. O padrão, porém, é frequente: o risco quase nunca está em terceirizar, e sim em terceirizar sem estender os controles e a evidência para onde o processo passou a rodar.

Perguntas frequentes

O que muda com a exigência de credenciamento para provedores de tecnologia do sistema financeiro?

O provedor que presta serviços de tecnologia da informação com acesso à rede do sistema financeiro passa a precisar de credenciamento formal, com patrimônio mínimo, governança específica para segurança, risco, compliance e gestão de crises, e controles operacionais objetivamente verificáveis. Para as instituições contratantes, o efeito é que a terceirização de tecnologia crítica deixa de ser tratada como simples compra de serviço e passa a ser um elo da cadeia de controle que precisa ser avaliado e comprovado.

Credenciar o provedor transfere para ele a responsabilidade da instituição?

Não. A instituição contratante continua responsável pela integridade e pela continuidade dos processos que dependem daquela tecnologia, ainda que o processamento ocorra fora dela. O credenciamento eleva a régua mínima do prestador, mas não substitui a obrigação da instituição de conhecer, monitorar e demonstrar os controles de que a sua operação depende.

Por que os controles gerais de tecnologia entram nesse tema?

Porque eles são a base da confiança nos sistemas que geram informação contábil e operacional. Gestão de acessos, controle de mudanças, operação, continuidade e segurança não param no perímetro da instituição: seguem para dentro do provedor. Avaliar esses controles gerais na fronteira com o terceiro é o que evita um vão de confiança justamente onde mora boa parte do risco tecnológico.

Onde a auditoria se conecta com a terceirização de tecnologia crítica?

Diretamente. Sob a NBC TA 315 (R2) e a NBC TA 330, os controles gerais de tecnologia são avaliados no exame dos riscos e das respostas, incluindo a fronteira com o prestador. E quando processos relevantes rodam fora da instituição, a forma madura de dar conforto é um trabalho de asseguração sobre os controles da organização prestadora de serviço, sob a NBC TO 3402, complementado, conforme o objeto, por asseguração sob a NBC TO 3000 (R1).

Como operar a dependência de terceiros de forma que resista ao exame?

Tratando o prestador como parte da cadeia de controle. Isso significa mapear a dependência e a criticidade, estender os controles gerais de tecnologia à fronteira com o provedor, exigir cibersegurança e continuidade com evidência, garantir direitos de acesso à informação no contrato e apoiar-se em asseguração sobre os controles do prestador. Com isso, a instituição consegue demonstrar, com prova e nível de confiança definido, que os controles funcionam mesmo quando o processo roda fora de casa.

Para aprofundar, conheça o serviço de revisão de controles internos e governança da MERC.

Este artigo tem caráter informativo e técnico e não constitui aconselhamento contábil, regulatório ou de investimento. A aplicação das regras de credenciamento de provedores de serviços de tecnologia e de terceirização no sistema financeiro depende dos fatos específicos de cada operação e do texto integral das normas vigentes.