Infraestruturas de mercado sob nova régua de controle

A revisão do arcabouço das infraestruturas de mercado transforma governança de TI, continuidade e risco de contraparte em controle assegurável.

As infraestruturas do mercado financeiro são o encanamento invisível do sistema: câmaras e prestadores de serviço de compensação e liquidação, depositárias centrais e sistemas de registro por onde passam ordens, garantias e a liquidação de operações. Quando uma delas para, o problema não fica contido nela. Por isso a revisão do arcabouço que disciplina essas entidades, conduzida por consulta pública do Banco Central sobre as regras da Resolução BCB nº 304, é um tema de radar que interessa muito além do operador da infraestrutura: alcança todo participante que depende dela e todo auditor que precisa entender onde o risco de terceiros entra nas demonstrações. Antecipar a leitura da nova régua é trabalho de diagnóstico e adequação regulatória.

A proposta em discussão organiza a mudança em torno de sete eixos que, lidos em conjunto, deslocam a régua de "requisito de autorização" para "controle contínuo, evidenciado e assegurável". São eles o reforço dos requisitos de autorização com mecanismos de prevenção de risco, o aumento das exigências de capital prudencial, a institucionalização da governança de tecnologia da informação, a melhoria dos mecanismos de continuidade de negócios, o fortalecimento da gestão de risco de contraparte em convergência com padrões internacionais, a padronização do regime contábil e a disciplina da governança de interoperabilidade entre infraestruturas. Cada eixo tem tradução direta em controle testável, e por isso entra no escopo da auditoria independente.

Resumo

• A revisão do arcabouço das infraestruturas do mercado transforma governança de TI, continuidade de negócios e risco de contraparte de requisito formal em controle verificável, com evidência e trilha.

• A padronização do regime contábil e o aumento de capital prudencial puxam a qualidade das demonstrações e dos controles internos da infraestrutura para dentro do perímetro da auditoria.

• Para o participante que depende da infraestrutura, o conforto madura vira um relatório de asseguração sobre os controles do prestador de serviço, não uma cláusula contratual.

• A governança de interoperabilidade cria uma fronteira nova de controle, onde a falha de uma infraestrutura se propaga para outra e precisa de conciliação e monitoramento entre entidades.

Por que isso é um tema de controle, e não de contrato

O erro comum ao ler uma revisão desse tipo é tratá-la como exigência documental: bastaria ter a política, o plano e o regimento no lugar. A régua proposta faz o contrário. Ela pega itens que costumavam viver no papel e os transforma em obrigações que só se cumprem com evidência de funcionamento. Governança de TI institucionalizada não é ter um documento de política; é conseguir demonstrar que o acesso é controlado, que a mudança em sistema crítico passa por aprovação e teste, e que a operação tem monitoramento com registro. Isso é exatamente o território dos controles gerais de tecnologia que o auditor testa quando avalia a confiabilidade dos sistemas que produzem a informação financeira, na lógica do NBC TA 315 revisado.

Continuidade de negócios segue o mesmo caminho. A régua deixa de aceitar o plano guardado na gaveta e passa a cobrar o teste com resultado. A pergunta que importa não é "existe plano de recuperação?", e sim "o plano foi testado, em quanto tempo o serviço voltou e onde está a evidência disso?". Para uma infraestrutura, o tempo de retomada é um parâmetro sistêmico, porque a indisponibilidade se propaga para todos os participantes. Auditar continuidade, nesse contexto, é auditar a capacidade real de retomar, não a existência do documento.

Risco de contraparte é o eixo de maior densidade técnica. A convergência a padrões internacionais significa mensurar a exposição de forma disciplinada, estabelecer limites, gerir garantias e reconstituir cada chamada de margem. Numa câmara, esse controle é a diferença entre absorver a falha de um participante e transmiti-la ao sistema. A trilha das garantias e das margens precisa ser reconstituível, porque é ela que sustenta a afirmação de que a infraestrutura está protegida.

O elo com a auditoria das demonstrações

Dois dos sete eixos amarram diretamente com o trabalho contábil. A padronização do regime contábil torna as demonstrações das infraestruturas comparáveis e reduz a zona cinzenta de tratamento por analogia, o que facilita a auditoria e a leitura do investidor e do participante. O aumento das exigências de capital prudencial coloca sobre a infraestrutura a obrigação de manter colchão compatível com o risco que ela concentra, e o número de capital é, ele próprio, objeto de verificação: depende de mensuração correta de ativos, passivos e exposições.

Há ainda um efeito de segunda ordem que interessa a quem não opera infraestrutura nenhuma. O participante que usa a câmara, a depositária ou o sistema de registro depende dos controles dela para afirmar coisas nas suas próprias demonstrações: que as garantias existem, que as posições custodiadas são reais, que a liquidação ocorreu. Quando a régua da infraestrutura sobe, o conforto que o participante obtém sobre esses controles também melhora, desde que exista um relatório de asseguração sobre os controles do prestador de serviço para transportar essa confiança. Sem ele, cada participante e cada auditor de participante refaz a verificação por fora, com custo multiplicado.

Implicações práticas

Para a infraestrutura, o roteiro de adequação tem uma ordem natural. Primeiro, mapear os sete eixos contra os controles que já existem e identificar onde há política sem evidência de funcionamento, que é a lacuna mais comum. Segundo, transformar continuidade e governança de TI em controles com teste e registro, porque são os que a régua mais endureceu. Terceiro, preparar o regime contábil padronizado e a mensuração de capital para auditoria, tratando o número de capital como uma asserção que precisa de suporte. Quarto, organizar um relatório de asseguração sobre controles, porque ele será pedido pelos participantes e pelo próprio supervisor como prova de que os controles operam.

Para o participante, a implicação é revisar a dependência. Vale identificar quais afirmações das próprias demonstrações se apoiam em controles de uma infraestrutura, e exigir dela a asseguração correspondente. A governança de interoperabilidade adiciona um ponto de atenção: quando a operação atravessa mais de uma infraestrutura, a falha pode nascer na fronteira entre elas, e a conciliação do que passa de uma para outra vira um controle que ninguém isoladamente enxerga por completo.

Caso anonimizado

Uma entidade que presta serviço de registro e liquidação tratava o seu plano de continuidade como um documento aprovado anualmente pelo conselho, sem teste efetivo de recuperação. Um incidente de indisponibilidade expôs que o tempo real de retomada era muito maior do que o previsto no plano, e que não havia evidência de que o procedimento de recuperação já tivesse sido exercitado. Os participantes que dependiam do registro ficaram sem confirmar posições por horas, e os auditores desses participantes tiveram de buscar evidência alternativa para sustentar a existência dos ativos registrados. A entidade reestruturou a continuidade como controle testável, com exercício periódico e tempo de retomada medido, institucionalizou a governança de TI com trilha de acesso e mudança, e passou a emitir relatório de asseguração sobre os seus controles. A mudança não foi de documento, foi de capacidade demonstrável.

Como a MERC pode ajudar

A MERC é auditoria especializada no mercado financeiro e atua no ponto onde regra prudencial, tecnologia e contabilidade se encontram. Avalia os controles gerais de tecnologia, a continuidade de negócios e a gestão de risco de contraparte como controles testáveis, com evidência e trilha, e emite asseguração sobre os controles do prestador de serviço no padrão internacional, para que participantes e supervisores tenham conforto sobre o funcionamento. Na frente contábil, testa a mensuração que sustenta o capital prudencial e a comparabilidade das demonstrações sob o regime padronizado. Para o participante que depende de uma infraestrutura, ajuda a mapear quais afirmações das suas demonstrações se apoiam em controles de terceiros e a exigir a asseguração correspondente.

Perguntas frequentes

A revisão vale só para quem opera câmara ou depositária?

O cumprimento é da infraestrutura, mas o efeito alcança todo participante que depende dela. As afirmações das demonstrações do participante, como existência de garantias e posições custodiadas, se apoiam nos controles da infraestrutura, e melhoram quando a régua dela sobe.

Governança de TI institucionalizada é diferente de ter uma política de TI?

Sim. A régua não se satisfaz com o documento. Cobra evidência de que o controle opera: acesso controlado, mudança em sistema crítico aprovada e testada, operação monitorada com registro. É o território dos controles gerais de tecnologia que o auditor testa.

Por que o teste de continuidade é tão enfatizado?

Porque numa infraestrutura a indisponibilidade se propaga para todos os participantes. O que importa não é a existência do plano, e sim o tempo real de retomada demonstrado por um teste com resultado documentado.

Como o participante obtém conforto sobre os controles da infraestrutura?

Pelo relatório de asseguração sobre os controles do prestador de serviço, no padrão internacional. Ele transporta a confiança de forma verificável e encurta a diligência. Sem esse relatório, cada participante refaz a verificação por conta própria.