Interoperabilidade de depositárias e portabilidade de investimentos — por que controles e asseguração entram no centro

A interoperabilidade entre depositárias e a portabilidade digital de investimentos elevam a régua de controles e asseguração da infraestrutura.

Resumo

• Custódia e registro de ativos de terceiros são, por natureza, áreas de controle crítico: a existência, a titularidade e a integridade das posições dos investidores dependem de sistemas que precisam estar permanentemente conciliados. Mais interoperabilidade e mais portabilidade significam mais pontos de integração — e cada integração é um ponto onde a conciliação pode falhar.

• A portabilidade digital com prazos definidos exige interoperabilidade real entre custodiantes, intermediários e depositárias: APIs robustas, protocolos auditáveis e capacidade de processar grande volume de solicitações simultâneas. Cumprir o prazo sem integridade de dados não é cumprir a norma; é apenas mover o erro mais rápido.

• Para instituições que dependem da infraestrutura de terceiros — e quase todas dependem —, o instrumento técnico para obter conforto sobre os controles do prestador é o relatório de asseguração sobre controles de organizações prestadoras de serviço, no padrão ISAE 3402 / SOC. Ele permite que o auditor da entidade usuária se apoie em avaliação independente, em vez de auditar uma infraestrutura que não controla.

• O risco que cresce com a integração é o operacional e o de conciliação: posição registrada em um sistema que diverge da posição em outro, transferência que parte antes de a contraparte confirmar, ônus que não acompanha o ativo na portabilidade. Controle de conciliação diário, trilha de auditoria e segregação de funções deixam de ser higiene e passam a ser pré-condição.

Por que isso é, no fundo, um tema de auditoria

A guarda de ativos de terceiros é uma das áreas em que o descasamento entre o que o sistema diz e o que de fato existe tem consequências graves e imediatas. Quando um investidor consulta sua posição, ele confia que o registro reflete um direito real, livre, existente e corretamente atribuído a ele. Toda a arquitetura de depositárias centrais e custodiantes existe justamente para sustentar essa confiança. A interoperabilidade promete ampliar a eficiência — permitir que uma posição registrada em um sistema seja reconhecida, usada como garantia ou transferida para outro sem fricção. Mas eficiência sem conciliação é risco amplificado: se dois registros que passam a conversar não estão permanentemente reconciliados, a integração apenas espalha a divergência.

A portabilidade com prazo definido leva esse desafio para o tempo real. Transferir a posição de um investidor de uma instituição para outra dentro de um prazo curto exige que os sistemas das duas pontas — e da depositária — troquem informação validada, completa e íntegra. O ponto técnico sensível é a ordem das operações: a posição só pode "sair" de um lado depois que o outro lado confirma o recebimento, e qualquer ônus, bloqueio ou pendência precisa acompanhar o ativo. Uma portabilidade que cumpre o prazo, mas perde no caminho a informação de uma garantia averbada, não resolveu um problema — criou outro, possivelmente maior, porque agora existe uma garantia que o novo custodiante não conhece.

É por isso que o controle de conciliação deixa de ser uma rotina de fechamento e passa a ser um processo contínuo e automatizado. Conciliar diariamente — idealmente de forma intradiária — as posições entre os sistemas envolvidos, manter trilha de auditoria completa de cada transferência e preservar a segregação de funções entre quem inicia, quem aprova e quem concilia são os controles que sustentam a integridade do conjunto. Do ponto de vista do auditor, esses são exatamente os controles que precisam ser entendidos, testados e, quando operados por terceiros, cobertos por asseguração independente.

Implicações práticas para instituições e investidores

Para custodiantes, intermediários e gestores, a primeira implicação é tratar a integração como objeto de governança, não apenas de TI. Definir quem responde pela conciliação interinstitucional, com que frequência ela ocorre, como divergências são escaladas e resolvidas, e qual é o plano se uma das pontas falhar — tudo isso precisa estar formalizado em política, com indicadores monitorados. Em um ambiente de maior interoperabilidade, a fronteira de responsabilidade entre instituições se torna menos óbvia, e ambiguidade de responsabilidade é, ela própria, um risco de controle.

A segunda implicação envolve a dependência de prestadores de serviço. Como grande parte da infraestrutura de registro, custódia e processamento é operada por terceiros, controles relevantes para as demonstrações de muitas entidades rodam em sistemas que elas não administram diretamente. O caminho consagrado para lidar com isso na auditoria é o relatório de asseguração sobre controles de organizações prestadoras de serviço (ISAE 3402 / SOC). Esse relatório descreve os controles do prestador e, no tipo mais completo, atesta sua eficácia operacional ao longo de um período. Para a entidade usuária, exigir e ler criticamente esse relatório — verificando o escopo, o período coberto, eventuais exceções apontadas e os "controles complementares" que cabem ao próprio usuário — é o que permite confiar na infraestrutura com base em evidência, e não em reputação.

Para o investidor — pessoa física ou institucional —, a portabilidade como direito é um avanço de mobilidade, mas convém entender que a integridade da transferência depende dessa engrenagem de controles. Posições com garantias, bloqueios judiciais ou pendências exigem atenção redobrada no momento da portabilidade, e a documentação de que tudo foi transferido corretamente é a melhor proteção contra surpresas posteriores.

Um caso anonimizado

Considere um gestor de patrimônio que decide concentrar a custódia de seus fundos transferindo posições entre dois custodiantes em um curto intervalo, aproveitando a portabilidade padronizada. A maioria das transferências flui sem incidentes. Em uma fração delas, porém, ativos que serviam de garantia em operações estruturadas foram portados sem que a informação do ônus acompanhasse o ativo no sistema de destino. Por semanas, os relatórios de cada custodiante, isoladamente, pareciam corretos — o problema só apareceu quando a conciliação entre as duas instituições e a depositária foi feita de ponta a ponta e revelou ativos "livres" no destino que estavam, na origem, comprometidos. A correção exigiu reconstituir manualmente os ônus, revisar a exposição das operações estruturadas e, sobretudo, instituir uma conciliação interinstitucional diária com validação prévia de ônus antes de qualquer portabilidade. Nenhum dos sistemas estava errado por si só; faltava o controle que olhava os dois ao mesmo tempo. A lição é a de sempre nesse terreno: integração só agrega valor quando vem acompanhada de conciliação.

Como a MERC pode ajudar

A MERC Audit & Advisory atua exatamente onde norma, controle e infraestrutura de mercado se encontram. Avaliamos o desenho e a eficácia dos controles sobre custódia, registro e portabilidade de ativos, com foco em conciliação, segregação de funções e trilha de auditoria. Estruturamos e revisamos a leitura crítica de relatórios de asseguração sobre controles de prestadores de serviço (ISAE 3402 / SOC), ajudando a entidade usuária a entender o que o relatório de fato cobre — e o que continua sendo sua responsabilidade. E apoiamos a montagem da governança de integração entre instituições: políticas, papéis, indicadores e plano de contingência para um ambiente em que mais interoperabilidade significa mais pontos a controlar. Como auditoria especializada no mercado financeiro brasileiro, conhecemos a arquitetura de depositárias, custodiantes e intermediários do nosso mercado e traduzimos a promessa de eficiência da integração em controles concretos e auditáveis.

Perguntas frequentes

O que é interoperabilidade entre depositárias e por que importa?

É a capacidade de sistemas de registro e custódia de diferentes depositárias centrais conversarem entre si, permitindo que posições sejam reconhecidas, transferidas ou usadas como garantia entre infraestruturas distintas. Importa porque amplia a eficiência do mercado, mas também cria novos pontos de integração — e cada ponto precisa de conciliação permanente para não amplificar divergências.

A portabilidade de investimentos com prazo muda alguma coisa para a auditoria?

Sim. Transferir posições entre instituições dentro de prazos definidos exige integração íntegra e em tempo quase real, com validação de dados e tratamento correto de ônus e bloqueios. Para a auditoria, isso eleva a importância dos controles de conciliação, da trilha de auditoria e da segregação de funções — cumprir o prazo sem integridade de dados não é cumprir a norma.

O que é um relatório ISAE 3402 / SOC e por que ele é relevante aqui?

É um relatório de asseguração independente sobre os controles de uma organização prestadora de serviço. Quando custódia, registro ou processamento são operados por terceiros, esse relatório permite que o auditor da entidade usuária avalie o desenho e a eficácia desses controles sem auditar a infraestrutura inteira do zero. Ler o escopo, o período e as exceções do relatório — e atentar aos controles que cabem ao próprio usuário — é parte do trabalho.

Qual é o principal risco a vigiar nesse ambiente?

O risco operacional e de conciliação: posições que divergem entre sistemas, transferências que partem antes da confirmação da contraparte e ônus que não acompanham o ativo. A defesa é conciliação diária (idealmente intradiária), trilha de auditoria completa e clareza sobre quem responde por cada controle na fronteira entre instituições.

Baixar PDF gratuito →