Terceirização de TI no SFN: o que muda para a auditoria

Com o BCB tratando o provedor de TI como infraestrutura crítica, a auditoria da instituição usuária precisa alcançar os controles do terceiro. Veja como.

A instituição financeira que roda a maior parte do seu processamento em provedores de tecnologia, em nuvem e em plataformas contratadas criou uma dependência que a auditoria não consegue ignorar. Se o registro de uma transação, o cálculo de uma provisão ou a guarda de um dado contábil acontece dentro de um sistema operado por outra empresa, os controles que garantem que aquele número está certo também vivem, em parte, nesse terceiro. O Banco Central reforçou esse ponto ao endurecer o regime dos provedores de serviços de tecnologia da informação, os PSTI, tratando-os como infraestrutura crítica do Sistema Financeiro Nacional. Para o auditor, a consequência é direta: entender e, quando necessário, testar os controles da organização prestadora de serviços deixou de ser detalhe e virou parte central do trabalho.

Resumo

1. A Resolução BCB nº 547, de 30 de janeiro de 2026, alterou a Resolução BCB nº 498, de 2025, e elevou as exigências para o credenciamento dos provedores de serviços de tecnologia da informação que acessam a Rede do Sistema Financeiro Nacional, incluindo capital e patrimônio líquido mínimo de R$ 15 milhões e políticas formais de gestão de crises operacionais e de fraudes.

2. Quando a instituição usuária terceiriza um serviço relevante para as suas demonstrações financeiras, a NBC TA 402 exige que o auditor obtenha entendimento suficiente da natureza desse serviço e dos controles relevantes que residem na organização prestadora.

3. O caminho usual para esse entendimento é o relatório de asseguração emitido sobre os controles do prestador, disciplinado pela NBC TO 3402, que se apresenta em duas formas: o tipo 1, sobre o desenho dos controles numa data, e o tipo 2, sobre o desenho e a eficácia operacional ao longo de um período.

4. O relatório do prestador não encerra o trabalho. O auditor da instituição ainda precisa avaliar os controles complementares que a própria usuária deveria operar, a competência do auditor do prestador e o período coberto, e concluir se a evidência é suficiente para sustentar a opinião.

O que a Resolução BCB nº 547 mudou

A Resolução BCB nº 547 ajustou o regime de credenciamento dos provedores de serviços de tecnologia da informação que se conectam à Rede do Sistema Financeiro Nacional, tornando os requisitos mais completos e mais restritivos. Passou a exigir capital social realizado e patrimônio líquido mínimo de R$ 15 milhões, comprovação de capacidade técnico-operacional para o processamento de dados e políticas formais de gestão de crises operacionais e de prevenção a fraudes, além de prever o descredenciamento diante de falhas que afetem a integridade ou a disponibilidade da rede. A norma também veda o credenciamento como PSTI às próprias instituições supervisionadas pelo Banco Central, separando o papel de quem opera a infraestrutura de quem a utiliza.

O que importa para a contabilidade e para a auditoria não é a exigência prudencial em si, e sim o reconhecimento regulatório de que esses provedores sustentam funções sem as quais a instituição não fecha o dia. Quando o regulador trata o prestador como infraestrutura crítica, está dizendo que uma falha ali contamina a operação, os registros e, no limite, os números que vão às demonstrações. É exatamente essa cadeia que a auditoria precisa mapear: qual processo contábil depende de qual sistema, e onde vive o controle que garante a integridade daquele processo.

Por que a terceirização entra no escopo da auditoria

A auditoria opina sobre as demonstrações financeiras da instituição, não sobre a qualidade do fornecedor. Mas os dois se encontram no momento em que um serviço terceirizado afeta uma informação contábil relevante. Se o cálculo de encargos, a conciliação de uma carteira, a apuração de uma posição ou a guarda dos registros ocorre num ambiente operado por terceiro, o controle que assegura a exatidão daquele número é, em parte, um controle do prestador. A NBC TA 402 nomeia essa situação e obriga o auditor a obter entendimento suficiente da natureza e da relevância dos serviços prestados e do efeito deles sobre o controle interno da entidade usuária, o bastante para identificar e avaliar os riscos de distorção relevante.

Esse entendimento define a profundidade do trabalho. Se os controles relevantes estão no prestador e o auditor pretende confiar neles, não basta saber que existem: é preciso avaliar se estão bem desenhados e, quando a estratégia depende da sua eficácia ao longo do ano, se operaram de forma consistente no período. É aqui que o relatório de asseguração sobre os controles do prestador entra como principal fonte de evidência, porque poucas instituições usuárias conseguem, sozinhas, testar diretamente o ambiente de um provedor que atende a centenas de clientes.

Relatório tipo 1 e tipo 2: a diferença que decide a confiança

A NBC TO 3402 disciplina o relatório de asseguração que o auditor do prestador emite sobre os controles daquele ambiente, para uso das entidades usuárias e dos seus auditores. Ele vem em duas formas, e a distinção entre elas não é formalidade. O relatório tipo 1 se refere ao desenho e à implementação dos controles numa data específica: diz que, naquele momento, os controles estavam desenhados de maneira adequada para atingir os objetivos declarados. O relatório tipo 2 vai além e cobre também a eficácia operacional dos controles ao longo de um período, incluindo uma seção que descreve os testes realizados pelo auditor do prestador e os seus resultados.

A escolha entre um e outro muda o que a auditoria da instituição pode concluir. Para confiar na eficácia dos controles do prestador ao longo do exercício, o tipo 1 não basta, porque ele nada afirma sobre como os controles funcionaram no período. Nesse caso, o auditor precisa de um tipo 2 cujo período coberto seja compatível com o exercício auditado, ou de procedimentos adicionais que preencham a lacuna. Um relatório tipo 2 que termina em setembro, por exemplo, deixa descoberto o último trimestre, e essa diferença precisa ser tratada, não ignorada.

O que o auditor ainda precisa fazer, mesmo com um bom relatório

Receber um relatório tipo 2 favorável não transfere a responsabilidade da auditoria para o prestador. Três verificações continuam com o auditor da instituição usuária. A primeira são os controles complementares da entidade usuária: quase todo relatório de prestador assume que a própria instituição opera um conjunto de controles do seu lado, como a conferência de arquivos, a autorização de acessos e a conciliação dos resultados recebidos. Se esses controles não existem ou não funcionam na usuária, o ambiente do prestador, por melhor que seja, não garante o número. Esses controles complementares são testados na instituição, não no prestador.

A segunda é a avaliação do próprio relatório e de quem o emitiu: a competência e a independência do auditor do prestador, a adequação do período coberto, a existência de exceções relatadas nos testes e o impacto delas sobre os controles em que a auditoria pretende confiar. A terceira aparece quando a evidência do relatório é insuficiente, seja pela ausência de relatório, pelo período incompatível ou por ressalvas relevantes: nesse caso, a NBC TA 402 aponta os caminhos, que vão de aplicar procedimentos diretamente no prestador, mediante contato e acesso, a solicitar que outro auditor execute procedimentos específicos. O tema conversa diretamente com o desenho geral de controles internos e a trilha de auditoria da instituição, e não deve ser tratado como assunto isolado da área de tecnologia.

Como a MERC trata a dependência de terceiros na auditoria

Na prática da MERC, o mapeamento da terceirização começa no planejamento, não na reta final. Identificamos quais processos contábeis relevantes dependem de sistemas e provedores externos, classificamos a criticidade de cada um e definimos, para cada dependência relevante, se a confiança virá de um relatório de asseguração do prestador, de teste direto dos controles complementares na instituição ou de procedimentos adicionais. Quando o relatório do prestador é tipo 1 e a estratégia exige eficácia no período, dizemos isso com clareza ao cliente e desenhamos os procedimentos que cobrem a diferença, em vez de aceitar a lacuna em silêncio. Esse mesmo cuidado se estende à guarda de dados em nuvem e à continuidade operacional, temas que a Resolução BCB nº 547 tornou ainda mais visíveis. O mesmo movimento regulatório que transformou a prevenção a fraudes em controle formal e testável, visto na Resolução BCB nº 584 sobre ativos virtuais, alcança também a terceirização de tecnologia. É o tipo de rigor que a auditoria independente especializada em mercado financeiro precisa ter quando o processamento do cliente vive fora das suas paredes.

Perguntas frequentes

O que é uma organização prestadora de serviços na NBC TA 402?

É a empresa terceira que presta um serviço que integra o sistema de informação da instituição usuária relevante para as demonstrações financeiras, como o processamento de transações, a guarda de registros contábeis ou o suporte a um cálculo que alimenta a contabilidade. Quando esse serviço afeta uma informação contábil relevante, os controles do prestador entram no escopo do entendimento da auditoria.

Qual a diferença entre o relatório tipo 1 e o tipo 2 da NBC TO 3402?

O tipo 1 opina sobre o desenho e a implementação dos controles numa data específica. O tipo 2 opina também sobre a eficácia operacional desses controles ao longo de um período e traz a descrição dos testes realizados e seus resultados. Para confiar em como os controles funcionaram durante o exercício, o auditor precisa de um tipo 2 com período compatível.

Ter o relatório do prestador dispensa a auditoria de testar controles?

Não. O relatório sustenta a confiança nos controles que residem no prestador, mas a instituição usuária normalmente precisa operar controles complementares do seu lado, e esses são testados na própria entidade. Além disso, o auditor avalia a competência de quem emitiu o relatório, o período coberto e as exceções relatadas antes de confiar nele.

A Resolução BCB nº 547 é uma norma de auditoria?

Não. Ela é uma norma prudencial e operacional sobre o credenciamento dos provedores de tecnologia que acessam a Rede do Sistema Financeiro Nacional. O ponto de contato com a auditoria é indireto e importante: ao tratar esses provedores como infraestrutura crítica, o regulador confirma que a operação e os registros da instituição dependem deles, o que reforça a atenção da auditoria à terceirização relevante.

O que acontece se não houver relatório de asseguração do prestador?

A NBC TA 402 prevê alternativas. O auditor pode aplicar procedimentos diretamente no prestador, mediante acesso, ou solicitar que outro auditor execute procedimentos específicos sobre aqueles controles. Se nada disso for viável e os controles forem relevantes, a limitação de escopo precisa ser avaliada quanto ao efeito na opinião.