BIS e autoridade bancária europeia ampliam alerta sobre riscos de fornecedores críticos no setor financeiro

Novas diretrizes e análises internacionais reforçam a atenção sobre subcontratações, dependências operacionais e evidências de controle em serviços essenciais às instituições financeiras.

A dependência de fornecedores externos voltou ao centro das discussões sobre resiliência do sistema financeiro. Publicações internacionais divulgadas em setembro reforçam a preocupação com serviços críticos executados por terceiros, especialmente quando falhas contratuais, subcontratações pouco transparentes e dependências compartilhadas podem comprometer simultaneamente diferentes instituições.

Em 8 de setembro, o Comitê de Pagamentos e Infraestruturas de Mercado do Banco de Compensações Internacionais (BIS), em conjunto com a Organização Internacional das Comissões de Valores (IOSCO), publicou um documento para discussão sobre os riscos associados à crescente dependência de prestadores externos pelas infraestruturas do mercado financeiro, responsáveis por atividades essenciais de pagamento, compensação e liquidação.

O documento examina como a utilização de fornecedores comuns e a interdependência entre prestadores podem ampliar a exposição dessas infraestruturas a falhas operacionais. Uma interrupção em um serviço compartilhado pode ultrapassar os limites de uma relação contratual individual e afetar diferentes participantes do sistema financeiro.

Poucos dias depois, em 18 de setembro, a Autoridade Bancária Europeia (EBA) publicou diretrizes finais para a gestão de riscos de terceiros em serviços não relacionados à tecnologia da informação e comunicação. O documento concentra a atenção em contratações que sustentam funções críticas ou importantes e contempla avaliação de riscos, diligência prévia, subcontratação, monitoramento, documentação e estratégias de saída. As diretrizes ainda passarão pelo processo de implementação previsto pela autoridade europeia.

Os movimentos reforçam a importância de conhecer as dependências existentes além do fornecedor contratado diretamente. Uma instituição pode manter contratos formalizados, avaliações de conformidade e indicadores satisfatórios de desempenho, mas permanecer exposta a subcontratados responsáveis por etapas essenciais da operação.

Essa exposição apresenta consequências concretas. A indisponibilidade de um prestador crítico pode comprometer a execução de serviços, exigir a ativação de contingências, provocar descumprimentos contratuais e ampliar custos de recuperação. Quando as responsabilidades de cada participante e as condições de substituição não estão suficientemente documentadas, a capacidade de resposta também fica comprometida.

No Brasil, a Resolução CMN nº 4.893 já estabelece requisitos específicos para a contratação de serviços relevantes de processamento e armazenamento de dados e computação em nuvem pelas instituições abrangidas pela norma. Entre os aspectos previstos estão responsabilidades da contratante, condições contratuais, mecanismos de acompanhamento e controles para assegurar a efetividade das medidas estabelecidas.

A dimensão do risco exige que o acompanhamento de fornecedores considere a criticidade do serviço, os requisitos contratuais aplicáveis, as evidências de conformidade, os registros de ocorrências e as condições necessárias para manter ou substituir a prestação contratada.

Uma cláusula que assegura o direito de auditoria, por exemplo, não demonstra isoladamente que a instituição dispõe das informações necessárias para verificar o cumprimento das obrigações. Da mesma forma, a existência de um fornecedor alternativo não comprova sua capacidade de assumir uma operação crítica dentro do prazo necessário.

“Uma instituição financeira precisa conhecer as condições efetivas em que seus fornecedores executam serviços críticos. Isso envolve identificar dependências, acompanhar obrigações contratuais e manter evidências que sustentem decisões sobre continuidade, regularização ou substituição de prestadores. Quando essas informações estão dispersas, o risco pode ser identificado somente depois de comprometer a operação”, afirma Fernanda Delboni, CEO da Nashai.

A rastreabilidade dessas relações depende da conexão entre informações que frequentemente permanecem distribuídas entre Suprimentos, Jurídico, Compliance, Gestão de Terceiros e Operações. A ausência de uma visão consistente dificulta a priorização de fornecedores críticos, o acompanhamento de não conformidades e a identificação antecipada de pendências contratuais ou documentais.

Nesse contexto, a Nashai atua com o SYM Supply One, plataforma de governança da cadeia de fornecedores que combina tecnologia, inteligência e serviços especializados ao longo da jornada de contratação e operação.

A plataforma integra-se aos sistemas corporativos existentes e permite estruturar capacidades de homologação, gestão contratual, monitoramento documental, avaliação de riscos e acompanhamento de conformidade. A combinação de automações, análise de dados e atuação especializada apoia o tratamento de pendências e a disponibilidade de evidências para as áreas responsáveis pelas decisões.

Para o setor financeiro, a integração dessas capacidades contribui para decisões fundamentadas na situação atual dos fornecedores e nas obrigações efetivamente acompanhadas. A identificação antecipada de pendências, o histórico das tratativas e a consistência das informações permitem priorizar intervenções antes que irregularidades ou falhas de terceiros afetem serviços críticos.

O avanço das discussões internacionais coloca em evidência a necessidade de alinhar contratos, critérios de risco, monitoramento e planos de continuidade à realidade das operações terceirizadas. A efetividade desses controles depende da capacidade de identificar exposições relevantes e demonstrar como cada risco está sendo acompanhado e tratado.

Sobre a Nashai

A Nashai é especializada em tecnologia, inteligência e serviços para a gestão da cadeia de fornecedores. Por meio do SYM Supply One, plataforma que combina múltiplas capacidades em uma única jornada, conecta processos de fornecedores, terceiros, contratos, conformidade, riscos e performance, apoiando organizações na estruturação de operações mais rastreáveis e consistentes em ambientes complexos e regulados.