Maturidade Externalização · Regulamento COBAC terceirização

O regulamento COBAC sobre terceirização estabelece um princípio simples e uma série de obrigações exigentes. Uma instituição sujeita pode confiar a um terceiro uma atividade, inclusive uma atividade essencial ou importante, mas mantém integralmente a responsabilidade perante o supervisor e sua clientela. Na prática, isso exige uma definição interna do que é essencial, uma notificação prévia à Comissão Bancária para essas atividades, um contrato escrito cobrindo níveis de serviço, confidencialidade, acesso aos dados e acesso do supervisor, além de um dispositivo de controle do fornecedor ao longo de toda a relação.

A dificuldade raramente está no texto, está em manter o dispositivo funcionando ao longo do tempo. Muitas instituições descobrem que não dispõem de um registro completo de suas externalizações: os contratos de tecnologia da informação assinados pela diretoria de sistemas de informação, os transportadores de valores, a gestão de caixas eletrônicos, os call centers, as prestações realizadas pela matriz não constam no mesmo inventário. Quem decide que uma atividade é essencial? O contrato prevê o acesso da COBAC às instalações e aos dados do fornecedor? O que acontece se esse fornecedor interromper o serviço na semana que vem?

Duas confusões são recorrentes. A primeira é tratar a externalização intragrupo como um assunto interno: uma prestação realizada a partir da sede de um grupo regional ou de um centro de serviços localizado fora da zona CEMAC continua sendo uma externalização, com questões adicionais de localização dos dados e de continuidade. A segunda é confundir o acompanhamento comercial do fornecedor com o controle prudencial da prestação: a revisão anual do contrato pelo setor de compras não substitui a avaliação do risco operacional representado por essa externalização, nem sua integração ao dispositivo de controle interno e ao plano de continuidade de negócios.

O diagnóstico de maturidade responde a uma pergunta diferente da do audit de conformidade. O audit conclui por uma lacuna ou uma conformidade em relação a uma exigência específica. O diagnóstico situa a prática em uma escala progressiva: o registro existe, é completo, é conciliado com a contabilidade de fornecedores, é revisado e utilizado para decisões. Em seguida, indica a ação precisa que leva ao próximo nível, com custo e prazo estimados. O diagnóstico prepara a inspeção local e as interações com o supervisor, mas não emite nenhuma certificação.

No Datamensio, o referencial está pronto para uso e continua sendo seu. Você ajusta os temas, as perguntas e as formulações dos níveis: a IA reformula segundo o método CMMI e pode construir uma versão adaptada à sua política de externalização, ao seu estatuto de controle interno ou aos seus modelos de contrato, a partir dos seus próprios documentos.