Maturidade Externalização · Diretiva da BCEAO sobre a externalização

A diretiva da BCEAO sobre a externalização fixa as condições em que uma instituição de crédito, uma instituição de pagamento ou uma sociedade financeira da UMOA pode confiar a um terceiro uma atividade que exerceria de outro modo por si própria. Baseia-se num princípio simples: a externalização transfere a execução, nunca a responsabilidade. A instituição continua responsável perante a Comissão Bancária da UMOA pela qualidade do serviço, pelo controlo dos riscos associados e pela proteção dos dados dos seus clientes. O texto distingue as atividades essenciais ou importantes, sujeitas a um regime reforçado, das restantes prestações.

Na prática, o dispositivo gere-se mal. A primeira dificuldade é o inventário: quantos prestadores intervêm realmente, incluindo os contratados diretamente por uma direção de negócio sem passar pelas compras? A segunda é a qualificação: quem decide que uma atividade é essencial, com que critérios, e com que frequência essa classificação é revista? A terceira é o controlo ao longo do tempo. As cláusulas de auditoria constam do contrato, mas foram alguma vez exercidas? Os indicadores de nível de serviço são acompanhados, ou apenas consultados depois de um incidente?

Duas evoluções deslocam o tema. A informática em nuvem, em primeiro lugar: o alojamento de dados bancários junto de um fornecedor internacional coloca a questão da localização, da reversibilidade e do acesso efetivo do supervisor. A subcontratação em cascata, em segundo lugar: o prestador principal apoia-se ele próprio em terceiros, muitas vezes fora do âmbito contratual inicial. Existe ainda uma confusão recorrente, a que se faz entre externalização e simples aquisição de fornecimento. A distinção não depende do valor do contrato, mas da natureza da atividade confiada e do seu carácter essencial.

A auditoria de conformidade conclui com uma constatação binária: a cláusula consta do contrato, ou não consta. O diagnóstico de maturidade coloca outra questão. A que nível de controlo se situa o dispositivo, prestador por prestador e domínio por domínio, e qual a ação precisa que permite passar ao nível superior. Um registo exaustivo mas nunca atualizado e um registo parcial mas revisto trimestralmente não têm o mesmo valor, ainda que a auditoria os possa tratar da mesma forma.

No Datamensio, o referencial está pronto a usar e continua a ser seu. A equipa ajusta os domínios, as perguntas e a formulação dos níveis. A IA afina esses níveis segundo o método CMMI, ou constrói uma variante adaptada à sua organização a partir da sua política de externalização e dos seus contratos-tipo. Os grupos bancários implementam o mesmo referencial em várias filiais e comparam os resultados entre unidades de negócio.