Começo dizendo que o risco não pode ser terceirizado!
Este é o tema do meu novo artigo no novo Blog da Lista de Riscos, que examina uma realidade cada vez mais importante de que os bancos e outras empresas dependem de provedores de nuvem, empresas de tecnologia financeira, processadores, bureaus de dados, biometria, inteligência artificial e subcontratados para ganhar escala e inovar. Mas quando um deles falha, o cliente não separa quem executava cada etapa. A responsabilidade continua sendo da empresa que escolheu, contratou e permitiu aquela dependência.
A principal mensagem é que uma gestão madura de terceiros não consiste em aplicar o mesmo questionário e os mesmos controles a todos. Proporcionalidade não é fazer menos, mas é concentrar conhecimento, tempo e capacidade de teste nas relações em que uma falha pode interromper serviços, expor dados, afetar clientes, provocar perdas, comprometer a conformidade ou abalar a confiança.
O risco pertence à relação, e não ao rótulo do fornecedor, por isto que é preciso compreender o serviço prestado, os sistemas acessados, os dados processados, as obrigações regulatórias, os clientes potencialmente afetados, a facilidade de substituição e o tempo de recuperação. Também é necessário enxergar os “terceiros dos terceiros”, pois fornecedores aparentemente distintos podem depender da mesma infraestrutura, criando concentrações ocultas e pontos comuns de falha.
Diligência prévia não pode ser confundida com coleta de documentos. Certificações e relatórios de auditoria são evidências, não garantias. Contratos devem transformar expectativas de risco em obrigações verificáveis, mas cláusulas nunca exercidas ou testadas oferecem proteção limitada. O monitoramento precisa combinar revisões periódicas com gatilhos de mudança, e o plano de saída deve nascer antes da contratação, com alternativas, prazos, portabilidade de dados e continuidade definidos.
Para o conselho o debate deve avançar além da quantidade de fornecedores avaliados. Importa saber onde estão as maiores dependências, quais riscos residuais foram aceitos, quem os aprovou, até quando permanecerão válidos e se a empresa conseguiria continuar atendendo seus clientes após a falha de um terceiro relevante. Afinal, um evento em fornecedor pode transmitir riscos operacionais, cibernéticos, regulatórios, de liquidez, de PLD e reputacionais ao mesmo tempo.
A execução pode ser terceirizada, mas a responsabilidade não!
Material consultado via Okai.
