EAF
A estrutura enxuta que delega o back-office
“Somos três pessoas: administração, tecnologia e parte do compliance estão fora. Queríamos ter certeza de que essa estrutura continua se sustentando como meios suficientes.”
Terceirização de funções críticas e DORA: delegue a tarefa, nunca o controle
Você pode terceirizar quase tudo; a responsabilidade, jamais. Desenhamos e revisamos os acordos de outsourcing da sua entidade regulada — incluindo o capítulo de TIC sob o DORA — para que apoiar-se em fornecedores não deixe você sem respostas perante o supervisor.
Vai terceirizar (ou já terceirizou sem nada no papel)?
Conte-nos quais funções estão nas mãos de terceiros e diremos quais contratos, registros e comunicações estão faltando.
- +50 entidades assessoradas
- Resposta em 24 h
- Sem compromisso
- Cláusulas de TIC obrigatórias
- Art. 30 do DORA
- Aplicação do DORA
- Janeiro de 2025
- Regulamento DORA
- Reg. 2022/2554
- Norma espanhola de referência
- Lei 6/2023
Serviços
Outsourcing regulado: o que fazemos por você
Do inventário de fornecedores ao plano de saída: seis serviços para que cada delegação tenha contrato, controle e evidência por trás.
DORA
Fornecedores de TIC sob o DORA
Aplicável desde janeiro de 2025: adaptamos seus contratos de tecnologia às cláusulas obrigatórias do art. 30, construímos o registro de informações e organizamos a sua gestão do risco de terceiros de TIC.
Saiba mais →
Art. 30RegistroTICDesde 2025
Conformidade
Terceirizar a função de compliance
A delegação bem-feita de uma função de controle: mandato escrito, acesso pleno à informação, reporte direto ao órgão de administração e evidência contínua de que o controle funciona.
Saiba mais →
MandatoReporteControleEvidência
Dados
DPO externo
O encarregado de proteção de dados como função terceirizada: independência, recursos e encaixe com os demais fornecedores.
Saiba mais →
RGPDIndependência
Riscos
Risco de terceiros
Integramos fornecedores e delegações ao seu mapa de riscos, com indicadores, incidentes e revisão periódica.
Saiba mais →
IndicadoresAcompanhamento
Processo
Outsourcing na autorização
O que você terceirizar deve estar refletido no programa de atividades e sustentar o juízo de meios suficientes da CNMV.
Saiba mais →
MeiosPrograma
Terceira linha
Auditoria de terceirizações
Revisão independente dos seus acordos críticos: contrato assinado, execução real e planos de saída postos à prova.
Saiba mais →
RevisãoSaída
Perfis
Como se terceiriza (e se complica) no setor
Quatro entidades, quatro dependências de terceiros diferentes. Todas legítimas; nenhuma defensável sem contrato, visibilidade e plano B.
Gestora
O core que vive na nuvem
“Toda a nossa operação roda em um fornecedor de cloud. Com o DORA, descobrimos que o contrato não previa auditoria, nem localização dos dados, nem estratégia de saída.”
Agencia de valores
A cadeia de subcontratados
“Nosso fornecedor de tecnologia, por sua vez, subcontrata outros dois. Percebemos que não sabíamos quem realmente mexia nos nossos dados nem de que país.”
Bancos
O inventário que ninguém tinha
“Cada área contratava fornecedores por conta própria. O primeiro passo foi construir um inventário único e classificar o que era realmente crítico ou importante.”
Onde se erra
Três erros que transformam o outsourcing em achado de inspeção
Terceirizar é lícito, habitual e muitas vezes a melhor decisão. O que o supervisor não perdoa é a delegação sem contrato sério, sem visibilidade e sem saída.
Delegar e lavar as mãos: a função viaja, a responsabilidade não. Se o fornecedor falhar, quem responde no processo é você. O supervisor exige controle efetivo e acompanhamento contínuo, não um contrato assinado e esquecido em uma gaveta.
Contratos órfãos de cláusulas: sem direitos de acesso, informação e auditoria — também para o supervisor —, sem níveis de serviço e sem plano de saída, o acordo é indefensável. Com fornecedores de TIC, além disso, o DORA impõe conteúdo contratual obrigatório (art. 30).
A cadeia invisível: seu fornecedor subcontrata, o subcontratado volta a subcontratar e ninguém na sua entidade sabe mais onde se processa o quê. Sem visibilidade da cadeia, não há controle a defender.
| Categoria | O que inclui | O que as normas exigem de você |
|---|---|---|
| Delegável com condições | Funções críticas ou importantes: tecnologia, back-office, administração e funções de controle nos termos admitidos | Contrato escrito, controle efetivo e acompanhamento contínuo, direitos de acesso e auditoria, plano de saída e comunicação ao supervisor, conforme o caso |
| Não delegável | A responsabilidade da entidade e do seu órgão de administração, e a direção efetiva do negócio | A terceirização não pode esvaziar a entidade de substância nem transferir a um terceiro as obrigações dela perante clientes e supervisor |
| Fornecedores de TIC sob o DORA | Serviços de tecnologia que sustentam funções essenciais ou importantes: cloud, software, dados, comunicações | Desde janeiro de 2025: registro de informações de fornecedores, cláusulas contratuais obrigatórias do art. 30 e gestão do risco de terceiros |
Organize suas terceirizações antes que o supervisor as organize por você
Inventariamos seus acordos com terceiros, classificamos o que é crítico, renegociamos os contratos que têm falhas, montamos o registro de informações do DORA e deixamos os planos de saída testados. Para que delegar continue sendo uma vantagem, e não um flanco aberto.
Perguntas frequentes
Terceirização: o que as entidades perguntam
O que é uma função crítica ou importante?
Em termos gerais, é aquela cuja falha ou deficiência comprometeria seriamente o cumprimento contínuo das condições da autorização, os resultados financeiros ou a solidez e a continuidade dos serviços da entidade.
O rótulo importa porque ativa o regime reforçado: contrato com conteúdo mínimo, controle intensificado, comunicação ao supervisor conforme o caso e plano de saída. Classificar bem — com critérios escritos — é o primeiro controle do sistema.
Posso terceirizar a função de compliance?
Em geral, sim, especialmente em entidades menores, nas quais a proporcionalidade o justifica. As condições: um mandato escrito com escopo claro, acesso pleno do prestador à informação, reporte direto ao órgão de administração e supervisão do serviço pela entidade.
O que nunca se transfere é a responsabilidade: o compliance continua sendo seu. É assim que estruturamos nosso serviço de compliance officer externo e, de forma análoga, o de DPO externo.
O que o contrato de terceirização deve incluir?
Os blocos imprescindíveis:
- Descrição do serviço e níveis de serviço mensuráveis.
- Direitos de acesso, informação e auditoria para a entidade, seus auditores e o supervisor.
- Confidencialidade, proteção de dados e localização do tratamento.
- Regime da subcontratação: condições, comunicação e transferência de direitos.
- Continuidade de negócios, gestão de incidentes e plano de saída.
Se o serviço for de TIC e sustentar funções essenciais ou importantes, o DORA acrescenta cláusulas obrigatórias específicas (art. 30).
Preciso comunicar a terceirização ao supervisor?
As terceirizações de funções críticas ou importantes devem ser levadas ao conhecimento do supervisor nos termos das normas aplicáveis ao seu tipo de entidade. Em uma nova autorização, além disso, a divisão entre meios próprios e terceirizados faz parte do programa de atividades.
A regra prática: se a delegação muda sua estrutura de meios, o supervisor espera saber disso antes de descobrir em uma inspeção. E o registro do DORA torna visível, de ofício, boa parte do seu mapa de TIC.
O que acontece com a subcontratação em cadeia?
É o ponto cego clássico. Seu contrato deve regular se o fornecedor pode subcontratar, em que condições e com que obrigação de informar você, e estender aos subcontratados relevantes os seus direitos de acesso e auditoria.
Para serviços de TIC, o registro de informações do DORA obriga a refletir também as cadeias de subcontratação relevantes: se hoje você não sabe quem está por trás do seu fornecedor, não conseguirá preencher esse registro com rigor.
O que muda com o DORA desde janeiro de 2025?
O Regulamento (UE) 2022/2554 (DORA), aplicável desde janeiro de 2025, transforma a resiliência operacional digital em obrigação transversal do setor financeiro: gestão do risco de TIC, incidentes, testes e — o que mais afeta o outsourcing — um regime específico para o risco de terceiros de TIC.
Suas duas peças principais: o registro de informações de todos os acordos com fornecedores de TIC e as cláusulas contratuais obrigatórias do art. 30. Explicamos tudo em detalhe em serviços DORA.
O que é o registro de informações de fornecedores de TIC?
Um inventário estruturado de todos os seus acordos com fornecedores de serviços de TIC, que identifica quais funções cada um sustenta, sua criticidade e as cadeias de subcontratação relevantes. Deve ser mantido atualizado e estar disponível para o supervisor.
Bem construído, é mais do que uma obrigação: é a fotografia da sua dependência tecnológica real e a base para priorizar renegociações de contratos e planos de saída. Mal construído, é a primeira incoerência que quem o revisar vai detectar.
O que exatamente se espera de um plano de saída?
Uma estratégia realista para reverter a função à entidade ou migrá-la para outro fornecedor se o atual falhar, descumprir o contrato ou desaparecer: cenários, responsáveis, prazos, dados a recuperar e custos estimados. Para as funções críticas, não é opcional.
O padrão do supervisor sobe a cada ano: de ter um documento a poder demonstrar que o plano é executável — dependências identificadas, alternativas sondadas e, na medida do possível, elementos testados. Uma dependência irreversível de um único fornecedor é, em si mesma, um risco a ser explicado.
Guia operacional
Um programa de terceirização que se sustenta sozinho
Três fases e dez passos para passar do outsourcing improvisado a um programa governado: saber o que você tem, contratar bem e controlar enquanto o acordo durar.
Inventário e classificação
Reunimos todos os acordos com terceiros em um repositório único — inclusive os herdados e os do grupo — e classificamos o que é função crítica ou importante e qual serviço de TIC está sujeito ao DORA. Sem mapa, não há programa.
Contrato e implantação
Due diligence do fornecedor, negociação das cláusulas que as normas exigem — acesso, auditoria, subcontratação, saída, art. 30 do DORA quando aplicável — e as comunicações ao supervisor que forem cabíveis. O contrato é a sua principal evidência.
Controle, saída e supervisor
Indicadores de serviço, gestão de incidentes, direitos de auditoria exercidos de verdade, registro de informações em dia e planos de saída revisados. O programa se defende com o que você faz a cada trimestre, não com o que assinou uma vez.
Terceirização defensável em 10 passos
- Inventário único: reúna em um só repositório todos os acordos com terceiros, incluindo os históricos, os intragrupo e os contratados por áreas isoladas.
- Classificação: determine com critérios escritos o que é função crítica ou importante e quais serviços de TIC sustentam funções essenciais.
- Due diligence do fornecedor: avalie solvência, capacidade técnica, segurança e reputação antes de assinar, e deixe registrada a análise.
- Contrato completo: feche por escrito serviço, níveis, acesso e auditoria, dados, subcontratação, continuidade, incidentes e saída.
- Capítulo DORA: se o serviço for de TIC, incorpore as cláusulas obrigatórias do art. 30 e classifique sua criticidade para o registro.
- Comunicação ao supervisor: estruture as notificações cabíveis e reflita a terceirização no seu programa de atividades.
- Registro de informações: construa e mantenha o registro de fornecedores de TIC e o inventário geral de terceirizações, com um responsável designado.
- Controle contínuo: defina indicadores, reuniões de acompanhamento, gestão de incidentes e exercícios reais dos seus direitos de auditoria.
- Cadeia de subcontratação: exija visibilidade dos subcontratados relevantes e estenda seus direitos de acesso a toda a cadeia.
- Plano de saída: prepare e revise a estratégia de reversão ou substituição de cada função crítica, com responsáveis, prazos e alternativas.
Se você quer delegar funções específicas com todas as garantias, veja compliance officer externo, DPO externo e a adequação completa ao DORA.
Recurso gratuito · PDF
Baixe o Checklist MiFID II
Os 10 controles de conduta que a CNMV espera ver funcionando em uma EAF ou ESI, com a evidência típica de cada um. Ideal como autodiagnóstico trimestral com sua equipe.
- Os 10 controles de conduta essenciais
- A evidência esperada em cada controle
- 5 sinais de que um controle só existe no papel
- PDF profissional · 5 páginas · 11 KB
Sem spam. Seu e-mail só é usado para enviar este checklist e, ocasionalmente, novidades regulatórias relevantes.
Seu download começou
O checklist está sendo baixado agora mesmo. Se o download não começar automaticamente, clique aqui.
Depois de ler, precisa de ajuda para implementar alguma das etapas? Escreva diretamente para nós:
Glossário prático
O outsourcing regulado em nove termos
Este é o vocabulário usado pelas normas, pelos supervisores e — cada vez mais — pelos seus próprios fornecedores na negociação. Convém chegar a essa mesa dominando-o.
Função críticaConceito
O que não pode falhar
Função cuja falha comprometeria seriamente a autorização, os resultados ou a continuidade dos serviços da entidade.
Sua terceirização ativa o regime reforçado.
TerceirizaçãoMarco
Fazer por meio de outro
Acordo pelo qual um terceiro realiza um processo, serviço ou atividade que, de outra forma, a própria entidade realizaria.
Intragrupo também conta como terceirização.
ResponsabilidadePrincípio
A única coisa indelegável
A entidade e seu órgão de administração respondem perante clientes e supervisor exatamente como se a função fosse interna.
O contrato jamais a transfere.
Plano de saídaContingência
O fim, previsto desde o início
Estratégia para reverter ou migrar a função se o fornecedor falhar ou o acordo terminar: cenários, prazos, dados e alternativas.
Para funções críticas, imprescindível.
Cadeia de subcontrataçãoRisco
Quem está por trás do seu fornecedor
Os terceiros aos quais seu fornecedor, por sua vez, delega. Sem visibilidade e transferência de direitos, o controle evapora.
O registro do DORA a torna visível.
DORANorma
Regulamento (UE) 2022/2554
O regulamento de resiliência operacional digital do setor financeiro, aplicável desde janeiro de 2025. Reorganiza o risco de terceiros de TIC.
Seu art. 30 fixa cláusulas contratuais obrigatórias.
Registro de informaçõesEvidência
O censo dos seus fornecedores de TIC
Inventário estruturado de todos os acordos de TIC, com funções sustentadas, criticidade e cadeias de subcontratação.
Atualizado e disponível para o supervisor.
Fornecedor de TICTerceiros
O terceiro tecnológico
Quem presta serviços digitais e de dados de forma contínua: cloud, software, comunicações, processamento.
Sob o DORA, com regime contratual próprio.
Direito de auditoriaContrato
Poder olhar por dentro
Faculdade da entidade, de seus auditores e do supervisor de acessar, inspecionar e auditar o fornecedor e o serviço prestado.
Pactuado em contrato e exercido de verdade.
Playbook de outsourcing
As cinco fases que o supervisor vai auditar
Classificação
Critérios escritos para identificar funções críticas ou importantes e serviços de TIC essenciais, aplicados de forma consistente.
Política de terceirização, inventário classificado e análise de criticidade por acordo.
Due diligence
Avaliação prévia do fornecedor, proporcional à criticidade: solvência, capacidade, segurança, concentração.
Relatórios de due diligence, questionários respondidos e aprovação no nível adequado.
Contrato
Conteúdo mínimo completo: níveis de serviço, acesso e auditoria, dados, subcontratação, continuidade e saída; art. 30 do DORA em TIC.
Contratos assinados com as cláusulas exigíveis e matriz de verificação de conteúdos.
Monitoramento
Controle efetivo durante a vigência do acordo: indicadores, incidentes, revisões e auditorias exercidas.
Painéis de indicadores de fornecedores, atas de acompanhamento e relatórios de auditoria do prestador.
Saída e contingência
Planos de saída realistas para o que é crítico e gestão ativa do risco de concentração e dependência.
Planos de saída documentados e revisados, alternativas identificadas e testes realizados.
Sinais de que o seu outsourcing está fora de controle
Cinco frases que ouvimos com frequência no primeiro diagnóstico. Cada uma é um achado em potencial; juntas, um processo sancionador.
- Não existe um inventário único: cada departamento guarda os próprios contratos e ninguém tem a visão completa.
- O contrato com o seu fornecedor de cloud não menciona o acesso do supervisor nem direitos de auditoria.
- Você sabe que o seu fornecedor subcontrata, mas não saberia dizer a quem nem de que país opera.
- A função de compliance terceirizada não apresentou um único relatório ao órgão de administração neste ano.
- Se amanhã o seu fornecedor crítico cair, não há plano de saída escrito nem alternativa identificada.
Ecossistema
A terceirização afeta todas as linhas da sua organização
Delegar funções reorganiza o controle interno, a prevenção à lavagem de dinheiro e até o encaixe dos seus meios na autorização. Estas páginas completam o quadro para você decidir o que terceirizar e como governar isso.
Jurídico
Outsourcing jurídico
A assessoria jurídica recorrente como serviço externo: o que cobre, como se estrutura e o que uma entidade pequena ganha com ela.
Ver serviço →
RecorrenteBoutique
Modelo
Três linhas de defesa
Onde as funções terceirizadas se encaixam no seu modelo de controle, para que delegar não quebre a arquitetura.
Ver modelo →
ControleArquitetura
PLD/FT
Representante perante o SEPBLAC
A vertente de prevenção à lavagem de dinheiro: o que pode se apoiar em terceiros e o que exige presença interna.
Ver figura →
SEPBLACPLD
EAF
Obrigações de uma EAF
As estruturas mais enxutas do setor são também as mais dependentes de fornecedores: veja como conciliar as duas coisas.
Ver obrigações →
MeiosConformidade
Para funções específicas, veja o compliance officer externo e o DPO externo; para a frente tecnológica, a adequação ao DORA; e, se o mapa de meios afetar a sua licença, a autorização de ESI.
Contato
Agendar uma ligação
Descreva o seu mapa de fornecedores — tecnologia, back-office, compliance, cloud — e revisamos com você quais acordos são função crítica, o que cada um exige e onde está o seu risco.
Terceirização de funções críticas: requisitos, controle e o capítulo DORA
As entidades reguladas — ESI (empresas de investimento), gestoras, instituições de pagamento e de crédito — constroem hoje a sua operação sobre terceiros: tecnologia, back-office, administração, funções de controle. As normas não proíbem isso; impõem condições. O marco da MiFID II, o Regulamento Delegado (UE) 2017/565 e, na Espanha, a Lei 6/2023 e o RD 813/2023 fixam as regras do jogo para as funções críticas ou importantes, e o Regulamento (UE) 2022/2554 (DORA) acrescenta, desde janeiro de 2025, um regime específico para os fornecedores de TIC. O princípio que organiza todo o resto: a tarefa se delega, a responsabilidade, nunca.
O que é uma função crítica ou importante (e por que o rótulo importa)
Uma função é crítica ou importante quando sua falha comprometeria seriamente o cumprimento contínuo das condições da autorização, os resultados financeiros ou a solidez e a continuidade dos serviços. A qualificação não é retórica: ativa o regime reforçado — contrato com conteúdo mínimo, controle intensificado, comunicação ao supervisor quando cabível e plano de saída — e explica por que o primeiro controle de todo programa de outsourcing é uma classificação com critérios escritos. Em uma entidade em processo de autorização, além disso, a divisão entre meios próprios e terceirizados deve estar alinhada com o programa de atividades: uma estrutura esvaziada de substância não passa no juízo de meios suficientes.
Os requisitos de uma terceirização defensável
Quatro condições sustentam qualquer delegação séria. Contrato escrito com níveis de serviço, direitos de acesso, informação e auditoria — para a entidade, seus auditores e o supervisor —, regime de dados, subcontratação regulada, continuidade e saída. Controle efetivo: indicadores, acompanhamento, incidentes e auditorias exercidas, porque o supervisor avalia o que você faz durante a vigência do acordo, não apenas o que você assinou. Responsabilidade intacta: a entidade e seu órgão de administração respondem como se a função fosse interna, o que exige capacidade real de supervisionar o fornecedor. E plano de saída para o que é crítico: cenários de reversão ou substituição com responsáveis, prazos e alternativas identificadas.
Subcontratação em cadeia e comunicação ao supervisor
O risco cresce a jusante: seu fornecedor delega a outro, este a um terceiro, e a entidade perde o mapa de quem processa o quê e de onde. Um contrato bem construído regula se é possível subcontratar, em que condições e com que dever de informação, e estende os direitos de acesso e auditoria aos subcontratados relevantes. Paralelamente, as terceirizações de funções críticas ou importantes são comunicadas ao supervisor nos termos das normas de cada tipo de entidade; a regra prática que aplicamos com os clientes é simples: se a delegação altera sua estrutura de meios, é melhor que o supervisor saiba por você do que por uma inspeção.
DORA: o regime específico dos fornecedores de TIC
Desde janeiro de 2025, o DORA sobrepõe ao regime geral um capítulo tecnológico completo: gestão do risco de terceiros de TIC, registro de informações com todos os acordos com fornecedores de TIC — funções sustentadas, criticidade e cadeias de subcontratação — e cláusulas contratuais obrigatórias (art. 30) para os contratos que sustentam funções essenciais ou importantes. Para muitas entidades, o exercício do DORA revelou a realidade da sua dependência tecnológica: contratos de cloud sem auditoria, cadeias opacas e saídas impossíveis. Nossa equipe combina a revisão contratual com a construção do registro e seu encaixe no mapa de riscos: você encontra tudo isso em serviços DORA, com o apoio da função de controle e riscos e da auditoria interna.
Funções que você pode terceirizar conosco
Controle e organização
Fontes oficiais
Normas de referência, com link para o texto oficial:
- Lei 6/2023, de 17 de março, dos Mercados de Valores e dos Serviços de InvestimentoBOE · texto consolidado
- Regulamento (UE) 2022/2554, de 14 de dezembro de 2022, relativo à resiliência operacional digital do setor financeiro (DORA)EUR-Lex · Jornal Oficial da UE
- Regulamento Delegado (UE) 2017/565, de 25 de abril de 2016, que completa a Diretiva 2014/65/UE no que diz respeito aos requisitos em matéria de organização e às condições de funcionamento das empresas de investimentoEUR-Lex · Jornal Oficial da UE
Normas e links revisados em .