Artigos de compliance e recursos

O DORA exige que as entidades financeiras abrangidas gerem o risco de prestadores terceiros de serviços de TIC e mantenham informação sobre os seus acordos contratuais de TIC, com requisitos reforçados quando os prestadores suportam funções críticas ou importantes. A NIS2 exige que as entidades essenciais e importantes abordem a segurança da cadeia de fornecimento, em particular os riscos que envolvem fornecedores diretos e prestadores de serviços. Os dois regimes sobrepõem-se, mas o DORA é mais prescritivo na gestão do risco de terceiros de TIC.

A gestão do risco de terceiros no âmbito da DORA é partilhada entre as entidades financeiras e os seus prestadores de TIC. Desde 17 de janeiro de 2025, o artigo 13.º, n.º 6, exige que bancos, seguradoras e empresas de investimento realizem formação de sensibilização para a segurança das TIC e resiliência operacional digital e, sempre que adequado, incluam os seus prestadores de TIC nessa formação, e o artigo 30.º, n.º 2, alínea i), exige que todos os contratos de TIC definam de que forma o prestador participa. Os prestadores que conseguem comprovar isto mantêm o contrato.

A triagem de PEP identifica se um cliente, fornecedor ou parceiro de negócio é uma pessoa politicamente exposta: alguém que ocupa ou ocupou um cargo público de destaque, ou um familiar ou associado próximo de uma dessas pessoas. Uma correspondência de nome é apenas o início. Uma triagem eficaz verifica o cargo, o nível de influência, o país e se a pessoa ainda está em funções, documentando depois a decisão de risco e repetindo a verificação à medida que as circunstâncias mudam.

O rastreio de terceiros para empresas em crescimento responde a uma questão antes de um contrato ser assinado: com quem estamos, na verdade, a fazer negócios? Na prática, verifica três sinais: se a contraparte consta de uma lista de sanções, se um indivíduo é uma pessoa politicamente exposta, e se a cobertura mediática adversa aponta para fraude, corrupção ou outra conduta imprópria. Feito de forma consistente, proporcional e com registo, é uma parte básica da gestão de riscos de negócio, não um exercício exclusivo de bancos.

A conformidade com sanções para PME já não é opcional em 2026. A Diretiva 2024/1226 torna as violações graves de sanções em infrações penais em toda a UE, estabelece sanções mínimas e alarga a responsabilidade às empresas, pelo que a fiscalização chega agora às pequenas empresas que comercializam, exportam ou compram a nível internacional. O que as PME precisam é de um processo claro e repetível: verificar todas as contrapartes em listas de sanções, registar o resultado e monitorizar alterações ao longo do tempo.

A conformidade da cadeia de abastecimento para PME muda em 2026 porque as regras da UE já se estendem para além da empresa regulada, chegando aos seus fornecedores: os pedidos de informação sobre origem, propriedade e risco vêm de clientes e parceiros, não de reguladores, e chegam com maior frequência e mais estruturados. As PME não precisam de uma grande equipa, mas precisam de um processo claro para saber com quem trabalham, recolher a informação uma vez e responder a todos os pedidos a partir dela.

As PME podem cumprir os requisitos da NIS2 relativos ao tratamento de vulnerabilidades com um processo de comunicação simples e estruturado: um canal onde funcionários, fornecedores e investigadores podem comunicar uma fragilidade de segurança, tratamento confidencial, um responsável definido que avalia e corrige, e um registo do que foi feito. Um sistema de denúncia já disponibiliza este fluxo de trabalho, pelo que o mesmo canal pode servir ambos os regimes.

A infração de “Falha em Prevenir Fraude” da ECCTA aplica-se a grandes organizações, mas chega às PME através dos seus contratos. Como a única defesa legal é comprovar a existência de procedimentos razoáveis, as grandes empresas do Reino Unido exigem agora aos fornecedores que comprovem formação antifraude, mecanismos de denúncia, direitos de auditoria e cláusulas de rescisão. Os fornecedores mais pequenos ficam vinculados na prática, não pela lei.

Na gestão da cadeia de abastecimento, a proporcionalidade significa focar a diligência devida nos fornecedores maiores e mais estratégicos, mas não deve significar ignorar os mais pequenos. Os pequenos fornecedores acarretam riscos ocultos de conformidade, continuidade e reputação, trazendo também flexibilidade, especialização e inovação. Uma estratégia equilibrada analisa cada fornecedor a um nível de base e escala o escrutínio de acordo com o risco, e não com a dimensão da empresa.

A ética na cadeia de abastecimento passa agora a estar sujeita a requisitos legais. A Diretiva relativa ao Dever de Diligência das Empresas em matéria de Sustentabilidade, aprovada pelo Parlamento Europeu a 24 de abril de 2024, responsabiliza as grandes empresas pela identificação, prevenção e reparação de danos aos direitos humanos e ao ambiente em toda a sua cadeia de valor, obrigação essa que se estende aos seus fornecedores através de contratos e questionários. As empresas que mapeiam a sua cadeia e documentam as verificações aos fornecedores cumprem esta exigência e ganham uma vantagem comercial.