Daniel Bermejo · Cofundador e Diretor de Tecnologia, Trusty · Fundador em série, ex-PwC, IBM e Roche · Antigo diretor-geral da Startup Invest
A verdadeira mudança estrutural da DORA está na gestão do risco de terceiros. A DORA vai deliberadamente para além da entidade regulada, abrangendo os fornecedores de software, prestadores de cloud, plataformas SaaS e prestadores de serviços geridos de que as instituições financeiras dependem. A DORA não regula diretamente estes prestadores de TIC. Em vez disso, obriga as entidades financeiras a fazer repercutir os seus requisitos nos contratos e a gerir, documentar e comprovar ativamente essa relação.
O que é que a DORA exige aos prestadores de TIC terceiros?
Dois artigos tornam concreta a gestão do risco de terceiros no âmbito da DORA:
O artigo 13.º, n.º 6, exige que as entidades financeiras desenvolvam programas de sensibilização para a segurança de TIC e formação em resiliência operacional digital como módulos obrigatórios para todos os colaboradores e para a gestão de topo. Quando apropriado, devem também incluir os seus prestadores de serviços de TIC terceiros nesses esquemas de formação.
O artigo 30.º, n.º 2, alínea i), fecha o ciclo: todos os contratos de serviços de TIC têm de definir as condições de participação dos prestadores de serviços de TIC terceiros nos programas de sensibilização para a segurança de TIC e na formação em resiliência operacional digital da entidade financeira. Não se trata de uma cláusula opcional reservada a prestadores críticos. Faz parte dos requisitos contratuais de base que se aplicam a todos os contratos de serviços de TIC.
Por outras palavras, a sua obrigação de formação em resiliência estende-se agora por toda a sua cadeia de abastecimento, e os seus contratos têm de dizer como.
A pergunta óbvia seguinte, para ambos os lados desse contrato, é: como é que se operacionaliza, na prática, a gestão do risco de terceiros no âmbito da DORA? Enviar políticas em PDF por e-mail para uma lista de fornecedores e esperar pelo melhor não cria o registo de auditoria que um supervisor espera. Foi precisamente para resolver esse problema que a Trusty foi criada.
Como podem as entidades financeiras comprovar a formação de terceiros ao abrigo da DORA?
A plataforma de conformidade da Trusty foi concebida em torno de uma ideia simples: políticas e formação só valem alguma coisa se conseguir provar quem as recebeu, quem as leu, quem as concluiu e quando.
Ao abrigo da DORA, essa prova tem agora de abranger partes externas. Eis como as entidades financeiras usam a Trusty para gerir, na prática, a gestão do risco de terceiros no âmbito da DORA:
- Distribuir políticas para além da sua própria força de trabalho. As suas políticas de gestão do risco de TIC, reporte de incidentes, utilização aceitável, segurança da informação e continuidade de negócio podem ser atribuídas não só a colaboradores internos, mas também a contactos designados em cada prestador de TIC. Cada prestador vê exatamente o conjunto de políticas relevante para o seu serviço, nem mais, nem menos.
- Atribuir formação em resiliência ao pessoal do fornecedor. O artigo 13.º, n.º 6, diz que a formação deve ter um nível de complexidade proporcional ao âmbito das suas funções. A Trusty permite-lhe atribuir os módulos de formação certos, como sensibilização para a segurança de TIC, escalonamento de incidentes e fundamentos de resiliência operacional, às funções certas do fornecedor, com prazos e lembretes automáticos.
- Acompanhar confirmações e conclusões, automaticamente. As confirmações de leitura e aceitação, as taxas de conclusão da formação e os itens em atraso ficam registados por prestador e por indivíduo. Quando o seu supervisor ou a sua função de auditoria interna, ao preparar a revisão do Registo de Informação, perguntar como cumpre o artigo 30.º, n.º 2, alínea i), exporta a evidência em vez de a compilar manualmente.
- Acompanhar as atualizações de políticas. A DORA é um quadro vivo, com normas técnicas regulamentares ainda a serem refinadas. Quando atualiza uma política, a redistribuição e a nova confirmação em toda a sua base de fornecedores é um único fluxo de trabalho, não uma campanha trimestral por e-mail.
- Segmentar por criticidade. Os prestadores que suportam funções críticas ou importantes estão sujeitos ao regime reforçado do artigo 30.º, n.º 3. Na Trusty, pode escalonar a sua população de prestadores e aplicar conjuntos de políticas mais profundos e percursos de formação mais exigentes ao escalão crítico, refletindo a lógica de proporcionalidade que os supervisores esperam ver.
O resultado: as suas obrigações de formação e políticas para terceiros deixam de ser uma formalidade contratual que ninguém consegue comprovar e passam a ser um processo gerido e auditável, concebido para a gestão do risco de terceiros no âmbito da DORA à escala.
O que devem os prestadores de TIC e as fintechs fazer para se prepararem para a DORA?
Se vende software ou serviços de TIC a instituições financeiras da UE, a DORA chega até si através dos seus clientes, queira ou não. Cada renovação e cada novo negócio vem agora com cláusulas do artigo 30.º: compromissos de segurança, cooperação em incidentes, direitos de auditoria e participação nos programas de formação e sensibilização do cliente.
Os prestadores respondem a isto de uma de duas formas. Alguns deixam que cada banco imponha o seu próprio mosaico de políticas e exigências de formação e acabam a gerir dez regimes de conformidade diferentes de dez clientes diferentes. Os mais inteligentes invertem a dinâmica: chegam à negociação já preparados, com o seu próprio quadro de políticas documentado e pessoal formado, e negoceiam a partir de uma posição de força, como os fornecedores maduros já fazem quando apontam para os seus próprios programas de segurança em vez de aderirem ao de cada cliente.
O que é o Trusty Fintech Booster?
O Trusty Fintech Booster é um pacote pronto a usar que permite a um prestador de TIC que serve o setor financeiro equipar-se de imediato com a base de conformidade sobre a qual os seus clientes regulados vão perguntar:
- Um conjunto de políticas pronto a usar que cobre os temas que as entidades financeiras avaliam na due diligence: segurança da informação, proteção de dados e privacidade, continuidade de negócio, gestão de terceiros e subcontratados, manutenção de registos, código de conduta, anticorrupção e canal de denúncias. Redigido profissionalmente, mantido e atualizado à medida que a regulamentação evolui.
- Uma biblioteca de formação que o seu pessoal pode concluir desde o primeiro dia, incluindo sensibilização para cibersegurança e phishing, proteção de dados (RGPD), código de conduta e fundamentos de conformidade, e sensibilização para fraude, com acompanhamento de conclusões e certificados que pode entregar a qualquer equipa de risco de fornecedores de um cliente.
- Um canal de denúncias que cumpre a Diretiva da UE relativa à proteção de denunciantes. Isto é cada vez mais um item padrão nos questionários de due diligence dos bancos e um forte sinal de confiança por si só.
- Um único sistema de registo. Quando a equipa de compras ou de risco de terceiros de um cliente pede para ver as suas políticas e registos de formação, a resposta é uma exportação, não uma correria.
Para uma fintech num processo de licenciamento próprio, como uma instituição de pagamento, uma instituição de moeda eletrónica ou um prestador de serviços de criptoativos ao abrigo do MiCA, a mesma base alimenta diretamente o processo de autorização. A preparação para a DORA é agora avaliada como parte dessas candidaturas, pelo que o Booster serve dois propósitos: satisfaz os seus clientes bancários e o seu próprio regulador.
Dois lados, uma plataforma para a gestão do risco de terceiros no âmbito da DORA
A DORA criou uma relação de conformidade entre as entidades financeiras e os seus prestadores de TIC, e a Trusty serve ambos os lados:
Entidade financeira (banco, seguradora, empresa de investimento) | Prestador de TIC (SaaS, cloud, MSP, fintech) | |
|---|---|---|
Obrigação | Alargar políticas e formação de resiliência aos fornecedores (art. 13.º, n.º 6, art. 30.º, n.º 2, alínea i)) e comprová-lo | Responder às exigências contratuais de conformidade de todos os clientes regulados |
Com a Trusty | Distribuir, atribuir, monitorizar e exportar provas em toda a base de fornecedores | Fintech Booster: conjunto de políticas instantâneo, equipa formada, canal de denúncias, registos prontos para auditoria |
Resultado | Provas de nível regulamentar, sem arqueologia de folhas de cálculo | Due diligence mais rápida, posição negocial mais forte, ciclos de venda mais curtos |
Quando ambos os lados trabalham a partir de uma plataforma estruturada para a gestão do risco de terceiros no âmbito da DORA, a conversa do artigo 30.º deixa de ser fricção e passa a ser uma simples verificação, tanto para a equipa de risco de fornecedores do banco como para a equipa comercial do prestador.
O que acontece se esperar pela gestão do risco de terceiros no âmbito da DORA?
A DORA já não está num período de tolerância. Os Registos de Informação foram submetidos aos supervisores, os primeiros prestadores terceiros críticos foram designados para supervisão europeia direta e as constatações ao abrigo da DORA alimentam agora os processos de revisão supervisória, com consequências reais para os requisitos de capital e, para os prestadores, para as renovações contratuais.
As entidades financeiras que não conseguem comprovar a participação dos fornecedores na formação têm uma lacuna documentada. Os prestadores de TIC que aparecem na due diligence de mãos vazias perdem negócios para concorrentes que não aparecem.
Ambos os problemas são resolvíveis em dias, não em meses.
Entidades financeiras: fale connosco sobre como estender a distribuição de políticas e formação da Trusty à sua base de fornecedores de TIC.
Prestadores de TIC e fintechs: obtenha o Fintech Booster e entre na sua próxima negociação com um banco já em conformidade.
A Trusty AG é uma empresa suíça de software de conformidade com sede em Hunenberg, Zug. A nossa plataforma abrange gestão de políticas, formação em conformidade, canal de denúncias, rastreio AML/sanções e ferramentas ESG, para entidades reguladas e os parceiros de que dependem. Entre em contacto em trusty.report.
Este artigo fornece informação geral sobre requisitos regulamentares e não constitui aconselhamento jurídico.
Perguntas frequentes
O artigo 13.º, n.º 6, exige que as entidades financeiras realizem programas de sensibilização para a segurança das TIC e formação em resiliência operacional digital para todos os colaboradores e quadros superiores e, sempre que adequado, incluam os seus prestadores de serviços de TIC terceiros. O artigo 30.º, n.º 2, alínea i), exige que todos os contratos de serviços de TIC definam as condições de participação do prestador nesses programas.
Não. A DORA obriga as entidades financeiras a fazer repercutir os seus requisitos nos prestadores de TIC por via contratual e a gerir, documentar e comprovar essa relação. Os prestadores cumprem a DORA através das cláusulas do artigo 30.º dos seus clientes, em cada renovação e novo acordo.
Não. A cláusula do artigo 30.º, n.º 2, alínea i), insere-se nos requisitos contratuais de base aplicáveis a todos os contratos de serviços de TIC. Os prestadores que apoiam funções críticas ou importantes ficam ainda sujeitos ao regime reforçado do artigo 30.º, n.º 3.
Um quadro de políticas documentado, equipa formada com registos de conclusão e um canal de denúncias, para que a due diligence de um cliente seja respondida com uma exportação, em vez de se adotar o regime separado de cada banco. Para as fintechs no seu próprio processo de licenciamento, a preparação para a DORA é avaliada como parte da candidatura.
CONFORMIDADE, PRONTA A USAR
FinTech Booster Pack: 16 políticas de conformidade prontas a lançar e 8 módulos de formação que abrangem AML/KYC, políticas e canal de denúncias, de implementação rápida.