Inovação, terceirização e resiliência operacional

A Suíça procurou adaptar sua regulação bancária a novos modelos de negócio. Desde 2017, a Portaria sobre os Bancos permite que empresas aceitem depósitos do público de até um milhão de francos sem licença bancária, desde que não invistam os depósitos nem paguem juros sobre eles e que informem a seus clientes que os depósitos não são protegidos. Esse regime, conhecido como sandbox, permite que start-ups testem seus modelos de negócio antes de precisarem de uma licença.¹

Em 1º de janeiro de 2019, seguiu-se uma nova categoria de licença, comumente chamada de licença fintech. Ela permite que instituições aceitem depósitos do público de até cem milhões de francos, ou criptoativos mantidos em custódia coletiva, desde que não invistam esses recursos nem paguem juros sobre eles. Como não realizam a transformação de prazos que caracteriza um banco, essas instituições estão sujeitas a requisitos mais leves. Estes dizem respeito a seu capital mínimo, à sua organização e às regras de adequação de capital, que são significativamente reduzidas. Seus clientes não gozam de proteção dos depósitos e devem ser informados disso.² O número de licenças fintech concedidas permaneceu pequeno. Vários titulares atuam no campo dos pagamentos e dos criptoativos e ativos digitais, o que explica por que as propostas do Conselho Federal de 2025 para instituições de meios de pagamento e instituições cripto retomaram o conceito.

À medida que os bancos terceirizam mais de suas atividades a prestadores de serviços e plataformas de nuvem, o supervisor teve de tratar dos riscos daí decorrentes. A circular da Autoridade Suíça de Supervisão do Mercado Financeiro (FINMA) sobre terceirização (outsourcing), revisada em 2018, exige que os bancos mantenham um inventário de suas funções terceirizadas e selecionem, instruam e monitorem seus prestadores de serviços com cuidado. Os contratos devem assegurar que o banco, sua empresa de auditoria e a FINMA conservem o acesso às informações de que necessitam. Quando funções são terceirizadas no exterior, o banco deve assegurar que pode restabelecê-las na Suíça ou transferi-las para outro prestador.³

A resiliência operacional tornou-se um conceito de supervisão autônomo depois que o Comitê de Basileia adotou seus princípios sobre o tema em 2021. A FINMA incorporou-os em uma nova circular sobre riscos operacionais e resiliência, que entrou em vigor no início de 2024 e substituiu a circular de 2008. Os bancos devem identificar suas funções críticas, definir a tolerância a interrupções de cada função e demonstrar que podem mantê-las dentro dessas tolerâncias em cenários graves, mas plausíveis.⁴ A circular contém também requisitos para a gestão da tecnologia da informação e comunicação, dos dados e dos riscos cibernéticos.

Os ataques cibernéticos são um dos riscos operacionais que a FINMA considera mais significativos para o centro financeiro suíço. Desde 2020, as instituições supervisionadas devem comunicar à FINMA ataques cibernéticos significativos em prazo curto após sua detecção e apresentar posteriormente um relatório completo. Desde 2025, uma obrigação geral de comunicação para os operadores de infraestruturas críticas, entre os quais se incluem os bancos, exige também que comuniquem ataques cibernéticos à autoridade federal de cibersegurança.⁵ Para um cliente de um banco privado de Basileia, essas regras podem parecer técnicas. Elas protegem o que mais importa para esse cliente: a confidencialidade dos dados e a disponibilidade dos ativos.

Notas

1. Sobre o espaço de inovação isento de licença (sandbox) para a aceitação de depósitos do público até CHF 1 milhão nos termos do art. 6, al. 2, da Portaria sobre os Bancos, em vigor desde 1º de agosto de 2017, e a extensão da exceção para contas de liquidação a 60 dias, ver SR 952.02 e as publicações da FINMA. ↩
2. Sobre a licença para instituições nos termos do art. 1b da Lei Federal sobre os Bancos (BankA) (licença fintech), em vigor desde 1º de janeiro de 2019, com o limite de CHF 100 milhões em depósitos do público e os requisitos facilitados dos arts. 14a e segs. da Portaria sobre os Bancos, ver SR 952.0, SR 952.02 e as diretrizes da FINMA. ↩
3. Circular FINMA 2018/3 “Outsourcing – banks and insurers”, em vigor desde 1º de abril de 2018, sobre os requisitos para a terceirização de funções significativas, incluindo o inventário, a seleção e o monitoramento dos prestadores de serviços, os direitos de auditoria e de acesso e a terceirização no exterior. ↩
4. Circular FINMA 2023/1 “Operational risks and resilience – banks”, em vigor desde 1º de janeiro de 2024, que substituiu a Circular 2008/21, e os Principles for Operational Resilience do Comitê de Basileia de março de 2021, ver as publicações da FINMA e do Banco de Compensações Internacionais (BIS). ↩
5. Sobre a obrigação de comunicação de ataques cibernéticos nos termos da Comunicação de supervisão FINMA 05/2020 (comunicação inicial em 24 horas, relatório completo em 72 horas) e a obrigação de comunicação nos termos da Lei sobre a Segurança da Informação para operadores de infraestruturas críticas, em vigor desde 1º de abril de 2025, ver as publicações da FINMA e do Departamento Federal de Cibersegurança. ↩

Apenas para fins de informação geral. Este artigo não constitui assessoria jurídica ou tributária, não substitui a análise de um caso concreto e não estabelece relação entre advogado e cliente. Reflete a situação jurídica em outubro de 2026.