Terceirização, resiliência operacional e cibersegurança
A Circular FINMA 2018/3 sobre terceirização
A maior parte da inteligência artificial utilizada pelas instituições financeiras de Lugano é fornecida por terceiros, e grande parte dela funciona na nuvem. Seu uso é, portanto, regido pela Circular 2018/3 “Outsourcing” da Autoridade Suíça de Supervisão do Mercado Financeiro (FINMA), aplicável a bancos, sociedades de valores mobiliários e seguradoras. Os gestores de carteiras e os trustees estão sujeitos a regras comparáveis sobre a delegação de tarefas na Portaria sobre as Instituições Financeiras (FinIO), que proíbem a delegação de decisões reservadas aos órgãos de administração e exigem que a instituição mantenha o pessoal, os conhecimentos especializados e os direitos de instrução e de controle necessários para selecionar, instruir e supervisionar o terceiro.1 A circular foi emitida em 21 de setembro de 2017 e entrou em vigor em 1º de abril de 2018. Ela define a terceirização como a contratação de um prestador de serviços para executar, de forma independente e permanente, uma função significativa da instituição, e estabelece os requisitos que a instituição deve cumprir ao terceirizar tal função.2 Uma função é significativa se tiver efeito relevante sobre o cumprimento dos objetivos e das regras da supervisão do mercado financeiro. O monitoramento de transações, a triagem de clientes, a gestão de riscos e a gestão dos dados de clientes são funções significativas nesse sentido, e, na maioria dos casos, também o são os sistemas de TI em que operam. Os requisitos da circular podem ser resumidos em seis pontos. Em primeiro lugar, a instituição deve manter um inventário das funções terceirizadas. Em segundo lugar, deve selecionar o prestador com cuidado, levando em conta sua capacidade profissional, seus recursos financeiros e humanos e os riscos do arranjo. Em terceiro lugar, a terceirização deve ser regida por um contrato escrito que defina os serviços, as responsabilidades, os requisitos de segurança e os direitos de rescisão. Em quarto lugar, a instituição continua responsável pela função terceirizada e deve integrá-la em seu sistema de controle interno. Em quinto lugar, a instituição, sua empresa de auditoria e a FINMA devem poder examinar as atividades do prestador e ter acesso às informações pertinentes, exigência que se aplica com especial rigor aos prestadores no exterior. Por fim, a terceirização não deve prejudicar a reestruturação ou a resolução da instituição: no caso de um banco, os serviços críticos devem permanecer disponíveis em uma crise.3 A terceirização para o exterior é permitida desde que essas condições sejam cumpridas e que a instituição possa demonstrar que estão assegurados o acesso de sua empresa de auditoria e da FINMA e, no caso de funções sistemicamente importantes, a capacidade de reestruturação.
No caso da inteligência artificial, a circular suscita questões específicas. Um fornecedor de um modelo de linguagem pode, por sua vez, recorrer a outros subcontratados, como operadores de data centers e desenvolvedores de modelos, e a instituição deve conhecer e controlar essa cadeia. O fornecedor pode atualizar seu modelo sem aviso prévio, alterando seu comportamento de maneiras que afetam os resultados da instituição, o que conflita com as expectativas da FINMA em matéria de testes e monitoramento. Os direitos contratuais de auditoria são difíceis de exercer perante uma grande empresa de tecnologia, e as instituições em questão costumam apoiar-se em certificações e relatórios de auditoria. O levantamento da FINMA sobre IA constatou que as pequenas instituições dependiam exclusivamente de fornecedores externos, o que concentra essas questões justamente no tipo de instituição que domina o mercado de Lugano.4
Notas
- Circular FINMA 2018/3 “Outsourcing”, de 21 de setembro de 2017, com as alterações posteriores (âmbito de aplicação e datas da circular); Portaria sobre as Instituições Financeiras, de 6 de novembro de 2019 (FinIO), SR 954.11, arts. 15–17 (“Übertragung von Aufgaben”), em especial art. 16, §§ 1º–3º, texto em https://www.droit-bilingue.ch/de-fr/9/95/954.11-16-19.html. ↩
- Circular FINMA 2018/3 (acima), notas marginais 2–5 (definição de terceirização e de função significativa). ↩
- Circular FINMA 2018/3 (acima), notas marginais 13–35 (inventário, seleção, responsabilidade, segurança, auditoria e supervisão, terceirização para o exterior, reestruturação e resolução, contrato). ↩
- Levantamento da FINMA (abril de 2025, acima). ↩
Apenas para fins de informação geral. Este artigo não constitui assessoria jurídica ou tributária, não substitui a análise de um caso concreto e não estabelece relação entre advogado e cliente. Reflete a situação jurídica em outubro de 2026.