Os principais reguladores do sistema financeiro global estão movendo o foco de suas preocupações para um dos pontos mais críticos e menos visíveis da economia digital: a dependência das instituições em um pequeno número de provedores de tecnologia. O Comitê de Pagamentos e Infraestruturas de Mercado (CPMI), ligado ao Banco de Compensações Internacionais (BIS), e a Organização Internacional das Comissões de Valores Mobiliários (IOSCO) publicaram dois novos documentos para endereçar a questão.

Trata-se de um "kit de ferramentas de resiliência cibernética" e um documento de discussão sobre os riscos da terceirização de serviços críticos. A iniciativa, que atualiza um guia de 2016, sinaliza que a resiliência de uma única instituição já não é suficiente. A verdadeira vulnerabilidade pode estar nos fornecedores de nuvem, dados e software que servem a todo o mercado, criando pontos únicos de falha com potencial sistêmico.

O elo fraco da terceirização

A publicação dos documentos, que estão abertos a comentários públicos até 1º de dezembro de 2026, formaliza uma preocupação crescente entre os reguladores. A migração de infraestruturas críticas para a nuvem e a contratação de serviços especializados de tecnologia, embora tragam eficiência e escalabilidade, também concentram riscos de uma maneira sem precedentes. Um ataque bem-sucedido ou uma falha técnica em um grande provedor de nuvem poderia paralisar não apenas um banco, mas múltiplos mercados simultaneamente.

O documento de discussão da IOSCO e do CPMI não nomeia empresas, mas a leitura é clara: o ecossistema que depende de gigantes como Amazon Web Services, Microsoft Azure e Google Cloud tornou-se "grande demais para quebrar" em um sentido digital. A questão para os reguladores é como supervisionar entidades que não são financeiras por natureza, mas cuja operação é fundamental para a estabilidade financeira. Essa discussão reverbera diretamente no Brasil, onde o Banco Central e a CVM observam de perto os mesmos movimentos, dada a alta digitalização do sistema financeiro local.

O kit de ferramentas, por sua vez, é voluntário e não vinculante, mas serve como um balizador para as melhores práticas do setor. A mensagem é que a responsabilidade pela segurança não pode ser simplesmente transferida para o fornecedor. As instituições financeiras precisam ter planos robustos de contingência e uma compreensão profunda dos riscos que assumem ao terceirizar suas operações mais críticas. O debate aberto agora irá moldar as futuras regras de resiliência operacional para todo o setor.

Com reportagem de Brazil Valley

Source · TIInside