Terceirização e risco de terceiros
Ler a edição em PDF (4 páginas)
A maioria dos licenciados de DPT terceiriza partes essenciais de sua estrutura de compliance: verificação de identidade, triagem de sanções, monitoramento de operações, análise de blockchain e mensagens da travel rule são, em geral, fornecidas por prestadores externos. As Guidelines on Outsourcing da MAS, emitidas pela primeira vez em 2016 e revisadas em 2018, aplicam-se aos prestadores de serviços de pagamento. Exigem um registro dos contratos de terceirização e due diligence sobre o prestador antes da contratação e periodicamente depois dela. Os contratos escritos devem conferir à empresa e à MAS direitos de auditoria e de acesso. São exigidos planos de continuidade de negócios, assim como a notificação à MAS em caso de terceirização relevante.1 As guidelines tratam também de serviços em nuvem e de terceirização no exterior, aspectos relevantes para um grupo cujos sistemas de compliance possam estar hospedados na Suíça ou em outro lugar.
A responsabilidade pela função terceirizada permanece com o licenciado. Na inspeção, a MAS pede à empresa que demonstre entender como funcionam a triagem ou o monitoramento do prestador e que testou os resultados por ele produzidos. A empresa deve demonstrar que ajustou as regras do prestador à sua própria avaliação de risco e que detectaria uma falha do prestador. Uma empresa que não consegue explicar por que seu prestador de análise atribui um endereço a um cluster sancionado, ou como suas regras de monitoramento foram definidas, terceirizou também o seu juízo, e não apenas o processamento. A MAS não permite isso.
Escolha e governança de um prestador de análise de blockchain
A escolha de prestador que mais afeta os resultados de AML de um licenciado de DPT é a do fornecedor de análise de blockchain. Chainalysis, Elliptic, TRM Labs e alguns outros dominam o mercado, e suas atribuições diferem. O mesmo endereço pode ser classificado como de alto risco por um e não ter classificação em outro. A atribuição depende do clustering e da inteligência proprietários de cada fornecedor. A MAS não endossou nenhum fornecedor e não exige nenhum em particular. Espera, contudo, que a empresa tenha avaliado a cobertura do fornecedor em relação às blockchains que a empresa suporta, bem como a metodologia de atribuição e as taxas de erro do fornecedor. A latência das atualizações, os arranjos de proteção de dados e o próprio cumprimento de sanções pelo fornecedor fazem parte da mesma avaliação.2 Empresas maiores utilizam dois fornecedores em paralelo e investigam as discrepâncias, o que é uma boa prática, mas custosa. Empresas menores devem, no mínimo, documentar por que escolheram seu fornecedor e testar uma amostra de atribuições com base em fontes públicas. Seus limites de risco devem ser fixados com conhecimento do comportamento do fornecedor quanto a falsos positivos e falsos negativos.
Checklist
Um arranjo de análise de blockchain capaz de resistir a uma inspeção da MAS deve incluir o seguinte. - Uma avaliação escrita da cobertura de blockchains do fornecedor em relação aos ativos suportados pela empresa, atualizada sempre que um novo ativo for listado. - Limites documentados de pontuação de risco para exposição direta e indireta, por categoria (sanções, darknet, mixer, golpe, ataque hacker, jogos de azar), com a justificativa de negócio de cada um. - Provas de testes periódicos das atribuições do fornecedor com base em uma amostra de endereços conhecidos. - Um procedimento para tratar atribuições contestadas pela empresa, incluindo o escalonamento ao fornecedor e a documentação do resultado. - Provas de integração que demonstrem que toda transferência de entrada e de saída é verificada antes do crédito ou da transmissão à rede, com logs conservados por cinco anos. - Um contrato de tratamento de dados que satisfaça as regras de limitação de transferências do PDPA, caso o fornecedor trate dados fora de Singapura. - Confirmação de que o próprio fornecedor não está sujeito a sanções e não foi citado em medidas de fiscalização.
Notas
- MAS, Guidelines on Outsourcing, 27 de julho de 2016, revisadas em 5 de outubro de 2018, aplicáveis a todas as instituições financeiras reguladas pela MAS; a MAS realizou consultas e emitiu instrumentos sucessores sobre gestão de risco de terceiros para determinados setores. ↩
- Guidelines to Notice PSN02, seção sobre o uso de tecnologia e de ferramentas de terceiros na CDD e no monitoramento de operações; MAS Information Paper sobre os controles de AML/CFT dos prestadores de serviços de DPT, observações sobre a governança da análise de blockchain. ↩
Apenas para informação geral. Este artigo não constitui assessoria jurídica ou tributária, não substitui a análise do caso concreto e não estabelece relação entre advogado e cliente. Reflete a situação jurídica em outubro 2026.