Um guia completo para subadquirentes e empresas de meios de pagamento sobre due diligence, matrizes de responsabilidade, cláusulas essenciais e riscos regulatórios, financeiros e penais.
Por que a Contratação de Terceiros é Diferente em Meios de Pagamento?
Em uma subadquirente ou empresa de meios de pagamento, a contratação de terceiros não deve ser tratada como simples contratação comercial. Fornecedores como white label, gateway, BaaS, adquirente, FIDC, securitizadora, registradora, antifraude, KYC, provedor de nuvem, conciliação, chargeback e liquidação podem afetar diretamente:
Operação e Continuidade
A operação do negócio e a continuidade dos serviços prestados a clientes e lojistas.
Fluxo Financeiro
O fluxo financeiro, liquidação, antecipação e gestão de recebíveis.
Conformidade Regulatória
A aderência às normas do Banco Central, CVM, LGPD, bandeiras e arranjos de pagamento.
Segurança da Informação
A proteção de dados sensíveis de clientes, lojistas, cartões e transações.
O Marco Regulatório dos Arranjos de Pagamento
O Banco Central define arranjos de pagamento como o conjunto de regras e procedimentos que disciplinam determinado serviço de pagamento ao público. A regulamentação também reconhece a figura do subcredenciador como participante que habilita recebedores para aceitar instrumentos de pagamento, embora não participe da liquidação como credor perante o emissor.
Cuidados Gerais Antes de Assinar Qualquer Contrato
Antes da assinatura, a subadquirente deve realizar uma due diligence técnica, jurídica, regulatória, financeira, operacional e reputacional do fornecedor.
Cada dimensão da due diligence revela riscos distintos que, se ignorados, podem comprometer a operação, a conformidade e a responsabilidade da empresa contratante.
Verificar Regulação e Autorização do Fornecedor
Por que isso importa?
A natureza jurídica do fornecedor altera profundamente a responsabilidade, os riscos e as obrigações contratuais. Um fornecedor regulado tem obrigações distintas de um mero prestador operacional.
O que verificar
- Se atua como instituição autorizada pelo Banco Central
- Se é participante de arranjo, PSTI ou instituição financeira
- Se é securitizadora, administrador/gestor de FIDC ou registradora
- Se é parceiro tecnológico ou mero prestador operacional
- Qual a natureza jurídica formal da entidade
Entender a Cadeia Transacional
Deve ficar claro quem executa cada função na cadeia de pagamento. A ausência de clareza gera zonas cinzentas de responsabilidade.
Captura e Transmissão
Quem captura, transmite, processa, tokeniza e autentica a transação.
Liquidação e Conciliação
Quem liquida, concilia, antecipa e registra recebíveis.
Fraude e Chargeback
Quem trata chargebacks, responde a fraudes e mantém dados sensíveis.
Comunicação com Parceiros
Quem se comunica com adquirentes, bandeiras, registradoras e bancos liquidantes.
Evitar Dependência Operacional Sem Plano de Saída
Contratos de white label, gateway, BaaS e adquirência podem criar dependência tecnológica e comercial severa. O contrato deve prever obrigatoriamente:
Portabilidade de Dados
Garantia de acesso e exportação de todos os dados operacionais.
Plano de Transição
Continuidade assistida com prazo de migração definido.
Entrega de Bases
Entrega de bases de dados, documentação técnica e histórico transacional.
Não Interrupção Abrupta
Proibição de encerramento sem prazo mínimo de aviso e suporte à migração.
Avaliar Risco Financeiro da Operação
É indispensável revisar cláusulas que podem impactar diretamente o fluxo financeiro da empresa.
Reservas e Retenções
Cláusulas de reserva, retenção, garantia, trava de recebíveis e recomposição de garantia.
Antecipação e Cessão
Regras de antecipação, cessão fiduciária e condições de liberação de valores.
Penalidades e Glosas
Multas, chargebacks, glosas, estornos e bloqueios de agenda.
Fraude e Inadimplência
Responsabilidade por fraude, inadimplência e perdas operacionais.
Segurança da Informação e LGPD
Obrigações Contratuais Essenciais
- Confidencialidade e tratamento de dados pessoais
- Papéis de controlador e operador definidos
- Suboperadores e transferência internacional
- Logs, criptografia e segregação de ambientes
- Gestão de incidentes e notificação de vazamento
- Auditoria e exclusão/devolução de dados ao término
SLA, Indicadores e Penalidades
- SLA de disponibilidade e tempo de resposta
- RTO e RPO definidos contratualmente
- Suporte e janelas de manutenção
- Plano de continuidade documentado
- Penalidades por indisponibilidade
- Comunicação imediata de incidentes
White Label: Riscos e Cuidados
O white label costuma parecer vantajoso pela rapidez de entrada no mercado, mas é uma das estruturas que mais pode gerar risco de dependência, confusão regulatória e responsabilidade indireta.
Principais Riscos do White Label
Falsa Percepção de Titularidade
O cliente final pode acreditar que a subadquirente controla toda a infraestrutura, quando a tecnologia e liquidação pertencem ao fornecedor.
Dependência Tecnológica
A empresa pode ficar presa à plataforma, sem acesso ao código, APIs, banco de dados ou histórico transacional completo.
Indisponibilidade e Interrupção
Se o fornecedor suspender o serviço, alterar preço ou sofrer incidente, a subadquirente pode ficar sem operação.
Responsabilidade de Marca
Falhas do fornecedor geram responsabilidade reputacional, consumerista e contratual para a subadquirente, pois a operação aparece com sua marca.
Cláusulas Essenciais no Contrato de White Label
Descrição detalhada dos serviços e matriz de responsabilidades
Definição clara do que é prestado pelo fornecedor e o que é responsabilidade da contratante.
SLA, logs, auditoria e propriedade dos dados
Disponibilidade garantida, trilhas de auditoria, portabilidade e titularidade dos dados da contratante.
Plano de saída, transição assistida e continuidade
Obrigação de continuidade em caso de rescisão, com prazo de transição e entrega de bases.
Confidencialidade, LGPD e comunicação de incidentes
Regras de uso de marca, proteção de dados e obrigação de comunicar incidentes de segurança, fraude ou indisponibilidade.
Gateways de Pagamento: Peça Sensível da Cadeia
O gateway é peça sensível porque atua na conexão entre loja, subadquirente, adquirente, antifraude, bandeira, autenticação, tokenização e autorização. Falhas nesse elo comprometem toda a cadeia transacional.
Riscos Críticos do Gateway de Pagamento
Falha na Transmissão
Instabilidade pode gerar perda de vendas, duplicidade, cobrança indevida ou divergência de status.
Risco de Conciliação
O gateway pode registrar transação como aprovada enquanto a adquirente registra outro status, gerando divergência operacional e financeira.
Segurança e PCI DSS
Se o gateway trafega, armazena ou processa dados de cartão, exige atenção especial a PCI DSS, tokenização e criptografia.
Lock-in Técnico
APIs proprietárias, ausência de documentação e dependência de integrações customizadas dificultam migração futura.
Cláusulas Essenciais no Contrato de Gateway
Operacional e Técnico
- SLA transacional por autorização, captura, cancelamento e estorno
- Tempo máximo de indisponibilidade
- Logs por transação e rastreabilidade de payloads
- Documentação técnica atualizada
- Compatibilidade com antifraude, 3DS e tokenização
Segurança e Responsabilidade
- Obrigação de atender PCI DSS quando aplicável
- Segregação de dados por cliente
- Plano de contingência documentado
- Responsabilidade por falhas de roteamento e duplicidade
- Responsabilidade por perda de transação ou status inconsistente
BaaS — Banking as a Service: O Mais Crítico
O BaaS é crítico porque pode envolver conta transacional, Pix, TED, liquidação, emissão de boletos, KYC, split, cash-in, cash-out, ledger, saldo, subcontas e movimentação de recursos de clientes.
Principais Riscos do BaaS
Risco Regulatório
É necessário entender se o parceiro BaaS é instituição autorizada, banco, SCD, SEP, correspondente, PSTI ou mero provedor tecnológico. A natureza altera a estrutura de responsabilidade.
Movimentação Indevida
Falhas no ledger, saldo, split, conciliação ou liquidação podem causar pagamento a destinatário errado, saldo negativo ou apropriação indevida.
Bloqueio Operacional
O parceiro BaaS pode bloquear contas, limitar transações, reter valores ou suspender serviços por suspeita de fraude, PLD/FTP ou política interna.
Confusão Perante o Cliente
É necessário deixar claro quem é a instituição detentora da conta, quem presta o serviço financeiro e quem responde por reclamações e bloqueios.
Cláusulas Essenciais no Contrato de BaaS
Papel regulatório de cada parte e responsabilidade pelo KYC/KYB
Regras de abertura, manutenção, bloqueio e encerramento de contas
Critérios de bloqueio cautelar e prazos para análise de suspeitas
Responsabilidade por Pix, TED, boleto, split e liquidação
Conciliação diária, trilha de auditoria e segregação de recursos
Plano de saída com migração de contas, saldos e históricos
Adquirentes: O Centro de Risco da Subadquirente
A relação com adquirente é central para uma subadquirente. É onde normalmente se concentram riscos de credenciamento, liquidação, chargeback, garantias, reserva de recebíveis, monitoramento de fraude, regras de bandeiras e encerramento de estabelecimentos.
Principais Riscos na Relação com Adquirentes
Garantias Excessivas
Reserva, CDB, carta fiança, trava de recebíveis e recomposição de garantias podem comprometer o fluxo de caixa.
Chargeback e Responsabilidade
O contrato pode transferir à subadquirente o risco de cancelamentos, fraudes, multas de bandeiras e programas de monitoramento.
Cancelamento Unilateral
A adquirente pode suspender ou encerrar a relação por risco reputacional, fraude, aumento de chargeback ou irregularidade cadastral.
Concentração e Liquidação
Depender de uma única adquirente deixa a subadquirente vulnerável. A agenda de recebíveis exige atenção a gravames, cessão fiduciária e ônus.
Cláusulas Essenciais no Contrato com Adquirentes
Garantias e Chargebacks
- Limites objetivos para retenção de valores
- Fórmula de cálculo de garantias
- Prazo de liberação de reservas
- Critérios de recomposição
- Responsabilidade por chargebacks e prazos de contestação
Operação e Encerramento
- Acesso aos dados transacionais
- Regras de onboarding de lojistas
- Notificação prévia antes de bloqueios
- Matriz de responsabilidade por fraude
- Possibilidade de múltiplas adquirentes
FIDC: Antecipação de Recebíveis e Seus Riscos
A contratação com FIDC normalmente aparece para antecipação de recebíveis, funding, cessão de direitos creditórios, estruturação de carteira, aquisição de recebíveis de lojistas ou financiamento da operação. O FIDC é regulado pela CVM, e o Anexo Normativo II da Resolução CVM 175 trata especificamente dos fundos de investimento em direitos creditórios.
Principais Riscos na Operação com FIDC
Cessão Mal Estruturada
A cessão de recebíveis deve estar juridicamente bem documentada, com identificação do crédito, titularidade, existência, performação e elegibilidade.
Risco de Coobrigação
A empresa pode assumir responsabilidade pela recompra, inadimplência, fraude, vício, chargeback ou inexistência dos créditos cedidos.
Dupla Cessão ou Conflito de Gravames
Recebíveis podem já estar onerados, cedidos ou travados, gerando disputa com registradoras, adquirentes, credores e fundos.
Descasamento de Fluxo
O prazo de liquidação dos recebíveis, chargebacks, cancelamentos, MDR e pagamento ao lojista precisa estar matematicamente compatível.
Cláusulas Essenciais no Contrato com FIDC
Critérios objetivos de elegibilidade dos recebíveis
Regras claras de cessão e confirmação de titularidade.
Tratamento de chargebacks e cancelamentos
Hipóteses limitadas de recompra e responsabilidade por fraude e vício de origem.
Consulta e baixa de gravames
Conciliação com registradoras e limites de concentração por lojista, MCC, adquirente ou bandeira.
Prazo de pagamento e eventos de inadimplemento
Consequências de suspensão da compra de recebíveis e governança de dados.
Securitizadora e Operações de Securitização
A securitização pode ser usada para transformar recebíveis em títulos ou instrumentos lastreados em créditos. A Lei nº 14.430/2022 instituiu regras gerais sobre securitização, incluindo a possibilidade de regime fiduciário, em que a securitizadora administra patrimônio separado e mantém registros contábeis próprios.
Riscos na Operação com Securitizadora
Segregação Patrimonial Inadequada
É necessário verificar se os créditos cedidos ou vinculados estão efetivamente segregados e se há regime fiduciário aplicável.
Lastro Insuficiente ou Contaminado
Recebíveis sujeitos a chargeback, cancelamento, fraude, disputa ou inadimplência podem comprometer a qualidade do lastro.
Obrigações de Recompra
A securitizadora pode exigir substituição de créditos, reforço de garantia ou recompra em hipóteses amplas.
Risco Reputacional
Uma operação mal estruturada pode afetar a imagem da subadquirente perante investidores, adquirentes, clientes, bandeiras e reguladores.
Antifraude, KYC, KYB e Listas Restritivas
Fornecedores de antifraude, análise cadastral, biometria, enriquecimento de dados, listas restritivas e monitoramento transacional são essenciais, mas não eliminam a responsabilidade da subadquirente.
Riscos nos Fornecedores de Antifraude e KYC
Falso Positivo
Clientes legítimos bloqueados indevidamente, gerando perda comercial, reclamações e risco jurídico.
Falso Negativo
Fraudadores aprovados, causando chargeback, lavagem de dinheiro, golpes, autofraude e risco reputacional.
Dados Pessoais
Consultas em bases públicas, privadas e biométricas exigem base legal, finalidade, segurança e governança.
Dependência de Motor Externo
A empresa não pode terceirizar integralmente sua política de risco sem manter governança, parametrização e validação periódica.
Registradoras de Recebíveis
Por que são críticas?
Registradoras são críticas quando há recebíveis de cartão, cessão, antecipação, trava, garantia, gravame e conciliação de agendas. Erros nesse elo podem paralisar operações financeiras inteiras.
Principais Riscos
- Erro de registro ou baixa: pode causar indisponibilidade de recebíveis ou bloqueio indevido
- Conflito entre agendas: o mesmo recebível vinculado a múltiplos credores
- Falha de conciliação: divergência entre registradora, adquirente e sistema interno
- Risco de indisponibilidade: falha no acesso pode impedir cessão ou antecipação
Fornecedores de Tecnologia, Nuvem, APIs e Infraestrutura
No setor de meios de pagamento, tecnologia é infraestrutura crítica. Cloud, APIs, mensageria, banco de dados, observabilidade, CRM, suporte, BI, conciliação e monitoramento precisam ser avaliados como fornecedores relevantes.
Riscos Críticos em Tecnologia e Nuvem
Indisponibilidade Sistêmica
Pode afetar autorização, captura, liquidação, atendimento, conciliação e gestão de chargebacks simultaneamente.
Vazamento de Dados
Dados de clientes, lojistas, cartões, transações e documentos cadastrais são altamente sensíveis e regulados.
Falha de Continuidade
Sem backup, redundância, DRP e testes de restauração, um incidente pode paralisar completamente a operação.
Subcontratação Invisível
O fornecedor pode utilizar outros terceiros sem informar a contratante, ampliando risco de privacidade e segurança.
Principais Cláusulas que Não Podem Faltar
Para todos os contratos críticos, as seguintes cláusulas devem ser revisadas ou inseridas:
Cláusulas Detalhadas: Objeto, Compliance e Segurança
a. Objeto Detalhado e Matriz de Responsabilidade
Quem faz o quê, em qual etapa, com qual obrigação, em qual prazo e com qual responsabilidade. Sem ambiguidade.
b. Compliance Regulatório
Obrigação de cumprir normas do Banco Central, CVM, LGPD, regras de bandeiras, arranjos de pagamento, PLD/FTP e segurança da informação.
c. Segurança da Informação
Controles mínimos, criptografia, logs, gestão de acessos, segregação, vulnerabilidades, pentest, backup, continuidade e resposta a incidentes.
d. LGPD e Proteção de Dados
Papéis das partes, finalidade, bases legais, operadores, suboperadores, transferência internacional, incidentes, descarte e atendimento a titulares.
Cláusulas Detalhadas: SLA, Auditoria e Continuidade
e. SLA e Penalidades
Disponibilidade, suporte, resposta, correção, incidentes, conciliação, processamento e penalidades por descumprimento.
f. Direito de Auditoria
Auditoria direta ou por terceiro, envio de evidências, questionários, relatórios e certificações periódicas.
g. Continuidade de Negócios
Plano de contingência, disaster recovery, RTO, RPO, testes e comunicação de indisponibilidade.
h. Rescisão e Plano de Saída
Prazo de transição, portabilidade de dados, continuidade assistida, não retenção indevida e devolução/exclusão segura.
Cláusulas Detalhadas: Financeiro, Dados e Subcontratação
i. Responsabilidade Financeira
Chargebacks, fraudes, multas, bloqueios, retenções, garantias, indenizações, perdas operacionais e limites de responsabilidade.
j. Confidencialidade e Propriedade dos Dados
A contratante deve manter controle e titularidade sobre dados de clientes, lojistas, transações, relatórios, credenciais e histórico operacional.
k. Subcontratação
Exigir comunicação, aprovação prévia ou, no mínimo, ciência formal sobre subcontratados relevantes.
l. Foro e Resolução de Conflitos
Prever mecanismos céleres para desbloqueio indevido, indisponibilidade, falha de liquidação ou retenção de valores.
Matriz Prática de Riscos por Tipo de Contratação
Checklist Mínimo Antes da Assinatura
Antes de assinar, a empresa deveria responder afirmativamente a todas as perguntas abaixo:
- O fornecedor é regulado, autorizado, homologado ou apenas tecnológico?
- Qual etapa da cadeia de pagamento ele executa?
- Ele terá acesso a dados pessoais, financeiros ou de cartão?
- O contrato define controlador, operador e suboperadores pela LGPD?
- Há SLA claro e plano de continuidade?
- Existe direito de auditoria e envio de evidências de segurança?
- O fornecedor possui PCI DSS, ISO 27001 ou SOC 2 quando aplicável?
- Há cláusula de portabilidade dos dados e plano de saída?
- O contrato permite bloqueio ou retenção unilateral de valores?
- Existem garantias, reservas ou travas de recebíveis?
- Como são tratados chargebacks, fraudes e cancelamentos?
- O fornecedor pode alterar preço ou regras unilateralmente?
- Há subcontratados? Quem são?
- O contrato é compatível com as regras das bandeiras e adquirentes?
- Há risco de dupla cessão ou conflito de gravames?
- Há concentração excessiva em um único fornecedor?
- A empresa consegue operar se esse fornecedor cair por 24h?
- A empresa consegue operar se esse fornecedor cair por 48h?
- A empresa consegue operar se esse fornecedor cair por 72h?
Parecer Consultivo Resumido
A terceirização não transfere integralmente o risco: a empresa contratante continua exposta perante clientes, lojistas, adquirentes, bandeiras, reguladores, investidores e parceiros comerciais.
Para uma subadquirente ou empresa de meios de pagamento, a assinatura de contratos com white label, gateway, BaaS, adquirentes, FIDC, securitizadoras e demais fornecedores deve ser precedida de due diligence robusta e análise contratual especializada.
As Cinco Dimensões da Análise Contratual
Regulatória
Aderência às normas do Banco Central, CVM, bandeiras e arranjos de pagamento.
Financeira
Garantias, chargebacks, retenções, cessão de recebíveis e fluxo de caixa.
Operacional
SLA, continuidade, plano de saída, portabilidade e dependência tecnológica.
Tecnológica
Segurança, criptografia, backup, DRP, logs e gestão de incidentes.
Jurídica
Matriz de responsabilidade, LGPD, subcontratação, foro e resolução de conflitos.
Matrizes de Responsabilidade: Por que São Indispensáveis
Em contratos envolvendo subadquirência, meios de pagamento, BaaS, white label, adquirentes, FIDC, securitização e demais fornecedores críticos, a matriz de responsabilidade é indispensável para evitar zonas cinzentas.
Matriz de Responsabilidade por Tipo de Fornecedor
Matriz RACI: Onboarding de Lojistas
A matriz RACI separa: R — Responsible (executa), A — Accountable (responde finalisticamente), C — Consulted (deve ser consultado), I — Informed (deve ser informado).
Matriz RACI: Processamento Transacional
Matriz RACI: Chargeback, Fraude e Disputa
Matriz RACI: Liquidação, Recebíveis e Antecipação
Matriz RACI: Segurança da Informação e Incidentes
Matriz de Responsabilidade por Natureza do Risco
Responsabilidade dos Administradores, Diretores e Sócios
A responsabilidade pessoal de administradores e sócios não surge automaticamente apenas porque ocupam cargo societário. Em regra, é necessário demonstrar conduta, participação, dolo, culpa grave, omissão relevante, benefício indevido, violação de dever de controle ou ciência do fato.
Marcos Legais da Responsabilidade Pessoal
Lei nº 7.492/1986
Trata dos crimes contra o Sistema Financeiro Nacional: gestão fraudulenta ou temerária, operação sem autorização, apropriação ou desvio de valores e manutenção de contabilidade paralela.
Lei nº 9.613/1998
Trata da lavagem ou ocultação de bens, direitos e valores, além de impor deveres de prevenção, identificação, registro e comunicação a determinados setores obrigados.
LGPD
Impõe responsabilidades a controladores e operadores de dados pessoais, com sanções administrativas e responsabilidade civil por danos causados.
Responsabilidade do Compliance Officer
Quando pode responder
- Tinha dever formal de prevenir ou reportar determinado risco
- Tinha conhecimento de irregularidade relevante
- Omitiu-se deliberadamente
- Participou da fraude ou maquiou evidências
- Aprovou operação irregular
- Deixou de comunicar alertas graves
- Validou controles inexistentes
- Produziu relatório falso ou enganoso
Quando sua responsabilidade é mitigada
Se o Compliance Officer identificou o risco, reportou formalmente, recomendou correções, documentou alertas, escalou internamente e não tinha poder decisório para impedir a operação, a tendência é que sua responsabilidade seja mitigada.
A doutrina brasileira rejeita a ideia de responsabilidade penal automática do compliance officer. A análise depende do dever de garante, da atribuição formal, do poder real de agir e da conduta concreta.
Quem Vai Preso Quando o Bicho Pega?
Empresa não "vai presa"; quem pode ser preso são pessoas físicas. A pessoa jurídica pode sofrer sanções administrativas, civis, regulatórias, bloqueios, multas, restrições e encerramento de contratos. Na prática, quando "o bicho pega", a investigação costuma olhar para as pessoas que:
Mandaram fazer ou autorizaram a operação irregular
Se beneficiaram direta ou indiretamente
Sabiam e se omitiram deliberadamente
Tinham dever de impedir e não impediram
Assinaram documentos falsos ou manipularam informações
Liberaram operação irregular ou ignoraram alertas de risco
Quem Pode Ser Responsabilizado Criminalmente?
Situações que Mais Geram Risco Penal
Operação Sem Autorização
Operação sem autorização regulatória quando exigida; captação, intermediação ou movimentação irregular de recursos de terceiros.
Lavagem de Dinheiro
Uso da estrutura de pagamento para lavagem; lojistas de fachada ou laranjas; MCC incompatível com atividade real; split para ocultar beneficiário final.
Fraude em Recebíveis
Antecipação de recebíveis inexistentes ou simulados; cessão duplicada de recebíveis; contabilidade paralela; retenção indevida de valores de lojistas.
Ocultação e Manipulação
Ocultação de incidente de segurança; destruição ou alteração de logs; documentos falsos em KYC/KYB; comunicação falsa a adquirente, banco, FIDC ou regulador.
Erro Operacional vs. Problema Criminal
Quem Responde Quando Algo Dá Errado?
Red Flags que Indicam Risco Pessoal dos Administradores
Os administradores devem ficar especialmente atentos quando ocorrerem os seguintes sinais:
Contratos e Fornecedores
- Fornecedor sem contrato formal
- Contrato sem matriz de responsabilidade
- Ausência de due diligence
- Fornecedor crítico sem SLA
- Ausência de logs
Operação e Risco
- Lojistas de alto risco aprovados sem justificativa
- Comercial pressionando risco/compliance para aprovar cadastro
- Recebíveis antecipados sem validação
- Chargeback crescente sem plano de ação
- Operação com MCC incompatível
Governança e Documentação
- Decisões críticas tomadas por WhatsApp sem registro formal
- Relatórios internos que apontam risco e são ignorados
- Incidentes de segurança tratados informalmente
- Documentos apresentados a parceiros com informação incompleta ou falsa
- Split sem beneficiário final claro
Como Reduzir o Risco de Responsabilização Pessoal
A melhor defesa da empresa e dos administradores é a existência de governança real, evidência documental e reação tempestiva.
Política de Gestão de Terceiros Críticos
A empresa deve manter uma política formal de gestão de terceiros críticos, com os seguintes elementos:
Due Diligence Prévia
Processo formal de avaliação técnica, jurídica, regulatória, financeira, operacional e reputacional antes da contratação.
Classificação de Criticidade
Categorização dos fornecedores por nível de risco e impacto operacional, financeiro e regulatório.
Aprovação Interna Formal
Ata de aprovação de fornecedores estratégicos, parecer jurídico/regulatório e avaliação de segurança da informação.
Monitoramento Contínuo
Revisão periódica de SLA, relatório de monitoramento, plano de saída e documentação de alertas e decisões.
Cláusulas Contratuais Recomendadas
Matriz de Responsabilidades
As Partes deverão observar a Matriz de Responsabilidades constante do Anexo, indicando para cada atividade crítica a parte responsável pela execução, aprovação, validação, comunicação, monitoramento, guarda de evidências e tratamento de falhas.
Subcontratação e Responsabilidade por Terceiros
A Contratada não poderá subcontratar atividades críticas sem prévia ciência formal da Contratante, permanecendo integralmente responsável pelos atos, omissões e falhas de seus subcontratados.
Fraude, Chargeback e Perdas Operacionais
A responsabilidade financeira por fraudes, chargebacks, cancelamentos, multas e perdas será atribuída à Parte que tenha dado causa ao evento, descumprido obrigação ou assumido expressamente tal risco.
Incidentes e Preservação de Provas
Na ocorrência de incidente, a Parte que identificar o evento deverá comunicar a outra imediatamente. É vedada a exclusão, alteração ou destruição de evidências relacionadas ao evento.
Conclusão: A Melhor Proteção é Simples na Teoria e Trabalhosa na Prática
Na hora que o bicho pega, não responde necessariamente quem tem o cargo mais bonito, nem quem assinou o contrato de forma automática. Responde quem praticou o ato, autorizou, se beneficiou, tinha dever de impedir, tinha ciência do risco, ignorou alertas, ocultou fatos ou falhou gravemente no dever de controle.
Contrato Bem Feito
Matriz de responsabilidade clara, cláusulas robustas de LGPD, SLA, auditoria e plano de saída.
Governança Real
Política formal de gestão de terceiros, due diligence prévia, aprovação interna e monitoramento contínuo.
Evidência Documental
Trilhas de auditoria, logs protegidos, atas de decisão e comunicação formal de incidentes.
Decisão Sempre Registrada
Toda decisão crítica documentada, com responsável identificado, justificativa e evidência de análise.
Cuidados e Riscos ao Contratar Fornecedores Estratégicos em Meios de Pagamento