Como avaliar a segurança do parceiro tecnológico: guia

Última atualização: 20 de julho de 2026

Principais lições deste artigo

• A Resolução CMN 5.274/2025 e a Resolução Conjunta nº 16/2025 reforçam a necessidade de uma due diligence rigorosa ao contratar um parceiro tecnológico para operações financeiras no Brasil.

• A avaliação de segurança precisa cobrir oito dimensões, incluindo conformidade regulatória, certificações como ISO 27001 e SOC 2 Type II, segurança de APIs, resiliência operacional e gestão de quartas partes.

• Evitar erros como operar com contas-bolsão, não mapear subprocessadores e confiar apenas em autoatestação reduz riscos regulatórios e de segurança.

• Fintechs, bancos digitais, ERPs e varejistas devem adaptar o framework de avaliação ao próprio perfil regulatório e ao volume de transações.

• Para implementar uma infraestrutura segura e em conformidade, vale conhecer a solução completa da Celcoin.

O que é avaliação de segurança de parceiros tecnológicos?

A avaliação de segurança de parceiros tecnológicos é um processo formal para identificar, medir e documentar riscos que um fornecedor externo pode introduzir na operação de uma instituição financeira. Esse processo considera alguns conceitos centrais.

• Risco de terceiros (third-party risk): exposição gerada pelo fornecedor direto contratado, como uma plataforma de Banking as a Service ou um processador de pagamentos.

• Risco de quartas partes (fourth-party risk): exposição gerada pelos subfornecedores do parceiro direto, como provedores de nuvem, processadores de Core Banking e bibliotecas de software, cujas falhas podem atingir a instituição contratante.

• Segurança de APIs: conjunto de controles que protege interfaces de programação contra ataques como Broken Object Level Authorization (BOLA), enumeração de identificadores e negação de serviço, em linha com o OWASP API Security Top 10.

• Pentest (teste de intrusão): avaliação independente que simula ataques reais para identificar vulnerabilidades em sistemas, APIs e infraestrutura antes que agentes maliciosos as explorem.

• DRP (Disaster Recovery Plan): plano técnico que define como sistemas e dados serão restaurados após incidentes, com métricas de RTO (Recovery Time Objective) e RPO (Recovery Point Objective) documentadas.

• ISO 27001: norma internacional de gestão de segurança da informação que exige controles documentados, auditados e em melhoria contínua.

• SOC 2 Type II: relatório de auditoria independente que valida a efetividade operacional de controles de segurança, disponibilidade, integridade de processamento, confidencialidade e privacidade ao longo de um período mínimo de seis meses.

Como funciona na prática a avaliação de segurança?

A avaliação estruturada de um parceiro tecnológico para um banco digital segue oito etapas sequenciais.

1. Análise regulatória inicial: verificar se o parceiro está sujeito à supervisão do Banco Central, se possui licença de Instituição de Pagamento (IP) ou atua como Provedor de Serviços de Tecnologia da Informação (PSTI) credenciado, e se cumpre as obrigações da Resolução CMN 5.274 e da Resolução Conjunta nº 16/2025.

2. Governança e certificações: exigir evidências de ISO 27001 vigente, SOC 2 Type II dos últimos 12 meses, designação formal de diretor responsável por cibersegurança e política documentada de gestão de riscos de terceiros.

3. Segurança de APIs e criptografia: validar uso de TLS 1.2 ou superior para dados em trânsito, AES-256 para dados em repouso, OAuth 2.0/OpenID Connect com tokens de curta duração, mTLS para cenários de alto risco e conformidade com FAPI 1.0 para APIs para Pix e Open Finance.

4. Auditorias independentes: solicitar relatórios de pentest dos últimos 12 meses realizados por terceiros, planos de remediação com prazos e evidências de reteste, além de histórico de divulgação de incidentes.

5. Resiliência operacional: avaliar RTO e RPO formalmente definidos, estratégia de recuperação em nuvem com modelos como Backup & Restore, Pilot Light, Warm Standby ou Multi-Site, testes periódicos documentados de DR e SLAs com MTTR explícito.

6. Gestão de identidades: confirmar autenticação multifator para acessos administrativos e redes externas, segregação de ambientes críticos como Pix e STR, controles de acesso privilegiado e logs retidos por no mínimo cinco anos, conforme exigido pela Resolução CMN 5.274.

7. Mapeamento de quartas partes e subfornecedores: exigir lista completa de subprocessadores críticos, como provedores de nuvem, processadores de Core Banking e bibliotecas de pagamento, avaliar concentração de risco e verificar se o parceiro monitora continuamente a cadeia de fornecimento.

8. Monitoramento contínuo pós-contratação: estabelecer revisões anuais formais, alertas em tempo real sobre degradação de postura de segurança, direitos contratuais de auditoria e reavaliação imediata em eventos gatilho como violações de dados ou mudanças regulatórias.

Implemente essas oito etapas com a infraestrutura completa da Celcoin, que reúne Banking as a Service e Core Banking com conformidade regulatória incorporada.

Panorama do mercado e contexto regulatório

Essas oito etapas ganham mais relevância quando se observa o ambiente regulatório recente para Banking as a Service e infraestrutura tecnológica financeira no Brasil.

O marco regulatório brasileiro para Banking as a Service e infraestrutura tecnológica financeira passou por mudanças importantes entre 2024 e 2026. A Resolução Conjunta nº 16/2025 criou um framework dedicado ao BaaS, atribuiu responsabilidade regulatória integral à instituição prestadora licenciada e passou a exigir que contratos com parceiros tecnológicos detalhem funções, critérios de segurança, responsabilidades e compartilhamento de dados. O prazo final de adequação é 31 de dezembro de 2026.

A Resolução BCB nº 498/2025 estabeleceu requisitos de credenciamento para PSTIs com acesso à Rede do Sistema Financeiro Nacional, o que impacta a seleção e a governança de fornecedores em cadeias de outsourcing de fintechs. Enquanto o credenciamento de um PSTI permanece pendente, instituições que se conectam ao sistema financeiro por meio desse provedor ficam sujeitas a um limite de R$ 15.000 por transação Pix ou TED.

A Resolução nº 18/2025, em vigor a partir de janeiro de 2026, reforça a importância da qualidade de dados na gestão de riscos e atribui responsabilidade direta a conselhos e diretorias. Para fintechs em crescimento acelerado, isso antecipa a necessidade de amadurecer práticas de governança de dados junto aos parceiros tecnológicos.

Guia de 8 dimensões para due diligence

O guia a seguir organiza as oito dimensões de avaliação, as evidências esperadas e um modelo de pontuação de maturidade de 1 a 5, com classificação de risco correspondente.

Dimensão	Evidências exigidas	Pontuação (1–5)	Classificação de risco
1. Conformidade regulatória	Licenças IP/IF ativas, credenciamento PSTI, aderência à Res. CMN 5.274 e Res. Conjunta 16/2025	1 = Sem licença, 5 = Totalmente credenciado e auditado	1–2: Crítico, 3: Moderado, 4–5: Baixo
2. Governança e certificações	ISO 27001 vigente, SOC 2 Type II dos últimos 12 meses, diretor de cibersegurança designado	1 = Sem certificações, 5 = ISO 27001 e SOC 2 Type II com governança documentada	1–2: Crítico, 3: Moderado, 4–5: Baixo
3. Segurança de APIs e criptografia	TLS 1.2+, AES-256, OAuth 2.0/OIDC, mTLS, FAPI 1.0 para Pix e Open Finance, API Gateway com rate limiting	1 = Sem padrões, 5 = FAPI 1.0, mTLS e gateway centralizado	1–2: Crítico, 3: Moderado, 4–5: Baixo
4. Auditorias independentes	Pentest externo dos últimos 12 meses, plano de remediação com reteste, histórico de divulgação de incidentes	1 = Sem pentest, 5 = Pentest anual com remediação documentada e TLPT	1–2: Crítico, 3: Moderado, 4–5: Baixo
5. Resiliência operacional	RTO e RPO definidos, estratégia de DR em nuvem, testes periódicos documentados, SLA com MTTR explícito	1 = Sem DRP, 5 = Multi-Site ativo com testes trimestrais e SOC integrado	1–2: Crítico, 3: Moderado, 4–5: Baixo
6. Gestão de identidades e acessos	MFA para acessos administrativos, segregação de ambientes Pix e STR, logs retidos por 5 anos, controles de acesso privilegiado	1 = Sem MFA, 5 = MFA, PAM, segregação total e logs auditáveis	1–2: Crítico, 3: Moderado, 4–5: Baixo
7. Gestão de quartas partes	Lista de subprocessadores críticos, avaliação de concentração de risco em nuvem, monitoramento contínuo da cadeia de fornecimento	1 = Sem mapeamento, 5 = Inventário completo com monitoramento automatizado	1–2: Crítico, 3: Moderado, 4–5: Baixo
8. Qualidade de dados e relatórios regulatórios	Relatórios automatizados como CCS, CADOCs, COSIF e DIMP, política de qualidade de dados aprovada pelo board, conformidade com Res. nº 18/2025	1 = Sem automação, 5 = Relatórios automatizados com política aprovada e auditoria contínua	1–2: Crítico, 3: Moderado, 4–5: Baixo

Um parceiro com pontuação média abaixo de 3 em qualquer dimensão crítica, como conformidade regulatória, governança e certificações, segurança de APIs ou gestão de identidades, deve ser considerado inapto para operações reguladas até apresentar um plano de remediação com prazo definido e evidências verificáveis.

Erros comuns e pontos de atenção

Alguns erros recorrentes comprometem a due diligence de parceiros tecnológicos em bancos digitais e fintechs.

• Operar com contas-bolsão: estruturas em que recursos de terceiros são administrados de forma não individualizada, misturando patrimônio do cliente com o do operador. Essa prática é irregular e vedada pelas normativas do Banco Central. A ausência de contas individualizadas indica não conformidade regulatória do parceiro.

• Ausência de verificação de quartas partes: mais de 60% das violações graves de dados começam por terceiros com acesso legítimo a sistemas, e ataques como SolarWinds, Kaseya e MOVEit mostraram que cadeias de fornecimento digital são um vetor frequente de ataques sofisticados. Diante desse cenário, contratar um parceiro sem mapear subprocessadores críticos transfere risco não mensurado para a instituição contratante.

• Validação apenas por autoatestação: questionários de segurança respondidos pelo próprio fornecedor, sem verificação independente por SOC 2 Type II ou pentest externo, se baseiam em dados não verificados. Avaliações independentes costumam revelar lacunas entre controles declarados e controles efetivamente implementados.

A ausência de relatórios regulatórios automatizados, como CCS, CADOCs, COSIF e DIMP, também expõe a instituição contratante a sanções administrativas. A Resolução Conjunta nº 16/2025 mantém a responsabilidade regulatória integral na instituição prestadora licenciada, mesmo quando há terceirização.

Evite esses erros com a Celcoin, que oferece infraestrutura certificada, sem contas-bolsão e com mapeamento completo de subprocessadores.

Aplicações e cenários de uso

As necessidades de due diligence variam conforme o perfil da organização contratante e o estágio de maturidade regulatória.

• Fintechs em fase inicial: sem licença própria, precisam de um parceiro que ofereça infraestrutura regulatória completa, incluindo licença IP, KYC, PLD/FT e relatórios ao Banco Central, e que permita migração futura para licença própria sem troca de plataforma. A due diligence deve priorizar as dimensões de conformidade regulatória, governança e certificações e qualidade de dados.

• Bancos digitais regulados: já possuem licença e buscam um Core Banking moderno. A due diligence precisa cobrir as oito dimensões, com ênfase em resiliência operacional, gestão de identidades e gestão de quartas partes, devido ao volume transacional e à exposição regulatória.

• ERPs: precisam integrar serviços financeiros diretamente em suas plataformas sem obter licenças próprias. A due diligence deve focar em segurança de APIs, qualidade de dados e capacidade de lançamento rápido com conformidade incorporada.

• Varejistas de grande porte: buscam embedded finance com marca própria. Além de segurança de APIs e resiliência, precisam avaliar se o parceiro suporta cartão white label, Pix e gestão de disputas em um ambiente certificado e auditado.

Seja qual for o perfil da sua empresa, a Celcoin oferece infraestrutura modular que se adapta à jornada de fintechs, bancos digitais, ERPs e varejistas.

Celcoin: infraestrutura completa de Banking as a Service e Core Banking

A Celcoin opera com portfólio completo de licenças e tecnologia proprietária e oferece APIs modulares para que empresas possam prover serviços bancários completos, desde contas digitais e cartões até liquidação, compliance e relatórios regulatórios automatizados como CCS, CADOCs, COSIF, DIMP e BacenJud. Fintechs e bancos digitais sem licença própria operam sob a infraestrutura regulatória da Celcoin no modelo Banking as a Service. Instituições já licenciadas integram suas licenças ao Core Banking da Celcoin e mantêm a mesma base tecnológica, segurança e suporte ao longo de toda a jornada de crescimento.

A Celcoin processa mais de R$ 30 bilhões em transações por mês e atende mais de 6 mil clientes, incluindo Neon, BTG Pactual, Banco Pan e PagSeguro.

A Celcoin não oferece empréstimo para consumidores. A empresa fornece infraestrutura tecnológica para que outras empresas ofertem produtos de crédito aos próprios clientes.

Funcionalidade da Celcoin	Benefício para sua empresa
APIs modulares	Integrações mais rápidas, com redução de custos e prazos de desenvolvimento.
Experiência e suporte ao desenvolvedor	Documentação, SDKs e sandboxes que reduzem ciclos de integração e custos de engenharia.
Capacidade de lançamento rápido	Módulos pré-construídos e entrega via SaaS aceleram lançamentos e melhoram o tempo para geração de receita.
Distribuição white-label e embutida	Suporte a produtos financeiros com marca própria.
Escalabilidade com confiabilidade	Infraestrutura com alta disponibilidade e escalável em nuvem mantém serviços estáveis mesmo em picos de volume e protege a receita.
Cobertura de pagamentos e crédito	Oferta de pagamentos e emissão de crédito aumenta conversão, ARPU e fidelização.
Acesso a dados e personalização	Dados e análises via Open Finance permitem ofertas personalizadas e melhoram conversão e retenção.
Compliance e conformidade como princípio	KYC, AML e relatórios integrados reduzem risco regulatório e aceleram ciclos de vendas.
Prevenção de fraude e controles de risco	Monitoramento baseado em IA e autenticação robusta reduzem estornos, perdas e exposição regulatória.
Força do ecossistema de parceiros da Celcoin	Parcerias e integrações com bancos, redes e fintechs ampliam cobertura, recursos e velocidade de entrada no mercado.

Perguntas frequentes

Quais certificações são obrigatórias para um parceiro tecnológico de banco digital no Brasil?

Não existe uma lista única de certificações legalmente obrigatórias. A Resolução CMN 5.274 e a Resolução Conjunta nº 16/2025 exigem que a instituição contratante comprove a maturidade de segurança do parceiro por meio de evidências técnicas, e não apenas por declaração contratual. Na prática, isso leva à exigência de ISO 27001 vigente, SOC 2 Type II dos últimos 12 meses e relatórios de pentest externo com planos de remediação documentados. Para parceiros que acessam a RSFN, o credenciamento como PSTI junto ao Banco Central é requisito regulatório direto desde a publicação da Resolução BCB nº 498/2025.

Como avaliar a resiliência operacional de um parceiro tecnológico?

A avaliação de resiliência operacional precisa verificar se o parceiro possui RTO e RPO formalmente definidos e testados, estratégia de recuperação em nuvem documentada, preferencialmente com modelos como Warm Standby ou Multi-Site para operações críticas, testes periódicos de DR com resultados registrados e SLAs com MTTR explícito. Incidentes como grandes interrupções em provedores de nuvem e falhas em atualizações de software de segurança mostram que dependências de quartas partes, como provedores de nuvem e processadores de Core Banking, precisam ser mapeadas e avaliadas como parte da resiliência total do parceiro.

O que é fourth-party risk e por que ele é relevante para bancos digitais brasileiros?

Fourth-party risk é a exposição gerada pelos subfornecedores do parceiro tecnológico direto, como provedores de nuvem, processadores de pagamento e bibliotecas de software, cujas falhas podem atingir diretamente a instituição contratante. No contexto brasileiro, o Banco Central deixa claro que a terceirização de atividades não transfere responsabilidade regulatória. A instituição licenciada permanece responsável por toda a cadeia. Isso significa que um banco digital precisa exigir do parceiro de Banking as a Service ou de Core Banking a lista completa de subprocessadores críticos, a avaliação de concentração de risco nesses subfornecedores e evidências de monitoramento contínuo dessa cadeia.

Quais são as principais obrigações da Resolução CMN 5.274 para gestão de parceiros tecnológicos?

A Resolução CMN 5.274 estabelece que a maturidade de segurança cibernética dos fornecedores externos é responsabilidade direta da instituição contratante, que deve verificá-la por evidências técnicas e não apenas por cláusulas contratuais. As principais obrigações incluem designação de diretor responsável por cibersegurança com segregação de funções, implementação de MFA para acessos administrativos e redes externas, retenção de logs e evidências de auditoria por no mínimo cinco anos, processos de resposta a incidentes com alta rastreabilidade, monitoramento contínuo de vazamentos de dados e avaliação contínua da maturidade de segurança dos parceiros. O prazo final de adequação é 31 de dezembro de 2026.