Serviços de TI para setores regulamentados

Por que a governança precisa ser contínua, e não periódica

A regulamentação nos setores bancário, de seguros e de saúde está em constante evolução, e as instituições precisam continuamente traduzir regras baseadas em resultados, padrões setoriais e exigências nacionais em controles operacionais e evidências auditáveis. Isso torna a governança uma disciplina operacional contínua, em vez de um exercício periódico de conformidade.

Dois acontecimentos concretizam essa mudança. Desde 17 de janeiro de 2025, aLei de Resiliência Operacional Digital (DORA) da UE exige que as entidades financeiras abrangidas pela lei reforcem a gestão de riscos de TIC, mantenham registros de acordos com terceiros, testem a resiliência e gerenciem o risco de concentração — e os primeiros provedores terceirizados críticos de TIC foram formalmente designados pelas Autoridades de Supervisão Europeias em novembro de 2025. Na área da saúde, adiretiva NIS2 da UE amplia os requisitos de gestão de riscos de segurança cibernética e de notificação de incidentes para todo o setor e inclui prestadores de serviços gerenciados e de segurança em seu escopo, enquanto as organizações do Reino Unido com acesso aos dados de pacientes do NHS devem comprovar suas práticas de segurança por meio do Kit de Ferramentas de Segurança e Proteção de Dados do NHS.

A IA também não é mais tratada como uma questão separada e emergente. As obrigações para os provedores de modelos de IA de uso geral, previstas na Lei da IA da UE, passaram a vigorar em 2025, eas obrigações de transparência do Artigo 50 para provedores e implementadores de determinados sistemas de IA interativos e generativos passam a vigorar a partir de 2 de agosto de 2026 — o que significa que já estão em vigor a partir deste mês.

Ao comparar a certificação periódica de conformidade com as evidências contínuas de conformidade, os órgãos reguladores dos setores bancário, de seguros e de saúde estão chegando à mesma conclusão: um controle contínuo e comprovável é o que atende aos requisitos atualmente.

As quatro competências que um parceiro de tecnologia deve demonstrar

1. Garantia incorporada ao projeto, respaldada por controles comprovados de forma independente, em vez de uma abordagem de conformidade adotada após a implantação.

2. Infraestrutura híbrida resiliente e portátil, com gestão explícita dos riscos de fornecedor e de concentração. A arquitetura multicloud pode ser uma forma de mitigar esse risco quando o caso de negócios o justificar, mas não é, por si só, uma exigência regulatória — a verdadeira necessidade é uma arquitetura projetada com foco na portabilidade e no planejamento de saída, e não uma estratégia específica de nuvem.

3.IA regulamentada e integrada aos processos existentes de risco e auditoria — um inventário de casos de uso aprovados, registro, rastreabilidade e intervenção humana quando necessário, em vez de uma camada paralela e de difícil auditoria.

4. Integração de serviços responsável em grande escala, apoiada por experiência específica do setor suficiente para coordenar vários fornecedores, em vez de simplesmente cumprir um acordo de nível de serviço.

Quando os modelos de entrega fragmentados geram riscos

MSPs genéricos — Aplicam um modelo operacional padrão em todos os setores; organizações regulamentadas geralmente precisam de uma integração mais profunda com estruturas de risco e conformidade, maior retenção de evidências e segregação de funções do que o que esse modelo oferece.

Provedores de nuvem em hiperescala — Oferecem forte resiliência e economia, mas a arquitetura, a configuração, a identidade e a comprovação do cumprimento regulatório continuam sendo responsabilidades compartilhadas — e a DORA agora intensifica o escrutínio sobre a concentração e o planejamento de saída, especificamente.

Soluções pontuais desconexas — Cada plataforma pode ter um bom desempenho por si só, mas nenhuma entidade é responsável pela integração entre elas; assim, o cliente acaba tendo que conciliar as evidências entre identidades, dispositivos, aplicativos e atividades de IA durante uma auditoria ou um incidente.

A questão não é que qualquer uma dessas soluções careça de capacidade — o problema é que seus modelos operacionais costumam ser otimizados para padronização ou funcionalidades especializadas, em vez de uma garantia regulatória de ponta a ponta. Isso faz com que as organizações disponham de tecnologia capaz, mas com responsabilidades fragmentadas.

Como a Getronics aborda essas quatro capacidades

Garantia incorporada ao projeto.A capacidade da Getronicsem serviços regulamentados é respaldada por controles das normas ISO 27001, ISO 22301, SOC 2 Tipo II e ISAE 3402 Tipo II, pela norma ISO 27701, por conformidade com o PCI DSS e pela maturidade de processos no Nível 3 do CMMI — adaptados a cada projeto, em vez de serem tratados como uma garantia genérica. Na prática: umaplataforma certificada de processamento de pagamentospara um banco brasileiro, que hoje dá suporte a 45 milhões de cartões ativos, implantada em 15 dias e classificada como a principal provedora; umaoperação de controle de qualidade para um banco chileno que passou de 1.500 para 6.000 horas de certificação por mês, acumulando mais de 120.000 horas em 195 projetos.

Infraestrutura resiliente e portátil. A Getronics gerenciaambientes em nuvem, locais, de ponta e multicloud, sem tornar a multicloud um objetivo em si — a arquitetura é projetada com base na criticidade dos serviços, na capacidade de recuperação e no planejamento de saída. Um grupo europeu de seguros e serviços financeiros, com faturamento de 10 bilhões de euros, opera infraestruturas paralelas no Azure e na AWS com a Getronics desde 2010, juntamente com operações em conformidade com a BaFin e controles auditados.

IA regulada com responsabilidade humana. A IA generativa, a análise preditiva e a automação atuam em conjunto com a responsabilidade humana nas operações de serviços da Getronics. Uma plataforma de autoatendimento baseada em IA para os segurados de uma seguradora europeia reduziu o custo por atendimento em 57%. Para um prestador de serviços de saúde com 160 consultórios médicos, um call center baseado em IA atendeu a mais de 70% das chamadas recebidas, reduziu o custo por atendimento em 75% e aumentou a taxa de conversão de consultas de menos de 40% para mais de 80%.

Integração de serviços com responsabilidade em grande escala. Empresas em mais de 180 países confiam na Getronics para administrar seu ambiente de trabalho digital — e fomos nomeados “Niche Player” noMagic Quadrant™ 2025 da Gartner® para Serviços Terceirizados de Digital Workplace (ODWS) pela quinta vez, um reconhecimento que, acreditamos, reflete a consistência de nossa prestação de serviços global. Essa consistência é respaldada por mais de 35 anos de experiência em ambientes regulamentados e de alto risco, oferecidos por meio de 22 centros de prestação de serviços e uma central de atendimento 24 horas por dia, 7 dias por semana, com suporte em 22 idiomas.

“O que vejo com mais frequência na prática é uma tecnologia que funciona perfeitamente bem isoladamente, mas ninguém se responsabiliza por como ela se encaixa no todo”, afirma Stephen Homer, gerente de portfólio d Digital Workplace s da Getronics. “O valor de um integrador responsável não está em ter menos fornecedores — está em contar com uma equipe que mantenha a visibilidade das dependências, a responsabilidade por incidentes e o planejamento de saída coordenados entre todos eles, para que nada fique na lacuna entre as plataformas.”

O modelo pelo qual vale a pena lutar

Atender a esses requisitos não significa trocar a dependência de um hiperescalador pela dependência de um único MSP. Um modelo mais sustentável é aquele em que um integrador de serviços responsável seja capaz de coordenar vários fornecedores, manter uma subcontratação transparente, oferecer suporte a arquiteturas portáteis e planos de saída documentados, além de assumir a responsabilidade operacional de ponta a ponta. Seja a prioridade modernizar uma plataforma bancária, ampliar um ecossistema de seguros ou dar suporte a uma rede de saúde com várias unidades, o requisito é o mesmo: os serviços de tecnologia precisam permanecer resilientes, governados e capazes de demonstrar os controles dos quais a organização depende.

Perguntas frequentes

1. O que é a DORA e a quem ela se aplica?
   A Lei de Resiliência Operacional Digital (DORA) é um regulamento da União Europeia que exige que as entidades financeiras abrangidas pelo regulamento reforcem a gestão de riscos de TIC, mantenham registros de acordos com terceiros, testem a resiliência e gerenciem o risco de concentração. Ela está em vigor desde 17 de janeiro de 2025.
    
2. A NIS2 se aplica aos provedores de serviços gerenciados?
   Sim. A diretiva NIS2 amplia os requisitos de gestão de riscos de segurança cibernética e de notificação de incidentes a diversos setores, incluindo o da saúde, e inclui explicitamente os provedores de serviços gerenciados e de segurança em seu escopo.
    
3. O que um integrador de serviços responsável faz de diferente em relação a um MSP padrão?
   Em vez de aplicar um modelo operacional padrão a todos os clientes, um integrador de serviços responsável coordena vários fornecedores sob uma única estrutura de governança, mantém a transparência na subcontratação e assume a responsabilidade de ponta a ponta pela resposta a incidentes e pelo planejamento de saída — ao invés de cada fornecedor ser responsável apenas por sua própria parte.