Nearshoring em Portugal e DORA: o contrato antes da equipa

Nearshoring · 4 min

Para bancos, seguradoras e outras entidades financeiras da UE, uma equipa em Portugal implica cláusulas DORA. Veja como classificar funções, fixar localizações e preparar a saída.

Nearshoring em Portugal e DORA: o contrato antes da equipa

TL;DR

Uma equipa de nearshoring que presta serviços TIC a uma entidade financeira da UE pode ficar abrangida pelas regras do DORA relativas a prestadores terceiros, dependendo do modelo contratual e das atividades desenvolvidas.
Classificar primeiro se o serviço suporta funções críticas ou importantes determina o nível de exigência contratual.
Localizações de prestação e de tratamento de dados, bem como a subcontratação, devem ficar explícitas no contrato.
Níveis de serviço mensuráveis, direitos de auditoria e devolução de dados tornam a relação supervisionável.
A estratégia de saída deve ser desenhada no arranque, não no fim do contrato.

Escolher Portugal é também escolher um contrato supervisionado

Para um banco, uma seguradora ou uma instituição de pagamento de outro Estado-Membro, avaliar uma equipa de nearshoring em Portugal envolve mais do que talento, custo e proximidade. Desde 17 de janeiro de 2025, o Regulamento (UE) 2022/2554, conhecido como DORA, aplica-se às entidades financeiras da UE e enquadra a forma como contratam serviços de tecnologias de informação e comunicação (TIC) a terceiros. Dependendo do modelo contratual e das atividades efetivamente prestadas, uma equipa externa que desenvolve, opera ou suporta sistemas de uma entidade financeira pode enquadrar-se numa relação com um prestador terceiro de serviços TIC para efeitos do DORA. Importa, por isso, distinguir a contratação de serviços TIC da mera disponibilização de recursos humanos, avaliando o enquadramento concreto de cada relação. Nesse cenário, o contrato deixa de ser apenas um instrumento comercial e passa a ser parte da gestão de risco. A questão útil para o decisor é como desenhar o acordo e a equipa de forma a que a conformidade não tenha de ser reconstruída depois do arranque.

A classificação da função define o nível de exigência

O artigo 30.º do DORA estabelece um conjunto de disposições contratuais mínimas aplicáveis aos acordos de utilização de serviços TIC abrangidos pelo regulamento, prevendo requisitos adicionais quando esses serviços suportam funções críticas ou importantes. Uma equipa que mantém ferramentas internas de baixo impacto e outra que opera a plataforma de pagamentos não estão no mesmo patamar. Esta classificação cabe à entidade financeira e deve anteceder a negociação, porque condiciona as cláusulas, a informação a registar e o esforço de supervisão. Constitui uma boa prática articulá-la com o modelo operativo do nearshoring, para que a divisão de responsabilidades reflita o risco de cada serviço.

Localização e subcontratação têm de ficar escritas

O contrato deve identificar claramente as funções e os serviços TIC prestados, indicar se é permitida a subcontratação de serviços que suportam funções críticas ou importantes, ou de partes significativas desses serviços, e estabelecer as condições aplicáveis nos termos do enquadramento regulamentar. Deve ainda identificar as regiões ou os países onde os serviços são prestados e onde os dados são tratados e armazenados, prevendo a comunicação prévia de alterações a essas localizações. No nearshoring, isto obriga a mapear mais do que a morada do escritório: trabalho remoto, outros centros de entrega do fornecedor, profissionais independentes e ferramentas de colaboração alojadas noutros territórios. O facto de Portugal integrar a União Europeia pode simplificar a análise das obrigações de proteção de dados, mas não dispensa estas cláusulas nem a verificação das ferramentas utilizadas pela equipa.

Níveis de serviço e auditoria tornam a relação verificável

Para serviços TIC que suportem funções críticas ou importantes, o regulamento exige descrições dos níveis de serviço com metas quantitativas e qualitativas precisas, obrigações de comunicação de desenvolvimentos com impacto material e direitos de acesso, inspeção e auditoria a favor da entidade financeira, de terceiros por ela designados e das autoridades competentes, nos termos aplicáveis. Na prática, as métricas de uma equipa de nearshoring devem medir resultados e disponibilidade, e não apenas horas faturadas. Registos de acesso, evidência de controlos e relatórios periódicos facilitam a supervisão, num raciocínio próximo do que defendemos em evidência antes da escala.

A saída prepara-se no primeiro dia

Os contratos abrangidos pelo artigo 30.º devem prever mecanismos que assegurem o acesso, a recuperação e a devolução dos dados pessoais e não pessoais, num formato facilmente acessível, em caso de insolvência, resolução ou descontinuação das operações do prestador de serviços TIC, ou de cessação do acordo contratual. Quando os serviços TIC suportam funções críticas ou importantes, acrescem requisitos específicos relativos às estratégias de saída, incluindo períodos de transição adequados que permitam reduzir o risco de interrupção dos serviços. Além disso, as entidades financeiras devem manter e atualizar um registo de informação sobre os acordos contratuais relativos à utilização de serviços TIC prestados por terceiros, disponibilizando-o às autoridades competentes nos termos regulamentares aplicáveis. Para uma equipa externa, a reversibilidade exige, entre outros aspetos, conhecimento documentado: runbooks, documentação de arquitetura, gestão adequada dos acessos e mecanismos que assegurem a transferência de conhecimento e a continuidade operacional. Quem avalia um modelo de outsourcing de informática pode tratar estes elementos como critérios de seleção do fornecedor.

Conformidade desenhada, não acrescentada

O DORA não impede o nearshoring em Portugal, mas condiciona a forma de o contratar e operar. A exigência varia com o tipo de entidade, a criticidade das funções, o princípio da proporcionalidade e a leitura da autoridade de supervisão competente, pelo que as cláusulas devem ser revistas com as equipas jurídica e de conformidade. Classificar funções, explicitar localizações, medir o serviço e preparar a saída desde o início pode ajudar a reduzir o risco de ajustes tardios e dispendiosos.