O setor financeiro foi um dos primeiros a adotar cloud e um dos que mais exige dela. A Resolução BACEN 4.658/2018 não proíbe cloud — ela define as regras do jogo. Entender essas regras é o que separa compliance de exposição regulatória.
O que o BACEN diz sobre cloud
A Resolução BCB 4.658/2018 (e complementada pela 4.752/2019) estabelece que instituições financeiras podem contratar serviços de processamento e armazenamento de dados em cloud, desde que:
- A instituição mantenha capacidade de gestão e controle dos dados contratados
- Haja continuidade de negócios mesmo em caso de falha do provedor
- Os dados de clientes brasileiros fiquem em território nacional ou em países com nível de proteção equivalente ao Brasil (acordo de cooperação com o BACEN)
- O contrato com o provedor garanta acesso do BACEN aos dados e sistemas para fins de fiscalização
- A instituição notifique incidentes relevantes ao BACEN em até 3 dias úteis
O ponto central: o BACEN não exige cloud privada nem proíbe cloud pública. Exige governança, rastreabilidade e continuidade.
Fintech vs banco tradicional: dois mundos diferentes
| Critério | Fintech (IP, SCD, SEP) | Banco tradicional (S1, S2) |
|---|---|---|
| Complexidade regulatória | Menor — regulação proporcional ao porte | Maior — Basileia III, ICAAP, ILAAP |
| Core banking | Nativo em cloud (Mambu, Dock, i2c) | Legado (TOPAZ, Fiserv) — migração gradual |
| Apetite a risco de cloud | Alto — cloud-first por cultura | Conservador — cloud para workloads não-críticos primeiro |
| Capacidade de auditoria | Menor equipe, mais automação | Auditoria interna robusta, processos mais formais |
| Velocidade de adoção | Alta | Gradual, projeto a projeto |
Fintechs nasceram em cloud — sua vantagem competitiva em parte vem disso. Bancos tradicionais estão migrando progressivamente, começando por canais digitais e workloads analíticos.
O que o setor financeiro coloca em cloud
Já maduro para cloud:
- Canais digitais (app mobile, internet banking) — front-end e APIs
- Analytics e BI (detecção de fraude, análise de crédito, relatórios regulatórios)
- CRM e gestão de clientes
- Disaster Recovery — cloud como site secundário de DR
- Comunicação e colaboração (M365, Google Workspace)
Migrando com cautela:
- Core banking moderno — fintechs já estão em cloud; bancos tradicionais em processo
- Gestão de riscos e compliance (ICAAP, LCR, NSFR) — dados sensíveis, mas analytics adequado para cloud
Permanecem on-premises ou cloud privada:
- Sistemas core de bancos grandes com SLA < 1h e volumes altíssimos de transação
- Módulos com dados mais sensíveis e requisitos de auditoria muito específicos
- Ambientes onde a latência de cloud pública é incompatível com o SLA contratado
Auditabilidade: o requisito que muitos subestimam
O BACEN pode solicitar acesso a logs, configurações e dados processados. Seu provedor cloud precisa garantir:
- Logs imutáveis de todas as operações: quem acessou o quê, quando
- Audit trail de mudanças de configuração de infraestrutura
- Capacidade de exportar dados em formato legível para auditorias externas
- Contrato que garanta acesso do regulador — sem cláusula de confidencialidade que impeça isso
Continuidade de negócio: mais que um DR no papel
A 4.658 exige plano de continuidade de negócios testado, não apenas documentado. Para cloud financeira:
- RTO e RPO precisam estar definidos por sistema e validados em teste real (não só tabletop)
- O plano de contingência para falha do provedor cloud deve ser exequível — não basta escrever “migrar para provedor alternativo” sem ter a arquitetura pronta para isso
- Testes de DR com frequência mínima anual, com resultados documentados
Como equilibrar inovação e compliance
O erro mais comum: times de negócios querem lançar rápido, times de compliance exigem aprovações longas. O resultado é shadow IT (projetos em cloud sem aprovação do compliance) — pior dos mundos.
A saída é um processo de aprovação ágil de cloud, com critérios claros:
- Cloud Landing Zone: ambiente pré-aprovado pelo compliance com controles já configurados — novos projetos entram nesse ambiente sem precisar de aprovação individual
- Catálogo de serviços aprovados: lista de serviços cloud que podem ser usados sem aprovação adicional
- Processo de exceção rápido para serviços fora do catálogo
- Automação de compliance: infraestrutura como código com políticas de segurança embutidas (ex: guardrails com AWS Config, Azure Policy)
O setor financeiro tem requisitos específicos que exigem um provedor com experiência regulatória. Converse com a equipe da Adentro sobre como estruturar cloud para compliance BACEN.