Uma empresa de serviços financeiros e seu fornecedor de arquivamento de dados discordavam, educadamente e sem perceber, sobre o significado de uma exigência de retenção de dados em uma regulamentação de serviços financeiros. A regulamentação exigia que os registros de transações dos clientes fossem retidos por no mínimo cinco anos. A interpretação da empresa de serviços financeiros, baseada nas orientações de sua assessoria de conformidade, era que o período de cinco anos contava a partir da data da coleta dos dados, a data em que o registro da transação foi criado. A interpretação do fornecedor de arquivamento, baseada na leitura de sua própria equipe jurídica, era que o período de cinco anos contava a partir da data da última atividade na conta, um cálculo que, na prática, estendia a retenção das contas ativas para além de cinco anos e podia encurtá-la para contas inativas com transações antigas. As duas partes estavam genuinamente confiantes em sua conformidade. A revisão de conformidade com a SOX da empresa de serviços financeiros no ano seguinte identificou a discrepância quando o auditor pediu ao fornecedor de arquivamento que confirmasse os períodos de retenção de uma amostra de registros de transações. Alguns registros da amostra haviam sido retidos por menos de cinco anos a partir da data de coleta: em conformidade segundo a interpretação do fornecedor, fora de conformidade segundo a interpretação do cliente e o teste do auditor. A fiscalização regulatória do trimestre seguinte levantou a mesma questão. A resposta exigia uma determinação jurídica que nunca havia sido solicitada ao fornecedor.
O que são, de fato, as lacunas de interpretação regulatória?
As lacunas de interpretação regulatória são divergências na forma como diferentes partes (reguladores, organizações, fornecedores e assessores jurídicos) interpretam os requisitos específicos das regulamentações aplicáveis. As regulamentações são escritas em linguagem jurídica, que exige interpretação para a implementação operacional, e o mesmo texto regulatório pode ser lido de forma diferente por diferentes equipes jurídicas, profissionais de conformidade e documentos de orientação regulatória. Uma regulamentação que exige a retenção de dados por cinco anos deixa em aberto a questão de quando começa a contagem dos cinco anos, e interpretações diferentes produzem períodos de retenção diferentes que afirmam, ambos, atender ao mesmo requisito.
O problema da incerteza na fiscalização é o desafio estrutural. As regulamentações só são interpretadas de forma definitiva quando um regulador examina a implementação de uma organização específica e a aceita ou a contesta. Até que haja uma ação de fiscalização, o leque de interpretações plausíveis permanece aberto. Organizações e fornecedores podem estar operando com interpretações juridicamente defensáveis à luz das orientações disponíveis, mas que o regulador contestaria em uma fiscalização. A declaração de conformidade é genuína. A fiscalização regulatória que testa a interpretação pode chegar a uma conclusão diferente.
O problema do alinhamento da interpretação entre fornecedor e cliente é a dimensão prática para TPRM. Quando um cliente tem uma interpretação específica de um requisito regulatório e depende de um fornecedor para implementar esse requisito em seu nome, um fornecedor que implementa o requisito segundo outra interpretação pode estar genuinamente em conformidade com a sua leitura sem atender à implementação exigida pelo cliente. A confirmação no questionário, “sim, cumprimos a exigência de retenção por cinco anos”, descreve com precisão a conformidade do fornecedor com a interpretação dele. Ela não confirma que a implementação do fornecedor corresponde ao requisito de implementação do cliente.
- Fornecedor e cliente usando interpretações diferentes do mesmo requisito
- Diferenças no cálculo do período de retenção: data da coleta, última atividade ou última transação
- Conformidade confirmada segundo a interpretação do fornecedor, sem verificar o alinhamento com a do cliente
- Interpretação do regulador desconhecida até a fiscalização
- Detalhe específico de implementação não descrito na confirmação de conformidade
Por que isso importa
As lacunas de interpretação regulatória são importantes para TPRM porque a obrigação regulatória do cliente só é cumprida se o fornecedor implementar o requisito segundo a interpretação que o regulador usará, e não segundo a interpretação que o fornecedor considera mais conveniente do ponto de vista operacional ou mais defensável juridicamente. Quando a interpretação do fornecedor produz uma implementação diferente da interpretação do cliente, os dados do cliente estão sendo tratados de uma forma que pode não atender aos requisitos regulatórios do cliente, mesmo que o fornecedor acredite estar em conformidade.
A exposição a ações de fiscalização recai diretamente sobre o cliente. Quando um regulador examina as práticas de tratamento de dados e constata períodos de retenção mais curtos do que a regulamentação exige segundo a interpretação do regulador, a ação de fiscalização recai sobre o controlador, isto é, o cliente, independentemente de a retenção mais curta ter sido uma escolha de implementação do fornecedor. O cliente arca com a consequência regulatória da lacuna de interpretação do fornecedor.
Onde a maioria das equipes erra
A falha mais recorrente é aceitar a confirmação de conformidade sem verificar os detalhes específicos de implementação que operacionalizam o requisito regulatório. A confirmação de conformidade com uma exigência de retenção deve incluir o cálculo específico do período de retenção (a partir de qual evento, até qual termo final, incluindo quais exceções), e não apenas a confirmação de que os dados são retidos.
- Aceitar a confirmação de conformidade sem detalhes de implementação
- Cálculo da retenção não descrito: a partir de qual evento e até qual termo final
- Interpretação do cliente não compartilhada com o fornecedor como requisito de implementação
- Alinhamento da interpretação não verificado antes de presumir que a implementação do fornecedor corresponde
- Orientações regulatórias não revisadas para esclarecer a interpretação
Como é uma boa prática
Programas maduros de interpretação regulatória compartilham com os fornecedores a interpretação específica do cliente sobre os principais requisitos, pedem aos fornecedores que confirmem que estão implementando essa interpretação específica e revisam as orientações regulatórias e as ações de fiscalização que indicam a interpretação do regulador.
- Compartilhar a interpretação específica com os fornecedores: a partir de qual evento, até qual termo final e com quais exceções
- Pedir aos fornecedores que confirmem que a implementação corresponde à interpretação do cliente
- Revisar as orientações regulatórias para esclarecer a interpretação dos principais requisitos
- Incluir detalhes de implementação no DPA: não apenas obrigações de conformidade, mas requisitos de implementação específicos
- Monitorar as ações de fiscalização em busca de sinais de interpretação dos reguladores
Ferramentas
Inteligência regulatória: OneTrust, Relativity Compliance, LexisNexis Regulatory Compliance
As plataformas de inteligência regulatória acompanham orientações regulatórias, ações de fiscalização e cartas interpretativas que esclarecem como os reguladores aplicam requisitos específicos na prática. Para profissionais de TPRM, usar a inteligência regulatória para acompanhar o histórico interpretativo do regulador sobre os principais requisitos fornece a base interpretativa para os requisitos de implementação dos fornecedores.
Desafios de governança
O desafio de governança da interpretação regulatória é que muitos requisitos têm redação genuinamente ambígua, na qual várias interpretações são defensáveis até que um regulador trate especificamente da questão. A solução de governança não é resolver a ambiguidade de forma definitiva, o que pode não ser possível, mas documentar a interpretação do cliente, exigir que os fornecedores implementem essa interpretação e monitorar as orientações regulatórias em busca de sinais sobre como a ambiguidade está sendo resolvida na prática.
- Documentar a interpretação do cliente para cada requisito regulatório principal
- Compartilhar a interpretação com os fornecedores como especificação de implementação
- Pedir aos fornecedores que confirmem o alinhamento com a interpretação específica do cliente
- Incluir especificações de implementação nos contratos: não apenas referências regulatórias, mas requisitos de implementação específicos
- Monitorar as orientações regulatórias em busca de esclarecimentos de interpretação
Se você faz parte de uma equipe pequena
Escolha os três requisitos regulatórios mais críticos para as suas relações com fornecedores: períodos de retenção de dados, prazos de notificação de incidentes e prazos de resposta aos direitos dos titulares são candidatos comuns. Para cada um, documente a interpretação específica da sua organização: a partir de qual evento o prazo começa, qual é o termo final e quais são as exceções? Em seguida, pergunte aos seus fornecedores de maior risco se a implementação deles corresponde a esses detalhes específicos. A diferença entre a sua interpretação e a deles é a lacuna de interpretação regulatória que a fiscalização pode revelar.
- Documentar a interpretação específica de três requisitos regulatórios críticos
- Compartilhar as interpretações com os fornecedores de maior risco como especificações de implementação
- Pedir aos fornecedores que confirmem que sua implementação corresponde à sua interpretação específica
- Incluir especificações de implementação nos acordos de tratamento de dados e nos contratos
O que exigir
Pergunte diretamente:
“Quanto à exigência de retenção de dados por cinco anos, vocês podem descrever especificamente como calculam o período de retenção: a partir de qual evento começa a contagem dos cinco anos, o que determina o término e quais dados da nossa relação estão sujeitos a esse cálculo?”
O que esperar como evidência
- Cálculo específico do período de retenção: evento inicial, evento final, exceções
- Confirmação de que o cálculo corresponde à interpretação do cliente
- Fundamento regulatório da interpretação do fornecedor
- Amostra de registros que demonstre o cálculo aplicado na prática
Um fornecedor que confirma a conformidade com uma exigência de retenção por cinco anos deve ser solicitado a apresentar o cálculo específico. A conformidade é confirmada em relação a uma interpretação. A pergunta revela qual interpretação.
Como comprovar
- Documentação da interpretação do cliente para os principais requisitos regulatórios
- Confirmação do alinhamento da interpretação do fornecedor
- Registros das especificações de implementação nos contratos
- Registros de monitoramento das orientações regulatórias
Principal conclusão
A regulamentação diz cinco anos. A partir da coleta significa uma coisa. A partir da última transação significa outra. As duas interpretações produzem períodos de retenção diferentes para contas ativas. Ambas afirmam conformidade com a mesma regulamentação. A fiscalização do regulador produz a interpretação definitiva. A exposição do cliente à fiscalização recai sobre o cliente, independentemente de qual parte escolheu a interpretação reprovada na fiscalização. Documente sua interpretação. Compartilhe-a com o fornecedor como requisito de implementação. Peça que ele confirme o alinhamento. A confirmação de conformidade que não descreve a implementação específica deixa a lacuna de interpretação aberta até que a fiscalização a feche.