Termos & Políticas · Política de Conhecimento do Fornecedor (KYS)

Política de Conhecimento do Fornecedor (KYS)

Documento oficial da Marcha, operada por MARCHA HUB DE SOLUCOES LTDA. Versão integral disponível diretamente nesta página.

Sumário

  • Objetivo e Escopo
  • Base Legal e Regulatória
  • Definições
  • Estrutura de Governança
  • Classificação de Fornecedores
  • Procedimentos de Identificação
  • Documentação Exigida
  • Verificação e Validação
  • Monitoramento Contínuo
  • Fornecedores Críticos e Estratégicos
  • Controles Especiais
  • Sistema de Informações
  • Treinamento e Capacitação
  • Auditoria e Controles Internos
  • Disposições Finais

1.Objetivo e Escopo

  • Objetivo Esta Política de Conhecimento do Fornecedor (KYS – Know Your Supplier) estabelece os procedimentos, controles e responsabilidades para a identificação, verificação e monitoramento de todos os fornecedores, consultores e prestadores de serviços da MARCHA HUB DE SOLUCOES LTDA. O objetivo principal é blindar a Marcha contra riscos de contágio que possam comprometer a segurança cibernética, a Propriedade Intelectual (PI), a continuidade operacional do Gateway e o compliance regulatório (LGPD e PLD/FT).
  • EscopoTodos os fornecedores de bens e serviços, com foco especial em Fornecedores de Tecnologia e Infraestrutura (Cloud Computing, Hosting, soluções de Software).
  • Prestadores de serviços terceirizados, consultores e assessores externos.
  • Fornecedores de soluções de Risco (Antifraude, KYC Digital).
  • Todos os responsáveis pelas áreas de Compras, Tecnologia, Risco e Compliance no processo de contratação.
  • FinalidadesMitigar Risco Operacional e Cibernético: Assegurar que os fornecedores críticos atendam aos padrões de Disponibilidade e Segurança da Informação da Marcha.
  • Proteger Dados (LGPD): Garantir que fornecedores que atuam como Operadores de Dados Pessoais adotem medidas de segurança compatíveis.
  • Integridade: Prevenir o relacionamento com fornecedores envolvidos em atividades ilícitas, corrupção ou PLD/FT.
  • Garantir a Continuidade: Assegurar que fornecedores críticos possuam Planos de Continuidade de Negócios (PCN) e DRP (Disaster Recovery Plan) eficazes.

2.Base Legal e Regulatória

Consolida-se o arcabouço jurídico-regulatório aplicável que impõe o dever de diligência sobre a cadeia de fornecimento, sendo o cumprimento destes diplomas imperativo para a legitimidade dos procedimentos KYS.

  • Legislação AplicávelLei nº 13.709/2018 (LGPD): Fundamento para a diligência de fornecedores que atuam como Operadores de Dados.
  • Lei nº 12.846/2013 (Lei Anticorrupção): Base para a verificação de integridade e antecedentes dos fornecedores.
  • Lei nº 9.613/1998 (Lei de Lavagem de Dinheiro): Fundamenta a checagem de antecedentes financeiros dos sócios.
  • Circular BACEN nº 3.978/2020: Política de Conformidade (base para a gestão de riscos e compliance).
  • Resolução BCB nº 119/2021: Política de Gerenciamento de Riscos.
  • Regulamentações do Banco Central (Referencial Técnico)Resolução nº 4.893/2021: Política de Segurança Cibernética (base para a avaliação técnica dos fornecedores de TI).
  • Resolução BCB nº 80/2021: Arranjos de Pagamento (contexto de atuação do Gateway).
  • Órgãos ReguladoresAutoridade Nacional de Proteção de Dados (ANPD): Supervisor da LGPD (foco na responsabilização do Controlador pela escolha do Operador).
  • Conselho de Controle de Atividades Financeiras (COAF): Unidade de Inteligência Financeira.

3.Definições

  • Termos GeraisFornecedor: Pessoa física ou jurídica que provê bens ou serviços à Marcha.
  • KYS (Know Your Supplier): Conjunto de procedimentos para identificação, verificação e conhecimento dos fornecedores.
  • Due Diligence: Processo de investigação e verificação detalhada das informações do fornecedor.
  • Fornecedor Crítico: Prestador de serviços essencial que, em caso de falha, compromete a Disponibilidade do Gateway, a Integridade do código-fonte ou a Confidencialidade dos dados.
  • SLA (Service Level Agreement): Acordo de nível de serviço que define padrões de qualidade e performance, especialmente em relação ao uptime e segurança.
  • Classificação de RiscoRisco Baixo: Fornecedores de bens e serviços básicos sem acesso a informações sensíveis.
  • Risco Médio: Fornecedores com acesso limitado a sistemas ou informações importantes.
  • Risco Alto/Crítico: Fornecedores estratégicos com amplo acesso a sistemas, dados ou operações essenciais (Ex: Cloud Providers, Software Developers).

4.Estrutura de Governança

Dispõe-se sobre a arquitetura de governança corporativa em matéria de KYS, atribuindo competências indelegáveis às áreas de defesa.

  • Responsabilidades da Diretoria A Diretoria é responsável por aprovar e revisar periodicamente esta política, definir o apetite ao risco da instituição e supervisionar a efetividade dos controles KYS, garantindo os recursos tecnológicos e humanos para a due diligence.
  • Comitê de Fornecedores (Risco e Compliance)Composição: Diretor de Compliance, Gerente de Compras, Responsável pela Área de Risco, Representante da Área de Tecnologia (TI/Cibersegurança) e Jurídico.
  • Atribuições: Analisar e aprovar formalmente Fornecedores de Risco Alto/Crítico; Avaliar a adequação do PCN e das certificações de segurança do fornecedor; Propor melhorias nos procedimentos de KYS.
  • Área de Compliance (Segunda Linha)Responsabilidades: Implementar os procedimentos KYS, realizar as verificações de integridade e PLD/FT dos sócios do fornecedor e monitorar a conformidade regulatória contínua.
  • Área de Compras e Tecnologia (Primeira Linha)Responsabilidades: Coletar a documentação inicial, aplicar o Questionário de KYS e garantir que os contratos incluam os SLAs e as cláusulas de segurança/LGPD obrigatórias.

5.Classificação de Fornecedores

Fixa-se a metodologia de avaliação baseada no Impacto na Continuidade Operacional e no Nível de Acesso aos Ativos da Marcha.

  • Matriz de Risco (Fatores-Chave)Fatores de Risco por Tipo de Serviço (Foco na Tecnologia) • Risco Alto/Crítico: Provedores de nuvem, Empresas de segurança da informação, Desenvolvedores de software crítico, Fornecedores de soluções de PLD/FT.
  • Fatores de Acesso • Acesso Limitado (Risco Baixo): Sem acesso a sistemas internos. • Acesso Amplo (Risco Alto): Acesso a sistemas críticos de pagamento, bases de dados de clientes (LGPD) ou infraestrutura de TI essencial.
  • Criticidade OperacionalCrítico (Risco Alto): Serviços essenciais às operações do Gateway; Impacto severo e poucas alternativas viáveis no mercado.

6.Procedimentos de Identificação

Normatizam-se as etapas de seleção e contratação, abrangendo coleta de dados, validação documental e verificação de antecedentes.

  • Processo de Seleção Disciplina-se o fluxo de coleta de informações sobre a Razão Social, CNPJ, Informações dos Sócios e o Histórico profissional (PEPs).
  • Questionário de Conhecimento (KYS) Impõe-se a aplicação de questionários detalhados, com foco na capacidade técnica de segurança e compliance.Conformidade e Governança: Questionamentos sobre a existência de políticas de PLD/FT, Programa de Integridade e a designação de DPO.
  • Validação de Informações Define-se o rol de consultas obrigatórias a bases oficiais.Consultas Obrigatórias: CNPJ na Receita Federal, Consulta ao SERASA/SPC, Certidões negativas trabalhistas, Consulta ao CEIS (Cadastro de Empresas Inidôneas) e Verificação em Listas de Sanções.

7.Documentação Exigida

Estabelecem-se os requisitos documentais mínimos e complementares segundo o grau de risco.

  • Documentos Obrigatórios Documentação Societária e Fiscal (CNPJ, Contrato social consolidado, Certidões negativas de débitos).
  • Documentos Complementares (Fornecedores Críticos)Due Diligence Reforçada: Demonstrações financeiras auditadas, Certificações de segurança (ISO 27001, PCI-DSS), Relatórios de auditoria independente, Planos de Continuidade de Negócios (PCN) e Apólices de seguro (responsabilidade civil, E&O) compatíveis com o risco.

8.Verificação e Validação

Regulamenta-se o processo de verificação e os critérios de aprovação, assegurando rastreabilidade decisória.

  • Processo de VerificaçãoVerificação Automática: Aplicada a Risco Baixo.
  • Verificação Manual: Exigida para Risco Médio/Alto, incluindo Parecer fundamentado da Área de Compliance e TI.
  • Níveis de Due DiligenceDue Diligence Simplificada (Risco Baixo): Verificação básica.
  • Due Diligence Reforçada (Risco Alto): Verificação detalhada de antecedentes, Auditoria Técnica In Loco (visita) ou remota das instalações e Aprovação obrigatória pelo Comitê.
  • Critérios de AprovaçãoAprovação pelo Comitê: Obrigatória para Fornecedores Críticos, Contratos de alto valor ou histórico de restrições superadas.

9.Monitoramento Contínuo

Institui-se a obrigação de atualização cadastral periódica e de monitoramento de performance.

  • Atualização CadastralPeriodicidade: Fornecedores Críticos: Trimestral ou imediatamente após Gatilhos para Atualização (Ex: Vencimento de certificações, Incidente de segurança).
  • Monitoramento de Performance Monitoramento do cumprimento de SLAs (Ex: Uptime e tempo de resposta) e Indicadores de Risco (Ex: Problemas de segurança da informação, Envolvimento em processos judiciais).

10.Fornecedores Críticos e Estratégicos

Esta seção é dedicada aos fornecedores de maior risco à PI e à operação.

  • Infraestrutura Tecnológica Crítica: Provedores de nuvem, Desenvolvedores de software crítico e Fornecedores de soluções de PLD/FT.
  • Procedimentos Específicos: Exigência de Certificações de Segurança (ISO 27001, PCI-DSS) e Planos de Continuidade de Negócios (PCN).
  • Aprovação: Aprovação obrigatória do Comitê de Fornecedores, Parecer técnico e Plano de contingência obrigatório.

11.Controles Especiais

Determina-se salvaguardas adicionais.

  • Controles de Acesso (Cibersegurança): Menor privilégio necessário, Segregação de ambientes e Autenticação Multifator obrigatória para acesso a APIs e sistemas críticos.
  • Controles Contratuais (Transferência de Risco): Os contratos devem incluir Cláusula de Direito de Auditoria (pela Marcha) e Cláusula de Penalidade/Indenização (multas por descumprimento de SLA/Segurança).

12.Sistema de Informações

Todos os documentos de KYS devem ser armazenados de forma segura e inalterável.

  • Retenção: Registros mantidos pelo prazo mínimo de 5 (cinco) anos após o término do relacionamento.
  • Segurança: Armazenamento digital seguro, com criptografia e controle de acesso (LGPD).

13.Treinamento e Capacitação

  • Programa Anual: Treinamento anual obrigatório para as áreas de Compras, Tecnologia e Compliance sobre as diretrizes KYS e o mapeamento de riscos de terceiros.

14.Auditoria e Controles Internos

O programa KYS será submetido a auditorias para validar a eficácia dos controles.

  • Auditoria Interna: Revisão periódica da efetividade dos controles KYS e adequação da classificação de risco.
  • Controles de Segunda Linha: Monitoramento independente realizado pela área de Compliance sobre a documentação de KYS.

15.Disposições Finais

  • Vigência e Revisão: Esta Política entra em vigor na data de sua aprovação e será revista anualmente.
  • Sanções: O descumprimento desta política por fornecedores pode resultar em Suspensão temporária dos serviços, Rescisão contratual e Aplicação de penalidades contratuais (multas por falha de segurança ou descumprimento de SLA).
  • Documentos Relacionados: Política de PLD, Política de Segurança Cibernética, Política de Privacidade.