Escritório do Superintendente de Instituições Financeiras (OSFI), Canadá

  • Artigo

Sobre o OSFI

O Escritório de Superintendência de instituições Financeiras (OSFI) é uma agência independente do governo do Canadá responsável pela regulamentação prudencial e pela supervisão de instituições financeiras e de planos de pensão regulados federalmente no Canadá.

Na sua função de supervisão, o OSFI publicou as Diretrizes B-10 paraTerceirização de Atividades, Funções e Processos de Negócios. Eles estabeleceram "práticas procedimentos ou padrões seguros" que as instituições financeiras reguladas federalmente devem seguir para avaliar e gerenciar o risco associado à terceirização do seus negócios para um provedor de serviços. Um memorando subsequente do OSFI, Novos requerimentos de terceirização baseados em tecnologia, relembrou às instituições que as diretrizes B-10 continuam válidas e que as expectativas do OSFI relativas aos acordos de terceirização de atividades importantes devem ser atendidas.

Além disso, o uso de serviços de nuvem por instituições financeiras deve ser compatível com a Lei de Proteção às Informações Pessoais e Documentos Eletrônicos (PIPEDA) e, em alguns casos, com as leis provinciais de privacidade de dados.

Microsoft e OSFI

Para ajudar a orientar as instituições financeiras do Canadá, considerando a terceirização de funções de negócios para a nuvem, a Microsoft publicou Navegando através da nuvem: uma lista de verificação de conformidade para instituições financeiras canadenses. Ao revisar e concluir a lista de verificação, as organizações financeiras podem adotar serviços de nuvem de negócios da Microsoft com a confiança de que estão cumprindo os requisitos regulatórios aplicáveis.

Quando as instituições financeiras canadenses terceirizam as atividades de negócios, elas devem agir em conformidade com as diretrizes B-10 para Terceirização de Atividades, Funções e Processos de Negócios publicadas pelo escritório de Superintendência de Instituições Financeiras (OSFI), assim como com as leis de privacidade canadenses, incluindo a Lei de Proteção de Informações Pessoais e Documentos Eletrônicos (PIPEDA).

A lista de verificação da Microsoft ajuda as instituições financeiras do Canadá a realizar avaliações de auditoria detalhadas dos serviços corporativos de nuvem da Microsoft e inclui:

  • Uma visão geral do panorama normativo para o contexto.
  • Uma lista de verificação que define as questões a serem abordadas e os mapas dos serviços do Microsoft Azure, Microsoft Dynamics 365 e Microsoft 365 dessas obrigações normativas. A lista de verificação pode ser usada como uma ferramenta para medir a conformidade em relação a uma estrutura regulatória, fornecer uma estrutura interna para a documentação de conformidade e ajudar os clientes a realizar suas próprias avaliações de risco dos serviços de nuvem de negócios da Microsoft.

Plataformas e serviços em nuvem no escopo da Microsoft

Como implementar

Perguntas frequentes

A aprovação regulatória é necessária?

Não. Não há nenhum requisito para notificação prévia, consulta ou aprovação. O uso da computação em nuvem pública é permitido, sujeito sempre à conformidade com os requisitos do OSFI.

As Diretrizes G-10 do OSFIindicam que o OSFI espera que uma instituição financeira crie um programa de gerenciamento de riscos que se aplique a todas os seus contratos de terceirização, com redução de risco proporcional aos riscos associados. No entanto, somente as disposições de terceirização de atividades fundamentais devem ser documentadas por um contrato escrito que aborde as proteções identificadas nas diretrizes. A parte 2 da lista de verificação da Microsoft (página 53) mapeia-as em relação às seções nos documentos contratuais da Microsoft em que são endereçadas.

Há termos obrigatórios que devem ser incluídos no contrato com o provedor de serviços de nuvem?

Sim, mas apenas se o acordo de terceirização envolve terceirização de atividade fundamental ou envolve qualquer transferência de informações pessoais para o provedor de serviços de nuvem.

Use o Microsoft Purview Compliance Manager para avaliar seu risco

O Microsoft Purview Compliance Manager é um recurso no portal de conformidade do Microsoft Purview para ajudá-lo a entender a postura de conformidade da sua organização e tomar ações para ajudar a reduzir os riscos. O Gerenciador de Conformidade oferece um modelo premium para criar uma avaliação para essa regulamentação. Encontre o modelo na página modelos de avaliação no Gerenciador de Conformidade. Saiba como criar avaliações no Compliance Manager.

Recursos