Escritório do Superintendente de Instituições Financeiras (OSFI), Canadá

Sobre o OSFI

O Escritório de Superintendência de instituições Financeiras (OSFI) é uma agência independente do governo do Canadá responsável pela regulamentação prudencial e pela supervisão de instituições financeiras e de planos de pensão regulados federalmente no Canadá.

Na sua função de supervisão, o OSFI publicou as Diretrizes B-10 paraTerceirização de Atividades, Funções e Processos de Negócios. Eles estabeleceram "práticas procedimentos ou padrões seguros" que as instituições financeiras reguladas federalmente devem seguir para avaliar e gerenciar o risco associado à terceirização do seus negócios para um provedor de serviços. Um memorando subsequente do OSFI, Novos requerimentos de terceirização baseados em tecnologia, relembrou às instituições que as diretrizes B-10 continuam válidas e que as expectativas do OSFI relativas aos acordos de terceirização de atividades importantes devem ser atendidas.

Além disso, o uso de serviços de nuvem por instituições financeiras deve ser compatível com a Lei de Proteção às Informações Pessoais e Documentos Eletrônicos (PIPEDA) e, em alguns casos, com as leis provinciais de privacidade de dados.

Microsoft e OSFI

Para ajudar a orientar as instituições financeiras do Canadá, considerando a terceirização de funções de negócios para a nuvem, a Microsoft publicou Navegando através da nuvem: uma lista de verificação de conformidade para instituições financeiras canadenses. Ao revisar e concluir a lista de verificação, as organizações financeiras podem adotar os serviços de nuvem do Microsoft Business com a confiança de que estão cumprindo os requisitos regulatórios aplicáveis.

Quando as instituições financeiras canadenses terceirizam as atividades de negócios, elas devem agir em conformidade com as diretrizes B-10 para Terceirização de Atividades, Funções e Processos de Negócios publicadas pelo escritório de Superintendência de Instituições Financeiras (OSFI), assim como com as leis de privacidade canadenses, incluindo a Lei de Proteção de Informações Pessoais e Documentos Eletrônicos (PIPEDA).

A lista de verificação da Microsoft ajuda as instituições financeiras do Canadá a realizar avaliações de auditoria detalhadas dos serviços corporativos de nuvem da Microsoft e inclui:

  • Uma visão geral do panorama normativo para o contexto.
  • Uma lista de verificação que define as questões a serem abordadas e os mapas dos serviços do Microsoft Azure, Microsoft Dynamics 365 e Microsoft 365 dessas obrigações normativas. A lista de verificação pode ser usada como uma ferramenta para medir a conformidade em relação a uma estrutura regulatória, fornecer uma estrutura interna para a documentação de conformidade e ajudar os clientes a realizar suas próprias avaliações de risco dos serviços de nuvem de negócios da Microsoft.

Plataformas e serviços em nuvem no escopo da Microsoft

Como implementar

Perguntas frequentes

A aprovação regulatória é necessária?

Não. Não há necessidade alguma de notificação prévia, consultoria ou aprovação. O uso da computação em nuvem pública é permitido, sujeito sempre à conformidade com os requisitos do OSFI.

As Diretrizes G-10 do OSFIindicam que o OSFI espera que uma instituição financeira crie um programa de gerenciamento de riscos que se aplique a todas os seus contratos de terceirização, com redução de risco proporcional aos riscos associados. No entanto, somente as disposições de terceirização de atividades fundamentais devem ser documentadas por um contrato escrito que aborde as proteções identificadas nas diretrizes. A Parte 2 dalista de verificaçãoda Microsoft (página 53) mapeia isso em relação às seções nos documentos contratuais da Microsoft em que elas são abordadas.

Há termos obrigatórios que devem ser incluídos no contrato com o provedor de serviços de nuvem?

Sim, mas apenas se o acordo de terceirização envolve terceirização de atividade fundamental ou envolve qualquer transferência de informações pessoais para o provedor de serviços de nuvem.

Use o Gerenciador de Conformidade da Microsoft para avaliar o risco

OGerenciador de Conformidade da Microsoft é um recurso no Centro de conformidade do Microsoft 365 para ajudá-lo a entender a postura de conformidade da sua organização e executar ações para ajudar a reduzir os riscos. O Gerenciador de Conformidade oferece um modelo premium para criar uma avaliação para essa regulamentação. Encontre o modelo na página modelos de avaliação no Gerenciador de Conformidade. Saiba como criar avaliações no Compliance Manager.

Recursos