Desde 17 de janeiro de 2025, toda entidade financeira no escopo da DORA precisa manter um registro abrangente de contratos com provedores de TI, disponível nos níveis de entidade, subconsolidado e consolidado. O documento deixou de ser planilha interna de compras: em novembro de 2025, as autoridades europeias usaram esses dados para publicar a primeira lista de provedores críticos de TI supervisionados diretamente pela União Europeia. A ação prioritária de quem responde por compliance é tratar o registro como dado fiscalizável, revisado e validado antes de cada envio, e não como tarefa administrativa de fim de ciclo.
O que a norma exige
A DORA é o Regulamento (UE) 2022/2554, adotado em 14 de dezembro de 2022, e passou a valer para o setor financeiro europeu em 17 de janeiro de 2025. Entre as obrigações centrais está o chamado registro de informação: a lista estruturada de todos os contratos vigentes com provedores de serviços de TI que a entidade utiliza. Segundo as orientações da Autoridade Bancária Europeia, o registro serve a três propósitos ao mesmo tempo: a própria entidade monitora seu risco de terceiros, as autoridades nacionais supervisionam essa gestão e as autoridades europeias usam os dados para designar provedores críticos.
Os campos exatos, os modelos e o formato de envio estão definidos em padrões técnicos de implementação publicados no Jornal Oficial da UE, acompanhados de regras de validação, dicionário de dados e checagens técnicas de recebimento publicadas pela EBA. Isso significa que o registro não aceita descrição livre: cada campo tem domínio fechado de valores, e arquivos fora do padrão caem nas checagens técnicas antes de qualquer análise de conteúdo pelo supervisor.
Para equipes que também respondem por NIS2 ou por certificação de SGSI, a lógica é semelhante à de outros guias que ligam exigência regulatória a controle certificável: o regulador não pede documento narrativo, pede dado estruturado que atravessa os três níveis da organização.
Como a supervisão usa o registro
O registro virou peça central do novo regime europeu de supervisão de provedores de TI. O caminho é direto: cada entidade entrega seu registro à autoridade competente nacional, que consolida e repassa o conjunto às três autoridades europeias de supervisão, a EBA, a EIOPA e a ESMA.
Com esse material em mãos, as autoridades europeias coletaram dados dos registros de informação mantidos pelas entidades financeiras, que detalham os contratos de serviços de TI, e conduziram avaliação de criticidade em cooperação com os supervisores nacionais dos ramos bancário, segurador e de mercados. Os critérios avaliados foram três: a importância sistêmica do provedor, o papel dele no apoio a funções críticas ou importantes das entidades financeiras e o grau de substitutibilidade dos serviços. Provedores avaliados como críticos foram formalmente notificados e tiveram direito de apresentar manifestação fundamentada antes da decisão final.
O resultado apareceu em 18 de novembro de 2025, quando as autoridades publicaram a primeira lista de provedores críticos de TI designados sob a DORA, conforme o comunicado conjunto. A partir daí, esses fornecedores passam a ser examinados diretamente em nível da União Europeia, com foco na qualidade da gestão de risco e da governança que sustenta os serviços entregues ao setor financeiro.
O que o registro precisa conter
Antes de discutir qualidade, vale alinhar conteúdo. A tabela abaixo resume, em formato de pergunta, o que um registro consistente precisa responder; os campos exatos e os valores permitidos devem ser conferidos nos modelos oficiais, mas nenhuma entidade atravessa bem a supervisão sem essas respostas coerentes entre os níveis exigidos.
| Pergunta do registro | Por que o supervisor cobra | Risco típico de erro |
|---|---|---|
| Quem é o provedor e qual entidade do grupo contrata? | Rastreabilidade ponta a ponta entre contrato e consumidor do serviço | Contratos lançados duplicados ou sem vínculo com a entidade correta |
| O serviço apoia função crítica ou importante? | Define criticidade e concentração por provedor | Classificação genérica, como suporte de TI, que esconde dependência real |
| Há subcontratação e onde os dados são tratados? | Mede a cadeia real e a exposição por jurisdição | Cadeia de subcontratados declarada apenas parcialmente |
| Quais prazos, níveis de serviço e condições de saída? | Sustenta a análise de substitutibilidade | Contrato antigo sem cláusulas alinhadas à norma |
Erros que viram achado fiscal
A fase de testes do envio deixou rastro público: a EBA publicou observações sobre os problemas comuns identificados no recebimento dos registros, além do conjunto de checagens técnicas, regras de validação e verificações de negócio aplicadas ao processo. O padrão de falha mais comum em projetos desse tipo é previsível: dados desatualizados, funções críticas classificadas de forma inconsistente entre entidades do mesmo grupo e registros que não batem entre o nível consolidado e o da entidade. Cada inconsistência dessas vira pergunta de supervisão, e pergunta sem resposta documentada vira achado.
- P1 — validar antes de enviar: rodar o arquivo contra as regras de validação publicadas e corrigir erros de formato e de domínio de valores antes do prazo, não depois.
- P1 — alinhar criticidade: revisar a classificação de funções críticas com as áreas de negócio; é o campo que mais influencia a leitura de concentração feita pelo supervisor.
- P2 — consolidar o grupo: garantir que os registros das entidades batam com a visão subconsolidada e consolidada, com dono nomeado para cada divergência.
- P2 — manter o registro vivo: atualizar a cada contratação e renovação relevante, em vez de reconstruir tudo às vésperas do envio.
Prioridades práticas de preparação
Para transformar a obrigação em rotina de gestão, um caminho curto funciona melhor que um projeto longo:
- Extraia a lista de contratos de TI vivos dos sistemas de compras e jurídico e compare com o último registro enviado; as divergências medem o tamanho do atraso real.
- Nomeie um dono por registro e um revisor por grupo; a qualidade melhora quando cada campo tem responsável, não quando o prazo aperta.
- Documente as decisões de classificação: o que é função crítica, o que é serviço importante e por quê, porque o supervisor pergunta o critério, não só o resultado.
- Trate os provedores concentrados como item de gestão contínua de risco, priorizando controles pelo risco aceitável, na linha do que já se pratica em frameworks de risco.
- Ensaiem a saída: para os serviços mais críticos, mantenham avaliado o caminho de substituição, porque é exatamente a substitutibilidade que a supervisão europeia estará lendo no seu registro.
O registro de informação da DORA é hoje o retrato oficial da dependência tecnológica de cada entidade financeira. Quem o mantém preciso, validado e coerente entre níveis transforma uma obrigação de relatório em vantagem real de gestão de risco de terceiros; quem o trata como tarefa anual entrega ao supervisor o mapa das próprias lacunas.