SEC e OCC apertam controles em LatAm

As regras de divulgação de cibersegurança da SEC dos Estados Unidos seguem em vigor e sem emendas até agosto de 2026. A norma cobre o Regulation S-K Item 106, o Form 10-K Item 1C e o Item 1.05 do Form 8-K, e se aplica tanto a emissores domésticos quanto a foreign private issuers que listam valores em mercados americanos, incluindo instituições financeiras internacionais com operações na Argentina e no México quando negociam ou emitem nos EUA.

Terceiros sob mais escrutínio

Em paralelo, análises recentes sobre a supervisão da OCC indicam que o órgão vem aplicando a orientação interagencial de 2023 sobre terceiros com foco reforçado em fintechs e provedores críticos. Esse enfoque exige que os bancos documentem a avaliação estratégica da relação, a solidez financeira do fornecedor, sua resiliência cibernética, a exposição a subcontratados e os planos de continuidade.

Os critérios alcançam serviços prestados a partir de ou para jurisdições como Argentina e México quando esses serviços integram a cadeia de valor de entidades bancárias reguladas nos Estados Unidos. O olhar do regulador não se limita ao fornecedor direto, mas também ao ambiente operacional e às dependências que sustentam a prestação do serviço.

Controles técnicos e reporte de incidentes

As orientações técnicas para instituições financeiras nos Estados Unidos também estabelecem um padrão amplo. O marco setorial de cibersegurança, que inclui a GLBA Safeguards Rule, a orientação de exames do FFIEC e regulações como a NYDFS Part 500, exige programas formais de segurança da informação com testes independentes. Esse alcance se estende a bancos, seguradoras e gestores de ativos, incluindo filiais e data centers fora dos Estados Unidos quando dão suporte a serviços para clientes americanos.

Na gestão de risco de terceiros, as análises especializadas citadas no material também destacam que as normas dos reguladores americanos tratam expressamente incidentes materiais ocorridos em fornecedores externos como parte das obrigações de reporte da entidade regulada. Isso inclui incidentes em fornecedores ou subsidiárias localizados na América Latina que afetem de forma significativa entidades financeiras supervisionadas nos Estados Unidos.

Para o mercado, o quadro é coerente. As obrigações de divulgação da SEC, o esquema de supervisão da OCC e os requisitos técnicos do FFIEC, da GLBA e do NYDFS convergem em um ponto: os controles e os relatórios não param na fronteira dos Estados Unidos, nem quando a operação ou o fornecedor relevante está na Argentina ou no México.