Terceirizar ou internalizar risco e compliance na gestora?

A pergunta certa não é se a gestora pode terceirizar risco e compliance, e sim o que ela pode delegar sem perder o controle do que a CVM vai cobrar dela. A Resolução CVM 21 permite contratar terceiros para executar, mas mantém os diretores estatutários e a responsabilidade na gestora; a Resolução CVM 175 faz o gestor responder pelos terceiros que contrata. Este post organiza o que pode e o que não pode ser terceirizado, compara três modelos e mostra como contratar sem transferir para fora a evidência que precisa ficar dentro.

O que a norma permite delegar, e o que fica na gestora

A Res. CVM 21/21 exige diretores estatutários responsáveis por gestão, compliance e gestão de risco, e diz o que pode ser feito com a execução: a gestora pode contratar terceiros para mensurar riscos, desde que os supervisione com diligência. A responsabilidade não acompanha o contrato: o diretor continua respondendo pelo relatório anual de controles internos, pela política de risco e pelo que a CVM encontrar. A Resolução CVM 175 reforça a lógica do outro lado: o gestor responde pelos próprios atos e pelos prestadores que contrata em nome do fundo. E os códigos da ANBIMA exigem diligência na seleção e supervisão baseada em risco dos terceiros contratados.

Função	Execução terceirizável?	O que não sai da gestora
Diretor de compliance	Não: é cargo estatutário	A pessoa, a responsabilidade e a assinatura do relatório anual
Diretor de risco	Não: é cargo estatutário	A política, os limites e a resposta pelo monitoramento
Cálculo de métricas de risco	Sim, com supervisão diligente	A definição da metodologia, a validação dos resultados e o acesso aos dados e cálculos
Controle de enquadramento	Sim, como serviço ou como sistema	A classificação do desenquadramento, a decisão de reenquadrar e o dossiê
Redação de políticas e manuais	Sim	A aderência à operação real e a aprovação pela administração
Monitoramento de PLD	Sim, na execução	O diretor de PLD, a avaliação interna de risco, a decisão de comunicar ao COAF
Auditoria interna e testes de controles	Sim, e muitas vezes é melhor	O plano de auditoria e o tratamento dos achados
Resposta a ofícios e inspeções	Apoio, sim; assinatura, não	A resposta é da gestora e a evidência precisa estar nela

Terceirizar risco e compliance é como contratar um escritório de contabilidade: ele faz os lançamentos, mas o balanço é assinado pela empresa, e é a empresa que a fiscalização visita.

Três modelos, comparados

Critério	Internalizado	Terceirizado	Híbrido
Como funciona	Equipe própria de risco e compliance operando um sistema próprio	Consultoria executa risco, compliance e enquadramento e entrega relatórios	Sistema próprio, equipe enxuta, consultoria para políticas, testes e demandas pontuais
Custo	Alto e fixo: pessoas e sistema	Médio e variável; cresce com o número de fundos	Médio, previsível: licença mais horas sob demanda
Controle e conhecimento	Máximo; conhecimento fica na casa	Baixo; conhecimento fica no fornecedor	Alto; a equipe opera e entende o controle
Evidência	Na gestora, se o sistema gravar	Frequentemente no terceiro; precisa ser trazida	Na gestora, por desenho
Risco de pessoa-chave	Alto em equipes pequenas	Transferido ao fornecedor, não eliminado	Menor: sistema e processo não dependem de uma pessoa
Resposta a ofício	Rápida, se a evidência existe	Depende da agenda do terceiro	Rápida: dados na casa, apoio quando preciso
Escala	Exige contratar a cada salto	Escala com custo crescente	Escala com o sistema; equipe cresce devagar
Onde funciona	Gestoras grandes ou com estratégias proprietárias	Gestoras nascentes com um ou dois fundos simples	A maioria das gestoras de pequeno e médio porte

Quando cada modelo faz sentido

Gestora nascente

Um ou dois fundos, equipe de três ou quatro pessoas, diretores acumulando funções. A consultoria ajuda a escrever políticas e a preparar o pedido de registro, e pode executar o monitoramento nos primeiros meses. O erro é deixar a evidência no consultor: desde o primeiro dia, a apuração diária precisa ficar gravada em um sistema da gestora, ainda que quem a opere seja o terceiro. O caminho está em como abrir uma gestora de recursos.

Gestora de crédito ou FIDC

Verificação de lastro, cobrança e análise de crédito são responsabilidades do gestor no Anexo II da 175, executáveis por terceiros, mas com supervisão formal. Aqui a terceirização é da execução operacional; a política de crédito, os critérios de elegibilidade e a supervisão dos terceiros ficam na gestora. Os detalhes estão em CVM 175 e FIDCs: o que mudou no Anexo Normativo II.

Gestora multiestratégia

Vários fundos, classes e subclasses, métricas diferentes por estratégia. O modelo híbrido é o que costuma funcionar: sistema como fonte de registro, equipe própria de risco e compliance operando, consultoria para auditoria interna, revisão de políticas e temas regulatórios novos. Internalizar tudo faz sentido quando a estratégia exige modelos proprietários que nenhum fornecedor cobre.

Os riscos da terceirização mal desenhada

Achar que a responsabilidade foi junto. O contrato transfere a execução; a CVM cobra o diretor. Um relatório do terceiro que o diretor não entende não é supervisão.
Evidência fora de casa. As apurações diárias vivem no sistema do consultor. Quando o contrato acaba ou o ofício chega, a gestora não tem os cinco anos de registro que a Res. CVM 21 exige.
Conflito de quem faz e quem testa. A mesma consultoria que executa o compliance faz a auditoria interna. Ninguém encontra os próprios erros.
SLA de relatório, não de controle. O contrato promete um relatório mensal, e a ANBIMA exige supervisão dos limites em até um dia útil.
Dependência sem saída. Não há cláusula de devolução de dados, metodologias e histórico em formato aberto.
Terceiro que não conhece a operação. Políticas genéricas, regras de seleção de PLD de banco, cenários de estresse de outro tipo de carteira.

Como contratar bem

Um contrato de terceirização de risco ou compliance que protege a gestora tem sete cláusulas que não podem faltar:

Escopo por função, separando o que o terceiro executa do que o diretor decide e assina.
Frequência compatível com a norma: apuração diária de limites e liquidez, relatório mensal de risco, prazos de PLD.
Propriedade e acesso aos dados: as apurações, os parâmetros e os logs pertencem à gestora e ficam acessíveis a ela em tempo real, preferencialmente no sistema da própria gestora.
Supervisão formal: reuniões de revisão, testes por amostragem feitos pelo diretor, registro das validações.
Segregação: quem executa não audita; quem audita não executa.
Segurança e confidencialidade, incluindo dados de cotistas e as regras de cibersegurança da ANBIMA.
Saída: devolução do histórico completo em formato aberto, com prazo, e transição assistida.

O papel do sistema em qualquer modelo

Internalizado, terceirizado ou híbrido, o que não muda é onde a evidência precisa morar. O sistema de registro é da gestora: nele ficam os regulamentos versionados, a apuração diária por classe e subclasse, os dossiês de desenquadramento, os resultados de risco e liquidez e os registros de PLD. O terceiro pode operar dentro dele, com perfil de acesso próprio e log de tudo o que faz; o que ele não pode é ser o único lugar onde os dados existem. Essa é a diferença entre terceirizar a execução e terceirizar o controle, e é o critério de escolha de sistema que mais importa nesse contexto, como detalhado em software de controle de risco e compliance: como escolher.

Checklist de decisão

Antes de terceirizar ou internalizar

Responsabilidade

Diretores de compliance, risco e PLD são estatutários e sabem explicar cada relatório que assinam.
O contrato separa execução (terceiro) de decisão e assinatura (gestora).
Há supervisão formal do terceiro, com testes e registro, como exige a Res. CVM 21.

Evidência

Apurações, parâmetros, logs e dossiês ficam em sistema da gestora, acessíveis em tempo real.
Histórico de cinco anos recuperável sem depender do terceiro.
Cláusula de saída com devolução completa em formato aberto.

Desenho

Frequência do serviço compatível com a norma: diária para limites e liquidez, mensal para risco.
Quem executa não audita; auditoria interna independente da execução.
Políticas e regras escritas para a operação real da gestora, não genéricas.
Modelo revisado a cada salto de porte, produto ou norma.

Perguntas frequentes sobre terceirização de risco e compliance

A gestora pode terceirizar o compliance?

Pode terceirizar a execução, não a responsabilidade. A Resolução CVM 21 exige um diretor estatutário responsável por compliance, que assina o relatório anual de controles internos e responde perante a CVM; uma consultoria pode redigir políticas, executar monitoramentos e testes e apoiar respostas a ofícios, sob supervisão diligente do diretor, que precisa entender e validar o que recebe.

A gestão de risco pode ser terceirizada?

A Resolução CVM 21 permite contratar terceiros para mensurar os riscos das carteiras, desde que a gestora os supervisione com diligência. A política de risco, os limites, a validação dos resultados e o acesso aos dados e cálculos continuam na gestora, sob o diretor de risco, que responde pelo monitoramento e pelos relatórios exigidos pela norma.

Qual é o risco de terceirizar risco e compliance?

O principal é confundir execução com responsabilidade: a CVM cobra o diretor, não o consultor. Vêm depois a evidência que fica fora da gestora e some com o fim do contrato, o conflito entre quem executa e quem audita, o SLA de relatório mensal incompatível com a supervisão diária que a ANBIMA exige, a dependência sem cláusula de saída e políticas genéricas que não descrevem a operação real.

O que é o modelo híbrido de risco e compliance?

É o arranjo em que a gestora mantém o sistema de registro e uma equipe enxuta operando os controles diários, e contrata consultoria para políticas, auditoria interna, testes e temas regulatórios novos. Ele concentra a evidência e o conhecimento na gestora, reduz o risco de pessoa-chave e escala com o sistema, e é o modelo que costuma funcionar para gestoras de pequeno e médio porte.

Quem responde perante a CVM quando o controle terceirizado falha?

A gestora e seus diretores estatutários. A Resolução CVM 21 mantém a responsabilidade nos diretores de compliance e de risco, e a Resolução CVM 175 faz o gestor responder pelos próprios atos e pelos terceiros que contrata em nome do fundo. A supervisão diligente do terceiro, documentada, é o que a gestora apresenta como evidência de que cumpriu seu dever.

O que deve constar no contrato de terceirização de risco ou compliance?

Escopo por função separando execução de decisão, frequência compatível com a norma, propriedade e acesso da gestora aos dados, parâmetros e logs, supervisão formal com testes e registro, segregação entre quem executa e quem audita, segurança e confidencialidade conforme as regras de cibersegurança da ANBIMA, e cláusula de saída com devolução do histórico completo em formato aberto e transição assistida.

Decida quem executa. A evidência já tem endereço.

Traga a estrutura da sua gestora e os prestadores que você usa ou pretende usar. Em uma demonstração, mostramos o Fundsys como sistema de registro operado por equipe interna, consultoria ou ambos, com perfis, logs e a trilha auditável de cada apuração diária.

Conhecer o Fundsys

Este conteúdo tem finalidade informativa e não substitui a leitura das normas citadas nem a assessoria jurídica da sua instituição. Prazos, números de artigos e entendimentos das áreas técnicas foram verificados em agosto de 2026 e são revisados trimestralmente; alterações posteriores podem não estar refletidas.