--- title: "Terceirizar ou internalizar risco e compliance na gestora?" description: "Terceirização de risco e compliance em gestoras: o que a CVM 21 e a CVM 175 permitem delegar, três modelos, riscos e como contratar bem." url: "https://fundsys.com.br/blog/terceirizar-ou-internalizar-risco-compliance-gestora" site: "Fundsys, plataforma de controle, inteligência e automação para a operação de fundos" category: "Negócio & Tecnologia" tags: "terceirização, compliance, gestão de risco, Resolução CVM 21" authors: "Bruno Haas e Pablo Brenner" published: "2026-08-29" language: "pt-BR" reading_minutes: 10 --- **Negócio & Tecnologia (Decisão)** # Terceirizar ou internalizar o controle de risco e compliance? A pergunta certa não é se a gestora pode terceirizar risco e compliance, e sim o que ela pode delegar sem perder o controle do que a CVM vai cobrar dela. A Resolução CVM 21 permite contratar terceiros para executar, mas mantém os diretores estatutários e a responsabilidade na gestora; a Resolução CVM 175 faz o gestor responder pelos terceiros que contrata. Este post organiza o que pode e o que não pode ser terceirizado, compara três modelos e mostra como contratar sem transferir para fora a evidência que precisa ficar dentro. Por Bruno Haas e Pablo Brenner · 29 de agosto de 2026 · 10 min de leitura **Neste guia** 1. [O que a norma permite delegar, e o que fica na gestora](https://fundsys.com.br/blog/terceirizar-ou-internalizar-risco-compliance-gestora#o-que-a-norma-permite) 2. [Três modelos, comparados](https://fundsys.com.br/blog/terceirizar-ou-internalizar-risco-compliance-gestora#tres-modelos) 3. [Quando cada modelo faz sentido](https://fundsys.com.br/blog/terceirizar-ou-internalizar-risco-compliance-gestora#quando-cada-um) 4. [Os riscos da terceirização mal desenhada](https://fundsys.com.br/blog/terceirizar-ou-internalizar-risco-compliance-gestora#riscos) 5. [Como contratar bem](https://fundsys.com.br/blog/terceirizar-ou-internalizar-risco-compliance-gestora#como-contratar) 6. [O papel do sistema em qualquer modelo](https://fundsys.com.br/blog/terceirizar-ou-internalizar-risco-compliance-gestora#sistema) 7. [Checklist de decisão](https://fundsys.com.br/blog/terceirizar-ou-internalizar-risco-compliance-gestora#checklist) 8. [Perguntas frequentes sobre terceirização de risco e compliance](https://fundsys.com.br/blog/terceirizar-ou-internalizar-risco-compliance-gestora#faq) ## O que a norma permite delegar, e o que fica na gestora A Res. CVM 21/21 exige diretores estatutários responsáveis por gestão, compliance e gestão de risco, e diz o que pode ser feito com a execução: a gestora pode contratar terceiros para mensurar riscos, desde que os supervisione com diligência. A responsabilidade não acompanha o contrato: o diretor continua respondendo pelo relatório anual de controles internos, pela política de risco e pelo que a CVM encontrar. A [Resolução CVM 175](https://fundsys.com.br/blog/resolucao-cvm-175-guia-completo) reforça a lógica do outro lado: o gestor responde pelos próprios atos e pelos prestadores que contrata em nome do fundo. E os códigos da ANBIMA exigem diligência na seleção e supervisão baseada em risco dos terceiros contratados. | Função | Execução terceirizável? | O que não sai da gestora | | --------------------------------------- | --------------------------------- | -------------------------------------------------------------------------------------- | | Diretor de compliance | Não: é cargo estatutário | A pessoa, a responsabilidade e a assinatura do relatório anual | | Diretor de risco | Não: é cargo estatutário | A política, os limites e a resposta pelo monitoramento | | Cálculo de métricas de risco | Sim, com supervisão diligente | A definição da metodologia, a validação dos resultados e o acesso aos dados e cálculos | | Controle de enquadramento | Sim, como serviço ou como sistema | A classificação do desenquadramento, a decisão de reenquadrar e o dossiê | | Redação de políticas e manuais | Sim | A aderência à operação real e a aprovação pela administração | | Monitoramento de PLD | Sim, na execução | O diretor de PLD, a avaliação interna de risco, a decisão de comunicar ao COAF | | Auditoria interna e testes de controles | Sim, e muitas vezes é melhor | O plano de auditoria e o tratamento dos achados | | Resposta a ofícios e inspeções | Apoio, sim; assinatura, não | A resposta é da gestora e a evidência precisa estar nela | > Terceirizar risco e compliance é como contratar um escritório de contabilidade: ele faz os lançamentos, mas o balanço é assinado pela empresa, e é a empresa que a fiscalização visita. ## Três modelos, comparados | Critério | Internalizado | Terceirizado | Híbrido | | ----------------------- | ---------------------------------------------------------------- | -------------------------------------------------------------------------- | -------------------------------------------------------------------------------------- | | Como funciona | Equipe própria de risco e compliance operando um sistema próprio | Consultoria executa risco, compliance e enquadramento e entrega relatórios | Sistema próprio, equipe enxuta, consultoria para políticas, testes e demandas pontuais | | Custo | Alto e fixo: pessoas e sistema | Médio e variável; cresce com o número de fundos | Médio, previsível: licença mais horas sob demanda | | Controle e conhecimento | Máximo; conhecimento fica na casa | Baixo; conhecimento fica no fornecedor | Alto; a equipe opera e entende o controle | | Evidência | Na gestora, se o sistema gravar | Frequentemente no terceiro; precisa ser trazida | Na gestora, por desenho | | Risco de pessoa-chave | Alto em equipes pequenas | Transferido ao fornecedor, não eliminado | Menor: sistema e processo não dependem de uma pessoa | | Resposta a ofício | Rápida, se a evidência existe | Depende da agenda do terceiro | Rápida: dados na casa, apoio quando preciso | | Escala | Exige contratar a cada salto | Escala com custo crescente | Escala com o sistema; equipe cresce devagar | | Onde funciona | Gestoras grandes ou com estratégias proprietárias | Gestoras nascentes com um ou dois fundos simples | A maioria das gestoras de pequeno e médio porte | ## Quando cada modelo faz sentido ### Gestora nascente Um ou dois fundos, equipe de três ou quatro pessoas, diretores acumulando funções. A consultoria ajuda a escrever políticas e a preparar o pedido de registro, e pode executar o monitoramento nos primeiros meses. O erro é deixar a evidência no consultor: desde o primeiro dia, a apuração diária precisa ficar gravada em um sistema da gestora, ainda que quem a opere seja o terceiro. O caminho está em [como abrir uma gestora de recursos](https://fundsys.com.br/blog/como-abrir-gestora-de-recursos). ### Gestora de crédito ou FIDC Verificação de lastro, cobrança e análise de crédito são responsabilidades do gestor no Anexo II da 175, executáveis por terceiros, mas com supervisão formal. Aqui a terceirização é da execução operacional; a política de crédito, os critérios de elegibilidade e a supervisão dos terceiros ficam na gestora. Os detalhes estão em [CVM 175 e FIDCs: o que mudou no Anexo Normativo II](https://fundsys.com.br/blog/cvm-175-fidc-anexo-normativo-ii). ### Gestora multiestratégia Vários fundos, classes e subclasses, métricas diferentes por estratégia. O modelo híbrido é o que costuma funcionar: sistema como fonte de registro, equipe própria de risco e compliance operando, consultoria para auditoria interna, revisão de políticas e temas regulatórios novos. Internalizar tudo faz sentido quando a estratégia exige modelos proprietários que nenhum fornecedor cobre. ## Os riscos da terceirização mal desenhada 1. **Achar que a responsabilidade foi junto.** O contrato transfere a execução; a CVM cobra o diretor. Um relatório do terceiro que o diretor não entende não é supervisão. 2. **Evidência fora de casa.** As apurações diárias vivem no sistema do consultor. Quando o contrato acaba ou o ofício chega, a gestora não tem os cinco anos de registro que a Res. CVM 21 exige. 3. **Conflito de quem faz e quem testa.** A mesma consultoria que executa o compliance faz a auditoria interna. Ninguém encontra os próprios erros. 4. **SLA de relatório, não de controle.** O contrato promete um relatório mensal, e a ANBIMA exige supervisão dos limites em até um dia útil. 5. **Dependência sem saída.** Não há cláusula de devolução de dados, metodologias e histórico em formato aberto. 6. **Terceiro que não conhece a operação.** Políticas genéricas, regras de seleção de PLD de banco, cenários de estresse de outro tipo de carteira. ## Como contratar bem Um contrato de terceirização de risco ou compliance que protege a gestora tem sete cláusulas que não podem faltar: - **Escopo por função,** separando o que o terceiro executa do que o diretor decide e assina. - **Frequência compatível com a norma:** apuração diária de limites e liquidez, relatório mensal de risco, prazos de PLD. - **Propriedade e acesso aos dados:** as apurações, os parâmetros e os logs pertencem à gestora e ficam acessíveis a ela em tempo real, preferencialmente no sistema da própria gestora. - **Supervisão formal:** reuniões de revisão, testes por amostragem feitos pelo diretor, registro das validações. - **Segregação:** quem executa não audita; quem audita não executa. - **Segurança e confidencialidade,** incluindo dados de cotistas e as regras de cibersegurança da ANBIMA. - **Saída:** devolução do histórico completo em formato aberto, com prazo, e transição assistida. ## O papel do sistema em qualquer modelo Internalizado, terceirizado ou híbrido, o que não muda é onde a evidência precisa morar. O sistema de registro é da gestora: nele ficam os regulamentos versionados, a apuração diária por classe e subclasse, os dossiês de desenquadramento, os resultados de risco e liquidez e os registros de PLD. O terceiro pode operar dentro dele, com perfil de acesso próprio e log de tudo o que faz; o que ele não pode é ser o único lugar onde os dados existem. Essa é a diferença entre terceirizar a execução e terceirizar o controle, e é o critério de escolha de sistema que mais importa nesse contexto, como detalhado em [software de controle de risco e compliance: como escolher](https://fundsys.com.br/blog/software-controle-risco-compliance-gestoras). > Em qualquer modelo, a evidência fica na gestora. O Fundsys é o lugar onde ela fica. > > [Conhecer o Fundsys](https://fundsys.com.br/#demo) ## Checklist de decisão ### Antes de terceirizar ou internalizar #### Responsabilidade - Diretores de compliance, risco e PLD são estatutários e sabem explicar cada relatório que assinam. - O contrato separa execução (terceiro) de decisão e assinatura (gestora). - Há supervisão formal do terceiro, com testes e registro, como exige a Res. CVM 21. #### Evidência - Apurações, parâmetros, logs e dossiês ficam em sistema da gestora, acessíveis em tempo real. - Histórico de cinco anos recuperável sem depender do terceiro. - Cláusula de saída com devolução completa em formato aberto. #### Desenho - Frequência do serviço compatível com a norma: diária para limites e liquidez, mensal para risco. - Quem executa não audita; auditoria interna independente da execução. - Políticas e regras escritas para a operação real da gestora, não genéricas. - Modelo revisado a cada salto de porte, produto ou norma. ## Perguntas frequentes sobre terceirização de risco e compliance ### A gestora pode terceirizar o compliance? Pode terceirizar a execução, não a responsabilidade. A Resolução CVM 21 exige um diretor estatutário responsável por compliance, que assina o relatório anual de controles internos e responde perante a CVM; uma consultoria pode redigir políticas, executar monitoramentos e testes e apoiar respostas a ofícios, sob supervisão diligente do diretor, que precisa entender e validar o que recebe. ### A gestão de risco pode ser terceirizada? A Resolução CVM 21 permite contratar terceiros para mensurar os riscos das carteiras, desde que a gestora os supervisione com diligência. A política de risco, os limites, a validação dos resultados e o acesso aos dados e cálculos continuam na gestora, sob o diretor de risco, que responde pelo monitoramento e pelos relatórios exigidos pela norma. ### Qual é o risco de terceirizar risco e compliance? O principal é confundir execução com responsabilidade: a CVM cobra o diretor, não o consultor. Vêm depois a evidência que fica fora da gestora e some com o fim do contrato, o conflito entre quem executa e quem audita, o SLA de relatório mensal incompatível com a supervisão diária que a ANBIMA exige, a dependência sem cláusula de saída e políticas genéricas que não descrevem a operação real. ### O que é o modelo híbrido de risco e compliance? É o arranjo em que a gestora mantém o sistema de registro e uma equipe enxuta operando os controles diários, e contrata consultoria para políticas, auditoria interna, testes e temas regulatórios novos. Ele concentra a evidência e o conhecimento na gestora, reduz o risco de pessoa-chave e escala com o sistema, e é o modelo que costuma funcionar para gestoras de pequeno e médio porte. ### Quem responde perante a CVM quando o controle terceirizado falha? A gestora e seus diretores estatutários. A Resolução CVM 21 mantém a responsabilidade nos diretores de compliance e de risco, e a Resolução CVM 175 faz o gestor responder pelos próprios atos e pelos terceiros que contrata em nome do fundo. A supervisão diligente do terceiro, documentada, é o que a gestora apresenta como evidência de que cumpriu seu dever. ### O que deve constar no contrato de terceirização de risco ou compliance? Escopo por função separando execução de decisão, frequência compatível com a norma, propriedade e acesso da gestora aos dados, parâmetros e logs, supervisão formal com testes e registro, segregação entre quem executa e quem audita, segurança e confidencialidade conforme as regras de cibersegurança da ANBIMA, e cláusula de saída com devolução do histórico completo em formato aberto e transição assistida. > Decida quem executa. A evidência já tem endereço. > > Traga a estrutura da sua gestora e os prestadores que você usa ou pretende usar. Em uma demonstração, mostramos o Fundsys como sistema de registro operado por equipe interna, consultoria ou ambos, com perfis, logs e a trilha auditável de cada apuração diária. > > [Conhecer o Fundsys](https://fundsys.com.br/#demo) ## Leia também - Tecnologia: [Software de controle de risco e compliance para gestoras: como escolher](https://fundsys.com.br/blog/software-controle-risco-compliance-gestoras) - Negócio: [Como abrir uma gestora de recursos: passo a passo e requisitos CVM](https://fundsys.com.br/blog/como-abrir-gestora-de-recursos) - Risco e compliance: [Gestão de riscos e compliance em gestoras: como estruturar na prática](https://fundsys.com.br/blog/boas-praticas-gestao-riscos-compliance) - Conformidade: [Auditoria interna em gestoras de fundos: o que faz e como planejar](https://fundsys.com.br/blog/auditoria-interna-importancia) - CVM 175: [Gestor x administrador fiduciário na CVM 175: quem responde por quê](https://fundsys.com.br/blog/papel-gestor-cvm-175) - Tecnologia: [Planilhas x sistema: os riscos de operar uma gestora no Excel](https://fundsys.com.br/blog/planilhas-x-sistema-riscos-gestora-excel) _Este conteúdo tem finalidade informativa e não substitui a leitura das normas citadas nem a assessoria jurídica da sua instituição. Prazos, números de artigos e entendimentos das áreas técnicas foram verificados em agosto de 2026 e são revisados trimestralmente; alterações posteriores podem não estar refletidas._