Como escolher um parceiro de desenvolvimento de software fintech (sem se queimar)

Pela equipa ITDS · Lisboa e Varsóvia

Escolher um parceiro de software é difícil. Escolher um para uma fintech é mais difícil, porque o custo de uma má escolha não é apenas um lançamento atrasado. Pode ser uma auditoria falhada, um fluxo de pagamentos que perde dinheiro ou um regulador a perguntar quem, exatamente, teve acesso aos dados dos seus clientes.

Este guia mostra como escolher um parceiro de desenvolvimento de software fintech sem se queimar. Explica o que a fintech precisa que outro software não precisa, as perguntas de regulação e segurança a fazer, como é uma boa referência no setor financeiro regulado, os sinais de alerta e alguns exemplos reais. Para conhecer os engenheiros que a ITDS disponibiliza a bancos e fintechs, veja a nossa página sobre desenvolvimento de software fintech.

O que um parceiro de desenvolvimento de software fintech tem de saber fazer

O software fintech movimenta dinheiro e guarda dados pessoais sensíveis, sob o olhar de um regulador. Isso muda o que precisa de um parceiro.

• Correção antes de rapidez. Um erro de arredondamento num fluxo de pagamentos não é um bug para corrigir no próximo sprint. Os engenheiros têm de pensar em casos limite, reconciliação e cenários de falha por defeito.
• Rastreabilidade. Cada alteração, acesso e implementação pode ter de ser rastreado meses depois.
• Segurança como hábito diário. Controlo de acessos, gestão de segredos e código seguro não podem ficar para depois.
• Disponibilidade. Espera-se que pagamentos e aplicações bancárias funcionem a qualquer hora, por isso alguém tem de os manter a funcionar.
• Supervisão de terceiros. O seu regulador espera que gira os riscos trazidos pelos seus fornecedores, incluindo o parceiro de software.

Uma software house generalista pode ser excelente e, mesmo assim, não estar preparada para isto. O parceiro certo tem engenheiros que já trabalharam com estas exigências.

Perguntas de regulação a fazer a um parceiro de desenvolvimento de software fintech

O compliance pertence à sua equipa de compliance, e o parceiro nunca deve fingir o contrário. Mas as respostas do parceiro mostram se consegue trabalhar dentro das suas obrigações.

1. Onde vão trabalhar os vossos engenheiros, e quem os contrata? Engenheiros dentro da UE mantêm os dados pessoais ao abrigo do RGPD e simplificam as questões de transferência de dados.
2. Como apoiam a nossa gestão do risco de terceiros de TIC? Ao abrigo do Regulamento europeu de resiliência operacional digital (DORA), as entidades financeiras têm de gerir os riscos dos seus fornecedores de TIC. Pergunte que documentação e informação o parceiro pode fornecer para o seu registo e as suas revisões.
3. Aceitam direitos de auditoria e de acesso no contrato? As entidades reguladas precisam muitas vezes do direito de auditar os fornecedores.
4. Recorrem a subcontratados? E, se sim, quais, onde e em que condições.
5. O que acontece no fim da relação? Como são devolvidos o conhecimento, o código e os acessos.
6. Em que ambientes regulados trabalharam os vossos engenheiros? Pagamentos, cartões, banca, crédito, trading ou seguros.

Esta é informação geral e não aconselhamento jurídico ou de compliance. As suas equipas de compliance e jurídica devem definir os requisitos exatos para a sua empresa.

Verificações de segurança

• Acessos. Os engenheiros trabalham apenas nos seus sistemas e contas, com o mínimo de acesso necessário, e os acessos são retirados no dia em que saem.
• Identidade e dispositivos. Autenticação multifator em todo o lado e regras claras sobre que dispositivos podem tocar no seu código e nos seus dados.
• Verificação de antecedentes. Que verificações o parceiro faz antes de um engenheiro entrar num cliente financeiro, dentro do que a lei local permite.
• Desenvolvimento seguro. Revisão de código, gestão de segredos e análise de dependências como prática normal.
• Gestão de incidentes. Com que rapidez o parceiro o informa de um incidente suspeito, e a quem liga.
• Certificações. As certificações de segurança ajudam, mas pergunte como os controlos se aplicam às pessoas que trabalham no seu projeto.

Como é uma boa referência no setor financeiro regulado

Qualquer parceiro encontra um cliente satisfeito. Na fintech, peça referências parecidas com a sua situação e faça perguntas concretas:

• A referência era um banco, uma instituição de pagamento ou uma fintech com regulação semelhante à sua?
• Os engenheiros do parceiro passaram a integração de segurança do cliente sem atrasos?
• Como se comportou o parceiro durante um incidente ou uma auditoria?
• Os engenheiros ficaram no projeto tempo suficiente para ganhar conhecimento real do setor?
• Confiariam ao parceiro sistemas em produção?

Uma boa referência descreve como o parceiro se comportou quando importava, e não apenas que "os engenheiros eram bons".

Sinais de alerta na escolha de um parceiro de desenvolvimento de software fintech

• "Tratamos do compliance por si." Um parceiro de software apoia o seu compliance; não é dono dele.
• Sem referências no setor financeiro. Ou apenas referências de projetos não regulados.
• Respostas vagas sobre a localização dos dados. Se não conseguem dizer de onde os seus dados serão acedidos, assuma o pior.
• Resistência a direitos de auditoria. Um parceiro que não aceita ser auditado não está pronto para trabalho regulado.
• Rotatividade elevada. Nas finanças, o conhecimento do setor demora a construir, e a rotação constante destrói-o.
• Engenheiros júnior vendidos como seniores. Entreviste as pessoas que vão realmente trabalhar nos seus sistemas.

Exemplos dos nossos próprios clientes

Estes são clientes da ITDS, por isso leia-os como exemplos do que procurar, não como referências neutras.

Parceiro de desenvolvimento de software fintech: perguntas frequentes