Uma multa de 48,65 milhões de libras, oito anos depois: o que o TSB ainda ensina sobre governança de migração

A multa

A FCA e a PRA multaram o TSB em 48,65 milhões de libras em dezembro de 2022 por falhas de resiliência operacional e gestão de risco relacionadas com a migração informática de abril de 2018. A parte da FCA foi 29,75 milhões de libras. A parte da PRA foi 18,9 milhões de libras. Ambos os reguladores aplicaram descontos de 30% por acordo antecipado.

As multas não são a lição. As notificações finais são a lição.

O que as notificações dizem

A notificação final da FCA (referência FCA0018D) e a notificação final da PRA (referência PRA0128) descrevem uma falha de governança de migração com uma anatomia específica. A falha não é técnica. A falha é de tomada de decisão.

Cinco conclusões repetem-se em ambas as notificações:

1. A migração foi tratada como um projeto de TI, não como um evento crítico de negócio. O conselho do TSB não tinha um documento de critérios de prontidão para a migração. O CEO e o CIO receberam recomendações de go-live da equipa do programa sem desafio independente. Os reguladores concluíram que «a Instituição não geriu a migração como um evento discreto e crítico de negócio que exige governança reforçada».

2. Os testes foram insuficientes e mal interpretados. A migração para a plataforma Protekt4 do SABADell usou dados de um ambiente de teste que não replicava os volumes de dados de produção nem os casos extremos. A equipa do programa reportou estado verde nos testes. Os reguladores concluíram que «a abordagem de testes não foi suficientemente rigorosa para fornecer garantia de que a nova plataforma funcionaria eficazmente no go-live».

3. A decisão de prosseguir não foi baseada em evidência. Em 18 de abril de 2018, o comité de orientação do programa recomendou o go-live. O conselho aprovou. Nenhum órgão tinha visto um teste equivalente à produção. Nenhum órgão tinha uma avaliação independente de prontidão. Os reguladores concluíram que «a decisão de prosseguir foi tomada sem garantia adequada».

4. A resposta a incidentes estava despreparada. Quando a migração falhou em 20 de abril de 2018, o TSB não tinha um plano de reversão que pudesse ser executado num prazo aceitável. O banco não conseguia processar pagamentos, não conseguia aceder a contas de clientes e não conseguia quantificar o âmbito da falha durante 12 dias. Os reguladores concluíram que «a resposta a incidentes da Instituição foi inadequada e mal preparada».

5. A comunicação com os clientes foi inexistente. Os clientes do TSB não foram informados do risco de migração antes do go-live. Quando a falha ocorreu, a comunicação do TSB foi demorada, inconsistente e, em alguns casos, imprecisa. Os reguladores concluíram que «a Instituição não comunicou eficazmente com os seus clientes durante e após o incidente».

A lição de design

A lição não é «não migrar». A lição é «não migrar sem governança que corresponda ao risco».

Um quadro de governança de migração que teria prevenido a falha do TSB tem três componentes:

1. Avaliação independente de prontidão. Uma parte externa à equipa do programa, sem interesse de carreira na decisão de go-live, produz uma avaliação escrita de prontidão contra critérios definidos. O conselho vê tanto a recomendação da equipa do programa como a avaliação independente.

2. Testes equivalentes à produção. Os testes devem usar volumes de dados, casos extremos e pontos de integração que repliquem a produção. Um teste que passa num ambiente sintético com 10% do volume de produção não é um teste. É um ensaio.

3. Planos de reversão e comunicação aos clientes. O plano de reversão deve ser testado, cronometrado e executável sem aprovação da equipa do programa. O plano de comunicação aos clientes deve ser pré-redigido, pré-aprovado e ativável pela equipa de resposta a incidentes, não pelo comité de orientação do programa.

Porque isto ainda importa em 2026

Os bancos estão a migrar novamente. Os prazos de pagamentos instantâneos de 2027, os requisitos de resiliência operacional do DORA e a mudança contínua para plataformas de core banking nativas na nuvem estão a impulsionar uma nova vaga de migrações. A falha do TSB tem oito anos. As falhas de governança que expôs não.

Fontes

• Notificação Final da FCA, TSB Bank plc, 20 de dezembro de 2022 (referência FCA0018D)
• Notificação Final da PRA, TSB Bank plc, 20 de dezembro de 2022 (referência PRA0128)
• Relatório de Investigação Conjunta FCA/PRA, 2019

---

Rascunho PT. Análise de registo público. Sem permissão de cliente necessária. Sem citações de especialistas fabricadas.