As regras de retenção de registros da Financial Industry Regulatory Authority (FINRA) definem exigências rigorosas que corretoras e outras entidades financeiras precisam cumprir para arquivar e preservar livros e registros, inclusive comunicações eletrônicas. Da mesma forma, a Comissão de Valores Mobiliários dos EUA (SEC) também regulamenta como os registros eletrônicos devem ser mantidos, com penalidades em caso de descumprimento.
Este guia mostra quais medidas administradores de TI e provedores de serviços gerenciados (MSPs) podem adotar para atender às exigências da regra 4511 da FINRA e da regra 17a-4(f) da SEC quanto ao armazenamento e à recuperação seguros de comunicações e registros financeiros, seja na própria organização, seja em nome de clientes.
🎥 Veja a visão geral em vídeo aqui: Guia de conformidade para atender às exigências de retenção de registros de comunicações eletrônicas da FINRA e da SEC.
Qual é a diferença entre SEC e FINRA?
A FINRA é uma entidade privada e autorregulada do setor de corretoras nos EUA, que cria e faz cumprir regras para que as empresas financeiras atuem de forma legal e ética. Embora não seja um órgão do governo americano, tem poder para aplicar multas e impor restrições a corretoras que descumpram suas regras ou as regras definidas pelo Municipal Securities Rulemaking Board (MSRB) ou pela SEC.
Já a SEC é uma agência independente do governo dos EUA, criada para zelar pelos mercados e proteger investidores por meio da aplicação de diversas normas legais, inclusive as de divulgação de informações financeiras pelas empresas.
Quem está sujeito à regra 4511 da FINRA e à regra 17a-4 da SEC?
Administradores de TI e MSPs que gerenciam os sistemas de TI de corretoras registradas na SEC e de empresas associadas à FINRA precisam adotar medidas para cumprir as regras de retenção de registros e preservação de dados e, assim, garantir a conformidade.
Embora este guia ajude a identificar ferramentas e processos para cumprir as obrigações de retenção e arquivamento, é indispensável ler e compreender as regulamentações diretamente na fonte oficial, além de consultar especialistas jurídicos e técnicos para saber quais regras se aplicam ao seu negócio e garantir que sejam implementadas de forma eficaz.
Isso é fundamental, porque o descumprimento (mesmo involuntário) pode gerar sanções como multas, suspensão ou perda de licença. Também podem existir regulamentações adicionais (inclusive de proteção de dados de clientes) aplicáveis à sua organização, conforme a localização ou a natureza do negócio.
Tipos de comunicação abrangidos
As regras de retenção de registros da SEC e da FINRA valem para todas as comunicações físicas e eletrônicas relacionadas ao negócio. Isso inclui e-mail, ferramentas de chat e colaboração (como Slack e Microsoft Teams), gravações de chamadas de áudio e vídeo (inclusive correio de voz) e interações em redes sociais (quando ligadas ao negócio).
As equipes jurídicas e de conformidade da organização devem definir o escopo e os critérios de supervisão das comunicações, para que tudo o que é exigido seja preservado conforme as regulamentações. Todas as comunicações precisam ser preservadas pelos períodos de retenção definidos, em um formato protegido contra perda de dados e que não possa ser alterado. Além disso, pode ser necessário manter os dados prontamente disponíveis para revisões periódicas de supervisão.
Regra 4511 da FINRA: lista de verificação da obrigação geral de retenção de registros
Cumprir a regra 4511 da FINRA pode significar também atender a várias outras exigências definidas pelo Exchange Act e pela SEA. Ao planejar e implementar os sistemas de retenção de registros, suas equipes de conformidade devem considerar os seguintes pontos:
- Os registros precisam ser exatos e completos
- Os dados precisam ser armazenados em formato inviolável, protegido contra perda de dados e alterações
- Os registros de comunicação preservados precisam ser mantidos por até 6 anos, conforme o tipo de documento
- O período de retenção pode variar de acordo com o tipo de documento preservado
A preservação dos dados de comunicação fica mais simples com soluções de arquivamento de e-mail que permitem busca, recuperação e exportação. Alguns dados exigem medidas específicas para serem arquivados corretamente, como os de aplicativos de chat (Microsoft Teams) ou de plataformas de colaboração (SharePoint).
Regra 17a-4(f) da SEC: armazenamento eletrônico de registros de corretoras
Os procedimentos exigidos pela regra 17a-4(f) da SEC incluem por quanto tempo os registros de comunicação precisam ser mantidos e quais padrões técnicos devem ser atendidos. Estas diretrizes ajudam na conformidade:
- Use armazenamento imutável compatível com WORM (write once, read many)
- Aplique carimbo de data e hora digital a todos os registros retidos
- Mantenha cópias duplicadas de todos os dados em locais geograficamente separados
- Mantenha índices dos registros armazenados
- Garanta que os registros fiquem prontamente disponíveis durante o período de retenção
- Avise a autoridade designada antes de usar qualquer novo meio de armazenamento eletrônico
Exigências de supervisão e acesso
Tanto as regras de retenção de registros da FINRA quanto as normas da SEC exigem que todos os registros arquivados estejam disponíveis mediante solicitação — o que pede uma solução de arquivamento com busca adequada para eDiscovery. As empresas também podem precisar designar uma parte independente para ajudar a SEC no acesso, quando necessário.
Todos os registros arquivados devem ser auditados quanto a tentativas de acesso, modificação e exclusão, e revisões periódicas devem confirmar a conformidade com a FINRA, a SEC e outras políticas de preservação de dados aplicáveis. As trilhas de auditoria devem ser mantidas pelo mesmo prazo que os próprios dados.
Além disso, pode ser necessário supervisionar os registros conforme procedimentos de supervisão por escrito (WSPs).
Conformidade com a FINRA e a SEC no Microsoft 365 e no Google Workspace
Muitas empresas financeiras usam Microsoft 365 e Google Workspace para e-mail, produtividade e colaboração. Essas soluções totalmente gerenciadas oferecem confiabilidade e funcionalidades prontas para uso, sem custos de infraestrutura, mas operam em um modelo de responsabilidade compartilhada, que atribui ao cliente toda a responsabilidade por eventuais perdas de dados. Portanto, cabe a você, como administrador de TI ou MSP que lida com dados financeiros, garantir que eles sejam preservados conforme as regras de retenção de registros da FINRA e da SEC e outras regulamentações de dados, como CCPA e HIPAA.
Isso significa que os dados preservados também precisam de backup. Mas atenção: nem todo sistema de backup atende às exigências da FINRA e da SEC, e existem soluções de arquivamento e backup de dados feitas sob medida para o setor de serviços financeiros.
Se a sua tarefa é preservar dados financeiros conforme as regras de retenção de registros da FINRA e da SEC, fale hoje mesmo com um representante NinjaOne e descubra como nossa plataforma para MSPs pode ajudar na conformidade.
