Resumo

  • O Financial Conduct Authority (FCA) e o Prudential Regulation Authority (PRA) anunciaram em 20 de dezembro de 2022 sanções que somam £48.650.000 contra o TSB Bank plc por falhas ligadas à migração de sua plataforma de TI em 2018.
  • As falhas apontadas pelas autoridades ficam em governança e supervisão da migração, gestão de risco, planejamento e testes, além da interrupção que os clientes efetivamente viveram. Ou seja: o problema já existia como decisão antes de o sistema ser trocado.

A multa registra uma decisão, não um defeito

Em 20 de dezembro de 2022, o FCA e o PRA colocaram a conclusão no registro público: £48.650.000 contra o TSB Bank plc, sendo £29.750.000 pelo FCA e £18.900.000 pelo PRA (anúncio conjunto do FCA e do PRA). Os valores vêm do anúncio das autoridades naquela data. O documento que carrega a base legal, o enquadramento normativo e a descrição factual ponto a ponto é a notificação final do FCA (notificação final do FCA); os textos públicos que este artigo conseguiu ler não informam quantos clientes foram afetados nem por quanto tempo os serviços ficaram degradados, e por isso esses dois números não aparecem aqui.

Segundo o anúncio, as autoridades agruparam as deficiências em quatro frentes: governança e supervisão da migração, gestão de risco, planejamento e testes, e a interrupção sentida pelos clientes.

As três primeiras descrevem decisões. Só a última descreve um resultado. É por isso que este caso merece ser relido: o que está registrado não é um acidente de percurso, é uma sequência de julgamentos.

Contar como pane é o caminho mais fácil e o menos útil

A versão confortável da história é simples: as telas apagaram, as contas ficaram inacessíveis, os serviços voltaram alguns dias depois e, quatro anos mais tarde, veio a multa. A narrativa é completa, compreensível e quase sem informação.

O que falta é a camada do meio — a pergunta que deveria estar respondida antes da virada: se a nova plataforma não aguentasse a carga real, quem decidiria parar, quando, e o que aconteceria depois.

O próprio banco chama o episódio de the 2018 Migration Programme. A declaração publicada em 20 de dezembro de 2022 tem como título, no original, 'TSB responds to the FCA and PRA findings in relation to the 2018 Migration Programme' (sala de imprensa do TSB). A palavra "programa" ali não é detalhe: o fracasso de um plano soa como desvio de execução, enquanto o fracasso de um julgamento indica que outra camada falhou. Essa é a formulação do banco, não a qualificação das autoridades, e as duas coisas não devem ser misturadas.

Duas lentes legais, duas falhas que não se compensam

Duas autoridades agindo sobre o mesmo episódio significa que o mesmo fato foi lido em dois enquadramentos. O PRA olha para a capacidade de a instituição continuar servindo sob pressão. O FCA olha para como os clientes foram tratados e para o que foi comunicado ao mercado. De um lado, resiliência; de outro, conduta. Ler isso como "punição dupla" subestima o caso. Ler como "dois modos de falha que não se compensam" chega mais perto da estrutura.

O efeito prático dessa dualidade é bastante concreto. A linha da resiliência pergunta por capacidade de reversão, validação de volume e planos de contingência. A linha da conduta pergunta se as instruções dadas aos clientes durante a interrupção eram claras, se tarifas cobradas por engano foram devolvidas, se a comunicação foi honesta. As duas precisam valer ao mesmo tempo sobre o mesmo plano de migração — e, na prática, costumam ser de pessoas diferentes, verificadas em momentos diferentes.

A fronteira entre prevenção e detecção: quem pode dizer não

O controle de risco não mora na lista de comitês. Mora na resposta a uma pergunta única: quem pode dizer não no último minuto. Se a migração foi desenhada como porta de mão única — o sistema antigo sai, o novo assume, não existe estado intermediário utilizável —, nenhum comitê de risco, por mais bem composto que seja, consegue agir no momento decisivo. As alternativas já foram retiradas antes.

As lacunas de planejamento e teste apontadas pelas autoridades caem exatamente sobre essa linha: o que os testes cobriram, quem aceitou que aquela cobertura bastava e se existia uma ação de parada formalmente autorizada — inclusive para não responder por ela depois. Autoridade, treino e o registro de que a autoridade foi usada ao menos uma vez formam o corpo da capacidade de detecção. O resto é descrição.

O reparo só tem a testemunha de quem foi punido

Esta é a parte desconfortável. Depois do episódio, o único texto de primeira parte diretamente legível é a declaração da própria instituição punida. Uma explicação escrita, publicada e interpretada pela parte interessada não pode ser refutada de fora: pode ser inteiramente verdadeira ou pode ser uma peça de comunicação bem redigida, e o leitor externo não tem como distinguir.

O que demonstra reparo durável não são adjetivos, e sim evidências que existem antes da próxima migração de porte equivalente: o desenho de reversão foi implementado e executado uma vez em condições próximas da produção? Os registros dos exercícios estão disponíveis para inspeção externa? O relatório de risco que chega ao conselho traz a opção "parar" e seus gatilhos? Tudo isso pode ser tornado público — ou continuar fechado. A escolha, ela mesma, é parte da qualidade da governança.

Quatro anos e meio de intervalo também são informação

Entre a migração de 2018 e a sanção de 20 de dezembro de 2022 passaram-se mais de quatro anos. Nesse período, as autoridades conduziram investigação, firmaram entendimento e cumpriram rito; o mercado e os clientes, no mesmo intervalo, só tinham a palavra da instituição. A multa mede o custo da falha, não o custo de demorar a detectá-la — este último nunca aparece em nenhuma fatura.

É também por isso que "quanto foi a multa" é quase sempre a pergunta menos informativa. £48.650.000 é um fato contábil. A pergunta que vale é outra: nesses mais de quatro anos, instituições semelhantes trataram o mesmo risco de migração como o mesmo tipo de risco — ou cada uma concluiu que o problema era dos outros? O registro do TSB Bank plc no diretório da BTW (entrada do TSB Bank plc Exclusivo para o Círculo Estratégico) reúne o que se sabe sobre o objeto; o que se sabe sobre o controle é outra coisa.

O que mudaria a natureza deste caso

Não é uma multa maior.

É uma cadeia de evidências verificável: um documento de governança que escreva o direito de parada no processo e aceite revisão por parte independente; um procedimento de reversão executado sob carga real até o fim; uma avaliação pós-migração disposta a ser lida por quem está de fora. Nada disso é desejo nem previsão — são objetos concretos que o banco pode publicar ou continuar guardando.

Enquanto eles não aparecem, o registro público deste episódio tem duas faces: a conclusão das autoridades e o relato da própria parte. As duas são materiais legítimos.

Só uma pode ser checada de fora.