DORA ao quadrado? A fórmula bancária para resiliência e velocidade

O mercado global de neobancos atingiu cerca de US$ 210 bilhões em 2025 e deve chegar a um valor entre US$ 310 bilhões e US$ 322 bilhões em 2026, segundo a Grand View Research e a Fortune Business Insights.

Essa transformação coincide com uma demanda especialmente forte por experiências financeiras digitais entre millennials e a geração Z. Em uma pesquisa de 2025 da Deloitte realizada nos Estados Unidos, as duas gerações eram as mais propensas a trocar de banco: uma transferência lenta ou uma experiência pouco intuitiva pode ser suficiente para perder sua fidelidade.

Em muitos casos, esses usuários escolhem fintechs pela velocidade: contas que podem ser abertas em minutos, novas funcionalidades lançadas a cada poucas semanas e uma experiência nativa digital, pensada para mobile desde o primeiro dia.

As instituições financeiras tradicionais precisam acompanhar esse ritmo, combinando resiliência e velocidade, enquanto continuam sendo o lugar onde as pessoas guardam suas economias, pagam seus financiamentos imobiliários e recebem seus salários com a confiança de que o sistema estará disponível.

O desafio central: resiliência e velocidade¶

A confiança é o ativo mais valioso de um banco ou de uma seguradora. Um vazamento de dados, uma fraude não detectada ou uma indisponibilidade de várias horas no dia do pagamento podem abalar essa confiança de uma forma que nenhum novo produto consegue compensar.

Por isso, o setor financeiro precisa de sistemas resilientes que resistam, respondam e se recuperem de interrupções tecnológicas.

Entregar produtos de alta qualidade aos usuários de hoje também exige inovação constante e velocidades de entrega tão próximas quanto possível das de uma fintech. Um produto financeiro confiável que permanece estagnado, sem melhorias frequentes, também fica aquém das expectativas do mercado.

Portanto, a qualidade de um produto financeiro tem dois componentes:

✔️ A confiabilidade dos seus sistemas

✔️ A capacidade de inovar no ritmo do mercado.

Ambos fazem parte da mesma promessa aos clientes. Essa dupla exigência tem um nome técnico e, por coincidência, compartilha a mesma sigla: DORA.

Dois DORAs para um objetivo em comum¶

A sigla DORA se refere a duas coisas diferentes, mas complementares.

1. O regulamento de resiliência operacional digital (DORA) da União Europeia define o que as instituições financeiras precisam proteger e quais evidências devem apresentar para demonstrar que seus sistemas críticos resistem a falhas e ataques. Ele exige a demonstração da resiliência operacional dos sistemas críticos.
2. As métricas DORA de DevOps medem a velocidade e a estabilidade com que uma equipe de engenharia entrega software por meio de cinco indicadores: tempo de entrega de mudanças, frequência de implantação, tempo de recuperação de implantação malsucedida, taxa de falha de mudanças e taxa de retrabalho de implantação.

O primeiro framework estabelece o objetivo regulatório. O segundo oferece uma referência concreta e mensurável, respaldada por mais de uma década de pesquisa, para alcançar esse objetivo sem sacrificar a velocidade de entrega.

Usar métricas de DevOps é uma possível abordagem técnica para apoiar os objetivos do regulamento sem transformar o banco em uma organização lenta e burocrática.

Qualidade em produção é resiliência real¶

Os incidentes operacionais que afetam bancos não se limitam a ataques cibernéticos: também podem ter origem em falhas de software, problemas de infraestrutura e fornecedores de tecnologia.

• Entre janeiro de 2023 e fevereiro de 2025, 9 grandes instituições financeiras do Reino Unido relataram pelo menos 158 falhas de TI.
• Durante a indisponibilidade do Barclays em janeiro de 2025, o banco identificou um problema de software em um módulo crítico de mainframe e descartou um ataque malicioso.

O custo desse tipo de exposição é concreto. Uma pesquisa da Splunk e da Oxford Economics estima que a indisponibilidade não planejada tem um impacto agregado de US$ 600 bilhões por ano nas empresas do Global 2000. Em média, cada organização perde US$ 95 milhões de receita anual e registra uma queda de 3,4% no preço de suas ações após um incidente.

A taxa de falha de mudanças (CFR), uma das métricas DORA de DevOps, mede justamente o que gera esse risco e qual proporção de implantações exige intervenção imediata. Ela também ajuda a avaliar a estabilidade com que uma organização leva mudanças à produção.

Não é uma métrica exigida pelo regulamento europeu DORA, mas traduz um de seus objetivos centrais, reduzir o impacto de interrupções tecnológicas, em um sinal operacional concreto. Uma CFR menor reduz a probabilidade de uma mudança de software causar uma interrupção grave, embora não elimine, por si só, incidentes nem obrigações regulatórias.

Reduzir a CFR com testes rigorosos fornece um sinal operacional útil para o programa de testes de resiliência exigido pelo regulamento. Menos defeitos em produção reduzem a probabilidade de interrupções graves e, com isso, a exposição a custos e obrigações de comunicação.

Automação e IA conectam estabilidade e velocidade¶

Tradicionalmente, aumentar os controles significava adicionar tarefas manuais, aprovações e tempos de espera. Hoje, a automação avançada e os agentes de IA permitem ampliar a cobertura de testes sem tornar mais lento o pipeline de implantação.

As equipes podem delegar aos agentes tarefas como testes de regressão, análise de impacto, geração de dados de teste e revisão inicial dos resultados. Isso reduz o trabalho repetitivo e acelera o tempo de entrega de mudanças, mantendo a validação contínua dos sistemas financeiros críticos.

Assim, a automação e a IA permitem avançar em dois objetivos que antes pareciam conflitantes: levar mudanças à produção mais rápido, mantendo a profundidade dos controles exigidos para a resiliência operacional.

IA com governança gera confiança nas áreas de Risco e Compliance¶

Para que Risco e Compliance aceitem a IA como aceleradora, ela não pode funcionar como uma caixa-preta: precisa de um framework de governança que defina quais informações pode usar, quais ações pode executar, quais decisões exigem aprovação humana e quais evidências devem ser mantidas.

Como o Tero viabiliza a governança de IA¶

O Tero é um agent harness open-source: a camada de software que transforma modelos de IA de uso geral em agentes especializados e com governança para fluxos de trabalho de qualidade. O modelo oferece o raciocínio, enquanto o Tero oferece contexto, permissões, supervisão humana e evidências de execução.

A Abstracta Intelligence é nossa plataforma de IA para ambientes corporativos, construída sobre o Tero e projetada para integrar agentes a fluxos reais de QA e engenharia, com contexto, governança e visibilidade de seu impacto.

A Abstracta Intelligence combina o Tero com programas de adoção de IA, orientação especializada e dashboards que permitem medir resultados e melhorar continuamente. Assim, as organizações podem definir quais informações os agentes usam, quais ações podem executar, quais decisões exigem supervisão humana e quais evidências devem ser mantidas.

Essa abordagem mantém as pessoas envolvidas nas ações críticas e cria um registro revisável de cada execução: qual contexto o agente usou, quais regras aplicou, qual resultado gerou e quem aprovou a ação.

Isso ajuda o banco a demonstrar à Auditoria, a Risco, a Compliance e ao regulador que está incorporando IA de forma ativa e controlada em seus processos de gestão de riscos de TIC e prevenção de defeitos.

Como isso funciona no pipeline de um banco¶

As métricas DORA de DevOps não fazem parte do regulamento europeu DORA, mas podem ser usadas para medir capacidades operacionais diretamente relacionadas aos seus objetivos de resiliência.

O papel da Abstracta Intelligence: governança de IA sem risco adicional¶

Um banco que incorpora agentes de IA com governança aos processos de qualidade pode melhorar as métricas DORA de DevOps de várias maneiras. Os agentes podem reduzir a taxa de falha de mudanças e o tempo de recuperação ao detectar bugs, vulnerabilidades e falhas de lógica antes que cheguem à produção. Também podem acelerar os testes de regressão, a análise de impacto e a geração de dados de teste, melhorando o tempo de entrega e a frequência de implantação.

Seu impacto, porém, depende da qualidade do processo ao qual são integrados. O relatório DORA 2025 descreve a IA como amplificadora: ela pode aumentar a vazão, mas também a instabilidade quando aplicada a pipelines, práticas de testes ou plataformas imaturas.

A Abstracta Intelligence oferece a estrutura de que as equipes de Risco e Compliance precisam para aceitar a IA como aceleradora e integrar agentes a fluxos de qualidade regulados. A plataforma combina três componentes:

1. Tero: nosso agent harness open-source, a camada de software que transforma modelos de IA de uso geral em agentes especializados para fluxos de trabalho de qualidade. O modelo oferece o raciocínio, enquanto o Tero oferece contexto, permissões, controles de execução e evidências de cada ação.
2. Programas de adoção de IA: orientação especializada para integrar agentes a processos reais, desenvolver as capacidades da equipe e estabelecer práticas de uso seguro.
3. Dashboards de impacto: visibilidade dos resultados da adoção para medir melhorias de produtividade, qualidade e velocidade de entrega, além de orientar a melhoria contínua.

Essa combinação permite tratar os agentes como software: com critérios de aceitação, supervisão humana nas ações críticas, rastreabilidade de cada execução e evolução baseada nos resultados.

O verdadeiro objetivo¶

O objetivo não é prometer zero incidentes, pois nenhum framework de qualidade pode garantir isso. O foco deve ser reduzir continuamente a probabilidade de uma falha de software se transformar em uma interrupção grave, uma crise de reputação ou uma penalidade regulatória.

Para competir, os bancos precisam combinar a velocidade esperada pelos usuários com a robustez operacional exigida pelos sistemas críticos. Os bancos precisam fechar essa lacuna sem sacrificar a resiliência exigida pelo regulamento.