A 11 de setembro de 2025, a OSFI publicou a versão final da Guideline E-23 Gestão de Risco de Modelo (2027). Entra em vigor a 1 de maio de 2027 em todas as instituições financeiras federalmente reguladas do Canadá - e a sua definição de "modelo" inclui explicitamente IA e ML, colocando a deteção de fraude e a monitorização de transações AML no âmbito por defeito.
O que a Guideline E-23 exige
A OSFI estruturou a versão final em torno de três resultados e nove princípios numerados. Os três resultados: o risco de modelo é bem compreendido e gerido em toda a empresa; o risco de modelo é gerido através de uma abordagem baseada em risco; e a governação de modelos cobre todo o ciclo de vida do modelo. Cada modelo abrangido precisa de uma entrada no inventário, uma classificação de risco, políticas de governação documentadas, validação independente proporcional ao risco, e monitorização contínua incluindo deteção de drift para IA/ML.
Os sistemas de fraude e AML são materiais por defeito
A guideline define um modelo como "uma aplicação de pressupostos teóricos, empíricos, de julgamento, ou de técnicas estatísticas, incluindo métodos de IA/ML, que processa dados de entrada para gerar resultados". Pontuação de fraude, regras de monitorização de transações, correspondência de sanções, classificação de imprensa negativa e biometria comportamental encaixam-se todas nesta definição. As orientações práticas tratam consistentemente os modelos de fraude e AML como materiais por defeito porque os seus resultados conduzem a decisões sobre clientes com consequências regulamentares.
O efeito cascata para os fornecedores
A consequência operacional mais imediata é que a E-23 traz os modelos de terceiros para dentro do perímetro de governação do banco. As instituições reguladas federalmente não podem transferir a sua obrigação de risco de modelo para a área de compras. Todo modelo material de fornecedor tem de ter provas documentadas de gestão de risco de modelo que a equipa de segunda linha de defesa do banco possa rever e integrar no seu próprio inventário. As equipas de compras dos bancos estão já a enviar questionários E-23 aos fornecedores fintech - fichas de modelo (model cards), validação independente, painéis de monitorização, especificações de human-in-the-loop, linhagem de dados, playbooks de resposta a incidentes e fluxos de controlo de alterações estão todos a ser solicitados.
As coimas do FINTRAC acabaram de multiplicar por 40
A 26 de março de 2026, alterações à Proceeds of Crime (Money Laundering) and Terrorist Financing Act receberam Sanção Real. O máximo das Coimas Administrativas do FINTRAC para infrações menores subiu de $1.000 para $40.000, e as infrações graves têm agora um teto de $4.000.000. O FINTRAC também reviu as suas orientações removendo referências a trabalhar com entidades reportantes antes de aplicar coimas. Combinado com a postura de aplicação alinhada da OSFI, expressa na Letter to Industry de setembro de 2025, as consequências de falhas nos programas de AML e fraude nos bancos canadianos são materialmente superiores às de há 12 meses.
O que as instituições canadianas devem fazer agora
Construir um inventário completo dos modelos de IA/ML abrangidos - incluindo os embebidos em plataformas de fornecedores. Atribuir classificações de risco através de uma metodologia de tiering documentada. Exigir a cada fornecedor material a produção de um pacote de evidência E-23 antes da renovação do contrato ou de nova aquisição. Validar que os modelos AML e de fraude internos têm validação independente arquivada, painéis de monitorização atualizados e histórico defensável de controlo de alterações. O prazo até maio de 2027 parece longo, mas a janela prática de aquisição fecha mais cedo - a maior parte dos bancos tier-1 quer as evidências dos fornecedores no inventário até ao 1.º trimestre de 2027 para dar tempo aos seus próprios examinadores.
Como a UMCA ajuda
A Aurora foi construída com a governação de modelos como um resultado de primeira classe, não como uma tarefa documental posterior. Cada algoritmo é entregue com uma ficha de modelo, evidência de validação independente, métricas de monitorização, deteção de drift, gating human-in-the-loop para ações de alto risco, linhagem de dados completa e trilhos de decisão prontos para auditoria. Os nossos documentos de mapeamento de alinhamento à E-23 mostram às instituições financeiras canadianas exatamente como a arquitetura e os processos da Aurora se mapeiam aos três resultados e nove princípios - prontos para ingestão direta no inventário de gestão de risco de modelo do próprio banco.
