Quando uma decisão de crédito é tomada automaticamente, quem é o responsável? Quando uma política muda e a inadimplência sobe, como identificar a causa? Quando o BACEN solicita evidências de conformidade, onde estão os registros? Essas perguntas definem o escopo da governança de decisão — a camada que transforma automação de "caixa preta" em um sistema transparente, auditável e controlado.
Governança não é burocracia. É a infraestrutura que permite que organizações automatizem decisões com confiança — sabendo que cada decisão é rastreável, cada política é versionada, cada acesso é controlado e cada resultado é explicável.
O que é Governança de Decisão?
Governança de decisão é o conjunto de práticas, processos e controles que garantem que decisões automatizadas sejam transparentes, auditáveis e conformes com regulamentação. Ela responde a cinco perguntas fundamentais:
- Quem decidiu? — qual política, versão e modelo geraram a decisão
- Com base em quê? — quais dados e features alimentaram a decisão
- Quando? — timestamp exato e contexto temporal
- Por quê? — explicação legível da lógica aplicada
- Quem autorizou? — quem criou/alterou a política e quem aprovou
Por que decisões precisam de governança
O contexto regulatório brasileiro exige governança robusta em decisões financeiras:
- BACEN — Resolução BCB 403/2024 exige que instituições documentem e auditem processos de concessão de crédito, incluindo modelos de IA
- LGPD — Art. 20 garante ao titular o direito de solicitar revisão de decisões automatizadas; a organização precisa explicar a lógica
- PLD/FT — Circular 3.978 exige rastreabilidade completa de verificações de prevenção à lavagem
- Risco operacional — Basileia III exige controles sobre processos automatizados que impactam capital
Sem governança, automação é um passivo regulatório. Com governança, é uma vantagem competitiva.
Os 5 pilares da governança de decisão
1. Audit Trail
Registro imutável de cada decisão: inputs, outputs, política aplicada, versão, timestamp. O audit trail é o "recibo" da decisão — permite reconstruir exatamente o que aconteceu, quando e por quê. Deve ser imutável (append-only) e ter retenção definida por política (mínimo 5 anos para crédito, por regulação BACEN).
2. Versionamento de políticas
Cada política deve ser versionada como código. Isso permite: comparar versões (diff), reverter para versões anteriores (rollback), criar branches para teste, e manter um histórico completo de mudanças. É o equivalente a git para decisões.
3. RBAC (Role-Based Access Control)
Quem pode criar políticas? Quem pode aprovar mudanças? Quem pode promover para produção? RBAC define papéis e permissões com segregação de funções: quem cria não aprova, quem aprova não promove.
4. Explicabilidade
Cada decisão deve ser explicável em linguagem humana. Não apenas "negado por score < 500", mas "negado porque: (1) score Serasa 380 abaixo do mínimo 500, (2) consulta BACEN revelou 3 restrições ativas, (3) renda informada R$ 2.000 insuficiente para limite solicitado R$ 15.000."
5. Compliance integrado
Verificações regulatórias (PEP, sanções, COAF) devem ser parte do pipeline de decisão — não um processo paralelo manual. O compliance automatizado garante que nenhuma decisão passe sem as verificações obrigatórias.
Audit Trail: rastreabilidade de ponta a ponta
Um audit trail efetivo registra:
- Request — dados de entrada da solicitação (anonimizados para LGPD)
- Enrichment — quais fontes foram consultadas e o que retornaram
- Policy execution — qual política (versão), quais regras foram acionadas, qual o resultado de cada nó
- Decision output — aprovação, negação, pend, contraproposta
- Explanation — motivos da decisão em linguagem estruturada
- Metadata — timestamp, latência, ID de sessão, canal de origem
Versionamento de políticas: git para decisões
Políticas de crédito mudam frequentemente. Cada mudança pode impactar milhares de decisões. Sem versionamento, é impossível saber:
- Qual versão da política estava ativa quando aquela decisão foi tomada
- O que mudou entre a versão 12 e a versão 13
- Quem fez a mudança e quem aprovou
- Como reverter rapidamente se a nova versão degradar
O versionamento deve ser automático — cada save gera uma nova versão, com diff visual, comentários de mudança e workflow de aprovação.
RBAC: quem pode decidir o quê
A segregação de funções é crítica em decisões financeiras:
- Policy Designer — cria e edita regras
- Policy Reviewer — revisa e aprova mudanças
- Policy Publisher — promove para produção
- Auditor — visualiza logs e relatórios, sem poder de edição
- Admin — gerencia usuários e permissões
Ninguém deve acumular todos os papéis. A segregação reduz risco operacional e atende a requisitos regulatórios.
Governança no Decision Stack™
No modelo Decision Stack™, governança tem sua própria camada:
Audit Trail — Registro imutável de cada decisão com inputs, outputs, política, versão e explanation.
Policy Versioning — Versionamento automático com diff, rollback e workflow de aprovação.
RBAC — Controle de acesso baseado em papéis com segregação de funções.
Compliance Gates — Verificações regulatórias obrigatórias integradas ao pipeline de decisão.
Anti-patterns de governança
Padrões que indicam governança frágil ou ausente:
- Shadow Policy — políticas informais que existem fora do sistema oficial ("o João sabe a regra de cabeça")
- Manual Exception Hell — volume crescente de exceções manuais que contornam as políticas automatizadas
- Black Box Decisions — decisões que ninguém consegue explicar, nem o time que criou o modelo
- Changelog Oral — mudanças em políticas comunicadas por email/Slack sem registro formal
- God Mode Access — uma pessoa com acesso irrestrito a criar, aprovar e promover políticas
Regulação brasileira: BACEN, LGPD e COAF
Requisitos específicos do mercado brasileiro:
- BACEN — documentação de modelos de crédito, relatórios de backtesting, auditoria de processos automatizados
- LGPD Art. 20 — direito à revisão de decisões automatizadas; a organização deve fornecer explicação da lógica utilizada
- COAF — comunicações de operações suspeitas devem ser rastreáveis até a decisão original e os dados utilizados
- CVM (para FIDCs) — critérios de elegibilidade devem ser documentados, auditáveis e consistentes
Como a Sinky implementa governança
Na Sinky, governança é nativa da plataforma. O Sinky Studio versiona automaticamente cada política, mantém diff visual entre versões, e implementa workflows de aprovação com RBAC granular. O Sinky Analytics registra audit trail completo de cada decisão — com explanation automática em linguagem natural. Relatórios de compliance podem ser gerados sob demanda para atender requisitos de BACEN, LGPD e COAF.
Perguntas frequentes
O que é governança de decisão?
É o conjunto de práticas e controles que garantem que decisões automatizadas sejam rastreáveis, auditáveis, versionadas e conformes com regulamentação. Inclui audit trail, controle de acesso (RBAC), versionamento de políticas e mecanismos de explicabilidade.
Qual a diferença entre governança de decisão e compliance?
Compliance é o cumprimento de regulamentações específicas. Governança de decisão é a infraestrutura que torna compliance possível e sustentável. Sem governança, compliance vira um esforço manual, caro e frágil.
Por que versionamento de políticas é importante?
Porque políticas mudam frequentemente e cada mudança impacta milhares de decisões. Versionamento permite rastrear mudanças, comparar versões, reverter se necessário e manter um histórico auditável para reguladores.
