Contratar um provedor de serviços gerenciados é uma decisão de longo prazo, com impacto direto sobre operação, conformidade e exposição a risco. Por isso, a due diligence que antecede a assinatura do contrato pesa mais do que qualquer apresentação comercial. É nesse momento que a lista de perguntas para fazer a um provedor de serviços gerenciados deixa de ser formalidade e passa a funcionar como instrumento de proteção: cada resposta evasiva revela uma lacuna que, mais tarde, aparecerá justamente no pior cenário — uma indisponibilidade, um incidente de segurança ou uma cobrança não prevista.
O roteiro abaixo foi organizado por categoria de risco, e não por ordem de cortesia. Escopo, segurança, LGPD, preço, governança e saída do contrato aparecem separados porque cada bloco concentra armadilhas contratuais distintas, comuns em acordos de serviços gerenciados. Ambientes que processam dados sensíveis ou transações financeiras exigem atenção redobrada a soberania de dados, notificação de incidentes e devolução de acessos e backups ao término da relação.
Você encontrará perguntas objetivas, sinais de alerta em respostas vagas e um checklist prático para levar à mesa de negociação. Nenhum fornecedor sério promete risco zero; o que se busca aqui é clareza sobre responsabilidades, limites e custos antes de assinar.
O que um provedor de serviços gerenciados realmente entrega (e o que não entrega)
Um provedor de serviços gerenciados (MSP) assume a operação contínua de parte ou de toda a infraestrutura de TI de uma empresa. Isso abrange monitoramento proativo de servidores, estações e redes, aplicação de patches e atualizações de segurança, gestão de backups, administração de identidades e acessos, suporte técnico recorrente e, em muitos contratos, a responsabilidade por ambientes em nuvem como Azure e Microsoft 365. O entregável central é previsibilidade operacional: a empresa passa a contar com processos documentados, ferramentas de monitoramento e uma equipe dedicada, em vez de depender de apagões de incêndio ou de um único funcionário sobrecarregado.
O que um MSP não entrega, porém, é igualmente importante para calibrar expectativas. Ele não elimina a responsabilidade legal da empresa contratante sobre seus dados, não substitui decisões estratégicas de arquitetura e não garante ausência absoluta de incidentes — qualquer fornecedor que prometa "segurança total" está ignorando a natureza estatística do risco cibernético. Um contrato de serviços gerenciados define quem opera, quem responde e quem paga, mas a titularidade dos dados e a obrigação de conformidade com a LGPD permanecem com o controlador, ou seja, com a sua empresa. Em ambientes que processam transações via Pix ou dados financeiros, essa distinção é crítica: o regulador cobra o controlador, não o fornecedor.
Também não faz parte do escopo padrão de um MSP o desenvolvimento de software sob medida, a consultoria estratégica de negócios ou a redefinição de processos internos. Esses serviços podem existir como projetos avulsos, mas costumam ser cobrados separadamente. Antes de avançar para as perguntas, vale revisar se sua empresa está extraindo valor do Microsoft 365 que já paga, pois isso muda o ponto de partida da negociação com qualquer provedor.
Perguntas sobre escopo, SLA e responsabilidades
O contrato de serviços gerenciados é, antes de tudo, um instrumento de alocação de responsabilidades. As perguntas desta seção servem para mapear com precisão o que está dentro e o que está fora do acordo, evitando a descoberta tardia de lacunas que só aparecem no momento de um incidente.
O que está incluído no contrato e o que é cobrado à parte
Peça uma lista exaustiva de serviços incluídos na mensalidade e uma segunda lista, igualmente explícita, do que é tratado como projeto avulso ou aditivo contratual. Monitoramento de servidores, gestão de patches e suporte a usuários costumam estar no escopo recorrente, mas migrações de cargas de trabalho, implementação de novas políticas de segurança ou reestruturação de ambientes híbridos frequentemente aparecem como projetos cobrados por hora ou por entrega.
Questione também o que acontece com tecnologias específicas que sua empresa já utiliza. Se você opera um ambiente híbrido com servidores locais e Azure, pergunte se a gestão do ambiente híbrido e sua otimização de custos fazem parte do escopo ou se exigem contrato separado. O mesmo vale para ferramentas de backup como Acronis, soluções de virtualização de desktops como Azure Virtual Desktop e plataformas de dados. A ausência de uma resposta objetiva nesse ponto é o primeiro sinal de que o contrato foi desenhado para proteger o fornecedor, não para atender você.
- Inventário completo de ativos cobertos no escopo recorrente
- Lista de exclusões explícitas e serviços tratados como projeto
- Política de cobrança para solicitações fora do escopo
- Critério formal para reclassificar um serviço de recorrente para avulso
Como funcionam os níveis de serviço e as penalidades por descumprimento
Um SLA (Service Level Agreement) só tem valor se for mensurável e se houver consequência contratual para o descumprimento. Pergunte quais métricas são monitoradas — tempo de resposta para chamados críticos, tempo de resolução, disponibilidade de sistemas, janela de recuperação de backup — e como elas são reportadas. Desconfie de contratos que mencionam SLA apenas em termos genéricos, como "melhor esforço" ou "resposta rápida", sem números e sem periodicidade de medição.
As penalidades devem ser proporcionais e automáticas, não dependentes de boa vontade do fornecedor. Créditos sobre a mensalidade são a forma mais comum, mas verifique se eles são cumulativos, se há teto máximo e se o descumprimento recorrente permite rescisão sem multa. Em setores regulados, como o financeiro, a indisponibilidade de um canal de pagamento tem custo operacional e reputacional imediato; o SLA precisa refletir essa criticidade, e não apenas a média do mercado de TI corporativa.
- Solicite o relatório de SLA dos últimos três meses de clientes similares ao seu porte
- Confirme se o tempo de resposta é medido do registro do chamado ou da confirmação humana
- Verifique se o SLA cobre apenas infraestrutura ou também aplicações e bancos de dados
- Exija cláusula de rescisão por descumprimento reiterado, com prazo definido
Quem é o responsável final em caso de incidente
Esta é uma das perguntas mais desconfortáveis — e mais reveladoras — de toda a due diligence. Pergunte diretamente: se houver um vazamento de dados, uma fraude via Pix ou uma indisponibilidade prolongada, quem responde perante o regulador, os clientes e os acionistas? A resposta correta começa com um esclarecimento de papéis: o cliente é o controlador dos dados e responde legalmente, enquanto o MSP é o operador e responde contratualmente pelos serviços que executa.
O que deve acender o alerta é a tentativa de transferir toda a culpa para o cliente ou, no extremo oposto, a promessa de assumir integralmente qualquer prejuízo. Nenhuma das duas posições é realista. O contrato ideal define uma matriz de responsabilidades (matriz RACI ou equivalente) e deixa claro que o MSP responde por falhas operacionais comprovadas, enquanto o cliente responde por decisões de negócio e pelo uso dos sistemas. Em ambientes com dados sensíveis, vale incluir a obrigação de o provedor manter apólices de seguro de responsabilidade civil profissional com cobertura para incidentes cibernéticos.
Perguntas sobre segurança, LGPD e continuidade de negócios
Para empresas que lidam com dados sensíveis, transações financeiras ou informações protegidas por sigilo bancário, a dimensão de segurança não é um diferencial — é pré-requisito. As perguntas abaixo separam fornecedores que tratam segurança como processo contínuo daqueles que a tratam como item de marketing.
Certificações, auditorias e gestão de acessos privilegiados
Pergunte quais certificações o provedor mantém ativas e quando foram auditadas pela última vez. ISO 27001, SOC 2 e, no contexto brasileiro, aderência a frameworks como o CIS Controls são referências úteis, mas a certificação sozinha não garante a segurança do seu ambiente específico. Mais importante do que o selo é o processo: como o provedor controla o acesso de seus próprios colaboradores aos sistemas dos clientes, se utiliza autenticação multifator obrigatória, se mantém registros de auditoria de acessos privilegiados e se realiza revisões periódicas de permissões.
Questione também a segregação de funções. Em um ambiente maduro, a equipe que administra os backups não é a mesma que aprova a exclusão de dados, e nenhum administrador individual tem acesso irrestrito e não monitorado à produção. Se sua empresa processa pagamentos instantâneos, pergunte como o provedor trata a criptografia de dados em trânsito e em repouso, e se há integração com os controles exigidos pelo Banco Central para participantes do Pix. Para uma visão mais ampla sobre monitoramento contínuo, vale entender o que é um SOC e se sua empresa precisa de um, pois muitos MSPs oferecem monitoramento de segurança como camada adicional ao suporte tradicional.
- Certificações vigentes e data da última auditoria independente
- Política de acesso privilegiado e registro de auditoria de acessos
- Segregação de funções entre equipes de operação e segurança
- Controles específicos para dados financeiros e transações Pix
Plano de resposta a incidentes e comunicação de vazamentos
Um plano de resposta a incidentes documentado e testado é mais valioso do que qualquer promessa de prevenção. Pergunte se o provedor possui um plano formal, com papéis definidos, canais de escalonamento e procedimentos de contenção, erradicação e recuperação. Investigue também a frequência com que esse plano é testado — simulações anuais são o mínimo aceitável em setores regulados; testes semestrais indicam maturidade superior.
A LGPD estabelece prazos e condições para comunicação de incidentes à Autoridade Nacional de Proteção de Dados (ANPD) e aos titulares afetados. Pergunte como o provedor auxilia nessa obrigação: quem redige a comunicação, em quanto tempo o cliente é informado após a detecção e qual o nível de detalhe técnico fornecido. Contratos que preveem notificação ao cliente em "prazo razoável" sem definição numérica são um risco concreto em ambientes financeiros, onde atrasos de horas podem configurar infração regulatória.
Perguntas sobre preço, reajuste e custos ocultos
A estrutura de preços de um contrato de serviços gerenciados esconde mais riscos do que o valor da mensalidade. As perguntas desta seção visam expor a lógica econômica do acordo e os cenários em que o custo real pode divergir drasticamente do orçamento aprovado.
Modelo de cobrança: por usuário, por ativo ou por consumo
Os três modelos predominantes são cobrança por usuário, por ativo gerenciado (servidores, estações, dispositivos de rede) e por consumo de recursos em nuvem. Cada um tem implicações diferentes. O modelo por usuário é previsível, mas pode encarecer operações com muitos funcionários de acesso eventual. O modelo por ativo é estável, mas não acompanha a elasticidade da nuvem. O modelo por consumo é o mais flexível e o mais arriscado: sem governança adequada, a conta de Azure pode variar de forma significativa de um mês para o outro.
Pergunte como o provedor lida com a otimização de custos de nuvem — prática conhecida como FinOps — e se há compromisso contratual de revisão periódica do consumo. Um MSP maduro deve ser capaz de explicar por que sua conta de Azure está no patamar atual e o que está sendo feito para evitar desperdícios. Se a resposta for apenas "o consumo aumentou porque o uso aumentou", sem análise de causa e sem plano de otimização, o modelo de cobrança está transferindo ineficiência para o seu orçamento.
- Base de cobrança: usuário, ativo ou consumo de nuvem
- Existência de valor mínimo mensal independente do uso real
- Cobrança de horas extras, plantão e atendimento fora do horário comercial
- Relatório mensal de consumo de nuvem com análise de otimização
O que acontece se você crescer ou reduzir a operação
A elasticidade contratual é um dos pontos mais negligenciados na assinatura de contratos de MSP. Pergunte o que ocorre se sua empresa dobrar o número de usuários em seis meses: o valor por usuário diminui, se mantém ou aumenta? E no cenário inverso, de redução de quadro ou desmobilização de um projeto: há prazo mínimo de aviso, multa por redução ou valor residual obrigatório?
Contratos rígidos com piso alto de faturamento podem transformar uma decisão de eficiência em prejuízo contratual. O ideal é que o acordo preveja faixas de consumo com renegociação automática de preço unitário e janelas trimestrais de ajuste. Isso é especialmente relevante para empresas em transformação digital, que podem migrar cargas de trabalho para a nuvem em ritmo variável — e que precisam de um parceiro que acompanhe essa variação sem penalizá-la.
Perguntas sobre equipe, atendimento e tempo de resposta
A qualidade de um MSP é, em última instância, a qualidade das pessoas que atendem você no dia a dia. As perguntas desta seção investigam quem está do outro lado do chamado e em que condições esse atendimento acontece.
Quem atende você no dia a dia e qual o nível de escalonamento
Pergunte quem será o ponto de contato principal da sua empresa e qual a qualificação dessa pessoa. Em provedores pequenos, o mesmo técnico que atende o chamado de senha pode ser responsável pela arquitetura de segurança; em provedores maiores, há níveis de atendimento (N1, N2, N3) com especializações distintas. Nenhum dos dois modelos é intrinsecamente melhor, mas você precisa saber qual está contratando.
Investigue também a estrutura de escalonamento: quando um chamado crítico não é resolvido no primeiro contato, para quem ele vai e em quanto tempo? Há um engenheiro sênior disponível em regime de plantão para incidentes graves? Em ambientes financeiros, a diferença entre um técnico de primeiro nível e um especialista em segurança com autoridade para tomar decisões pode ser a diferença entre conter um incidente em minutos ou em horas.
Idioma, fuso horário e canais de suporte disponíveis
Se o provedor opera com equipe em outro fuso horário ou em outro país, pergunte como isso afeta o atendimento em horário comercial brasileiro e em feriados locais. O idioma do suporte também importa em situações de crise: um incidente de segurança exige comunicação precisa e sem ruído, e a barreira linguística pode atrasar decisões críticas.
Mapeie os canais disponíveis — telefone, portal, e-mail, chat, aplicativo — e o horário de cobertura de cada um. Pergunte se há atendimento 24x7 para incidentes críticos ou apenas para monitoramento automatizado. Monitoramento 24x7 sem equipe humana de resposta é uma distinção importante: o sistema pode detectar um problema às 3h da manhã, mas se ninguém estiver autorizado a agir até as 8h, o monitoramento não se traduz em proteção efetiva.
Perguntas sobre propriedade de dados, portabilidade e saída
O momento de negociar a saída é antes de assinar a entrada. Contratos de MSP que dificultam a portabilidade de dados ou a transição para outro fornecedor criam um aprisionamento que reduz seu poder de barganha em todas as renegociações futuras.
Como é feita a devolução de acessos, backups e documentação
Pergunte o que acontece com seus dados, backups, credenciais e documentação técnica no encerramento do contrato. O provedor se compromete a devolver tudo em formato utilizável? Em quanto tempo? Há custo para essa devolução? A resposta deve ser específica: formatos de exportação, prazos em dias, responsável por cada etapa e procedimento de revogação de acessos do provedor aos seus sistemas.
A documentação técnica é um ponto frequentemente negligenciado. Se o MSP administrou seu ambiente por anos sem documentar topologia, senhas de serviço, políticas de grupo e configurações de firewall, a transição para outro fornecedor será cara e arriscada. Exija que a documentação seja mantida atualizada durante todo o contrato e que sua entrega seja uma obrigação contratual, não um favor. Para entender a complexidade envolvida na transferência de dados entre ambientes, vale consultar o que é migração de dados e os riscos de perda ou corrupção quando o processo não é planejado.
- Prazo contratual para devolução de dados e backups após o encerramento
- Formato e integridade da documentação técnica entregue
- Procedimento formal de revogação de acessos e credenciais
- Custo, se houver, para o processo de transição de saída
Cláusulas de rescisão, multas e períodos de transição
Leia com atenção as cláusulas de rescisão antes de assinar. Pergunte qual o prazo de aviso prévio exigido, se há multa por rescisão antecipada e em que situações a rescisão sem penalidade é permitida — por exemplo, descumprimento reiterado de SLA ou mudança de controle acionário do provedor. Contratos com fidelidade longa e multa elevada são comuns no mercado, mas precisam ser compensados por garantias equivalentes de qualidade.
O período de transição é outro ponto crítico. Pergunte se a transição assistida ao final do contrato está prevista em contrato, se é cobrada e o que acontece se o relacionamento terminar de forma litigiosa. A ausência de cláusula de transição é um sinal de alerta grave: significa que, no pior cenário, você pode ficar sem acesso à sua própria infraestrutura no momento em que mais precisa dela.
Perguntas sobre governança, relatórios e melhoria contínua
Um contrato de serviços gerenciados sem governança é uma despesa sem controle. As perguntas desta seção verificam se o provedor oferece visibilidade sobre o que faz e se existe um processo estruturado de melhoria contínua.
Que métricas e relatórios você recebe e com que frequência
Pergunte quais relatórios são entregues e o que eles contêm. Um relatório útil não se limita a listar chamados abertos e fechados; ele deve incluir tendências de incidentes, tempo médio de resolução, disponibilidade dos sistemas, status de backups, vulnerabilidades identificadas e ações de correção.
Questione também se os relatórios são gerados automaticamente por ferramentas de monitoramento ou montados manualmente. Relatórios manuais tendem a ser atrasados, incompletos e sujeitos a viés de seleção. Ferramentas de monitoramento e gestão de serviços (RMM, PSA) geram dados objetivos e auditáveis, que permitem comparar o desempenho real com o SLA contratado. Se você utiliza ferramentas de BI como Power BI internamente, pergunte se o provedor pode fornecer os dados brutos para integração com seus próprios dashboards.
Como o provedor lida com mudanças de escopo e projetos
Mudanças de escopo são inevitáveis em contratos de longo prazo. O que diferencia um bom provedor é a existência de um processo formal de gestão de mudanças: solicitação documentada, análise de impacto, orçamento aprovado antes da execução e atualização do contrato. Pergunte como esse processo funciona na prática e quanto tempo leva da solicitação à aprovação.
Investigue também como o provedor lida com projetos que surgem no meio do contrato — por exemplo, a implementação de uma nova política de segurança, a adoção de IA com requisitos de governança de dados ou a migração de cargas para a nuvem. Esses projetos são executados pela mesma equipe do contrato recorrente ou por uma equipe separada? Há desconto por já ser cliente? A resposta revela se o provedor enxerga o contrato como uma parceria de longo prazo ou como uma porta de entrada para vender projetos avulsos sem integração com a operação.
Sinais de alerta: respostas que devem acender o sinal vermelho
Algumas respostas durante a due diligence têm valor diagnóstico imediato. Elas indicam problemas estruturais que dificilmente serão corrigidos após a assinatura do contrato.
- Promessa de "segurança total" ou "proteção 100% garantida" contra ataques
- Recusa em fornecer o contrato completo para análise jurídica antes da assinatura
- SLA sem métricas numéricas ou sem penalidade por descumprimento
- Resistência em detalhar o que está fora do escopo da mensalidade
- Ausência de plano documentado de resposta a incidentes
- Impossibilidade de falar com o time técnico antes da contratação
- Contrato sem cláusula de devolução de dados e transição de saída
- Pressão para assinar rapidamente com desconto "válido só hoje"
- Relatórios de desempenho gerados manualmente, sem ferramentas de monitoramento
- Equipe de atendimento em fuso horário incompatível sem cobertura 24x7 local
Cada um desses sinais, isoladamente, não desqualifica um fornecedor. Em setores regulados, onde a responsabilidade legal permanece com a sua empresa, contratar um fornecedor com esses sinais é transferir risco sem transferir controle.
Checklist final para levar à reunião de negociação
Use este checklist como roteiro na reunião final com o provedor. Cada item deve ter resposta documentada, preferencialmente por escrito, antes da assinatura do contrato.
- Escopo detalhado: lista de serviços incluídos e excluídos, com critério de reclassificação
- SLA com métricas numéricas, periodicidade de medição e penalidades automáticas
- Matriz de responsabilidades em incidentes, incluindo obrigações LGPD e prazos de notificação
- Certificações vigentes e política de acesso privilegiado com registro de auditoria
- Plano de resposta a incidentes testado, com data do último simulado
- Modelo de cobrança explícito: base, valor mínimo, reajuste e política de horas extras
- Cláusula de elasticidade para crescimento e redução da operação
- Identificação da equipe de atendimento, níveis de escalonamento e cobertura 24x7
- Cláusula de devolução de dados, backups e documentação com prazos definidos
- Condições de rescisão, multas e período de transição assistida
- Relatórios mensais com métricas objetivas e reuniões trimestrais de revisão
- Processo formal de gestão de mudanças de escopo e projetos
A due diligence de um provedor de serviços gerenciados não termina na assinatura do contrato — ela estabelece as bases de um relacionamento que pode durar anos. As perguntas deste artigo foram organizadas por categoria de risco justamente para que nenhuma dimensão crítica fique de fora da negociação. Um fornecedor que responde a todas elas com clareza, documentação e disposição para ajustar cláusulas demonstra o mesmo rigor operacional que você espera dele na gestão do seu ambiente. Um fornecedor que se esquiva, adia ou minimiza essas perguntas está, na prática, informando como será o relacionamento quando surgir o primeiro incidente.
