Ato de Concentração Sumário nº 08700.001503/2021-50

SEI/CADE - 0889214 - Parecer PARECER Nº 122/2021/CGAA5/SGA1/SG PROCESSO Nº 08700.001503/2021-50 REQUERENTES: Ruby Investment Holdings, L.P. e RSA Security LLC. Ementa: Ato de Concentração. Lei nº 12.529/2011. Procedimento Sumário. Requerentes: Ruby Investment Holdings, L.P. e RSA Security LLC. Natureza da operação: Aquisição de controle. Mercado afetado: Serviços de tecnologia da informação. Art. 8º, inciso II, Resolução CADE nº 02/12. Aprovação sem restrições. VERSÃO DE ACESSO público[1] I. REQUERENTES I.1. Ruby Investment Holdings, L.P. (“Ruby” ou "Compradora") A Ruby é uma empresa holding criada pelo Clearlake Capital Group, LP. (“Clearlake”) apenas para fins da presente Operação. O Clearlake é um grupo de investimentos que atua com private equity, crédito e outras estratégias de crédito relacionadas. Os principais setores investidos pelo Clearlake são tecnologia, bens industriais e de consumo. O Grupo Clearlake auferiu, no ano anterior à operação, faturamento acima de R$ 75 milhões (superior a um dos patamares fixados no art. 88 da Lei 12.529/11, posteriormente alterado pela Portaria Interministerial MF/MJ nº 994/12), no Brasil. I.2. RSA Security LLC (“RSA” ou “Empresa-Objeto”) A RSA gerencia risco digital por meio de uma gama de recursos e conhecimentos, incluindo gerenciamento integrado de riscos, detecção e resposta a ameaças, gerenciamento de identidade e prevenção de fraudes (cybersecurity).

Atualmente, a RSA é controlada conjuntamente pela Ontario Teachers Pension Plan Board (“OTPP”) e STG Partners, LLC (“STG” e, juntamente com o OTPP, os “Vendedores”). A STG é um grupo de investimento global que gere fundos que investem globalmente em segmentos de negócios relacionados principalmente a software, dados e análise de dados (data analytics). Por sua vez, a OTPP investe e gerencia ativos e benefícios de planos de pensão de professores (ativos ou aposentados) na província de Ontario, Canadá. No Brasil, a OTPP investe de forma diversificada nos ramos de seguros, educação, investimento imobiliário, fabricação de produtos de construção, leasing de aeronaves, entre outros. O Grupo OTTP auferiu, no ano anterior à operação, faturamento acima de R$ 750 milhões (superior a um dos patamares fixados no art. 88 da Lei 12.529/11, posteriormente alterado pela Portaria Interministerial MF/MJ nº 994/12), no Brasil. II. ASPECTOS FORMAIS DA OPERAÇÃO Quadro 1 - Aspectos formais da operação Ato de Concentração de notificação obrigatória? Sim Taxa processual foi recolhida? Sim, conforme Despacho Ordinatório SECONT (SEI 0884941) Data da notificação 22/03/2021 Data da publicação do edital O Edital nº 155, que deu publicidade à operação em análise, foi publicado no dia 05/04/2021 (SEI 0886575) III. DESCRIÇÃO DA OPERAÇÃO A operação proposta envolve a aquisição, pela Ruby, de uma participação de 38,60% na RSA, atualmente detida por um consórcio de investidores liderado pela OTPP e STG.

Como resultado da Operação, a Empresa-Objeto será controlada em conjunto pela Ruby e pela STG, enquanto a OTPP reduzirá sua posição na RSA a uma participação minoritária não controladora. Para tanto, a Compradora adquirirá 38,60% das ações e direitos de voto equivalentes (a) na Redstone Parent, LP (Redstone Parent), que possui indiretamente 100% da RSA Security, e (b) na Redstone GP Parent (Redstone GP Parent) LLC, sócia geral da Redstone Parent, que detém o poder e autoridade exclusivos para administrar e controlar os negócios e assuntos da Redstone Parent. Apresenta-se abaixo a estrutura societária da Empresa-Objeto antes e após a realização da Operação. Figura 1 – Antes e Após a realização da Operação. [Acesso Restrito] [Acesso Restrito] As Requerentes explicam que, do ponto de vista dos Vendedores e da Empresa-Objeto, a Operação permitirá que a RSA aumente suas iniciativas de investimento no fornecimento das melhores soluções de cybersecurity e gerenciamento de risco para empresas em todo o mundo. Por seu turno, para a Compradora a Operação é uma oportunidade de investir em uma empresa consolidada, pronta para se beneficiar de diversas oportunidades de crescimento do mercado no curto prazo, incluindo a demanda crescente e urgente para as empresas usarem a tecnologia como forma de enfrentamento de desafios de segurança, gestão de risco e prevenção a fraudes.

A Operação também depende da aprovação da autoridade concorrencial da Alemanha, além de estar sujeita à apresentação de formulários de investimento estrangeiro na Austrália, Áustria, França, Alemanha, Itália e Nova Zelândia. IV. ENQUADRAMENTO LEGAL (ART. 8º, RES. CADE Nº 2/2012) II – Substituição de agente econômico. V. PRINCIPAIS INFORMAÇÕES SOBRE A OPERAÇÃO Quadro 2 - Efeitos da operação Sobreposição horizontal Não Integração vertical Não Setor em que há sobreposição horizontal ou integração vertical - Participações de mercado - VI. Considerações sobre a Operação Conforme explicado acima, a RSA gerencia risco digital com uma variedade de recursos e expertise, incluindo gerenciamento integrado de risco, detecção e resposta a ameaças, gerenciamento de identidade e segurança da informação (cybersecurity). Os principais negócios da RSA são RSA Archer Suite, RSA NetWitness Platform, RSA SecurID Suite, RSA Fraud & Risk Intelligence Suite e RSA Conference[2]. Por sua vez, o Clearlake investe, principalmente, no setores de tecnologia, bens industriais e de consumo. As Requerentes ressaltam que, o Grupo Clearlake não possui atuação na prestação de serviços de cybersecurity. Em precedentes recentes deste Conselho[3], o mercado de cibersegurança (cybersecurity) foi avaliado como um cenário de mercado próprio e de abrangência nacional. Tal cenário seria mais restrito e conservador, uma vez que a atuação da Empresa-Alvo se restringe a essa categoria do ramo de TI.

Nesse contexto, as Requerentes esclareceram que o produto Diligent GRC (“Governance risk management and compliance”) ofertado pela Diligent (empresa do portfólio do Grupo Clearlake) não concorre com o produto da Empresa-Objeto, RSA Archer platform, posto que os produtos tem funcionalidades e aplicações distintas. Enquanto o RSA Archer platform da Empresa-Objeto tem por objetivo fornecer mecanismos de segurança digital, o Diligent GRC, do Clearlake, constitui-se de uma plataforma colaborativa para contribuir no fluxo de informações e apresentação de propostas para discussão entre membros dos conselhos de administração de empresas[4]. As Partes pontuam ainda que os produtos ofertados pela Ivanti, empresa do portfólio do Grupo Clearlake, não concorrem com qualquer outro produto da Empresa-Objeto. Isso porque, os softwares oferecidos pela Ivanti têm por objetivo a integração de atividades de TI e oferecem soluções para gestão de terminais, de cadeias de fornecimento, governança e administração de identidade. Portanto, os produtos da Empresa-Objeto – focados em cybersecurity – não oferecem as mesmas soluções de integração dos softwares da Ivanti e, por essa razão, não são concorrentes[5]. Portanto, inexiste sobreposição horizontal entre as atividades do Grupo Clearlake e as atividades da Empresa-Objeto, uma vez que as Partes atuam em segmentos distintos do mercado de tecnologia da informação. Os produtos das Requerentes atendem perfis diferentes de demanda, de forma restrita.

Considerando uma perspectiva vertical, as Requerentes esclarecem que, atualmente, a maioria das empresas podem precisar e, de fato, buscar serviços de segurança da informação (cybersecurity), contudo, nenhuma das empresas investidas pelos fundos administrados pelo Clearlake desenvolvem atividades ou oferecem produtos/serviços que sejam uma entrada para as atividades de RSA (cybersecurity) e vice-versa. Isso significa que, embora as investidas do Clearlake possam potencialmente ser clientes da RSA, tais empresas e a RSA não são parte da mesma cadeia produtiva, razão pela qual não há que se falar em integração vertical entre as atividades das Requerentes[6]. Sendo assim, entende-se que a Operação configura uma mera substituição de agente econômico, não demandando, deste modo, uma análise mais aprofundada dos mercados envolvidos. Por todo o exposto, conclui-se que a Operação não acarreta prejuízos ao ambiente concorrencial, recaindo na hipótese de procedimento sumário do art. 8º, inciso II, da Resolução nº 2/12. VII. Cláusula de Não-Concorrência A Operação não contempla cláusulas restritivas à concorrência. VIIi. CONCLUSÃO Aprovação sem restrições. [1] Este parecer contou com a colaboração do estagiário Pedro Henrique Lobo Sousa Monteiro. [2] As Requerentes detalharam cada negócio desenvolvido pela RSA, conforme abaixo:

RSA Archer Suite capacita organizações de todos os tamanhos a gerenciar múltiplas dimensões de risco em uma plataforma integrada configurável, implementando processos de gerenciamento de riscos; RSA NetWitness Plataform é um evoluído Security Information and Event Management (SIEM) que combina análise de detecção de ameaças e resposta automatizada com recursos de rede telemetria de endpoint, habilidades de investigação e inteligência de ameaças em uma única plataforma, para uma resolução mais rápida de incidentes e melhor eficiência do SOC (Centro de Operações de Segurança); RSA SecurID Suite consiste em uma plataforma risk-based de Multi-factor authentication (MFA) que permitie o acesso eficiente, inteligente e seguro do usuário em meio a um ambiente heterogêneo, com métodos de autenticação incluindo notificações push, biometria, OTP, SMS e tokens; RSA Fraud & Risk Intelligence auxilia organizações a prevenirem fraude em seus canais da web e dispositivos móveis; e RSA Conference que consiste na organização de eventos de segurança da informação ao redor do mundo, que conecta líderes do setor e fornece informações altamente relevantes. [3] Vide AC nº 08700.006005/2020-12 (Francisco Partners e Forcepoint); AC nº 08700.003205/2020-13 (Embraer e Tempest) e AC 08700.006899/2018-26 (Prosegur e Cipher).

[4] Segundo as partes, de acordo com a classificação proposta pelo relatório da Gartner (Relatório Gartner Market Share All Software Markets Worldwide 2019), o RSA Archer platform seria classificado como software de segurança (categoria que está incluída entre os softwares de infraestrutura). Apesar da Diligent não reportar suas atividades ao relatório Gartner (que inclui as empresas mais relevantes do setor de software), suas atividades não deveriam ser incluídas no segmento de Security, mas no segmento de Enterprise Resource Planning software conforme glossário disponível no site da Gartner de como são organizadas suas categorias (https://www.gartner.com/en/glossary?glossaryletter=B). [5] Adicionalmente, as Partes destacam que, de acordo com o Relatório Gartner Market Share Ali Software Markets Worldwide 2019, os softwares da Empresa-Objeto estão todos classificados no mercado de “Security”, enquanto as atividades da Ivanti são classificadas como “IT Operations”. [6] Posição similar a que foi adotada no Ato de Concentração nº 08700.001096/2020-08 (Requerentes: STG Partners LLC, Ontario Teachers' Pension Plan Board e RSA Security LLC.).