A resiliência operacional (palavra da moda) no setor de serviços financeiros é um assunto cada vez mais importante e discutido, mostrando a preocupação com a capacidade das instituições de se prepararem, adaptarem e resistirem ou se recuperarem de interrupções.
Este conceito abrange uma ampla gama de potenciais disruptores, como desastres naturais, ataques cibernéticos, falhas tecnológicas, entre outros, e está cada vez mais também no escopo regulatório, tanto em níveis nacionais quanto internacionais.
O enfoque regulatório sobre a resiliência operacional envolve uma série de áreas críticas, conforme delineado no documento fornecido, que inclui o gerenciamento de riscos de terceiros, capacidades de negócios críticas, operações de negócios críticas, serviços tecnológicos críticos e cibersegurança. As autoridades reguladoras federais de serviços financeiros estão avaliando como as interrupções podem afetar as operações críticas das empresas de serviços financeiros e/ou potencialmente afetar sistemas ou dados. Essas avaliações têm como objetivo informar requisitos regulatórios potenciais e/ou expectativas, bem como aprendizados informados por reguladores globais, como a Autoridade Regulatória Prudencial do Reino Unido.
Queria comentar abaixo sobre alguns dos temas relacionados a esta resiliência que acho importante vocês ficarem ligados e tê-los bem estruturados nas suas empresas:
1) Operações Críticas e Linhas de Negócios ou Áreas mais Relevantes:
- Foco deve ser sempre nas operações mais críticas para a empresa, cuja falha ou descontinuação poderia representar uma ameaça à estabilidade financeira.
- Foco ainda nas linhas de negócios ou áreas mais relevantes para a empresa cuja falha resultaria em uma perda material de receita, lucro ou valor de franquia.
- Se preocupar também com terceiros que suportam operações críticas e linhas de negócios relevantes acima.
2) Tolerância para Interrupção:
- Importante definir as tolerâncias para interrupção definidas no nível empresarial e para operações críticas identificadas e linhas de negócios relevantes.
- Análise de cenário e mapas de recuperação são dois aspectos importantes que também precisam estar não apenas definidos, mas implantados e formalizados, e seguidos na prática.
- Considerar o apetite de risco para enfrentar a disrupção dos riscos operacionais, dado o perfil de risco e as capacidades do ambiente operacional de suporte (por exemplo, sistemas, processos, expertise).
3) Teste de Cenário:
- Fundamental testar a capacidade de permanecer dentro das tolerâncias estabelecidas através de cenários de disrupção severos, mas ao mesmo tempo plausíveis de acontecer, incluindo potenciais riscos identificados por meio da gestão de riscos operacionais, controles internos e a função de terceira linha de defesa da auditoria interna, com o planejamento de continuidade de negócios e planejamento de solução e recuperação.
4) Gestão de Risco de Terceiros:
- Muitas vezes esquecido, porém no mundo terceirizado de hoje cada vez mais importante a verificação de que terceiros possuem práticas e controles de gestão de risco sólidos para mitigar a interrupção consistente com o nível de tolerância, mantendo a capacidade de executar operações críticas e entregar negócios principais dentro das tolerâncias de disrupção não é comprometida pelas relações com terceiros.
5) Governança e Gestão de Risco
- Não esquecer nunca da importante responsabilidade dos conselhos, dos seus comitês de riscos e auditoria, e logicamente também da alta gestão na busca constante da resiliência operacional, incluindo a aprovação da identificação de operações críticas, linhas de negócios principais e tolerâncias de disrupção.
6) Comunicações e Relatórios:
- Esta parte de comunicação é importante na hora da crise, por isto não esquecer da notificação das partes apropriadas em caso de incidente, tanto internas quanto externas (por exemplo, stakeholders internos, clientes, provedores de serviços), e ainda de um relatório do incidente e informações relacionadas à autoridade reguladora apropriada. Bom deixar isto tudo definido, pois quando acontece a crise, muitas vezes a primeira reação é ficar perdido e se comunicar mal.
7) Gestão de Continuidade de Negócios
- Nem precisaria falar de um aspecto central que é a adequação dos planos de contingência e continuidade de negócios para garantir a operação contínua e limitar perdas durante interrupções severas de negócios. Esta é a base de tudo.
8) Gestão de Risco Operacional
- Não podemos esquecer da importante integração de sistemas de gestão de risco em estruturas organizacionais e processos de tomada de decisão, com foco na redução da probabilidade de incidentes operacionais e limitação de perdas no caso de disrupção do negócio.
