Circular N° 3.979

O que é um incidente cibernético?

Incidente cibernético é um evento relacionado com o ambiente cibernético que produz efeito adverso ou representa ameaça aos sistemas de tecnologia da informação (TI) ou à informação que esses sistemas processam, armazenam ou transmitem, ou que infringe políticas ou procedimentos de segurança referentes aos sistemas de TI.

Quais são os critérios para o descarte de dados na base de dados de risco operacional?

A instituição deve solicitar ao Banco Central do Brasil aprovação para o descarte de dados incluídos na base de dados de risco operacional, em caráter excepcional, quando considerar o evento registrado não mais relevante para o seu perfil de risco. A solicitação deve ser fundamentada e comprovar a ausência de exposição residual ou similar e de associação do evento a outros processos ou produtos da instituição. O descarte só pode ser solicitado após três anos de sua inclusão, salvo nos casos de operações descontinuadas.

O que é perda operacional?

Perda operacional é definida conforme o § 1º do art. 34 da Resolução nº 4.557, de 2017.

O que é risco operacional?

Risco operacional é definido conforme o art. 32 da Resolução nº 4.557, de 2017.

Qual é a periodicidade para o encaminhamento de informações ao Banco Central do Brasil?

As informações devem ser encaminhadas ao Banco Central do Brasil com periodicidade semestral, relativamente às datas-bases de 30 de junho e 31 de dezembro, abrangendo um período de dez anos.

O que é risco cibernético?

Risco cibernético é a possibilidade de ocorrência de perdas resultantes de incidentes cibernéticos.

O que é valor bruto da perda?

Valor bruto da perda é o valor quantificável associado a eventos de risco operacional, incluindo provisões e despesas, antes de eventual recuperação por seguro ou por outros meios.

Como devem ser tratadas as perdas operacionais em casos de cisões?

No caso de cisões, a base de dados de risco operacional das instituições resultantes do processo deve incluir eventuais alterações em relação à situação anterior à cisão, considerando os produtos, serviços, atividades, processos e sistemas de cada instituição resultante.

Quais informações devem constar na base de dados de risco operacional?

A base de dados de risco operacional deve conter, para cada evento de risco operacional, informações como o código interno de identificação, a identificação da entidade e da unidade de negócio, datas de ocorrência, descoberta e registro contábil da perda, valor bruto acumulado da perda, valor recuperado, fonte do ressarcimento, categorias de risco, identificação de perdas ligadas a outros riscos, fontes de informação, rubricas contábeis e descrição das perdas operacionais relevantes.

Como devem ser tratadas as perdas operacionais em casos de fusões, incorporações e aquisições?

No caso de fusões, incorporações e aquisições, devem ser incluídas na base de dados de risco operacional todas as perdas operacionais de cada instituição envolvida no respectivo processo, exceto para instituições dispensadas de constituir base de dados de risco operacional.

O que é valor do risco não coberto por provisão?

Valor do risco não coberto por provisão é a estimativa de perda para os eventos de risco legal em que não há obrigatoriedade do registro de provisão, segundo os critérios estabelecidos no Plano Contábil das Instituições do Sistema Financeiro Nacional (Cosif).

Quais instituições devem constituir base de dados de risco operacional?

As instituições financeiras e demais instituições autorizadas a funcionar pelo Banco Central do Brasil enquadradas no Segmento 1 (S1) ou no Segmento 2 (S2), nos termos do art. 2º da Resolução nº 4.553, de 30 de janeiro de 2017, devem constituir base de dados de risco operacional.

Quais são os prazos para manutenção de dados descartados e informações utilizadas na base de dados de risco operacional?

Os dados descartados e sua respectiva documentação devem ser mantidos à disposição do Banco Central do Brasil pelo prazo mínimo de dez anos. As informações utilizadas na constituição da base de dados de risco operacional também devem ser mantidas à disposição do Banco Central do Brasil pelo prazo mínimo de dez anos.

Quais são as categorias de eventos de risco operacional?

As categorias de eventos de risco operacional são divididas em Categoria Nível 1 e Categoria Nível 2. Exemplos de Categoria Nível 1 incluem fraudes internas, fraudes externas, demandas trabalhistas e segurança deficiente do local de trabalho, práticas inadequadas relativas a clientes, produtos e serviços, danos a ativos físicos, interrupção das atividades, falhas em sistemas de TI e falhas na execução e no gerenciamento das atividades. Cada uma dessas categorias possui subcategorias específicas na Categoria Nível 2.

Quais são os limites para o encaminhamento individualizado de eventos de risco operacional?

O encaminhamento de informações deve ser realizado de forma individualizada quando o valor da perda bruta acumulada for igual ou superior a R$1.000,00 (mil reais) ou quando o valor do risco não coberto por provisão for igual ou superior a R$10.000.000,00 (dez milhões de reais).