Título VI – Gestão da continuidade da atividade

Sem prejuízo dos requisitos aplicáveis ao abrigo do Regulamento DORA, os emitentes de criptofichas referenciadas a ativos devem estabelecer, no âmbito da execução da sua política e dos planos de continuidade das atividades estabelecidos nos termos do artigo 34.º, n.º 9, do Regulamento (UE) 2023/1114, uma sólida gestão da continuidade das atividades, bem como planos de resposta e recuperação, para assegurar a sua capacidade para operar de forma contínua, gerir os incidentes suscetíveis de perturbar a realização de operações críticas, em consonância com a apetência pelo risco e a tolerância do emitente das criptofichas referenciadas a ativos em caso de perturbação grave da atividade, e limitar as perdas e perturbações na prestação de serviços em caso de perturbação grave da atividade. Os emitentes de criptofichas referenciadas a ativos podem estabelecer uma função independente específica de continuidade das atividades, tendo em conta os critérios de proporcionalidade enumerados no título I.

A atividade do emitente de criptofichas referenciadas a ativos depende de vários recursos críticos (por exemplo, sistemas de TI, incluindo serviços de computação em nuvem, sistemas de comunicação, pessoal essencial e edifícios). O objetivo da gestão da continuidade do negócio é minimizar as consequências operacionais, financeiras, jurídicas e reputacionais, bem como outras consequências materiais decorrentes de uma catástrofe ou de uma interrupção prolongada destes recursos e a perturbação consequente dos procedimentos normais de negócio do emitente de criptofichas referenciadas a ativos. Outras medidas de gestão de riscos podem destinar-se a reduzir a probabilidade da ocorrência de tais incidentes ou transferir o seu impacto financeiro para terceiros (por exemplo, através de seguros).

A fim de estabelecer um plano sólido de gestão da continuidade do negócio, o emitente de criptofichas referenciadas a ativos deve analisar cuidadosamente fatores de risco e a sua exposição a perturbações graves das atividades e avaliar (quantitativa e qualitativamente) o seu potencial impacto, utilizando dados internos e/ou externos e análise de cenários. Esta análise deve testar a capacidade do emitente das criptofichas referenciadas a ativos para realizar operações críticas através de perturbações e deve abranger todas as linhas de negócio e unidades internas, incluindo a FGR ou os procedimentos de gestão de riscos, e deve ter em conta a sua interdependência. Os resultados da análise devem contribuir para definir as prioridades e os objetivos de recuperação do emitente de criptofichas referenciadas a ativos.

Com base na análise anterior, o emitente de criptofichas referenciadas a ativos deve estabelecer:

• a. planos de contingência e de continuidade de negócio para assegurar a reação adequada do emitente de criptofichas referenciadas a ativos às emergências e a sua capacidade para executar operações cruciais e manter dados essenciais em caso de perturbação dos procedimentos de negócio normais;
• b. planos de recuperação de recursos críticos e funções críticas ou importantes para recuperar de perturbações e permitir que o emitente de criptofichas referenciadas a ativos regresse aos procedimentos empresariais normais num prazo adequado. Os eventuais riscos residuais resultantes de potenciais perturbações da atividade devem ser compatíveis com a apetência pelo risco do emitente de criptofichas referenciadas a ativos.
• c. para outras atividades, ou quando for impossível assegurar a continuidade de funções essenciais críticas, os emitentes de criptofichas referenciadas a ativos devem dispor de procedimentos para a recuperação atempada de dados e funções e para a retoma atempada das suas atividades.

Os planos de contingência, de continuidade da atividade e de recuperação devem ser documentados e cuidadosamente implementados. A documentação deve estar disponível nas unidade de negócio, nas unidades internas e na FGR para que os membros do pessoal responsáveis pelos procedimentos de gestão de riscos, e deve ser armazenada em sistemas fisicamente segregados e facilmente acessíveis em caso de emergência. Deve ser proporcionada formação adequada. Os planos devem ser testados e atualizados regularmente. Quaisquer desafios ou falhas detetados nos testes devem ser documentados e analisados, e os planos revistos em conformidade.