Título VI – Gestão da continuidade do negócio

As instituições estabelecem um plano sólido de gestão da continuidade e de recuperação do negócio para assegurar a sua capacidade de funcionar em permanência e para limitarem as perdas em caso de perturbação grave das atividades.

As instituições podem estabelecer uma função independente específica de continuidade do negócio, p. ex., como parte da função de gestão dos riscos⁴¹ .

⁴¹ Ver também o artigo 312.º do Regulamento (UE) n.º 575/2013.

A atividade de uma instituição depende de vários recursos críticos (por exemplo, sistemas de TI, incluindo serviços de computação em nuvem, sistemas de comunicação, pessoal essencial e instalações). O objetivo da gestão da continuidade do negócio é minimizar as consequências operacionais, financeiras, jurídicas e reputacionais, bem como outras consequências materiais decorrentes de uma catástrofe ou de uma interrupção prolongada destes recursos e a perturbação consequente dos procedimentos operacionais normais da instituição. Outras medidas de gestão de riscos poderão destinar-se a reduzir a probabilidade da ocorrência de tais incidentes ou transferir o seu impacto financeiro para terceiros (por exemplo, através de seguros).

A fim de estabelecer um plano sólido de gestão da continuidade do negócio, a instituição analisa cuidadosamente fatores de risco e a sua exposição a perturbações graves das atividades e avalia (quantitativa e qualitativamente) o seu potencial impacto, utilizando dados internos e/ou externos e análise de cenários. Esta análise abrange todas as áreas de negócio e unidades internas, incluindo a função de gestão de riscos, e tem em conta a interdependência das mesmas. Os resultados da análise contribuem para definir as prioridades e os objetivos de recuperação da instituição.

Com base na análise anterior, a instituição estabelece:

• a. Planos de contingência e de continuidade de negócio para assegurar uma reação adequada às emergências e ter a capacidade de manter as suas atividades mais importantes em caso de perturbação dos procedimentos operacionais normais; e
• b. Planos de recuperação de recursos críticos para possibilitar a retoma dos procedimentos operacionais normais num prazo adequado. Os eventuais riscos residuais resultantes de potenciais perturbações da atividade serão compatíveis com a apetência pelo risco da instituição.

Os planos de contingência, de continuidade do negócio e de recuperação são documentados e cuidadosamente implementados. A documentação está disponível nas áreas de negócio, nas unidades internas e na função de gestão de riscos e é armazenada em sistemas fisicamente segregados e facilmente acessíveis em caso de contingência. Deve ser proporcionada formação adequada. Os planos devem ser testados e atualizados regularmente. Quaisquer desafios ou falhas detetados nos testes são documentados e analisados, e os planos revistos em conformidade.