DORA na prática: o que a resiliência operacional significa para os profissionais do setor bancário

A resiliência operacional tornou-se uma disciplina bancária

A banca moderna depende de infraestruturas digitais para pagamentos, acesso dos clientes, concessão de crédito, financiamento do comércio, conformidade, tesouraria e operações internas. Uma falha tecnológica grave já não é, portanto, um inconveniente circunscrito ao departamento de TI; pode tornar-se uma interrupção do negócio que afeta clientes, mercados e obrigações regulatórias. O Regulamento de Resiliência Operacional Digital, DORA, responde a esta realidade ao criar um quadro europeu comum para a gestão de riscos de TIC, notificação de incidentes, testes de resiliência e riscos tecnológicos de terceiros.

Para os profissionais do setor bancário, o ponto importante é que a resiliência é uma responsabilidade de toda a organização. Todas as funções de negócio dependem de sistemas, dados e prestadores externos. O financiamento do comércio depende de plataformas de documentos e de controlo de sanções; a banca de retalho depende de canais digitais e de infraestruturas de pagamento; a conformidade depende de ferramentas de monitorização e de dados; as equipas de crédito dependem de modelos e de sistemas de informação. Uma falha numa área pode propagar-se rapidamente.

Preparação, prevenção e deteção

A resiliência eficaz começa por compreender o que é crítico. Os bancos devem saber que serviços devem continuar durante uma interrupção, que sistemas suportam esses serviços e que terceiros estão por detrás deles. Sem este mapa, o planeamento de recuperação torna-se especulativo. As avaliações de criticidade devem, portanto, ligar as dependências tecnológicas aos resultados reais para os clientes e para o negócio.

A prevenção continua a ser essencial. A configuração segura, a aplicação de patches, a gestão de acessos, a monitorização e o controlo eficaz de alterações reduzem a probabilidade de falha. O DORA, no entanto, também reflete um princípio mais amplo: algumas falhas ocorrerão apesar dos controlos preventivos. A resiliência depende, portanto, da capacidade da organização de detetar rapidamente a interrupção, contê-la e continuar a prestar serviços críticos.

A deteção requer tanto tecnologia como uma escalada clara. Os colaboradores devem compreender o que constitui um incidente, como é reportada a atividade invulgar e quando um evento pode tornar-se suficientemente grave para exigir uma notificação regulatória. A ambiguidade durante um incidente consome tempo valioso.

Resposta, recuperação e aprendizagem

Quando ocorre uma interrupção, as responsabilidades devem ser explícitas. Quem lidera a resposta? Quem comunica com os clientes? Quem determina se um serviço deve ser suspenso? Quem faz a ligação com os supervisores? Estas decisões não devem ser inventadas durante uma crise. Exercícios de cenários e autoridades documentadas tornam a resposta mais rápida e consistente.

A recuperação envolve mais do que restaurar um sistema. A integridade dos dados pode precisar de ser verificada, as transações reconciliadas e os processos a jusante revistos. Um serviço que está tecnicamente online, mas a operar com informações corrompidas ou incompletas, não está genuinamente recuperado. Os bancos devem, portanto, definir critérios de recuperação que incluam a correção do negócio, e não apenas a disponibilidade do sistema.

Cada incidente significativo também deve gerar aprendizagem. A análise da causa raiz, o acompanhamento da remediação e a revisão da comunicação e da escalada são centrais para a resiliência. Os quase acertos merecem atenção porque revelam fraquezas antes de ocorrer uma grande perda.

Risco tecnológico de terceiros sob o DORA

Os bancos dependem cada vez mais de serviços na nuvem, fornecedores de software, processadores de pagamentos e fornecedores especializados. A externalização pode melhorar a eficiência, mas não transfere a responsabilidade. As instituições precisam de compreender a resiliência dos fornecedores críticos, os direitos contratuais, os acordos de notificação de incidentes, as capacidades de recuperação e as opções de saída.

O risco de concentração é particularmente importante. Se muitas funções críticas dependem de um único fornecedor, a falha desse fornecedor pode afetar várias instituições simultaneamente. A atenção do DORA aos fornecedores terceiros críticos reflete a natureza sistémica deste risco.

A inteligência artificial adiciona outra camada. Os bancos utilizam cada vez mais modelos e serviços de IA externos em análises, deteção de fraude, atendimento ao cliente e ferramentas de produtividade. As mesmas questões de resiliência aplicam-se: onde os dados são processados, como os modelos são atualizados, com que rapidez o banco pode mudar de fornecedor e o que acontece quando o serviço externo está indisponível?

Testes de resiliência e cultura organizacional

Os testes devem ser concebidos para revelar fraquezas, em vez de demonstrar conformidade. Exercícios baseados em cenários podem examinar a perda de um portal de clientes, uma interrupção na nuvem, ransomware, dados corrompidos ou a falha de um fornecedor terceiro. Instituições mais avançadas também podem considerar cenários relacionados com IA, como resultados incorretos generalizados ou a perda de um serviço de modelo incorporado num processo crítico.

As pessoas continuam a ser centrais. Um plano de recuperação tecnicamente bem concebido é ineficaz se os colaboradores não puderem segui-lo sob pressão. O treino, a comunicação e os exercícios realistas são, portanto, importantes. O envolvimento da alta gestão é igualmente importante porque a resiliência afeta a reputação, a confiança dos clientes e o desempenho financeiro.

O DORA incentiva uma mudança cultural útil. O risco operacional tradicional focava-se frequentemente na prevenção da falha; a resiliência moderna aceita que alguma interrupção é inevitável e concentra-se na capacidade do banco de continuar a prestar serviços essenciais. Isso requer redundância, contingência, clareza e tomada de decisão informada.

Conclusão

Para os profissionais do setor bancário, a competência digital é agora parte da competência profissional. Os gestores não precisam de configurar firewalls, mas devem compreender que tecnologia suporta a sua função, que arranjos de contingência existem e como as dependências dos fornecedores afetam o risco. A eBSI Banking Academy trata, portanto, a resiliência operacional como um componente central do conhecimento bancário contemporâneo.

O DORA é mais útil quando muda o comportamento entre incidentes, em vez de apenas produzir relatórios regulatórios. As instituições que compreendem as suas dependências, as testam honestamente e aprendem com a falha tornam-se mais resilientes não só a ataques cibernéticos, mas também à mudança tecnológica em geral. A resiliência operacional é, em última análise, uma questão de confiança: os clientes esperam ter acesso ao seu dinheiro, as empresas esperam que os pagamentos sejam processados e os mercados esperam que as instituições financeiras funcionem quando as condições são difíceis.

A resiliência deve ser visível na informação de gestão ordinária

O DORA terá o maior valor onde a resiliência se tornar parte da gestão normal, em vez de um exercício anual de conformidade. A alta gestão deve receber informações sobre incidentes significativos, vulnerabilidades recorrentes, dependências de fornecedores, resultados de testes e remediações em atraso. Estes indicadores tornam possível ver se a fraqueza operacional está a acumular-se antes de ocorrer um evento grave.

As funções de negócio também devem compreender as suas próprias premissas de resiliência. Um gestor deve saber quais as aplicações que são críticas para a função, durante quanto tempo podem ficar indisponíveis e que alternativas manuais existem. Este conhecimento é particularmente importante quando a transformação digital elimina processos de contingência mais antigos. A eficiência pode involuntariamente reduzir a resiliência se a organização se tornar dependente de um sistema altamente otimizado sem alternativa prática. O DORA incentiva os bancos a examinar explicitamente esse compromisso e a garantir que os serviços críticos continuem recuperáveis em condições realistas.

A documentação deve apoiar a ação, em vez de apenas demonstrar conformidade. Procedimentos críticos, detalhes de contacto e autoridades de decisão devem estar acessíveis quando os sistemas normais estão indisponíveis. As instituições devem testar se os colaboradores conseguem realmente utilizar o plano em condições realistas. Um quadro de resiliência que só funciona quando todas as ferramentas ordinárias permanecem disponíveis dificilmente será útil durante a interrupção para a qual foi concebido.