Maturidade do Plano de Continuidade de Negócios · Diretiva BCEAO PCA

A diretiva do BCEAO relativa ao plano de continuidade de negócios exige que as instituições de crédito e as instituições financeiras de caráter bancário da UMOA disponham de um dispositivo escrito, aprovado pelo órgão deliberativo, que garanta a continuidade das atividades essenciais em caso de interrupção grave. Ela articula quatro obrigações: identificar as atividades críticas por meio de uma análise de impacto no negócio, definir objetivos de recuperação, formalizar os procedimentos de contingência e de realocação, e testar o dispositivo prestando contas dos resultados. O controle interno e a auditoria interna têm um papel explícito nesse processo.

Na prática, o PCA é um dos dispositivos mais declarativos do conjunto prudencial. O documento existe em quase todos os lugares, mas sua vitalidade é muito mais desigual. Os objetivos de recuperação, RTO e RPO, vêm de uma análise de impacto validada pelas áreas de negócio, ou foram copiados de um modelo? O site de contingência já recebeu uma equipe em condições reais, com acesso aos aplicativos de produção? Os prestadores essenciais, provedor de hospedagem, operadora de telecomunicações, fornecedor de switch de pagamentos, estão contratualmente obrigados a compromissos de continuidade verificáveis? Muitas instituições descobrem a lacuna somente no primeiro teste em escala real.

Duas evoluções tornam o tema mais exigente. O crescimento dos serviços de pagamento, da moeda eletrônica e da interoperabilidade regional deslocou a criticidade para cadeias técnicas amplamente terceirizadas: a indisponibilidade de um prestador se transforma na indisponibilidade da própria instituição. Além disso, as normas do BCEAO sobre segurança de sistemas de informação e sobre terceirização se sobrepõem ao PCA. Um erro comum é reduzir a continuidade ao plano de recuperação de TI, quando na verdade a diretiva trata da continuidade das atividades bancárias: caixas, meios de pagamento, crédito, contabilidade regulatória, relacionamento com clientes.

A auditoria de conformidade conclui com uma resposta binária: o plano existe, está aprovado, foi testado. O diagnóstico de maturidade coloca outra pergunta. Em que nível de controle está cada componente, e qual ação concreta leva ao nível seguinte. Uma instituição cujo PCA é testado uma vez por ano em um cenário teórico e uma instituição que realmente migra para seu site de contingência são ambas consideradas conformes. Mas não estão no mesmo nível de maturidade, e não reagirão da mesma forma diante de um incidente real.

No Datamensio, o referencial já vem pronto para uso e se adapta à sua organização. A IA ajusta os temas, as perguntas e a formulação dos níveis conforme seu porte, seu modelo de negócio e suas atividades, ou constrói uma versão personalizada a partir dos seus próprios documentos: política de continuidade, análise de impacto, relatórios de testes. O grupo bancário presente em vários países da União pode replicar o mesmo referencial em cada filial e comparar os resultados.