Maturidade do Plano de continuidade de atividade · Diretiva BCEAO PCA

A diretiva da BCEAO relativa ao plano de continuidade de atividade exige que as instituições de crédito e as instituições financeiras de caráter bancário da UMOA disponham de um dispositivo escrito, aprovado pelo órgão deliberativo, que garanta a continuidade das atividades essenciais em caso de interrupção grave. Articula quatro obrigações: identificar as atividades críticas através de uma análise de impacto na atividade, definir objetivos de recuperação, formalizar os procedimentos de emergência e de contingência, e depois testar o dispositivo e reportar os resultados. O controlo interno e a auditoria interna têm aí um papel explícito.

Na prática, o PCA é um dos dispositivos mais declarativos do corpo prudencial. O documento existe quase sempre, a sua vitalidade é muito mais desigual. Os objetivos de recuperação, RTO e RPO, resultam de uma análise de impacto validada pelas áreas de negócio, ou foram copiados de um modelo? O local de contingência já recebeu uma equipa em condições reais, com acesso às aplicações de produção? Os prestadores essenciais, alojamento, operador de telecomunicações, fornecedor de switch de pagamentos, estão contratualmente sujeitos a compromissos de continuidade verificáveis? Muitas instituições descobrem o desvio no primeiro teste em escala real.

Duas evoluções tornam o tema mais exigente. O aumento dos serviços de pagamento, da moeda eletrónica e da interoperabilidade regional deslocou a criticidade para cadeias técnicas largamente externalizadas: a indisponibilidade de um prestador torna-se a indisponibilidade da própria instituição. Além disso, os textos da BCEAO sobre a segurança dos sistemas de informação e sobre a externalização cruzam-se com o PCA. Uma confusão frequente consiste em reduzir a continuidade ao plano de recuperação informática, quando a diretiva visa a continuidade das atividades bancárias: caixas, meios de pagamento, crédito, contabilidade regulamentar, relação com o cliente.

A auditoria de conformidade termina com uma resposta binária: o plano existe, está aprovado, está testado. O diagnóstico de maturidade coloca outra questão. Em que nível de controlo se situa cada componente, e que ação concreta permite passar ao nível seguinte. Uma instituição cujo PCA é testado uma vez por ano num cenário teórico e uma instituição que efetivamente comuta para o seu local de contingência estão ambas « em conformidade ». Não estão no mesmo nível de maturidade, e não reagirão da mesma forma.

No Datamensio, o referencial está pronto a usar e adapta-se à sua organização. A IA ajusta os domínios, as perguntas e a formulação dos níveis consoante a sua dimensão, o seu modelo e as suas atividades, ou constrói uma versão a partir dos seus próprios documentos: política de continuidade, análise de impacto, atas de testes. O grupo bancário presente em vários países da União pode aplicar o mesmo referencial em cada filial e comparar os resultados.