Gestão de riscos

Gestão de crise

Estrutura de decisão para evento grave: quem decide, com qual informação, em quanto tempo e com qual comunicação.

Gestão de crise é o arranjo que permite decidir sob pressão, com informação incompleta e prazo curto. Difere de continuidade: continuidade trata de manter o processo, crise trata de conduzir a organização durante o evento e depois dele. O serviço define comitê de crise, gatilhos de acionamento, papéis, fluxo de informação, registro de decisões e comunicação com reguladores, clientes, imprensa e investidores. O que falha na hora não é a estrutura formal, é a informação: no evento real, ninguém sabe quantos clientes foram afetados, qual sistema está fora, qual dado vazou e quais obrigações regulatórias de comunicação já correm contra o relógio.

Instituições autorizadas têm obrigações de comunicação de incidentes e de eventos relevantes ao Banco Central, com prazos definidos em normas específicas que precisam ser conferidas por tipo de evento e de instituição. Companhias abertas seguem o dever de divulgação de fato relevante previsto nas regras da CVM. Em incidente com dados pessoais, a LGPD exige comunicação à autoridade nacional e aos titulares nos termos regulamentados. O erro de implantação é tratar crise como assunto de comunicação institucional, sem integrar jurídico, riscos, tecnologia e negócio. Outro erro é não registrar decisões durante o evento, o que prejudica a prestação de contas posterior ao conselho e ao regulador.

A MERC monta o desenho a partir de cenários concretos da instituição: indisponibilidade prolongada, incidente cibernético com extração de dados, fraude relevante, perda de fornecedor crítico e evento de liquidez. Para cada um define gatilho, comitê, informação mínima necessária e obrigações de comunicação aplicáveis. Depois testa em simulação, medindo o tempo até a decisão e a qualidade da informação disponível naquele momento. A MERC não redige a comunicação jurídica ao regulador no lugar do advogado do cliente, atua no diagnóstico, no controle e na prova. Também não aceita simulação com roteiro entregue antes ao time, porque o exercício deixa de medir qualquer coisa.

O que examinamos

• Gatilhos de acionamento e composição do comitê
• Informação mínima disponível na primeira hora
• Obrigações de comunicação a reguladores e titulares
• Registro de decisões durante o evento
• Simulações executadas e lições incorporadas
• Integração entre jurídico, riscos, tecnologia e negócio

Norma aplicável

Obrigações de comunicação de incidentes ao Banco Central conforme a norma aplicável a cada tipo de instituição, a conferir, somadas às regras da CVM sobre fato relevante e à LGPD quanto a incidentes com dados pessoais.

Entregável

Manual de gestão de crise com gatilhos, comitê, matriz de comunicação e relatório de simulação com tempos medidos.