MiFID II: as sete perguntas que um auditor faz primeiro
Antes de pedir gravações, o regulador testa se as consegue encontrar, provar e reter. Um guia às perguntas que decidem uma auditoria.
Ler artigo →Durante anos, o plano de recuperação de desastres viveu num documento. Era atualizado uma vez por ano, validado por uma assinatura e guardado num repositório que poucos abriam. A DORA, o Regulamento (UE) 2022/2554 sobre Resiliência Operacional Digital, em aplicação desde 17 de janeiro de 2025, tornou esse modelo obsoleto. A resiliência deixou de ser um documento para passar a ser um resultado demonstrável, medido em números concretos e testado com regularidade. Para um arquivo de gravações, isso muda tudo a montante: a resiliência tem de existir em cada pipeline de captura, não no fim da cadeia.
O que muda quando a resiliência passa a resultado mensurável?
A diferença essencial que a DORA introduz é de natureza. Um plano de DR clássico descrevia uma intenção: «em caso de incidente, restauraremos os sistemas críticos». A DORA exige que essa intenção seja convertida em objetivos quantificados, atribuídos a funções específicas e validados na prática. A pergunta que o supervisor coloca já não é «têm um plano?», mas «qual é o vosso RPO e RTO para esta função, e quando foi a última vez que o testaram?».
O que são, na prática, o RPO e o RTO?
Dois indicadores estruturam toda a conversa de resiliência:
- RPO (Recovery Point Objective): quanto dado se pode perder, medido em tempo. Um RPO de cinco minutos significa que, no pior cenário, perdem-se as interações dos últimos cinco minutos antes do incidente.
- RTO (Recovery Time Objective): em quanto tempo a função volta a estar operacional. Um RTO de uma hora significa que o arquivo tem de estar acessível, e a capturar, no prazo de sessenta minutos.
Para gravações de compliance, o RPO tem um peso particular. Uma interação não capturada não se recupera, não há cópia alternativa de uma chamada que não foi gravada. A perda é definitiva e, se essa chamada estava sujeita a obrigação de conservação, é também uma falha regulatória. Por isso, o RPO de um pipeline de captura não é um número de conveniência operacional: é um limite de exposição legal.
Um plano de DR genérico responde à pergunta «o que fazemos quando algo falha?». A resiliência por design responde a uma pergunta anterior e mais exigente: «o que continua a funcionar mesmo enquanto algo falha?».
Porque é que a resiliência se mede por pipeline e não por sistema?
O erro mais comum é definir um RPO e um RTO únicos para «o sistema de gravação». Na realidade, um arquivo moderno integra vários pipelines de captura, voz de trading, telefonia corporativa, Microsoft Teams, canais de mensagens, email, e cada um tem um perfil de risco diferente. A voz de trading pode justificar um RPO próximo de zero, com captura redundante; um canal interno de baixo risco tolera objetivos mais relaxados. A DORA premeia esta granularidade, porque ela demonstra que a organização compreende as suas próprias dependências críticas.
Testar é obrigatório ou opcional?
A DORA exige um programa de testes de resiliência operacional digital regular, e para as entidades mais significativas prevê testes avançados baseados em ameaças. No contexto de um arquivo, isto traduz-se em exercícios concretos: simular a falha de um nó de captura e medir se o failover respeita o RPO declarado; restaurar o arquivo a partir de cópia e cronometrar o RTO real; verificar se, durante a recuperação, nenhuma interação se perdeu silenciosamente. Um RPO que nunca foi testado é uma hipótese, não um controlo.
E os fornecedores terceiros, onde entram?
A DORA dedica um capítulo inteiro ao risco de terceiros de TIC. Se o arquivo de gravações depende de um fornecedor externo, de alojamento, de captura ou de armazenamento , os objetivos de resiliência desse fornecedor passam a fazer parte dos da instituição. O órgão de gestão é diretamente responsável por garantir que os contratos refletem RPO e RTO compatíveis com as funções críticas e que existe uma estratégia de saída testável. A resiliência não se subcontrata: herda-se.
Convém também distinguir resiliência de simples cópia de segurança. Uma cópia protege contra a perda definitiva, mas não diz nada sobre o tempo de recuperação nem sobre a continuidade da captura durante o incidente. A DORA pede mais do que conseguir restaurar: pede que as funções críticas se mantenham, ou regressem em tempo conhecido, mesmo sob falha. Para um arquivo de gravações, isto significa redundância na própria captura, porque o dado que não foi capturado no momento não existe em cópia nenhuma, e não apenas no armazenamento a jusante.
O fim do plano de DR genérico não é o fim do planeamento. É a sua maturação: de um documento anual para uma propriedade contínua e medida de cada pipeline de captura. Quem souber dizer, para cada fluxo de gravações, qual é o RPO, qual é o RTO e quando foram testados pela última vez, está a responder à DORA na linguagem que ela exige.
Publicado pela equipa uPlayback, um produto Grupês. Três décadas de experiência em compliance recording.
