Como as placas estão se preparando para o CPS 230

De acordo com um especialista do setor, a resiliência tornou-se uma preocupação do conselho de administração do setor de serviços financeiros da Austrália, antes dos novos regulamentos de Gestão de Risco Operacional CPS 230 da Autoridade Reguladora Prudencial Australiana, o órgão regulador do setor.

Os bancos, seguradoras e fundos de pensões australianos serão obrigados a cumprir a nova norma consolidada CPS 230 da APRA para gestão de risco operacional. As instituições classificadas como instituições financeiras “significativas” têm até julho de 2025 para cumprir, enquanto as instituições financeiras não significativas têm até julho de 2026 para cumprir requisitos específicos de continuidade de negócios e requisitos de análise de cenários.

As obrigações centram-se na resiliência das empresas. As instituições sujeitas à CPS 230 devem garantir a continuidade das operações críticas durante interrupções nos negócios. A conformidade com estes regulamentos está intimamente ligada à tecnologia, uma vez que as organizações devem manter a tecnologia operacional para fornecer serviços críticos durante eventos como incidentes de segurança cibernética e outras perturbações.

Jamie Simon, diretor de serviços bancários e financeiros da Amazon Web Services, disse ao TechRepublic que a indústria regulamentada pela APRA estava bem preparada para a introdução dos novos requisitos do próximo ano.

“Já tivemos bastante tempo para entender a intenção e também para começar a trabalhar com os clientes para ajudar a prepará-los para isso – e eles estão progredindo muito bem em todo o setor”, disse Simon.

Exemplos do mundo real que sublinham a importância da resiliência

A resiliência tornou-se uma prioridade máxima para os conselhos de administração das instituições regulamentadas pela APRA, estando ao lado da segurança cibernética como um foco crucial. Existe agora uma maior atenção de cima para baixo para garantir que as empresas cumpram as suas obrigações de forma eficaz.

Um dos principais impulsionadores desta mudança é a CPS 230, que responsabiliza os conselhos pela supervisão da gestão do risco operacional, incluindo a continuidade dos negócios e a gestão dos acordos dos prestadores de serviços.

Os recentes incidentes públicos no sector sublinharam ainda mais a importância da resiliência, fornecendo aos conselhos de administração exemplos concretos do que pode correr mal e porque é que a supervisão proactiva é essencial.

Em Outubro, uma interrupção no segundo maior superfundo da Austrália, o Australian Retirement Trust, fez com que quase 100 mil beneficiários de pensões esperassem mais cinco dias pelos pagamentos. Naquele mesmo mês, problemas e interrupções no sistema também afetaram o Westpac, onde os clientes tiveram dificuldades para acessar serviços bancários e pagamentos durante três dias.

VEJA: Interrupções no data center causam foco na mitigação de riscos

“Sempre que acontece qualquer tipo de evento público, aumenta o nível de visibilidade e conscientização no conselho”, disse Simon. “Do regulador, isso coloca mais foco em garantir que a postura, o posicionamento, o design e as formas de trabalhar sejam realmente robustos e bem configurados para minimizar ou evitar qualquer evento desse tipo no futuro.”

Acrescentou que existe uma curva em sino na preparação de um mercado para uma regulamentação como a CPS 230, e é influenciada pela capacidade e aptidão de cada instituição para compreender e preparar-se para ela. No entanto, ele disse que algumas entidades maiores que tinham mais em jogo e que deveriam ser abrangidas pela regulamentação primeiro estavam a estabelecer as suas próprias práticas de risco que excediam as orientações da APRA.

“Na verdade, eles estão em uma posição significativamente melhor do que as diretrizes delineadas ou exigidas deles, o que considero algo realmente positivo no setor de serviços financeiros australiano”, disse Simon.

A observabilidade do sistema SaaS é vista como uma forma fundamental de aumentar a resiliência

A observabilidade das cadeias de abastecimento SaaS é uma área em que a indústria de serviços financeiros está a avançar. Como parte da CPS 230 da APRA, o setor de serviços financeiros precisa melhorar a gestão de riscos de terceiros para apoiar a resiliência e garantir que quaisquer riscos dos prestadores de serviços materiais sejam geridos de forma adequada.

“As mudanças regulatórias significam ter que assumir mais responsabilidade na compreensão e gestão de toda a sua cadeia de abastecimento”, disse Simon. “É aí que acho que muitos deles estão se adiantando às diretrizes; eles estão trabalhando muito para entender como é esse processo completo e fazer parcerias com fornecedores.”

Simon disse que uma tendência do setor é a adoção significativa de provedores terceirizados de SaaS. As instituições já não gerem elas próprias a infraestrutura, mas estão a pedir aos fornecedores que operem a infraestrutura física situada por baixo “do que por vezes pode ser uma carga de trabalho bastante crítica”.

VEJO: Obsidian Security alerta sobre ameaças crescentes de SaaS às empresas

Garantir uma forte observabilidade em todos os sistemas e terceiros é fundamental, disse Simon. Isso inclui ter as ferramentas certas para monitorar, compreender e identificar preventivamente riscos em seus próprios sistemas e em sistemas de terceiros. Isso também exige que as instituições trabalhem com grandes provedores de serviços em nuvem, como a AWS.

“A AWS está realmente se apoiando nisso para garantir que possamos fornecer a eles todos os níveis certos de visibilidade no sistema para que possam se sentir realmente confiantes de que toda a sua cadeia de suprimentos está protegida e segura”, acrescentou.

A resiliência pode ser um facilitador da inovação

Justifica-se um foco na resiliência, dado o impacto que as perturbações podem ter nas empresas e nos clientes que sofrem com elas.

“Interrupções de alta visibilidade que interrompem o atendimento ao cliente por um período de tempo podem levar à rotatividade de clientes”, disse Simon. “Isso pode levar a uma insatisfação significativa do cliente e isso pode ter implicações significativas nos lucros. E isso é verdade para todos os setores, não apenas para instituições de serviços financeiros.”

No entanto, ele explicou que as abordagens típicas muitas vezes trocam a resiliência pelo impulso à inovação: “Muitas vezes fala-se disso como um contrapeso – como se estivéssemos a tentar encontrar um equilíbrio entre essas duas coisas”.

VEJA: Como a AWS respondeu à onda de IA generativa de 2023

No entanto, ele disse que a AWS acredita fortemente que ter uma forte resiliência e posição de segurança “na verdade permite que você avance com mais rapidez e confiança quando começa a inovar em coisas como IA e automação de processos de negócios e mais automação da experiência do cliente”.

“Isso, por sua vez, permite que você conduza uma automação significativa nas práticas de resiliência e segurança, o que as ajuda a melhorar e se torna um efeito volante realmente positivo”, disse ele.

Em vez de ver a resiliência como um contrapeso à inovação, ele disse que a relação entre os dois pode ser vista como um impulso à inovação mais rápida e segura através de melhor resiliência e segurança.