DOU 07/10/2024 - Diário Oficial da União - Brasil

TEXTO OFICIAL · ÍNTEGRA

Documento assinado digitalmente conforme MP nº 2.200-2 de 24/08/2001, que institui a Infraestrutura de Chaves Públicas Brasileira - ICP-Brasil. Este documento pode ser verificado no endereço eletrônico http://www.in.gov.br/autenticidade.html, pelo código 05152024100700148 148 Nº 194, segunda-feira, 7 de outubro de 2024 ISSN 1677-7042 Seção 1 IV - Ambiente Primário: são considerados os ambientes produtivos originais, dos quais derivam-se os ambientes de continuidade de negócios como forma de aumentar sua resiliência frente a crises; V - Confidencialidade: propriedade de que a informação não seja revelada à pessoa física, sistema, órgão ou entidade não autorizados e credenciados; VI - Continuidade de Negócios: capacidade que uma organização tem de continuar a entrega de produtos ou serviços em níveis aceitáveis pré-definidos após um incidente de interrupção; VII - Crise: condição instável envolvendo uma mudança abrupta ou significativa iminente que requer atenção e ação urgentes para proteger a vida, os ativos, a propriedade ou o meio ambiente; VIII - Crise Corporativa: situação anormal, instável e complexa que representa uma ameaça aos objetivos estratégicos, à reputação, ao funcionamento ou à própria existência de uma organização; IX - Gestão de Crise Corporativa: coordenação geral de resposta de uma organização a uma crise corporativa, de maneira eficaz e oportuna, com o objetivo de evitar ou minimizar danos às pessoas, sociedade, lucratividade, reputação e capacidade de operação da organização; X - Disponibilidade: propriedade de que a informação esteja acessível e utilizável sob demanda por uma pessoa física ou determinado sistema, órgão ou entidade; XI - Disrupção: interrupção do curso normal de um processo de negócio, serviço ou entrega de produto; XII - Gestão de Continuidade de Negócios: processo abrangente de gestão que identifica ameaças potenciais para uma organização e os possíveis impactos nas operações de negócio caso estas ameaças se concretizem. Este processo fornece uma estrutura para que se desenvolva uma resiliência organizacional que seja capaz de responder eficazmente e salvaguardar os interesses das partes interessadas, a reputação e a marca da organização e suas atividades de valor agregado; XIII - Gestão de Riscos: atividades coordenadas para direcionar e controlar os riscos da organização; XIV - Incidente: situação que pode representar ou levar à interrupção de negócios, perdas, emergências ou crises; XV - Integridade: propriedade de que a informação não foi modificada, inclusive quanto à origem e ao destino, ou destruída; XVI - Processo: encadeamento sequencial de atividades que são realizadas progressivamente para a transformação de entradas (insumos) em saídas (produtos ou serviços), agregando valor e resultando em um produto ou serviço desejável pelo cliente; XVII - Processos de Negócio: sequência das atividades prevendo a produção de um resultado que atenda ao cliente do processo e só existe se gerar algum benefício para a empresa. Basicamente só existe processo de negócio quando ele gera valor, direta ou indiretamente, ao cliente sejam eles formalizados ou não; XVIII - Produtos e Serviços: resultados produzidos e entregues a seus clientes e partes interessadas em conformidade com regulamentações e benefícios comunitários além de ser um meio de fornecer valor a clientes, facilitando a obtenção de resultados que eles desejam; e XIX - Resiliência: capacidade de uma organização de resistir após uma disrupção e voltar rapidamente ao estado normal. CAPÍTULO II PRINCÍPIOS Art. 6º A Política de Gestão de Continuidade de Negócios (PGCN) da ANTT deve ser norteada pelos seguintes princípios: I - minimização de efeitos e danos causados por uma disrupção, promovendo a disponibilidade dos serviços prestados à sociedade; II - preservação da integridade física das pessoas; III - proteção de dados pessoais e críticos ao negócio; IV - preservação da segurança e privacidade das informações; V - priorização da recuperação tempestiva daquilo que for crítico ao negócio; VI - observância aos princípios e valores da boa governança para preservação da reputação da Agência e de seus servidores; VII - proteção dos ativos da Agência; VIII - proteção dos ativos concedidos e reversíveis; IX - garantia da disponibilidade dos serviços prestados à sociedade; e X - incorporação da cultura de continuidade de negócios nos processos e serviços da Agência. CAPÍTULO III D I R E T R I Z ES Seção I Diretrizes Gerais Art. 7º São diretrizes da Política de Gestão de Continuidade de Negócios (PGCN) da ANTT: I - mobilização de todos os recursos necessários para gerenciar crises, recuperar as operações e proporcionar um nível de funcionamento suficiente após uma disrupção, levando em consideração suas atividades e processos críticos; II - alinhamento à Gestão de Riscos, observando sempre que necessário os normativos relacionados ao tema, dentre os quais se destacam, a Política de Gestão de Riscos, os limites de tolerância ao risco formalmente definidos e o Guia de Gestão de Riscos Operacionais; III - disponibilização de normativos subordinados e planos relacionados, incluindo recursos humanos devidamente capacitados; IV - identificação e planejamento das ações necessárias para manutenção dos processos considerados críticos; V - submissão dos processos à Análise de Impacto nos Negócios (Business Impact Analysis), a partir da Cadeia de Valor e da Arquitetura de Processos da ANTT, contendo: a) identificação das atividades que suportam as operações e o fornecimento de serviços; b) avaliação dos impactos de não realização das atividades ao longo do tempo; c) fixação dos prazos de forma priorizada para a retomada das atividades, em um nível mínimo de execução tolerável, levando em consideração o tempo em que os impactos da interrupção se tornem inaceitáveis; e d) identificação de dependências e recursos (sistemas de informação, recursos humanos e infraestruturas) que suportam as atividades, incluindo fornecedores, terceiros e demais partes interessadas relevantes. Art. 8º Com base nos resultados do Business Impact Analisys, o Comitê de Governança deve elencar os processos críticos para a continuidade das operações da Agência. Art. 9º A partir das análises de impacto realizadas, devem ser definidas as estratégias de continuidade e recuperação dos processos críticos. Parágrafo único. As estratégias definidas devem levar em consideração a continuidade e recuperação de recursos humanos, instalações, serviços de tecnologia, fluxos de informação, e controles de segurança da informação e privacidade. Art. 10. Para definição das estratégias de continuidade de negócio, os seguintes aspectos devem ser considerados: I - possíveis linhas de ação que devem ser realizadas antes, durante e depois de um evento de descontinuidade, as quais podem incluir propostas de soluções; e II - a análise de viabilidade e estimativa dos custos, bem como o detalhamento da implementação, os quais devem ser definidas com apoio das áreas responsáveis pelos processos relacionados. Art. 11. Para a operacionalização das estratégias definidas, para a continuidade dos processos e atividades críticas, devem ser elaborados planos contendo os procedimentos e informações necessárias. Art. 12. Os planos de Política de Continuidade de Negócios da ANTT serão divididos em: I - Plano de Continuidade dos Processos; e II - Plano de Continuidade de TI. § 1º Os planos deverão ser desenvolvidos para a Agência como um todo, contemplando todos os processos definidos como críticos. § 2º O Plano de Continuidade dos Processos deverá conter procedimentos de contingência, gerenciamento de crises, recuperação de desastres, incluindo controles de segurança da informação e privacidade, e fluxo de comunicação. § 3º O Plano de Continuidade de TI deve estar alinhado ao Plano de Continuidade de Processos e deverá conter procedimentos visando à continuidade e recuperação de sistemas de TI, segurança da informação e privacidade, e processos de gestão de informações. Art. 13. Os planos de Continuidade de Negócios deverão conter no mínimo: I - objetivo e escopo; II - atividades e pessoas necessárias para execução; III - procedimentos de gerenciamento de crises, procedimentos de contingência e recuperação de desastre, e procedimentos de comunicação; IV - recursos necessários; V - papéis e responsabilidades; e VI - procedimentos de teste e treinamentos. Art. 14. Os planos de Continuidade de Negócios devem ser exercitados e testados periodicamente, bem como ter os resultados documentados de forma a garantir a sua aderência e aprimoramento contínuo. Art. 15. A documentação dos planos de Continuidade de Negócios deve ficar disponível em locais de fácil acesso a todos os colaboradores envolvidos na Gestão de Continuidade de Negócios (GCN). Art. 16. Os planos de Continuidade de Negócios devem ser submetidos à apreciação do Comitê de Governança ou de outro colegiado que venha a substituí-lo. Seção II Recursos Art. 17. Deve ser instituído um programa de capacitação e conscientização em continuidade do negócio e procedimentos de resposta à incidentes de continuidade. § 1º O programa de capacitação e conscientização em continuidade do negócio deverá abranger todo pessoal que realiza a execução dos processos considerados críticos, incluindo terceiros relacionados às atividades críticas. § 2º O programa de capacitação e conscientização em continuidade do negócio deverá abordar os conteúdos e formatos adequados para cada função exercida, assim como sua divulgação nos diversos canais de comunicação disponíveis, de modo que todos saibam como agir nas situações de disrupção. § 3º A coordenação do programa de capacitação e conscientização em continuidade do negócio deve ser realizada pela unidade organizacional responsável pela gestão de pessoas. Art. 18. O programa de capacitação e conscientização em continuidade de negócio deve estar alinhado às boas práticas e procedimentos de capacitação da área de gestão de pessoas. CAPÍTULO IV R ES P O N S A B I L I DA D ES Seção I Unidades Responsáveis Art. 19. As instâncias e unidades organizacionais abaixo elencadas são responsáveis, sem prejuízo das competências previstas na Resolução nº 5.976, de 7 de abril de 2022, pelo exercício das seguintes atribuições: § 1º À Diretoria-Colegiada compete: I - aprovar as diretrizes que norteiam a Política de Gestão de Continuidade de Negócios (PGCN); II - aprovar a Política de Gestão de Continuidade de Negócios (PGCN); III - supervisionar a Gestão de Continuidade de Negócios; e IV - instalar o Gabinete de Crises em situações que afetem a continuidade de processos críticos da ANTT. § 2º Ao Diretor-Geral compete: I - determinar a implementação e promover a Gestão de Continuidade de Negócios; e II - prover os recursos necessários para estabelecer, implementar, operar e manter a Gestão de Continuidade de Negócios. § 3º Aos titulares de unidades organizacionais ou representante formalmente designado compete: I - implementar, avaliar e aprovar as Business Impact Analisys (BIA) realizadas para os processos definidos como críticos no âmbito de sua unidade organizacional; II - elaborar e aprovar os Planos de Continuidade de Negócios (PCN) dos Processos Críticos no âmbito de sua unidade organizacional; III - elaborar, avaliar e aprovar as estratégias de continuidade e os planos propostos, considerando a relação custo-benefício, e decidir sobre sua implementação, no âmbito de sua unidade organizacional; e IV - informar ao Escritório de Processos Organizacionais todas as análises, planos e demais documentos aprovados no âmbito de sua unidade organizacional. § 4º Ao Comitê de Governança compete: I - tomar conhecimento dos Planos de Continuidade de Negócios (PCN) após aprovados pelo titular da unidade organizacional responsável pelo processo de negócio; II - aprovar elaborações e revisões de normativos e documentos afetos ao tema, como instrumentos normativos de processos e manuais; e III - definir os processos críticos para a continuidade dos negócios da ANTT. § 5º Ao Escritório de Processos Organizacionais compete: I - propor ao Comitê de Governança, sempre que necessário, diretrizes e ações em relação à Gestão de Continuidade de Negócios; II - consolidar e comunicar todas as análises, planos e demais documentos aprovados pelo Comitê de Governança, mantendo as partes interessadas frequentemente atualizadas; III - apoiar o Comitê de Governança, sempre que demandado, em relação a aspectos técnicos da Gestão de Continuidade de Negócios; e IV - apoiar os titulares das unidades organizacionais ou representantes formalmente designados em relação a aspectos técnicos da Gestão de Continuidade de Negócios. Seção II Unidades Executoras Art. 20. As instâncias e unidades organizacionais abaixo elencadas, são responsáveis, sem prejuízo das competências previstas na Resolução nº 5.976, de 7 de abril de 2022, pelo exercício das seguintes atribuições, quanto à execução da Gestão de Continuidade de Negócios (GCN): § 1º Aos titulares de unidades organizacionais responsáveis pelos Processos de Negócio Críticos suportados pelos Planos de Continuidade compete: I - elaborar, quando julgar necessário com o apoio do Escritório de Processos Organizacionais, os planos de continuidade referentes aos processos sob sua responsabilidade; II - colaborar com as ações de continuidade de negócio, fornecendo as informações pertinentes solicitadas e participando das iniciativas propostas pelo Comitê de Governança; III - administrar as ações previstas nos planos quando da interrupção de atividades; IV - executar os treinamentos e testes dos Planos de Continuidade de Negócios; V - incorporar a Gestão de Continuidade de Negócios nas atividades de rotina de sua área; e VI - desenvolver o relatório de testes, sempre que os planos forem testados. § 2º Aos titulares de unidades organizacionais responsáveis pelos Processos de Negócios afetados pelos Planos de Continuidade compete: