O family office de 72 horas

1. INTRODUÇÃO

Um family office está mais vulnerável quando um problema operacional comum se torna um problema de decisão. Um portal bancário falha enquanto um arquivo de folha de pagamento está vencendo. O principal está em viagem quando um pagamento exige aprovação. Um incidente cibernético torna o repositório de documentos indisponível. A equipe não consegue chegar ao escritório. Um custodiante restringe um canal de acesso enquanto os mercados se movem. Cada evento pode ser administrável isoladamente. O evento combinado pode expor uma família a obrigações não cumpridas, trabalho inseguro, instruções não controladas e perdas evitáveis.

Este artigo desenvolve um plano operacional de crise de 72 horas para um family office. O período é dividido em seis janelas de controle: as duas primeiras horas, as horas entre duas e seis, as horas entre seis e doze, as horas entre doze e vinte e quatro, o segundo dia e o terceiro dia. Cada janela tem um propósito definido. A primeira janela protege pessoas, contas e evidências. A segunda estabelece comando e uma base de fatos confiável. A terceira assegura liquidez e continuidade de serviços críticos. A quarta valida rotas alternativas. O segundo dia estabiliza o modelo operacional. O terceiro dia prepara uma transição controlada para um plano de recuperação mais longo.

O arcabouço começa pelos serviços, e não pelos ativos. Um portfólio pode permanecer economicamente sólido enquanto o family office perde acesso a instruções de pagamento, registros de custódia, autoridades delegadas, documentos de identidade ou canais de comunicação. A resiliência operacional, portanto, pergunta quais resultados devem continuar, por quanto tempo a interrupção pode ser tolerada, quais pessoas e sistemas sustentam cada resultado e qual modo degradado seguro pode operar enquanto a rota principal estiver indisponível [1-11].

O plano abrange cinco domínios de controle interligados. A autoridade delegada determina quem pode decidir e quem pode executar quando o aprovador habitual estiver indisponível. O acesso à liquidez concilia fontes de caixa com obrigações e trilhos de pagamento. A segurança da equipe fornece um processo verificado de bem-estar e localização. A continuidade de dados protege registros críticos e estabelece rotas de recuperação limpas. A custódia alternativa separa propriedade de ativos, guarda, acesso, negociação e liquidação, para que uma falha em uma camada não seja diagnosticada erroneamente como perda do próprio ativo [3-9,12-19].

A análise é pesquisa geral. Ela não determina requisitos legais, fiscais, regulatórios, de investimento, cibernéticos, trabalhistas, de seguros ou de segurança de nenhum family office. Todo cenário, limite e valor é hipotético e simplificado. Os documentos de governança aplicáveis, os termos dos prestadores, a orientação oficial e o aconselhamento profissional específico ao caso permanecem decisivos.

2. A DOUTRINA OPERACIONAL DE 72 HORAS

2.1 Preservar vida, autoridade, acesso e evidências

A doutrina operacional tem quatro prioridades em ordem. Primeiro, confirmar a segurança dos familiares, da equipe e dos prestadores essenciais. Segundo, impedir ações não autorizadas ou irreversíveis. Terceiro, preservar o acesso à liquidez essencial, às informações de custódia e à comunicação. Quarto, registrar os fatos, as decisões e as evidências necessários para a recuperação. Um plano que começa com visões de portfólio antes de esses controles estarem estáveis corre o risco de tomar decisões com consequências financeiras sobre uma base operacional não confiável.

O arcabouço de continuidade de negócios da NCEMA enfatiza funções essenciais, gestão de incidentes, papéis de crise, planejamento de recuperação e exercícios. As normas do CBUAE exigem que instituições reguladas identifiquem operações críticas, papéis, objetivos de recuperação, planos de comunicação e cenários de interrupção. Os arcabouços de resiliência de Basileia e da FCA também se concentram em serviços importantes, tolerâncias a impacto, dependências, testes e aprendizado [1-10]. Um family office pode adaptar essas disciplinas de forma proporcional sem se apresentar como um banco regulado.

O family office deve publicar um cartão de ativação de uma página. Ele declara o gatilho, o nível de crise, o líder de comando, o substituto, o líder de segurança da equipe, o líder de tesouraria, o líder de tecnologia, o contato jurídico e de compliance, os canais de comunicação aprovados e o horário da próxima atualização. Também declara o que está temporariamente proibido: novos beneficiários, novas instruções de custódia, alterações em mandatos bancários, pagamentos fora da fila aprovada, uso de mensagens pessoais não verificadas e destruição ou alteração de registros.

2.2 O plano opera em janelas

As primeiras 72 horas são curtas o suficiente para exigir disciplina e longas o suficiente para expor dependências frágeis. As janelas operacionais devem ser medidas a partir da ativação, não do momento em que um evento ocorreu pela primeira vez. O registro de ativação, portanto, contém dois registros de data e hora: o horário mais antigo conhecido do evento e o horário formal de ativação.

2.3 Uma única fonte de verdade operacional

A equipe de crise deve manter um relatório de situação controlado. Ele registra fatos conhecidos, questões em aberto, premissas usadas para decisões temporárias, status dos serviços, obrigações a vencer, bem-estar da equipe, incidentes de fornecedores, ações de segurança e a próxima revisão. Cada entrada identifica sua fonte e horário. Rumores, reportagens da mídia e mensagens não verificadas podem ser registrados como sinais, mas não se tornam fatos operacionais até serem corroborados.

3. GATILHOS DE ATIVAÇÃO E NÍVEIS DE CRISE

3.1 A ativação é uma decisão de controle

Um plano de crise deve ser ativado antes de o escritório falhar de forma visível. Gatilhos úteis são definidos em torno de interrupção de serviço e comprometimento de controles. Exemplos incluem perda de acesso a uma plataforma de pagamentos ou custódia; indisponibilidade tanto de um responsável principal quanto de um substituto autorizado; um evento cibernético que afete sistemas de identidade, e-mail ou documentos; incapacidade de contatar uma parte relevante da equipe; fechamento ou inacessibilidade de um local de trabalho principal; uma notificação de fornecedor que afete a disponibilidade de transações, liquidação ou dados; e uma ameaça crível às pessoas ou às instalações.

O registro de gatilhos deve distinguir observação, escalonamento e ativação. Uma observação é registrada e monitorada. Um escalonamento atribui um responsável e um prazo de revisão. A ativação inicia a estrutura de governança de crise e seus controles temporários. Essa distinção evita que todo problema de serviço se torne uma crise completa, ao mesmo tempo que permite contenção precoce.

3.2 Uma escala de quatro níveis

A escala a seguir é ilustrativa. Cada escritório deve definir limites que reflitam sua estrutura, jurisdições, contratos de prestadores e obrigações.

O escritório deve definir indicadores objetivos sempre que possível: número de signatários indisponíveis; valor dos pagamentos com vencimento dentro de um período definido; percentagem de funcionários confirmados em segurança; tempo desde o último backup verificado; número de contas privilegiadas comprometidas; número de fornecedores críticos indisponíveis; e tempo restante antes de um prazo contratual ou legal.

3.3 A desativação exige evidências

O líder de crise não deve desativar apenas porque uma plataforma parece funcionar. A desativação deve exigir segurança das pessoas confirmada, acesso estável, saldos e transações reconciliados, logs restaurados, acesso privilegiado revisado, exceções de pagamento resolvidas, confirmação do fornecedor quando relevante e responsáveis pela remediação nomeados. Um nível de crise inferior pode manter-se em vigor enquanto a recuperação de longo prazo continua.

4. AUTORIDADE DELEGADA E SUCESSÃO

4.1 A autoridade deve ser tanto jurídica quanto operacional

Um cargo não cria automaticamente o poder de vincular uma empresa, trust, fundação, parceria ou conta. A função deve mapear a autoridade para a pessoa jurídica relevante, o documento de governança, a resolução, o mandato bancário, o contrato de gestão de investimentos, a procuração e a instrução do prestador. Uma matriz de crise resume essas fontes; não as substitui.

A matriz deve separar a autoridade de decisão da autoridade de execução. Uma pessoa pode aprovar um pagamento enquanto outra o lança. Um custodiante pode reconhecer um conjunto específico de signatários que difere da delegação interna da empresa. Um trustee ou conselho de fundação pode ter deveres que não podem ser transferidos por meio de uma instrução familiar informal. O assessor jurídico deve validar a arquitetura jurídica antes de um evento.

4.2 Sucessão por função

A sucessão de autoridade deve ser definida para cada função crítica, e não como uma transferência ampla de controle. Tesouraria, folha de pagamento, custódia, decisões de investimento, contenção cibernética, segurança dos funcionários, declarações externas, avisos legais e notificações regulatórias podem exigir diferentes substitutos e evidências.

4.3 O controle duplo permanece ativo

A velocidade em uma crise não justifica abandonar a segregação de funções. As normas de risco operacional do CBUAE identificam autoridades claras, segregação, controle duplo, salvaguardas sobre ativos e registros e reconciliação de transações como controles essenciais [3,4]. Um family office deve manter uma verificação por uma segunda pessoa para criação de beneficiários, liberação de pagamentos, transferência de custódia, redefinição de acesso privilegiado e extratos externos. Quando um mandato de emergência permitir ação por uma única pessoa, a ação deve ser limitada, registrada e sujeita a revisão retrospectiva rápida.

4.4 Indisponibilidade do principal

O protocolo de indisponibilidade do principal deve definir evidências de tentativa de contato, o tempo decorrido antes da sucessão, quais decisões podem prosseguir, quais decisões devem aguardar e quando um advogado ou órgão fiduciário é envolvido. Ele deve evitar especulação médica e preservar a confidencialidade. O protocolo também precisa de uma via para restaurar a autoridade ordinária quando o principal retornar.

5. SERVIÇOS IMPORTANTES E TOLERÂNCIAS DE IMPACTO

5.1 Começar pelos resultados

Um registro de ativos descreve o que a família possui. Um registro de serviços descreve o que o escritório deve continuar fazendo. Serviços importantes podem incluir confirmar a segurança das pessoas, manter o acesso a caixa, pagar funcionários e fornecedores críticos, salvaguardar ativos, atender a exigências de colateral ou chamadas de capital, receber informações bancárias e do custodiante, gerenciar incidentes cibernéticos, preservar prazos legais e comunicar-se com a família.

As orientações da FCA distinguem tolerância de impacto de tempo de recuperação. Uma tolerância de impacto define a interrupção máxima tolerável de um serviço; um objetivo de tempo de recuperação define o tempo-alvo para restaurar o sistema de suporte. A recuperação pode precisar ocorrer bem antes de a tolerância ser atingida, porque pendências e reconciliações permanecem após o retorno do sistema [8-10].

5.2 Limites de tempo e não temporais

Todo serviço importante deve ter um limite de tempo e pelo menos um limite não temporal. Para a folha de pagamento, a medida de tempo pode ser o horário mais recente de liberação segura, enquanto medidas não temporais incluem o número de funcionários não pagos e o valor máximo não resolvido. Para relatórios de custódia, a medida de tempo pode ser a idade do último arquivo de posição verificado, enquanto medidas não temporais incluem o percentual de ativos reconciliados e o número de ações corporativas não resolvidas.

Estes valores são ilustrativos. O escritório deve calibrá-los às obrigações, fusos horários, equipe e capacidades dos prestadores e, em seguida, obter aprovação do órgão de governança competente.

5.3 Mapeamento de dependências

Cada serviço deve mapear pessoas, instalações, tecnologia, dados, prestadores, entidades jurídicas e infraestruturas financeiras. O mapa deve identificar dependências comuns. Dois bancos podem depender da mesma rede móvel. Dois custodiantes podem usar o mesmo dispositivo de autenticação ou domínio de e-mail. Um backup em nuvem no mesmo tenant de identidade pode falhar juntamente com o ambiente principal. O plano deve testar a independência em vez de confiar no número de logotipos na lista de prestadores.

6. COMANDO E COMUNICAÇÕES DE CRISE

6.1 A célula de comando

A célula de comando deve ser pequena o suficiente para decidir e ampla o suficiente para enxergar o sistema. As funções centrais são líder de crise, adjunto, registrador de operações, líder de segurança do pessoal, líder de tesouraria, líder de tecnologia e cibersegurança, líder de investimentos e custódia, e consultor jurídico ou de conformidade. Prestadores especializados participam apenas do seu fluxo de trabalho. O registrador mantém o registro de ações, o registro de decisões e o horário da próxima atualização.

Uma reunião disciplinada pode durar quinze minutos. Ela pergunta: o que mudou; quais pessoas estão em risco ou não confirmadas; qual serviço está mais próximo do seu limite de tolerância; qual decisão é necessária; quais evidências a sustentam; quem é responsável pela ação; e quando ela será verificada. O resultado é um relatório de situação versionado, não uma transcrição informal de chat.

6.2 Hierarquia de comunicação

O escritório deve pré-aprovar uma hierarquia de comunicação. O e-mail corporativo principal e as ferramentas de colaboração são convenientes durante operações normais. Canais criptografados secundários, números de telefone verificados e uma lista de contatos offline são necessários quando sistemas de identidade ou de rede podem estar comprometidos. Instruções envolvendo fundos ou credenciais nunca devem depender de um canal ou número recém-introduzido sem verificação independente.

O registro de contatos deve incluir decisores da família, funcionários, fiduciários ou dirigentes de fundação, bancos, custodiantes, corretores, administradores, respondedores de tecnologia, seguradoras cibernéticas, consultores jurídicos, consultores fiscais, prestadores de segurança, fornecedores críticos e contatos de emergência. Cada registro exige um responsável, a data da última verificação e um método de verificação fora de banda.

6.3 Declarações externas

A comunicação externa deve ser factual, limitada e aprovada. A declaração provisória pode confirmar que o escritório está gerenciando um incidente operacional, protegendo as partes interessadas e trabalhando com provedores relevantes. Ela deve evitar atribuir causa, nomear as partes afetadas, estimar perdas ou anunciar a restauração antes que as evidências estejam disponíveis. Consultoria jurídica, de privacidade, trabalhista e regulatória pode ser necessária antes da notificação.

7. SEGURANÇA E BEM-ESTAR DO PESSOAL

7.1 Uma chamada nominal verificada

A segurança do pessoal começa com uma chamada nominal controlada, não com mensagens gerais de broadcast. Cada funcionário e contratado essencial recebe um de cinco status: em segurança e trabalhando; em segurança e indisponível; ajuda necessária; não confirmado, com um responsável de contato designado; ou em viagem, com um status de itinerário separado. O registro deve evitar detalhes médicos desnecessários e restringir o acesso àqueles que coordenam a resposta.

A orientação da NCEMA trata recursos humanos, ambiente de trabalho, transporte, informações, tecnologia, recursos financeiros e fornecedores como dependências de continuidade de negócios. Sua orientação também enfatiza liderança, trabalho remoto, distribuição de pessoal e procedimentos flexíveis durante interrupções [1,2,32-34]. Esses princípios sustentam um plano de pessoal que trata da segurança física antes da produtividade.

7.2 Coordenadores locais e trabalho seguro

O escritório deve nomear coordenadores locais para cada local relevante. Sua função é confirmar o bem-estar, repassar instruções verificadas e escalar necessidades de assistência. Eles não interpretam informações de inteligência de segurança nem orientam o pessoal a entrar em condições incertas. Decisões sobre viagens, evacuação, abrigo e acesso ao escritório devem usar orientações oficiais atuais e apoio de segurança qualificado.

O trabalho remoto deve ser ativado de forma deliberada. O pessoal precisa de um dispositivo limpo, método de identidade aprovado, comunicações seguras, acesso limitado à sua função e instruções para lidar com dados confidenciais da família fora do local de trabalho normal. Uma crise pode justificar acesso mais restrito, e não mais amplo.

7.3 Folha de pagamento, despesas e apoio prático

O plano de crise deve identificar a data de corte da folha de pagamento, o canal bancário, o operador substituto aprovado e o processo de exceção. Despesas emergenciais podem ser necessárias para transporte, acomodação, comunicações, assistência médica ou equipamentos de reposição. O plano deve definir limites, requisitos de comprovação e um fluxo de reembolso que possa operar mesmo quando a plataforma principal de despesas estiver indisponível.

7.4 Separação entre família e equipe

O bem-estar da família e o bem-estar dos funcionários estão ligados, mas são frentes de trabalho distintas. A família pode ter arranjos de segurança privada, assistência médica, educação e viagens que não devem ser expostos ao escritório em geral. O líder de segurança da equipe deve receber apenas as informações necessárias para coordenar o trabalho e o bem-estar. O representante da família mantém o controle das informações privadas da família.

8. ACESSO À LIQUIDEZ E A ESCADA DE 72 HORAS

8.1 Liquidez é acesso mais autoridade

Um saldo de caixa não é liquidez operacional quando o escritório não consegue autenticar, aprovar, transferir ou conciliar esse saldo. O registro de liquidez deve, portanto, registrar titular legal, banco, moeda, fonte do saldo, data-valor, valor disponível, ônus ou restrição, canal de pagamento, horário de corte, conjunto de signatários, método de autenticação, limite diário, controles de beneficiários e contato de escalonamento.

A escada de 72 horas começa com as obrigações. O escritório lista folha de pagamento, assistência médica, segurança, acomodação, serviços públicos, seguros, serviço da dívida, colateral, impostos, prazos legais e fornecedores críticos por contrato. A cada obrigação são atribuídos um horário limite seguro para pagamento, valor, moeda, pagador legal, dados aprovados do beneficiário e consequência do atraso.

8.2 Quatro níveis de liquidez

O family office deve distinguir liquidez comprometida de liquidez potencial. Um cheque especial não testado, uma venda de ativos esperada, um resgate não liquidado ou uma contribuição familiar informal não é o mesmo que um saldo confirmado ou uma linha comprometida. Fontes potenciais podem constar do plano de recuperação com pré-requisitos e direitos de decisão.

8.3 Diversidade de moedas e de canais de pagamento

Múltiplas moedas e contas podem aumentar a flexibilidade ao mesmo tempo que elevam a complexidade do controle. A escada de liquidez deve identificar quais obrigações exigem AED, GBP, USD ou outra moeda, qual conta pode pagá-las legalmente, as etapas de conversão esperadas, os horários limites por fuso horário e o risco de liquidação. Uma conta de reserva deve ter mandatos vigentes, beneficiários verificados e uso rotineiro controlado antes de uma crise. Arranjos inativos ou não testados criam uma falsa sensação de segurança.

8.4 Pacote diário de tesouraria

Durante a ativação, a tesouraria produz um pacote em cada ciclo de comando: saldos iniciais de fontes verificadas; liquidez disponível confirmada; obrigações com vencimento em 6, 24 e 72 horas; pagamentos liberados; pagamentos pendentes de aprovação; transações rejeitadas ou incertas; incidentes do provedor; e os próximos horários limites. Uma segunda pessoa concilia o pacote com as evidências do banco ou do custodiante.

9. SEGURANÇA DE PAGAMENTOS E CONCILIAÇÃO

9.1 Congele alterações antes de movimentar dinheiro

A engenharia social explora urgência, autoridade e mudança de canal. O plano de crise deve congelar novos beneficiários, alterações nas instruções de liquidação, mudanças de signatários e alterações nos limites de pagamento, a menos que o líder da crise e um verificador independente aprovem uma exceção documentada. A verificação por retorno de chamada usa um número previamente validado, não informações de contato fornecidas na solicitação.

9.2 Disciplina da fila de pagamentos

Cada pagamento recebe um identificador, pagador legal, beneficiário, finalidade, fatura ou obrigação de origem, valor, moeda, prazo, estado de aprovação, operador de entrada, aprovador de liberação, evidência de retorno de chamada e estado de conciliação. A fila separa itens preparados, aprovados, liberados, confirmados, rejeitados e estornados. Capturas de tela podem apoiar evidências, mas não substituem extratos bancários ou registros formais de transações.

9.3 Rotas manuais e alternativas

Um pacote de pagamentos offline pode conter contatos bancários verificados, mandatos, identificadores de conta, beneficiários aprovados e formatos-modelo de instruções. Seu uso depende da aceitação do provedor e da autoridade vigente. O escritório deve testar o processo com o provedor durante as operações normais e armazenar o pacote com segurança, com acesso controlado e datas de versão.

9.4 A conciliação fecha o ciclo de controle

O acesso restabelecido pode revelar instruções duplicadas, atrasadas ou parcialmente executadas. A tesouraria deve conciliar cada pagamento do período de crise com o registro bancário, o razão contábil, a obrigação e o registro de aprovações. Itens não conciliados são escalados antes que o processamento normal seja retomado.

10. CUSTÓDIA ALTERNATIVA E ACESSO A ATIVOS

10.1 Separe as camadas

A continuidade da custódia tem pelo menos seis camadas: propriedade legal; titularidade da conta e segregação; guarda; acesso à informação; poder de negociação; e liquidação de caixa ou de valores mobiliários. Uma indisponibilidade do portal pode afetar informações e instruções, enquanto a propriedade legal e a guarda permanecem inalteradas. Uma interrupção da liquidação pode atrasar o caixa sem alterar a decisão de investimento. O family office deve diagnosticar a camada afetada antes de agir.

As normas de custódia da IOSCO e a regulamentação de valores mobiliários enfatizam a segregação, os livros e registros, a conciliação e os custodiantes qualificados como mecanismos de proteção do investidor [18,19,25-27]. O family office deve obter aconselhamento jurídico e regulatório para sua própria estrutura, especialmente quando os ativos são detidos por meio de fundos, nominees, trusts, fundações, veículos de propósito específico ou estruturas de ativos digitais.

10.2 O registro de continuidade da custódia

10.3 A diversificação exige independência testada

Usar mais de um custodiante pode reduzir algumas concentrações e criar outras. O family office deve avaliar a entidade jurídica, a geografia, a cadeia de subcustódia, o banco de liquidação, a autenticação, a infraestrutura de mercado, o administrador, o fornecedor de dados, as telecomunicações e o operador interno. Duas contas dependentes do telefone de um único funcionário e de um único domínio de e-mail não proporcionam acesso independente.

O conjunto mínimo de dados deve reconstruir as posições do dia anterior, o caixa, as operações pendentes, o colateral, as ações corporativas, os compromissos de mercado privado, os contatos e as autorizações das contas sem o portal principal. Ele deve ser criptografado, controlado e atualizado em um cronograma definido. A transferência de ativos continua sendo uma opção de recuperação sujeita a governança que exige revisão jurídica, autorização, um destino verificado e reconciliação completa.

11. CONTINUIDADE DE DADOS, CIBERSEGURANÇA E IDENTIDADE

11.1 Ativos de informação críticos

O family office deve identificar as informações necessárias para operar por 72 horas: registros de contatos; documentos constitutivos e mandatos; relações de contas bancárias e de custódia; filas de pagamentos e obrigações; posições atuais; compromissos de mercado privado; contatos de seguros e de segurança; documentos de identidade e de viagem quando retidos legalmente; contratos de fornecedores; planos de incidentes; e instruções de recuperação de sistemas em ambiente limpo.

Fontes do NIST, da CISA, do CBUAE e da DFSA enfatizam preparação, resposta a incidentes, recuperação, backups testados, controles de identidade, comunicações e dependências de terceiros [5,11,20-24,28-31]. Um family office deve aplicar essas práticas de forma proporcional e obter aconselhamento especializado em resposta a incidentes quando houver suspeita de intrusão.

11.2 Conter o risco de identidade

Se o e-mail, a identidade ou uma conta privilegiada puderem estar comprometidos, o líder de tecnologia deve preservar as evidências e seguir o plano de incidentes aprovado. As ações potenciais incluem isolar dispositivos afetados, desativar ou monitorar contas, revogar sessões, proteger fatores de autenticação, restringir funções privilegiadas e estabelecer uma via administrativa limpa. As ações técnicas devem ser dirigidas por respondedores qualificados, para que as evidências e as opções de recuperação não sejam prejudicadas.

O plano de crise deve identificar contas break-glass, seu armazenamento, uso permitido, supervisão independente e revisão pós-uso. Uma conta break-glass não deve depender da mesma cadeia de identidade comprometida que a conta principal.

11.3 Backups e recuperação

Dados críticos exigem recuperação testada, e não apenas um rótulo de backup. A CISA recomenda backups criptografados offline e testes regulares de restauração para dados críticos. As orientações de contingência do NIST abrangem equipamentos alternativos, processos manuais, locais alternativos e prioridades de recuperação [20-23]. O escritório deve documentar os objetivos de ponto de recuperação e de tempo de recuperação, a imutabilidade dos backups, a criptografia, a separação de administradores, os resultados dos testes e o ambiente limpo usado para restauração.

11.4 Minimização de dados durante a crise

As equipes de crise frequentemente compartilham informações em excesso para agir rapidamente. A célula de comando deve limitar cada participante aos dados necessários para a ação, usar canais seguros aprovados, evitar links públicos e manter um registro de distribuição para pacotes sensíveis. As obrigações de privacidade e confidencialidade continuam durante a interrupção.

12. RISCO DE TERCEIROS E DE CONCENTRAÇÃO

12.1 O modelo operacional estendido

Um family office pode depender de bancos, custodiantes, corretores, administradores de fundos, fiduciários, prestadores de serviços societários, contadores, fornecedores de folha de pagamento, plataformas em nuvem, tecnologia gerenciada, segurança, suporte de viagem e consultores externos. O family office permanece responsável por suas decisões mesmo quando uma atividade importante é terceirizada.

O registro de prestadores deve registrar serviço, entidade legal, jurisdição, proprietário do contrato, nível de serviço, canal de incidentes, contatos de escalonamento, dados tratados, subcontratados quando divulgados, assistência à saída, prestador alternativo, último teste e evidências de garantia. As orientações do FSB e de Basileia sobre terceiros enfatizam criticidade, mapeamento de dependências, concentração, arranjos contratuais, monitoramento e planejamento de saída [6,7].

12.2 Triagem de prestadores

Durante as primeiras seis horas, os prestadores são colocados em quatro grupos: não afetados e verificados; afetados com uma solução alternativa conhecida; afetados sem uma solução alternativa testada; e status desconhecido. A célula de comando concentra a atenção nos prestadores que apoiam os serviços mais próximos de sua tolerância ao impacto.

O status do prestador deve vir de avisos formais de serviço, contatos conhecidos ou evidências técnicas verificadas. Uma publicação em mídia social pode motivar uma verificação; não deve, por si só, determinar automaticamente um pagamento, uma transferência ou uma alteração de acesso.

12.3 Saída e substituição

Um provedor alternativo exige mais do que um nome. O escritório deve compreender o tempo de integração, a portabilidade de dados, a autoridade legal, a configuração de contas, os ativos compatíveis, as rotas de pagamento, as restrições de privacidade, as taxas e a conciliação. Algumas substituições podem ocorrer em horas, como um canal de comunicação secundário. Outras podem levar semanas ou meses, como a troca de um custodiante ou administrador. O plano de 72 horas deve identificar o modo degradado realista para cada horizonte.

13. CONFORMIDADE, SANÇÕES E CONTROLE DE FRAUDE

13.1 Os controles permanecem parte da continuidade

Uma crise pode alterar contrapartes, rotas, jurisdições e finalidades de transação. Bancos e outras instituições continuam a aplicar controles de diligência devida de clientes, sanções, fraude e monitoramento de transações. O escritório deve preservar evidências de titularidade efetiva, origem do patrimônio, origem dos fundos e finalidade da transação, para que a atividade urgente possa ser explicada com precisão [14-17,29,30].

13.2 Exceção não significa isenção

O líder de crise pode aprovar uma exceção operacional dentro da autoridade do escritório. A exceção não se sobrepõe à lei, aos requisitos do provedor, aos deveres fiduciários ou aos mandatos de conta. Toda exceção deve identificar a regra que está sendo alterada, o motivo, o escopo, o limite de valor, a expiração, o aprovador, a verificação independente e a remediação.

13.3 Indicadores de fraude sob pressão

Os indicadores de escalada incluem um novo beneficiário; dados bancários alterados; uma instrução para contornar o canal normal; um pedido de sigilo; urgência incomum; um novo dispositivo ou número; recusa de retorno de chamada; dados de fatura ou contrato inconsistentes; pressão proveniente de uma conta supostamente de uma pessoa sênior; ou uma jurisdição inesperada. A resposta é a verificação por meio de canais conhecidos e a aprovação documentada, e não o debate informal na mesma conversa potencialmente comprometida.

13.4 Notificações

Notificações legais, regulatórias, de privacidade, de seguros, trabalhistas e contratuais dependem dos fatos e da jurisdição. O plano deve manter um registro de decisões com o assessor responsável, o gatilho, o prazo, o destinatário, o conteúdo aprovado e o comprovante de envio. Deve evitar promessas genéricas sobre prazos de notificação.

14. GOVERNANÇA FAMILIAR E CONFIDENCIALIDADE

14.1 O perímetro de decisão da família

O escritório deve identificar qual órgão familiar ou indivíduo autorizado recebe relatórios de crise e quais decisões exigem aprovação da família. Decisões de investimento, liquidez, comunicação pública, apoio à equipe e transferência estrutural podem estar em diferentes canais de governança. O plano deve respeitar os documentos constitutivos e evitar expor informações privadas da família além da necessidade.

14.2 Briefing de crise familiar

O briefing deve ser curto: situação atual de segurança das pessoas; serviços críticos fora ou próximos do limite de tolerância; acesso confirmado a caixa e custódia; decisões necessárias; ações proibidas; próxima atualização; e fatos não resolvidos. Os detalhes técnicos pertencem aos registros das frentes de trabalho. O órgão familiar deve conseguir decidir sem ler todas as mensagens operacionais.

14.3 Círculos de confidencialidade

As informações podem ser organizadas em três círculos. O círculo um abrange informações sensíveis sobre família, identidade, saúde e segurança. O círculo dois abrange informações financeiras, de transação e de prestadores usadas pela célula de comando. O círculo três abrange instruções operacionais necessárias à equipe. Cada círculo tem destinatários nomeados, canal seguro, regras de retenção e de compartilhamento posterior.

14.4 Registros e sigilo profissional

Materiais de assessoria jurídica e de resposta a incidentes podem exigir manuseio cuidadoso. A assessoria jurídica deve orientar sobre sigilo profissional, preservação, acesso regulatório e transferência transfronteiriça de dados. O escritório não deve rotular registros operacionais comuns como protegidos por sigilo profissional sem base legal, nem deve excluir registros em resposta a um incidente.

15. AS SEIS JANELAS DE CONTROLE

15.1 Horas zero a duas: proteger e conter

O líder de crise ativa o plano, abre o registro de decisões e confirma os substitutos. O responsável pela segurança do pessoal inicia a chamada nominal. A Tecnologia protege identidades e evidências críticas. A Tesouraria congela alterações de beneficiário e de mandato. O responsável por investimentos e custódia preserva a última posição verificada e os arquivos de caixa. A célula de comando identifica o próximo prazo crítico e publica a primeira atualização verificada.

15.2 Horas duas a seis: estabelecer a base de fatos

A equipe classifica serviços importantes, status dos prestadores e bem-estar da equipe. A Tesouraria produz as primeiras obrigações e a escada de liquidez. A Tecnologia identifica sistemas afetados e rotas de comunicação limpas. Jurídico e compliance identificam questões imediatas de notificação ou preservação de evidências. A família recebe um briefing conciso e aprova qualquer autoridade temporária exigida nos documentos constitutivos.

15.3 Horas seis a doze: assegurar obrigações

O escritório confirma acesso a caixa, meios de pagamento, folha de pagamento, saúde, segurança e fornecedores críticos. Concilia posições de custódia e transações pendentes usando a melhor fonte verificada disponível. Os escalonamentos de prestadores estão ativos. Canais alternativos são testados com ações de baixo risco quando apropriado. Alterações estruturais de alto risco permanecem sujeitas a revisão jurídica e independente.

15.4 Horas doze a vinte e quatro: comprovar o modo degradado

A célula de comando testa se serviços importantes podem operar dentro da tolerância para o dia seguinte. Valida a lista de contatos offline, o acesso de administrador limpo, a comunicação alternativa, o processo de instruções de pagamento e o conjunto mínimo de dados de custódia. Confirma a cobertura da equipe em fusos horários e atribui períodos de descanso para que a fadiga não se torne uma falha de controle.

15.5 Horas vinte e quatro a quarenta e oito: estabilizar

O segundo dia concentra-se na conciliação. A Tesouraria concilia saldos e pagamentos. A Tecnologia revisa acessos, logs e evidências de recuperação. As operações de custódia conciliam posições, caixa, transações pendentes e ações corporativas. Os planos de pessoal abordam trabalho remoto prolongado ou instalações alternativas. Os prestadores fornecem informações escritas sobre incidentes e recuperação quando disponíveis.

15.6 Horas quarenta e oito a setenta e duas: transição

O terceiro dia determina se o escritório pode voltar às operações normais, permanecer em um modo degradado controlado ou entrar em um programa de recuperação mais longo. O órgão de governança recebe o painel, as decisões, as exposições não resolvidas, os efeitos financeiros, o status jurídico e de conformidade, as ações dos prestadores e as prioridades de remediação. As autoridades temporárias expiram ou são renovadas pelo processo correto.

16. CAMINHOS HIPOTÉTICOS DE FAMILY OFFICE

16.1 Caminho A: titular indisponível durante uma interrupção de pagamentos

Suponha que o titular esteja viajando e não possa ser contatado por oito horas. Um serviço de autenticação bancária fica intermitentemente indisponível e a folha de pagamento vence em doze horas. Os documentos constitutivos e o mandato bancário reconhecem um substituto para a folha de pagamento e pagamentos operacionais essenciais até um limite declarado. O operador financeiro prepara o arquivo de folha de pagamento aprovado, o substituto o aprova por meio do processo alternativo verificado, e um segundo responsável concilia a confirmação bancária. Nenhum novo beneficiário ou limite de pagamento é introduzido.

A lição diz respeito ao desenho de autoridade. Uma instrução informal ampla para manter o escritório funcionando seria mais fraca do que um mandato específico por função, um conjunto aprovado de beneficiários, um teto de valor e uma conciliação independente.

16.2 Caminho B: ransomware afeta o acesso a e-mail e documentos

Suponha que o escritório detecte criptografia suspeita e perda de acesso ao e-mail corporativo. A equipe de tecnologia isola os dispositivos afetados, preserva evidências e aciona respondedores de incidentes qualificados. A célula de comando migra para o canal de comunicação secundário previamente aprovado. A Tesouraria congela alterações e verifica instruções urgentes usando o registro de contatos offline. O repositório de recuperação limpo fornece documentos constitutivos, mandatos, relações de contas e posições do dia anterior.

O escritório não presume que todo backup esteja limpo ou que toda conta tenha sido comprometida. Os respondedores determinam o escopo, restauram a partir de fontes testadas e documentam as decisões. As ações de pagamento e custódia só são retomadas por meio de identidades verificadas e dados conciliados.

16.3 Caminho C: acessos da equipe e do prestador falham simultaneamente

Suponha que uma interrupção grave no transporte impeça a equipe de chegar ao escritório principal enquanto o portal de um custodiante estiver indisponível. Os coordenadores locais confirmam a segurança da equipe e a capacidade de trabalho remoto. O líder de custódia obtém o status do prestador por meio de um contato conhecido e usa o último arquivo de posições verificado para identificar liquidações pendentes e eventos corporativos. A Tesouraria cobre obrigações essenciais por meio de contas não afetadas. As decisões de investimento ficam limitadas à autoridade e à qualidade dos dados disponíveis.

O cenário testa dependências comuns. Um escritório alternativo sem credenciais de acesso, dispositivos limpos ou dados atuais não cria continuidade. Um segundo custodiante sem autenticação independente ou operadores treinados pode não criar acesso efetivo.

16.4 Caminho D: uma instrução fraudulenta entra na fila de crise

Suponha que um e-mail que parece vir de um membro da família solicite uma transferência urgente para uma nova conta por motivos de segurança. A solicitação usa um novo número de celular e pede que a equipe mantenha a transferência confidencial. O bloqueio de pagamentos impede a criação de beneficiário. O líder de tesouraria usa o registro de contatos validado e confirma que a instrução é falsa. O incidente é preservado e escalado para as frentes de trabalho de cibersegurança e jurídica.

Este caminho demonstra por que a urgência deve reforçar a verificação. O family office protege a família mantendo controles que não dependem da autoridade invocada na solicitação.

17. UM TESTE DE ESTRESSE HIPOTÉTICO DE 72 HORAS

17.1 Fatos do modelo

Considere um family office simplificado que atende quatro ramos familiares, doze funcionários, três bancos, dois custodiantes, seis fundos de mercados privados e entidades operacionais em duas jurisdições. O family office tem obrigações de folha de pagamento e com fornecedores críticos equivalentes a USD 420,000 no prazo de 72 horas. O caixa verificado no mesmo dia é equivalente a USD 1.8 million em duas instituições. Uma terceira conta contém USD 3.0 million, mas seu mandato de assinatura não foi testado nos últimos nove meses. Todos os valores são hipotéticos.

No momento da ativação, o principal está indisponível, seis funcionários estão remotos, suspeita-se que o e-mail corporativo esteja comprometido, um portal de custodiante está indisponível e um aviso de chamada de capital precisa ser verificado. O family office dispõe de um mandato de tesouraria substituto, um registro de contatos offline, um repositório de recuperação limpo e um canal de comunicação secundário.

17.2 Resultados do serviço

17.3 Decisões

O escritório utiliza o USD 1.8 million verificado em vez de presumir acesso à conta USD 3.0 million não testada. Mantém o pagamento da chamada de capital pendente até que a verificação de autoridade e do beneficiário esteja concluída. Evita transferir ativos sob custódia apenas porque o portal está indisponível. Renova o mandato do substituto para o período de crise definido por meio do processo de governança apropriado e designa um revisor separado para cada pagamento de crise.

17.4 Interpretação

O teste é bem-sucedido porque o escritório preserva os resultados dentro de tolerâncias definidas e mantém as ações irreversíveis sob controle. Também revela fragilidades: uma conta de caixa não testada, dependência de um único domínio de identidade de e-mail, dados incompletos de ativos privados e cobertura insuficiente de substitutos para aprovações de investimento. Essas constatações tornam-se itens de remediação com recursos alocados.

18. IMPLEMENTAÇÃO E TESTES

18.1 Elaborar o plano mínimo viável

O primeiro ciclo de implementação deve identificar serviços importantes, aprovar funções de crise, validar autoridades delegadas, estabelecer o registro de contatos, construir a escada de liquidez de 72 horas, definir o conjunto mínimo de dados de custódia, criar o processo de segurança da equipe, proteger um repositório de recuperação limpo e redigir o cartão de ativação. Cada item tem um responsável e uma data de evidência.

18.2 Exercitar em camadas

O escritório pode realizar quatro tipos de exercício. Um teste de notificação confirma contatos e canais. Um exercício de mesa testa decisões em relação a um cenário. Um teste de recuperação técnica comprova que sistemas e dados podem ser restaurados. Um teste operacional ao vivo executa um processo alternativo de baixo risco, como acessar um canal de backup ou enviar um pagamento controlado pela rota secundária.

Os testes devem incluir a indisponibilidade de um sócio principal, falha do banco principal, perda do portal do custodiante principal, comprometimento do e-mail, interdição das instalações principais, ausência simultânea de equipe e uma instrução fraudulenta. Os testes devem evitar criar risco de produção não controlado.

18.3 Métricas

Métricas úteis incluem tempo até a ativação; percentual de pessoas confirmadas seguras; tempo até o primeiro relatório de situação verificado; percentual das obrigações de 72 horas cobertas por liquidez confirmada; percentual de prestadores críticos com contatos de escalonamento verificados; idade do último backup testado; percentual do valor sob custódia reconstruído; número de pagamentos de crise com evidência completa de duplo controle; e tempo para conciliar cada transação de crise.

18.4 Aprender e financiar

Cada exercício ou evento deve produzir um relatório curto: o que aconteceu; qual serviço se aproximou ou excedeu a tolerância; qual dependência falhou; qual solução alternativa funcionou; quais evidências estavam faltando; qual autoridade temporária foi usada; qual efeito financeiro ocorreu; e qual remediação será financiada. O órgão de governança deve aprovar a prioridade, o responsável e o prazo.

19. LIMITAÇÕES E CONCLUSÃO

Este artigo fornece uma estrutura operacional, e não um manual de emergência universal. Os family offices diferem em estrutura jurídica, jurisdição, quadro de pessoal, atividade regulamentada, composição de ativos, governança familiar, tecnologia, exposição de segurança e arranjos com prestadores. O plano de crise deve estar alinhado aos documentos de governança, mandatos, contratos, leis e orientações oficiais efetivamente aplicáveis ao family office.

A estrutura também evita prever a causa ou a duração de uma crise. Um plano de 72 horas é concebido em torno da perda de serviço, acesso, autoridade ou informação confiável. Ele pode apoiar respostas a eventos cibernéticos, indisponibilidades de prestadores, interrupções físicas, indisponibilidade do principal, tentativas de fraude e eventos compostos, sem afirmar que a mesma resposta técnica se aplica a cada um.

A conclusão central é operacional. Um family office resiliente consegue nomear seus serviços importantes, definir por quanto tempo podem ser interrompidos, preservar a segurança da equipe, a sucessão e o duplo controle, alinhar a liquidez às obrigações, reconstruir os fatos de custódia e pagamento, recuperar dados críticos por uma rota limpa e transicionar a autoridade temporária para uma recuperação governada. Essas capacidades são construídas e testadas antes do evento.

As primeiras 72 horas devem deixar o family office com fatos mais confiáveis, autoridade mais restrita, recursos financeiros conciliados, pessoas mais seguras e uma decisão de recuperação clara. A velocidade vem da preparação, de mandatos delimitados e de alternativas verificadas.

APÊNDICE A. CARTÃO DE ATIVAÇÃO

Ações imediatas: proteger as pessoas; abrir o registro de decisões; migrar para canais verificados; congelar mudanças de alto risco; preservar evidências; confirmar o próximo prazo improrrogável; e emitir uma atualização factual.

APÊNDICE B. MATRIZ DE DELEGAÇÃO DE AUTORIDADE

A matriz preenchida deve ser validada por assessoria jurídica, órgãos de governança e prestadores relevantes. Trata-se de um índice de autoridade; os documentos subjacentes continuam prevalecendo.

APÊNDICE C. PAINEL DE CONTINUIDADE

Os limites são ilustrativos e devem ser aprovados de acordo com o risco e as obrigações reais do escritório.

APÊNDICE D. REGISTRO DE LIQUIDEZ E PAGAMENTOS

Para cada registro de obrigação: identificador; pagador legal; beneficiário; finalidade; documento de origem; valor; moeda; último horário seguro de pagamento; consequência do atraso; conta principal; conta alternativa; horário de corte bancário; conjunto de signatários; operador de entrada; aprovador; método de callback; status do beneficiário; status de liberação; confirmação bancária; lançamento contábil; e responsável pela revisão da conciliação.

Para cada registro de fonte de liquidez: proprietário legal; instituição; conta; moeda; horário do saldo verificado; valor disponível; restrição ou gravame; canal de pagamento; limite diário; autenticação; signatário principal; substituto; contato alternativo; último teste bem-sucedido; e fonte de evidência.

O registro deve evitar incorporar senhas, segredos de autenticação ou dados de identidade desnecessários.

APÊNDICE E. REGISTRO DE SEGURANÇA DA EQUIPE E DE COMUNICAÇÃO

As mensagens de comunicação devem indicar o identificador do incidente, a instrução verificada, a ação necessária, o prazo, o formato de resposta, o canal aprovado e o horário da próxima atualização. A equipe deve receber um método simples para informar se está em segurança, indisponível ou se precisa de assistência. Detalhes sensíveis devem ser coletados por meio do processo restrito de bem-estar.

APÊNDICE F. PACOTE DE RECUPERAÇÃO DE DADOS, CIBERSEGURANÇA E CUSTÓDIA

O pacote de recuperação limpo deve conter documentos constitutivos vigentes, matrizes de autoridade, relações de bancos e custodiantes, contatos verificados, arquivos de caixa e posições do dia anterior, filas de pagamentos e obrigações, cronogramas de compromissos de mercado privado, contratos de prestadores críticos, procedimentos de incidentes, instruções de recuperação de dados e contatos de seguros.

Os controles devem incluir criptografia, acesso com privilégio mínimo, segregação de administradores, capacidade de recuperação offline ou de outra forma isolada, backups imutáveis ou protegidos quando apropriado, datas de versão, testes de restauração, registros de distribuição e um processo para revogar acessos após o evento.

O pacote deve excluir senhas ativas, chaves privadas e segredos de autenticação, a menos que uma arquitetura de gestão de segredos aprovada por especialista os regule explicitamente.

APÊNDICE G. PERGUNTAS PARA ÓRGÃOS DE GOVERNANÇA E PRESTADORES

Perguntas para o órgão de governança da família

1. Quais serviços devem continuar dentro de duas, seis, doze, vinte e quatro e setenta e duas horas?
2. Quais decisões os representantes podem tomar e quais exigem o mandante ou um órgão fiduciário?
3. Quais limites e proibições temporários se aplicam durante a ativação?
4. Quais informações podem ser compartilhadas com a equipe, prestadores e consultores?
5. Quais riscos residuais justificam permanecer em modo de crise após a 72ª hora?

Perguntas para bancos e custodiantes

1. Quais rotas alternativas de instrução e autenticação são formalmente aceitas?
2. Quais mandatos, prazos de corte, limites e controles de callback se aplicam?
3. Como incidentes de serviço e suspeitas de fraude são escalados?
4. Quais dados de posição, caixa, liquidação e eventos corporativos podem ser fornecidos fora do portal?
5. Quais dependências de subcustódia, banco de liquidação ou tecnologia são materiais para a continuidade?

Perguntas para fornecedores de tecnologia e cibersegurança

1. Como as identidades privilegiadas são isoladas e recuperadas?
2. Quais backups estão offline, são imutáveis ou ficam fora do domínio de identidade principal?
3. Quando a restauração foi testada pela última vez e quais evidências existem?
4. Quais logs e evidências devem ser preservados durante a contenção?
5. Quais canais limpos de comunicação e administração podem operar durante um comprometimento?

Perguntas para assessores jurídicos, de conformidade, de segurança e de seguros

1. Quais autoridades e documentos de governança controlam cada decisão de crise?
2. Quais notificações, deveres de preservação e prazos contratuais podem se aplicar?
3. Quais decisões sobre viagens, local de trabalho e segurança da equipe exigem assessoria especializada?
4. Quais condições de apólice, exclusões, requisitos de consentimento ou de aviso são relevantes?
5. Como os poderes temporários devem expirar e a governança ordinária deve ser restaurada?

REFERÊNCIAS

[1] Autoridade Nacional de Gestão de Emergências, Crises e Desastres. *Gestão de Continuidade de Negócios.* https://www.ncema.gov.ae/content/documents/BCM%20English%20NCEMA_29_8_2013.pdf

[2] Autoridade Nacional de Gestão de Emergências, Crises e Desastres. *Programa de Gestão de Continuidade de Negócios.* https://www.ncema.gov.ae/en/e-participation/blog/business-continuity-management-program.aspx

[3] Livro de Regras do Banco Central dos UAE. *Normas de Risco Operacional.* https://rulebook.centralbank.ae/en/rulebook/operational-risk-standards

[4] Livro de Regras do Banco Central dos UAE. *Risco Operacional e Resiliência Operacional.* https://rulebook.centralbank.ae/en/entiresection/6015

[5] Livro de Regras do Banco Central dos UAE. *Continuidade de Negócios para Arranjos de Computação em Nuvem.* https://rulebook.centralbank.ae/en/rulebook/business-continuity

[6] Comitê de Basileia para Supervisão Bancária. *Princípios para Resiliência Operacional.* 31 de março de 2021. https://www.bis.org/bcbs/publ/d516.htm

[7] Conselho de Estabilidade Financeira. *Reforçando a Gestão e a Supervisão do Risco de Terceiros: Um Conjunto de Ferramentas.* 4 de dezembro de 2023. https://www.fsb.org/2023/12/fsb-publishes-toolkit-for-enhancing-third-party-risk-management-and-oversight/

[8] Autoridade de Conduta Financeira. *Resiliência operacional.* Atualizado em 14 de julho de 2026. https://www.fca.org.uk/firms/operational-resilience

[9] Autoridade de Conduta Financeira. *Resiliência operacional: percepções e observações após um ano.* 27 de março de 2026. https://www.fca.org.uk/publications/good-and-poor-practice/operational-resilience-insights-observations-one-year

[10] Autoridade de Conduta Financeira. *Construindo resiliência operacional, PS21/3.* https://www.fca.org.uk/publications/policy-statements/ps21-3-building-operational-resilience

[11] Autoridade de Serviços Financeiros de Dubai. *Módulo Geral, continuidade de negócios e gestão de risco cibernético.* https://dfsa-prod.60413.aws.thomsonreuters.com/rulebook/general-module-gen-ver7207-26

[12] Banco Central dos UAE. *Pagamentos e Liquidações.* https://www.centralbank.ae/en/our-operations/payments-and-settlements/

[13] Banco Central dos UAE. *Sistema de Transferência de Fundos dos UAE.* https://centralbank.ae/en/our-operations/payments-and-settlements/uae-fund-transfer-system-uaefts/

[14] Grupo de Ação Financeira. *As Recomendações do GAFI.* https://www.fatf-gafi.org/en/publications/Fatfrecommendations/Fatf-recommendations.html

[15] Grupo de Ação Financeira. *Orientação sobre Titularidade Beneficiária e Transparência de Arranjos Jurídicos.* março de 2024. https://www.fatf-gafi.org/content/dam/fatf-gafi/recommendations/Guidance-Beneficial-Ownership-Transparency-Legal-Arrangements.pdf

[16] Grupo de Ação Financeira. *Orientação sobre Pessoas Politicamente Expostas.* https://www.fatf-gafi.org/content/dam/fatf-gafi/guidance/Guidance-PEP-Rec12-22.pdf

Livro de Regras do Banco Central do UAE. *Melhores práticas para risco tecnológico e segurança da informação.* https://rulebook.centralbank.ae/en/rulebook/annex-ii-guidance-best-practices-technology-risk-and-information-security

Organização Internacional das Comissões de Valores Mobiliários. *Normas para a custódia de ativos de organismos de investimento coletivo.* https://www.iosco.org/library/pubdocs/pdf/ioscopd512.pdf

Comissão de Valores Mobiliários e Câmbio dos EUA. *Como protegemos investidores de varejo: custódia de ativos de clientes.* https://www.sec.gov/newsroom/speeches-statements/speech-driscoll-042919

Instituto Nacional de Padrões e Tecnologia. *Estrutura de Cibersegurança 2.0.* 26 de fevereiro de 2024. https://www.nist.gov/cyberframework

Instituto Nacional de Padrões e Tecnologia. *Recomendações e considerações de resposta a incidentes para gestão de risco de cibersegurança, SP 800-61 Revisão 3.* Abril de 2025. https://csrc.nist.gov/pubs/sp/800/61/r3/final

Instituto Nacional de Padrões e Tecnologia. *Guia de planejamento de contingência para sistemas de informação federais, SP 800-34 Revisão 1.* https://csrc.nist.gov/pubs/sp/800/34/r1/upd1/final

Instituto Nacional de Padrões e Tecnologia. *Guia para recuperação de eventos de cibersegurança, SP 800-184.* https://www.nist.gov/publications/guide-cybersecurity-event-recovery

Agência de Segurança Cibernética e de Infraestrutura. *Guia StopRansomware.* https://www.cisa.gov/stopransomware/ransomware-guide

Comitê de Pagamentos e Infraestruturas de Mercado e IOSCO. *Princípios para infraestruturas de mercado financeiro.* https://www.bis.org/cpmi/publ/d101a.pdf

Comitê de Pagamentos e Infraestruturas de Mercado e IOSCO. *Orientações sobre resiliência cibernética para infraestruturas de mercado financeiro.* https://www.bis.org/cpmi/publ/d146.htm

Comissão de Valores Mobiliários e Câmbio dos EUA. *Custódia de fundos ou valores mobiliários de clientes por consultores de investimento.* https://www.sec.gov/files/rules/final/ia-2176.htm

Autoridade de Serviços Financeiros de Dubai. *Supervisão de risco cibernético.* https://www.dfsa.ae/what-we-do/supervision/cyber-risk-supervision/summary

Banco Central do UAE. *Diretrizes para instituições financeiras que adotam tecnologias habilitadoras.* https://rulebook.centralbank.ae/en/rulebook/guidelines-financial-institutions-adopting-enabling-technologies

Banco Central do UAE. *Gestão de riscos e continuidade de negócios.* https://www.centralbank.ae/en/our-operations/risk-management/

Agência de Segurança Cibernética e de Infraestrutura. *Metas de desempenho de cibersegurança entre setores.* https://www.cisa.gov/cross-sector-cybersecurity-performance-goals

[32] Autoridade Nacional de Gestão de Emergências, Crises e Desastres. *Norma Nacional para o Sistema de Gestão de Segurança e Saúde Ocupacional.* https://www.ncema.gov.ae/en/e-participation/blog/national-standard-for-occupational-safety-and-health-management-system.aspx

[33] Autoridade Nacional de Gestão de Emergências, Crises e Desastres. *Diretrizes de Prontidão para Continuidade de Negócios para Organizações UAE.* https://www.ncema.gov.ae/en/media-center/news/14/3/2020/business-continuity-readiness-guidelines-launched-for-uae-organisations-in-event-of-covid-19-outbreak.aspx

[34] Autoridade Nacional de Gestão de Emergências, Crises e Desastres. *Norma Nacional para a Gestão de Continuidade de Negócios, NCEMA 7000:2021.* https://www.ncema.gov.ae/en/about-ministry/events/7/2023/certified-lead-implementer-for-business-continuity-management-ncema-70002021-course.aspx

[35] Banco de Compensações Internacionais. *Princípios de alto nível para continuidade de negócios.* Agosto de 2006. https://www.bis.org/publ/joint17.htm

[36] Banco de Compensações Internacionais. *ORR20: Resiliência operacional.* https://www.bis.org/basel_consolidated_guidelines/chapter/ORR/20.htm

[37] Banco de Compensações Internacionais. *ORR30: Riscos de terceiros.* https://www.bis.org/basel_consolidated_guidelines/chapter/ORR/30.htm

[38] Banco de Compensações Internacionais. *LQY10: Gestão e supervisão do risco de liquidez.* https://www.bis.org/basel_consolidated_guidelines/chapter/LQY/10.htm

[39] Autoridade de Conduta Financeira. *Interrupção da CrowdStrike: lições para resiliência operacional.* 31 de outubro de 2024. https://www.fca.org.uk/firms/operational-resilience/crowdstrike-outage-lessons-operational-resilience

[40] Centro Nacional de Cibersegurança do Reino Unido. *Orientação para gestão de incidentes.* https://www.ncsc.gov.uk/collection/incident-management

SOBRE O AUTOR

Chennakeshav Adya é pesquisador independente e profissional de finanças corporativas com mais de vinte anos de experiência internacional em estratégia de negócios, transformação, banco de investimento, operações de family office, risco, tecnologia e transações transfronteiriças. Sua pesquisa concentra-se em sistemas práticos de decisão para capital privado, resiliência operacional, finanças corporativas e tecnologia emergente. As opiniões expressas neste artigo são pessoais do autor e não constituem consultoria de investimento, jurídica, fiscal, cibernética, de segurança ou regulatória.