RESOLUÇÃO CEGOV/INSS Nº 34, DE 13 DE NOVEMBRO DE 2023

RESOLUÇÃO CEGOV/INSS Nº 34, DE 13 DE NOVEMBRO DE 2023
Institui a Política de Gestão de Continuidade de
Negócios do INSS.
O COMITÊ ESTRATÉGICO DE GOVERNANÇA DO INSTITUTO NACIONAL DO
SEGURO SOCIAL - CEGOV/INSS, no uso das atribuições que lhe confere a Portaria nº
3.213/PRES/INSS, de 10 de dezembro de 2019, e considerando o disposto no Decreto nº
9.203, de 22 de novembro de 2017, na Instrução Normativa Conjunta do Ministério do
Planejamento, Orçamento e Gestão - MPOG e da Controladoria-Geral da União - CGU nº
1, de 10 de maio de 2016, bem como o contido no Processo Administrativo nº
35014.299360/2022-06, resolve:
Art. 1º Instituir a Política de Gestão de Continuidade de Negócios do INSS -
Política de GCN, nos termos desta Resolução.
CAPÍTULO I
DAS DISPOSIÇÕES GERAIS
Art. 2º A finalidade da Política de GCN é definir:
I - o escopo e as regras básicas de Gestão de Continuidade de Negócios (GCN)
do INSS, de forma a estabelecer direcionamentos a partir dessas orientações,
considerando as necessidades específicas e os aspectos legais e regulamentares que a
Autarquia está sujeita; e
II - a atuação do INSS na ocorrência de incidentes que possam causar
interrupção de suas atividades, de forma a proteger servidores, colaboradores ou demais
agentes públicos e assegurar o funcionamento dos seus processos críticos em níveis
aceitáveis, preservando a viabilidade e resiliência no cumprimento de sua missão
precípua.
Art. 3º O Sistema de Gestão de Continuidade de Negócios do INSS (SGCN-INSS):
I - consiste no conjunto de instrumentos de governança e de gestão que
estabeleçam políticas e objetivos de continuidade de negócios alinhados com os objetivos
do INSS, que operacionalize e monitore processos, capacidades e estruturas de resposta
para garantir a continuidade dos negócios geridos pela Autarquia através da melhoria
contínua baseada na medição qualitativa e/ou quantitativa; e
II - compreende, entre outros, política, papéis, responsabilidades, processos de
gestão, avaliação de riscos, planos e informações documentadas que suportam o controle
operacional e permitam a avaliação de desempenho.
Art. 4º A Política de GCN integra o SGCN-INSS.
Art. 5º Para os efeitos desta Resolução, entende-se por:
I - GCN - processo abrangente de gestão que identifica ameaças potenciais
para uma organização e os possíveis impactos nas operações de negócio, caso estas
ameaças se concretizem, e que fornece uma estrutura para que se desenvolva uma
resiliência organizacional capaz de responder efetivamente, bem como salvaguardar os
interesses das partes interessadas, a reputação e a marca da organização, e suas
atividades de valor agregado;
II - Planos de:
a) Continuidade de Negócios (PCN) - documentação dos procedimentos e
informações necessárias para que os órgãos ou entidades mantenham seus ativos de
informação críticos e a continuidade de suas atividades críticas em local alternativo num
nível previamente definido, em casos de incidentes ou desastres;
b) Administração de Crise - documento disponibilizado para a alta gestão que
objetiva dar mais controle para a organização em caso de uma situação de crise,
contendo informações como listas de contatos e relação de atividades das equipes
envolvidas;
c) Continuidade Operacionais (PCO) - determinam quais atividades e tarefas são
executadas, em qual ordem e por quem, com a finalidade de otimizar a recuperação; e
d) Gerenciamento de Incidentes - plano de ação claramente definido e
documentado, para ser usado quando ocorrer um incidente que basicamente cubra as
principais pessoas, recursos, serviços e outras ações que sejam necessárias para
implementar o processo de gerenciamento de incidentes;
III - Programa de Gestão da Continuidade de Negócios (PGCN) - é uma
estrutura organizacional mais ampla que suporta a GCN e inclui políticas, procedimentos
e processos documentados, para garantir que as atividades da GCN sejam conduzidas de
maneira sistemática e coordenada, bem como aborda questões como estratégia,
planejamento, implementação, teste e manutenção da GCN, e envolve uma abordagem
abrangente de toda a organização;
IV - crise - é o momento em que ocorre qualquer evento que compromete o
funcionamento natural da organização;
V - contingência - é o instante em que são alocados recursos para responder
aos eventos de falha e garantir a continuidade das operações;
VI - interrupção - é um evento, seja previsto ou não, que cause um desvio
negativo, imprevisto na entrega e execução de produtos ou serviços da organização, de
acordo com seus objetivos;
VII - interrupção severa - qualquer evento que torne uma instalação de
negócios indisponível ou que atinja de forma significativa o corpo funcional, e, dessa
forma, interfira com a capacidade da organização de oferecer serviços essenciais;
VIII - atividade crítica - é aquela que deve ser executada de forma a garantir
a consecução dos produtos e serviços fundamentais do órgão ou entidade, de tal forma
que permita atingir os seus objetivos mais importantes e sensíveis ao tempo; e
IX - incidente - é um evento que tenha causado algum dano, colocado em
risco algum ativo de informação crítico ou interrompido a execução de alguma atividade
crítica.
CAPÍTULO II
DOS PRINCÍPIOS E OBJETIVOS
Art. 6º São princípios norteadores da Política de GCN a:
I - adequação à missão, ao porte e ao perfil de atuação do INSS;
II - manutenção da atualização e aperfeiçoamento dos componentes da GCN; e
III - resiliência aos impactos das crises, mantendo o foco na execução dos
processos críticos e na continuidade das atividades.
Art. 7º O objetivo do INSS com a GCN é coordenar a recuperação de
processos de negócios sensíveis ao tempo em que ocorra uma interrupção severa na
execução desses processos, e garantir o funcionamento da Instituição a níveis aceitáveis
na ocorrência de crises que, porventura, venham a interromper suas atividades.
Parágrafo único. Nos processos identificados como críticos, na visão da
continuidade dos negócios, terão, sempre que possível, suas contingências planejadas e
testadas, visando reduzir o impacto dos incidentes.
Art. 8º São objetivos da GCN do INSS:
I - assegurar:
a) a segurança de servidores, usuários e demais colaboradores em casos de
interrupções severas em áreas afetadas pelo evento cuja responsabilidade seja do INSS;
b) a rápida e efetiva execução das estratégias de recuperação para as funções
de negócios críticas, por meio de planos e procedimentos documentados; e
c) que as funções de negócios críticas possam continuar utilizando-se de
recursos contingenciais;
II - mitigar as ameaças ou limitar os danos que essas ameaças podem causar.
CAPÍTULO III
DA ABRANGÊNCIA E DIRETRIZES
Art. 9º A GCN do INSS deve ser implantada por meio de ciclos de revisão e
melhoria contínua, estando a sua operacionalização descrita no Plano de Gestão de
Continuidade de Negócios do INSS, que abrangerá, pelo menos, as seguintes situações de
Continuidade:
I - de Serviços de Tecnologia: o INSS deve possuir estrutura responsável pela
Gestão de Incidentes, Gestão de Crise, Gestão de Problemas e Gestão de Data Center,
monitorando, identificando e buscando a solução para os problemas e/ou falhas no
ambiente de Tecnologia da Informação - TI que possam provocar a instabilidade e/ou
indisponibilidade dos Serviços Críticos de TI;
II - nas Agências da Previdência Social: a gestão dos Pontos de Atendimento
do INSS deve ter como objetivo principal garantir a continuidade do atendimento e
disponibilidade dos serviços aos seus clientes, independentemente da origem do evento
crítico que causou a interrupção; e
III - dos Negócios (Administração Central): a atuação da GCN se restringe aos
processos de negócios centralizados na Administração Central considerados críticos e que,
se forem interrompidos, geram relevante impacto para a Instituição e na continuidade
dos serviços prestados aos usuários dos serviços prestados pelo INSS, com exposição aos
riscos relativos à imagem, integridade, conformidade e operacionais.
Art. 10. São diretrizes da Política de GCN:
I - estabelecer estratégias para assegurar a continuidade das atividades do
INSS e minimizar perdas decorrentes da interrupção dos processos críticos;
II - considerar:
a) o nível mínimo dos serviços que é aceitável para o INSS permanecer em
operação ou continuar suas atividades; e
b) os parâmetros aplicáveis, mensuráveis e passíveis de monitoramento e
atualização, sempre que necessário;
III - conferir as condições de recuperação em situações de interrupção da
capacidade do INSS em continuar suas atividades;
IV - adotar medidas que visam proteger os ativos de informação do INSS,
visando garantir a disponibilidade, integridade, confidencialidade e autenticidade das
informações;
V - observar as questões relativas à saúde e ao bem-estar dos servidores,
agentes públicos e demais colaboradores, através de medidas rápidas, visando a
preservação da integridade física e psicológica dos profissionais;
VI - avaliar os riscos associados aos cenários de crise e seus impactos sobre
o negócio;
VII - realizar exercícios, testes e revisões periódicas dos componentes da GCN; e
VIII - desenvolver, bem como fortalecer a cultura de gestão de crises e de
continuidade de negócios.
CAPÍTULO IV
DA GOVERNANÇA, PAPÉIS E RESPONSABILIDADES
Art. 11. O apoio e o suporte aos diversos níveis hierárquicos do INSS,
integrando as atividades de Gestão de Continuidade nos processos e atividades
organizacionais, competem às seguintes instâncias responsáveis pelo SGCN-INSS:
I - Comitê Estratégico de Governança - CEGOV;
II - Presidente;
III - Auditoria-Geral;
IV - Diretorias;
V - Superintendências Regionais;
VI - Gerências-Executivas; e
VII - Agências da Previdência Social.
Art. 12. Compete ao Cegov:
I - coordenar a implantação e a operação do SGCN-INSS;
II - patrocinar a implementação da Política de GCN em toda a organização;
III - definir os recursos necessários para a implementação e manutenção da
GCN na organização; e
IV - definir e monitorar os indicadores de desempenho relacionados à GCN, a fim
de garantir que a organização esteja preparada para enfrentar qualquer evento disruptivo.
Art. 13. Compete à Diretoria de Governança, Planejamento e Inovação (Digov),
dentre outras atribuições:
I - coordenar e monitorar a implementação da GCN em toda a
organização:
II - definir e atualizar as estratégias de implantação do SGCN-INSS,
considerando os contextos externo e interno;
III - coordenar a:
a) elaboração e revisão do PCN do INSS;
b) realização de treinamentos e exercícios de simulação para garantir a
prontidão da organização em caso de eventos disruptivos; e
c) resposta a eventos disruptivos, bem como fomentar a continuidade das
atividades críticas do INSS;
IV - implementar e manter a GCN em toda a organização;
V - promover ações para que as avaliações de riscos sejam realizadas
regularmente e que os planos de ação apropriados sejam implementados para mitigar os
riscos identificados;
VI - adotar mecanismos para que as políticas e procedimentos relacionados à
GCN sejam atualizados regularmente e em conformidade com as normas e
regulamentações aplicáveis;
VII - desenvolver ações para que todos os servidores, gestores e
colaboradores do INSS estejam cientes de suas responsabilidades em relação à GCN e
que sejam treinados regularmente para lidar com eventos disruptivos; e
VIII - aprovar Comitê de Crise quando houver necessidade apresentada pela
(s) área (s) de negócio.
Art. 14. Compete aos órgãos e unidades, observadas suas respectivas áreas de
atuação e respeitada a hierarquia funcional:
I - aprovar planos relacionados à GCN;
II - adotar as providências cabíveis sempre que houver incidente sob sua gestão;
III - responder às solicitações e recomendações acerca de incidentes;
IV - promover a resolubilidade de maneira tempestiva no atendimento das
demandas de gestão de continuidade;
V - fornecer informações necessárias para a elaboração e planejamento da
GCN no INSS;
VI - gerenciar os eventos inerentes às suas atividades (identificar, avaliar e
tratar); e
VII - definir, bem como acompanhar os planos estabelecidos a partir da Política de GCN.
Art. 15. Para a implementação adequada do PCN, os responsáveis pela
implementação deverão, sempre que possível, estabelecer:
I - os meios de publicação dos documentos derivados do PCN;
II - os participantes da gerência do PCN, incluindo representantes de áreas de
negócio e o coordenador do PCN;
III - os processos críticos ao negócio e seus responsáveis;
IV - os grupos responsáveis pela criação, acompanhamento, revisão, avaliação,
evolução, frequência e execução de testes e treinamento dos PCN;
V - a frequência da capacitação das pessoas comprometidas com a execução do PCN; e
VI - a identificação e concordância de todas as responsabilidades e
procedimentos do PCN para garantir sua eficácia.
Art. 16. Caberá ao coordenador-setorial de gestão de riscos, em complemento
às atividades de gerenciamento de risco, coordenar e orientar os gestores de riscos a
elaborarem os PCN nas unidades operacionais, além de:
I - coordenar a:
a) implementação das políticas e diretrizes estabelecidas pela Digov; e
b) realização de treinamentos e exercícios de simulação para garantir a
prontidão do INSS em caso de desastres ou interrupções;
II - fornecer orientação e suporte aos gestores de riscos em toda a
organização.
Art. 17. Compete aos gestores de riscos nos objetos de gestão sob sua
responsabilidade:
I - avaliar periodicamente os riscos e vulnerabilidades que possam afetar a
continuidade das atividades do INSS;
II - gerenciar o PCN em suas unidades, garantindo que esteja atualizado e
eficaz;
III - desenvolver e manter relacionamentos com outras organizações e
autoridades relevantes para a GCN;
IV - coordenar dentro da unidade, tempestivamente, o fornecimento das
informações e o acesso às bases de dados solicitados pela Diretoria e Superintendência
Regional nas suas áreas de competência para elaboração de análises, e relatórios de
Gestão de Risco; e
V - assegurar o registro tempestivo de eventos de risco, bem como coordenar,
dentro da unidade, as ações para gerenciá-los e mitigá-los.
CAPÍTULO V
DAS DISPOSIÇÕES FINAIS
Art. 18. A implantação da GCN aplica-se às atividades do INSS, devendo ser
adotadas as medidas cabíveis sempre que necessárias.
Art. 19. A Política de GCN do INSS aplica-se, irrestritamente, a todos os
macroprocessos do INSS, sendo obrigatória a sua observância por todos os servidores,
gestores e demais colaboradores do Instituto.
Art. 20. As iniciativas relacionadas à GCN existentes no INSS anteriormente à
publicação desta Resolução deverão, gradualmente, ser alinhadas à Política de GCN.
Art. 21. Os casos omissos, exceções, bem como os ajustes na Política de GCN
devem ser submetidos à avaliação da Digov, antes da análise e aprovação do Cegov.
Art. 22. Os casos de dúvidas na aplicação da Política de GCN serão
solucionados pela Digov.
Art. 23. A não observância da Política de GCN e seus desdobramentos
normativos implicará, no que couber, nas sanções previstas no Regime Disciplinar, no
Código de Ética Profissional do Servidor Público Civil do Poder Executivo Federal e em
demais normas internas sobre condutas.
Art. 24. Esta Resolução entra em vigor em 1º de dezembro de 2023.
ALESSANDRO ANTONIO STEFANUTTO
Presidente
AILTON NUNES DE MATOS JÚNIOR
Diretor de Tecnologia da Informação
ANA CAROLINA TIETZ
Diretora de Governança, Planejamento e Inovação
ANDRÉ PAULO FÉLIX FIDELIS
Diretor de Benefícios e Relacionamento com o Cidadão
DÉBORA APARECIDA ANDRADE FLORIANO
Diretora de Orçamento, Finanças e Logística
MAISA CRISTINA MENEZES CABRAL
Diretora de Gestão de Pessoas
Substituta
RETIFICAÇÃO
No art. 2º da Portaria PRES/INSS nº 1.629, de 13 de novembro de 2023,
publicada no Diário Oficial da União nº 217, de 16 de novembro de 2023, Seção 1, pág. 75,
e no Boletim de Serviço Eletrônico em 16 de novembro de 2023, onde se lê: "...22 de
novembro...", leia-se: "...24 de novembro..."