1. OBJETIVO

A presente Política de Continuidade de Negócios (“Política”) tem por objetivo estabelecer as atividades necessárias da WISEPAY, visando contribuir para a resiliência e a sustentabilidade dos negócios antes, durante e depois de situações de crise através do planejamento, implantação e adoção de Planos de Continuidade (“PCs”) e afins para uso em situações de crise previamente definidas e avaliadas pela organização.
 

2. ABRANGÊNCIA

Todos os membros do Conselho de Administração, dos Comitês e da Diretoria Executiva (“Administradores”) e dos colaboradores das empresas WisePay, doravante denominadas de Companhia, incluindo aqui, promotores, agentes e representantes comerciais credenciados pela WisePay.
 

3. DIRETRIZES

    3.1. Escopo

O escopo desta Política de Continuidade de Negócios da Companhia, abrange:

• Todas as áreas de negócios da Companhia e respectivos processos críticos para a sustentação dos negócios. Além disso, o mapeamento das áreas e dos processos são realizados por meio de Análise de Impacto nos Negócios (“AIN”);
• A localidade coberta pela Política contempla a sede da Companhia localizada em Barueri/SP e a área de Tecnologia localizada em Maceió/AL, conforme endereços descritos a seguir:
  
  
  • Sede:
    Avenida Ipanema nº 165, Empresarial 18 do Forte, sala 1415, Barueri, São Paulo, SP - CEP 06472-002 
  • Centro Tecnológico:
    Avenida Menino Marcelo, 9.350, Empresarial Humberto Lobo, sala 1001 – Serraria, Maceió – AL, 57046-000
     

    3.2. Processos para Controle da Continuidade de Negócios

Para a manutenção da Continuidade de Negócios, os processos de controles elencados abaixo foram definidos como essenciais:

        3.2.1. Análise de Impacto nos Negócios (Business Impact Analysis – BIA)

Determina e avalia os potenciais efeitos que uma interrupção, decorrente de fatores mínimos ou extremos (como desastres naturais ou acidentes fatais), pode causar às atividades críticas da empresa.
 

        3.2.2. Análise de Sustentabilidade de Ativos (ASA)

Identificar os ativos (infraestrutura e sistemas) que suportam os processos críticos de negócios.
 

        3.2.3. Avaliação de Fornecedores

Identificar a aderência dos Fornecedores aos requisitos de Continuidade de Negócios, definidos pela área de Riscos, Compliance, Prevenção e Segurança, com foco na indisponibilidade dos serviços prestados pelos fornecedores críticos.
 

        3.2.4. Avaliação de Requisitos Legais e Regulamentares

Assegurar a manutenção dos aspectos de atualização dos requisitos legais e regulamentares desta política, o processo deverá seguir as normas corporativas da Companhia para o assunto. Ainda, caberá à área de Riscos, Compliance, Prevenção e Segurança, a gestão de Crises e a gestão das alterações destes requisitos legais e cumprimentos regulatórios, quando aplicáveis ao contexto da Continuidade dos Negócios.
 

        3.2.5. Manutenção dos Planos de Continuidade

Garantir a formalização e documentação das ações e das estratégias de continuidade de negócios, bem como os papéis e responsabilidades na ativação dos PCs, com o objetivo de minimizar os impactos causados pela indisponibilidade de processos críticos, deverá ser composta pelos seguintes planos:
 

            3.2.5.1. Plano de Gestão de Crises

Descrever os procedimentos a serem executados em caso de declaração de crise, conforme estabelecido na Norma de Gestão de Crises, definindo papeis e responsabilidades no processo de comunicação e ações mitigatórias.
 

            3.2.5.2. Plano de Recuperação de Desastre (DRP – Disaster Recovery Plan):

Descrever os procedimentos que orientam como recuperar os serviços e ambiente de tecnologia (Data Center) após um incidente que cause impacto que atenda ao critério do BIA e PC.
 

            3.2.5.3. Plano de Continuidade de Local de Trabalho (“PCLT”)

Descrever os procedimentos para ativação do local de trabalho alternativo, no caso de indisponibilidade do local de trabalho principal (escritório e home office), bem como o acionamento de pessoas visando o deslocamento para o local de trabalho alternativo dos colaboradores que executam as atividades identificadas como críticas para a Companhia.

            3.2.5.4. Plano de Contingência de Pessoas (“PCPas”)

Descrever os procedimentos para substituição de colaboradores chaves por seu backup, previamente estabelecido, no caso de uma ausência temporária ou permanente do colaborador que executa as atividades identificadas como críticas para a Companhia.
 

            3.2.5.5. Plano de Continuidade de Processos (“PCP”)

Descrever os procedimentos alternativos a serem utilizados, em caso de indisponibilidade de uma ou mais etapas que suportam o processo de negócio, independentemente de tecnologia.
 

            3.2.5.6. Plano de Contingência de Fornecedores Críticos (“PCFC”)

Descrever os procedimentos alternativos a serem utilizados em caso de indisponibilidade, quebra de contrato, falência, entre outros eventos relacionados a um fornecedor crítico que suporta o processo de negócio.
 

        3.2.6. Realização de Testes e Exercícios da Política de Continuidade

Deverão ser realizados, periodicamente, testes e exercícios a fim de aferir a eficácia dos planos de continuidade e garantir que estes continuem a atender as necessidades de negócios diante de eventuais mudanças, além de elevar o grau de maturidade da resiliência organizacional.
 

        3.2.7. Realização de Treinamentos

Os treinamentos são realizados semestralmente a fim de disseminar a cultura e o conceito de Continuidade de Negócios de forma online por meio de PCN (workshop, lives e e-learning), sendo recomendável que, dentro do prazo estabelecido pela Companhia, todos os administradores, colaboradores, estagiários e menores aprendizes realizem o treinamento.
 

        3.2.8. Comunicação ao Banco Central do Brasil (“BCB”)

Realiza comunicação tempestiva ao BCB acerca das ocorrências de incidentes ou interrupções dos serviços considerados relevantes, bem como indica as providências para o reinício das atividades interrompidas.    

4. GESTÃO DE CONSEQUÊNCIAS

Colaboradores, fornecedores ou outros Stakeholders (públicos de interesse) que observarem quaisquer desvios às diretrizes desta Política, poderão relatar o fato aos canais abaixo, podendo ou não se identificar.  

• Email: compliance@wisepay.com.br
• Telefone: + 55 11 4200-7854

Internamente, o não cumprimento das diretrizes desta Política enseja a aplicação de medidas de responsabilização dos agentes que a descumprirem, conforme a respectiva gravidade do descumprimento.

5. RESPONSABILIDADES

• Áreas de Negócios ou Suporte ao Negócio:
  1. Fornecer as informações pertinentes ao negócio, de forma a subsidiar a avaliação dos requerimentos de disponibilidade dos processos críticos;
  2. Atualizar e revisar anualmente os Planos de Continuidade e BIA da sua área; e
  3. Participar e atuar nos dos Testes e Exercícios de PCN e DRP
• Executivos (Diretores/Superintendentes e Gerentes):
  1. Definir e aprovar os processos e serviços essenciais que serão priorizados na aplicação da metodologia de continuidade de negócios;
  2. Indicar o Ponto Focal de Continuidade de Negócios, na área de negócio;
  3. Dar apoio para a área de Continuidade de Negócio na avaliação dos processos das áreas de negócios da Companhia, na implantação de planos de continuidade de negócios e estratégias de continuidade;
  4. Aprovar planos e estratégias de continuidade de negócios; e
  5. Validar relatórios de resultados de exercícios e testes PC
• Pontos Focais do Plano de Continuidade (Titular e Suplente):
  1. Centralizar e disseminar os assuntos relacionados à continuidade de negócios em suas áreas, bem como acompanhar a revisão e a manutenção dos Planos e BIAs;
  2. Assegurar que todos os processos considerados como críticos de sua área estejam contemplados no plano de continuidade de negócios;
  3. Realizar e atualizar a Árvore de Acionamento, em tempo oportuno;
  4. Apoiar na elaboração do calendário anual dos testes de PCN;
  5. Indicar representante da área para participar dos testes, bem como revisar o caderno de testes e orientar o colaborador na execução do teste; e
  6. Participar de treinamentos, workshops, lives e e-learnings voltados aos temas relacionados à continuidade de negócios.
• Gerência de Riscos, Compliance, Prevenção e Segurança:
  1. Apresentar aos gestores de negócios o programa de Continuidade de Negócios;
  2. Aplicar o BIA e o ASA para os processos indicados pelos gestores de negócios;
  3. Garantir que os serviços atuais ou novos atendam a continuidade do Negócio e BIA dos serviços;
  4. Acompanhar e avaliar a implantação das estratégias de continuidade de negócios;
  5. Realizar a gestão do Programa Corporativo de Continuidade de Negócios;
  6. Elaborar e revisar políticas, normas, procedimentos e metodologia de continuidade de negócios;
  7. Elaborar, consolidar e divulgar o BIA e ASA corporativo, bem como compartilhar antecipadamente os dados necessários para compor os artefatos;
  8. Atender às demandas de órgãos reguladores, auditorias internas e externas e clientes institucionais, no que tange a disciplina de continuidade de negócios corporativa da Companhia;
  9. Coordenar a realização de exercícios de PCN para aferição dos planos;
  10. Elaborar e reportar à alta Administração o relatório de resultados dos testes e exercícios de PCN;
  11. Atuar no acionamento do Grupo Executivo de Crises, que tem como objetivo monitorar, avaliar o evento e acionar o Plano de Continuidade de Negócios;
• Administradores e colaboradores:
  1. Observar e zelar pelo cumprimento da presente Política e, quando assim se fizer necessário, acionar a Vice-Presidência Executiva de Riscos, Compliance, Prevenção e Segurança para consulta sobre situações que envolvam conflito com esta Política ou mediante a ocorrência de situações nela descritas.

6. DOCUMENTAÇÃO COMPLEMENTAR

• ABNT ISO 22317 – AIN (BIA)
• ABNT NBR ISO 22301 – CN
• ABNT NBR ISO 31000
• Circular BACEN nº 3.681/2013
• Código de Conduta da WisePay
• Resolução BCB nº 85/2021
• Declaração de Escopo

7. CONCEITOS E SIGLAS

• Análise de Impacto nos Negócios – ou Business Impact Analysis – BIA: É a identificação e análise de processos de negócios / atividades (incluindo os recursos necessários), com o objetivo de compreender o impacto do tempo de inatividade, o que leva a atribuição de objetivos de recuperação e priorização. (ABNT ISO 22317)
• Business Continuity Institute – BCI (Instituto de Continuidade de Negócios): Instituição Global de Adesão para Profissionais de Continuidade de Negócios que desenvolveu o quadro BCM “Boas Diretrizes de Práticas 2013” (GPG 2013). O papel mais amplo do BCI e da Parceria Corporativa BCI é promover os mais altos padrões de competência profissional e ética comercial na prestação e manutenção do planejamento e serviços de continuidade de negócios.
• Contingência: É o momento em que há mobilização de recursos para responder ao incidente e garantir a continuidade das atividades críticas durante o evento.
• Crise: Uma situação com alto nível de incerteza que interrompe as atividades principais e/ou credibilidade de uma organização e requer ações urgentes (ISO 22300:2012). Um evento crítico, que, se não tratado de forma adequada, pode afetar drasticamente a rentabilidade, reputação ou capacidade de operação de uma organização. Ou, uma ocorrência e/ou percepção que ameace as operações, funcionários, valor dos acionistas, stakeholders, marca, reputação, confiança e/ou objetivos estratégicos/negócios de uma organização. Cenário de impacto que atenda ao gatilho do AIN do Produto /Serviço.
• Declaração de Escopo: Documento contendo de forma resumida e direta os principais aspectos relacionados ao Escopo da PCN da Companhia, seus pontos de cobertura e suas exclusões, objetivos e responsabilidades das áreas abrangidas e outros itens relevantes em face do Escopo da PCN da organização.
• Data Center: local onde estão concentrados os sistemas computacionais de uma empresa ou organização, como um sistema de telecomunicações ou um sistema de armazenamento de dados.
• Equipe de Continuidade de Negócios: Grupo de indivíduos funcionalmente responsável por direcionar o desenvolvimento e execução do Plano de Continuidade de Negócios, bem como responsável por declarar um desastre e orientar durante o processo de recuperação, tanto antes do desastre quanto pós-desastre. Termos semelhantes: equipe de gerenciamento de recuperação de desastres e equipe de gerenciamento de recuperação de negócios.
• Exercício de PCN: Processo de treinamento para avaliar, praticar e melhorar o desempenho de uma organização. Os exercícios podem ser usados para: validar políticas, planos, procedimentos, treinamento, equipamentos e acordos entre organizações; esclarecimento e treinamento de pessoal em funções e responsabilidades, melhoria da coordenação e comunicação entre organizações, identificação de lacunas de recursos, melhoria do desempenho individual e; identificação de oportunidades de melhoria e o controle de oportunidades para a prática de improvisação. Um teste é um tipo único e particular de exercício, que incorpora uma expectativa de aprovação ou reprovação em relação aos objetivos planejados do exercício.
• Incidente: É qualquer comportamento que não faz parte da operação padrão de um serviço, gerando interrupção não planejada ou a redução de sua qualidade.
• Interrupção de negócios: Qualquer evento que interrompa o curso normal das operações de negócio de uma organização. Termos semelhantes: paralisação e interrupção do serviço.
• Mapa de Processos Críticos: Documento de controle da GCN que relaciona os Processos Críticos aprovados formalmente pela Companhia para o CN e, também os Processos Não Críticos para a PCN considerados nos estudos de AIN da organização. Este Mapa é de responsabilidade da Gerência de e deve seguir os processos de avaliações periódicas obrigatórias e eventuais, manutenção, esclarecimentos, difusão e demais afins definidos para os demais documentos e processos.
• Política de Continuidade de Negócios – PCN ou Business Continuity Plan – BCP: Plano abrangente que fornece a capacidade de uma maneira eficaz de fornecer serviços e suporte aos clientes de uma empresa durante um desastre ou outra grande paralisação. Procedimentos documentados que orientam as organizações a responder, recuperar, retomar e restaurar a um nível de operação pré-definido após a interrupção (ISO 22301:2012). Normalmente, isso abrange recursos, serviços e atividades necessários para garantir a continuidade de funções comerciais críticas.
• Plano de Recuperação de Desastre – PRD ou Disaster Recovery Plan – DRP: Documento, componente do Programa de Gestão de Continuidade de Negócios, aprovado pela gestão que define os recursos, ações, tarefas e dados necessários para gerenciar o esforço de recuperação da tecnologia.
• Ponto Focal: Responsável por manter o PCN de sua área atualizado, simulando, testando e documentando, de acordo com a Política Corporativa de Gestão de Continuidade de Negócios da Companhia em tempo oportuno.
• Processo de Negócios: Atividades fundamentais de uma unidade de negócios, geralmente constituídas por um grupo de funções empresariais projetadas para atingir objetivos específicos.
• Recovery Point Objective (RPO): Ponto em que a informação utilizada por uma atividade deve ser restaurada para permitir a operação da atividade na retomada.
• Recovery Time Objective (RTO): Período previamente acordado pela Companhia, em que, após um incidente, o produto, o serviço, os recursos e/ou atividades devem ser retomados.
• Simulado: Exercício que abrange alguns aspectos da realidade, mas com variáveis controladas, contemplando todos os colaboradores envolvidos, para avaliar o desempenho da continuidade do negócio.
• Suplente Ponto Focal: Dar apoio e suporte ao Ponto Focal na realização de suas atividades e substitui-lo em sua ausência.
• TAC: Tempo de ativação da Contingência – Tempo máximo esperado para ativação do Estado de Contingência e do uso dos Planos de Continuidade de Negócios.
• Tempo Máximo Tolerável de Indisponibilidade (MTPD – Maximum Tolerable Period of Disruption): Tempo máximo para que os impactos se tornem inaceitáveis ou irrecuperáveis, a partir de uma indisponibilidade dos serviços/produtos.
• Teste de PCN: Procedimento para avaliação, maneira de determinar a presença, qualidade, ou veracidade de algo. Teste pode se referir a um “experimento”. Teste é frequentemente aplicado para suportar planos.

8. DISPOSIÇÕES GERAIS

É competência do Conselho de Administração da Companhia aprovar e alterar esta Política sempre que se fizer necessário.

Esta Política entra em vigor na data de sua aprovação pelo Conselho de Administração e revoga quaisquer documentos em contrário.

 Histórico de Revisões:

Versão	Data de aprovação	Histórico
001	01/07/2022	Elaboração do documento
002	31/01/2025	Revisão do documento