Política de Continuidade de Negócios

Objetivo

Definir as bases, princípios e regras para contingências e continuidade de negócios da EPHRA.

A quem se aplica?

Sócios, administradores, diretores, funcionários, estagiários, prestadores de serviço/terceirizados contratados alocados nas dependências da gestora (doravante denominados "Colaboradores").

Responsabilidades

Caberá ao Diretor de Risco a avaliação das ocorrências de contingência, bem como de possíveis atualizações e aprimoramentos destes procedimentos, podendo fazer uso do Comitê de Risco e Compliance para registro e tomada de decisões.

Revisão e Atualização

Este PCN deverá ser revisado, validado, testado e atualizado a cada 12 (doze) meses, ou em prazo inferior, caso necessário em virtude de mudanças legais/regulatórias/autorregulatórias.

Contexto Operacional e de Negócios

Esta política foi elaborada considerando as seguintes premissas e particularidades do modelo operacional e de negócio da EPHRA:

• A EPHRA executa suas atividades utilizando sistemas, sendo em sua maior parte acessíveis via WEB;

• Os fornecedores dos sistemas utilizados pela EPHRA se comprometem com disponibilidade, segurança e planos de contingência compatíveis com as necessidades da EPHRA. Tais obrigações constam de seus contratos, bem como procedimentos próprios de segurança e contingência;

• Os colaboradores da EPHRA estabelecem tratativas, e, formalizam seus entendimentos com clientes, corretoras e parceiros de negócios primordialmente por meio de ferramentas e aplicativos de mensagens ("chats") e/ou e-mail corporativo, ou, por sistemas com acesso via WEB;

• A EPHRA aloca recursos sob gestão, bem como distribui seus produtos, mediante a utilização de corretoras/plataformas de investimento acessíveis pela WEB ou telefone;

• Os arquivos contendo informações dos fundos e carteiras da EPHRA são armazenados nos servidores da EPHRA, com back-ups periódicos;

• A rede interna é acessível, e, espelhada via acesso externo VPN, mediante o uso de login/senha e dispositivos adequados de proteção e segurança;

• Os dispositivos eletrônicos utilizados no exercício das atividades da EPHRA, para obterem acesso a rede, necessitam de senha e criptografia;

• A EPHRA utiliza redes sem fio para fornecer acesso à WEB para seus colaboradores, prestadores de serviço ou visitantes, todas devidamente protegidas por senhas;

• Em caso de indisponibilidade, temporária ou de prazo mais longo para acesso à WEB, os colaboradores utilizam equipamentos e/ou redes/roteadores/links de internet/redes sem fio de redundância (seja no caso de trabalho no escritório ou remoto);

• O espaço físico/escritório da EPHRA deve ser o local preferencialmente utilizado para as atividades da gestora, reuniões e comitês com colaboradores ou terceiros. Porém, as atividades, rotinas e sistemas da EPHRA estão parametrizados para serem passíveis de desempenhado de maneira remota;

• Todos os colaboradores da EPHRA estão também conectados via grupos de comunicação, tais como, Microsoft Teams, WhatsApp e sistemas de Video Conference.

Princípios e Obrigações

O PCN é um conjunto de procedimentos que objetiva, no caso de ocorrência de incidentes, manter as atividades e sistemas considerados críticos em nível de funcionamento previamente estabelecido e/ou recuperá-los no prazo previamente estabelecido.

Para identificação dos ativos críticos, devem ser considerados os riscos a seguir, de impacto no caso de interrupção dos processos relativos à gestão:

a) impacto financeiro – situações em que a descontinuidade de negócios possa atingir, em diferentes graus, as carteiras ou fundos sob gestão, ou a situação financeira e patrimonial da EPHRA;

b) impacto legal – descontinuidade de negócios passível de gerar consequências legais aos fundos e carteiras sob gestão, seus cotistas, ou mesmo à própria EPHRA;

c) impacto de imagem – risco de a descontinuidade de negócios impactar a reputação e confiabilidade da EPHRA perante seus clientes e/ou o público investidor;

d) acidentes, casos fortuitos e força maior – risco de ocorrência de circunstâncias imprevisíveis que escapam completamente ao controle da EPHRA, tais como incêndios, terremotos, desastres naturais ou comoções sociais de grandes proporções, que determinem a descontinuidade de suas atividades e/ou a sua continuidade em local diverso da sua sede atual.

Classificação de Riscos

A EPHRA adota a seguinte classificação de riscos, com as respectivas providências a serem tomadas:

• Nível 1: baixa probabilidade de impacto nas atividades da EPHRA, com monitoramento cotidiano para a sua prevenção. Tem chance maior de ocorrência e frequência;

• Nível 2: impacto potencial médio nas atividades da EPHRA e necessidade de maior nível de controles preventivos. Tem chance moderada de ocorrência e frequência baixa;

• Nível 3: riscos que devem ser incondicionalmente evitados, com impacto relevante nas atividades da EPHRA, com adoção de rigorosos controles preventivos. Tem baixa chance de ocorrência, são eventos raros, porém de natureza extremamente grave.

São classificados como nível 3:

• Falha grave de segurança/manutenção/atualização dos softwares e serviços críticos utilizados pela EPHRA no exercício de suas operações e monitoramentos periódicos e que resultam em inoperância;

• Interrupção do funcionamento de equipamentos utilizados pelos colaboradores da EPHRA que inviabilizem sua utilização nas atividades de operação e monitoramentos periódicos;

• Situações de indisponibilidade total dos serviços e sistemas das instituições administradoras e custodiantes dos fundos geridos pela EPHRA, bem como das plataformas utilizadas para distribuição de tais fundos;

• Inacessibilidade quase total do time de gestão, risco e compliance, não apenas fisicamente, mas, sem acesso a computadores, dispositivos móveis, sistemas, telefones, etc. que impeçam sua comunicação e exercício de suas funções por motivos quaisquer;

• Situações não diretamente relacionadas à EPHRA e/ou à sua diligência, tais como eventos do condomínio, desastres naturais ou conjunturas sociais/econômicas fora de seu estrito controle e de porte grave (falta de acesso total físico e lógico);

• Desastres naturais, ou conjunturas sociais/econômicas fora do seu estrito controle, e, de natureza grave;

• Outras interrupções totais e graves de sistemas que coloque em risco os mecanismos adequados de gerenciamento de ativos e passivos dos fundos da gestora.

São eventos de nível 2:

• Situações não diretamente relacionadas à EPHRA e/ou à sua diligência, tais como eventos do condomínio, desastres naturais ou conjunturas sociais/econômicas fora de seu estrito controle e de porte moderado (acesso moderado ou lento ao espaço físico ou intermitência de fornecimento de luz, internet, telefonia, água, etc.);

• Falhas ou descontinuidades de segurança/manutenção das instalações físicas, ferramentas e recursos tecnológicos da EPHRA, que gere intermitência das atividades;

• Inacessibilidade de parte significativa do time de gestão, risco e compliance, não apenas fisicamente, mas, sem acesso a computadores, dispositivos móveis, sistemas, telefones, etc. que impeçam sua comunicação e exercício de suas funções por motivos quaisquer;

• Interrupções parciais dos sistemas relacionados a gestão de ativos e passivos que não chegam a impedir a totalidade das operações, mas, geram risco de falha parcial na execução das compras e vendas e ativos, e, na execução de aplicações e resgates.

São considerados eventos de nível 1:

• Situações não diretamente relacionadas à EPHRA e/ou à sua diligência, tais como eventos do condomínio, desastres naturais ou conjunturas sociais/econômicas fora de seu estrito controle e de porte leve (falhas de ar condicionado, elevadores, que gerem situação atípica, mas, sem o prejuízo do funcionamento moderado de luz, internet, telefonia, água, etc. no acesso ou nas dependências da gestora);

• Inacessibilidade de alguns membros do time de gestão, risco e compliance, não apenas fisicamente, mas, sem acesso a computadores, dispositivos móveis, sistemas, telefones, etc. que impeçam sua comunicação e exercício de suas funções por motivos quaisquer;

• Interrupções parciais dos sistemas relacionados a gestão de ativos e passivos, mas, que não geram risco de falha parcial na execução das compras e vendas e ativos, e, na execução de aplicações e resgates.

Para fazer frente aos eventos diversos, de Nível 1, 2, ou 3, a seguir listaremos nossa estrutura de proteção, que visa atender a ocorrências nestes diversos níveis de gravidade, com maior rigor dos procedimentos de acionamento em situações extremas.

Estrutura de Prevenção e de Contingência Operacional

Controles Preventivos

• Identificação, treinamento e capacitação profissional de substitutos para exercer as atividades chave da operação da EPHRA;

• Controle de acesso às dependências da EPHRA;

• Respeito às normas de acesso estipuladas pelo condomínio no qual a EPHRA está sediada;

• Manutenção de provedores para acesso remoto, via VPN, a arquivos eletrônicos, planilhas e demais documentos de forma segura e transparente ao usuário, bem como dos respectivos backups desses materiais;

• Manutenção de sistema antivírus e firewall para salvaguardar os arquivos eletrônicos utilizados pela EPHRA;

• Servidores/provedores de serviços tecnológicos, de Dados, ferramentas contratadas, etc. – controles e redundâncias dos serviços de servidores e prestadores de serviço em ambiente em nuvem, com as devidas proteções antivírus, firewall, back-up, etc.;

• Backup armazenado diariamente em ambiente em nuvem;

• Redundância de provedores de internet e telefonia (fixa x móvel).

A EPHRA conta com uma estrutura de contingência preparada para atender a quaisquer situações críticas que impossibilitem as áreas de negócio de exercerem suas atividades diárias, com recursos necessários e suficientes à continuidade das suas rotinas.

A EPHRA conta, ainda, com a estrutura operacional, computacional e processos de contingência de seus administradores dos seus fundos de investimento, seus custodiantes, corretoras e distribuidores.

Backup de Dados Local

Diariamente, a partir das 22 horas, todos os arquivos localizados na rede de arquivos e sistemas da EPHRA são copiados, de maneira automática, para:

• O disco rígido (HD);

• Depois do backup em disco, é feito uma cópia em nuvem (Microsoft Azure), nosso Backup Online.

O backup em disco ocorre diariamente e a retenção é de 30 dias. Todo o procedimento operacional acima descrito é de responsabilidade da área de TI da EPHRA.

Contingenciamento do fornecimento de energia

A EPHRA possui na sua infraestrutura uma redundância de energia elétrica em casos de falta da distribuição pela empresa contratada. O processo de contingenciamento é feito em 2 etapas, sendo elas:

• Entrada automática de energia fornecida por nobreak existente de 15 KvA (as baterias suportam 4 horas do escritório em plena função).

• Entrada automática do Gerador a diesel de 100 KvA, após 15 segundos da queda de energia. O gerador da EPHRA tem autonomia no seu tanque 180 litros de combustível reabastecível para suportar 7 horas de funcionamento total a EPHRA.

Contingenciamento de links de internet

A EPHRA possui redundância de links de internet em sua infraestrutura operacional, listados abaixo:

• Link primário corporativo Full Duplex de Internet de 200 MB com 5 IPs fixos da Mundivox;

• Link ADSL de 300 MB com 1 IP Fixo da empresa Vivo.

Disaster Recovery

A EPHRA possui seus principais servidores virtuais com replicação ativa para a nuvem da Microsoft Azure.

Caso aconteça algum desastre com o nosso servidor físico principal (onde estão todos os servidores virtuais), são acionadas as máquinas no Microsoft Azure para continuidade das atividades.

Contingenciamento Firewall

A EPHRA possui redundância do firewall em sua infraestrutura operacional.

EPHRA TECNOLOGIA EM PAGAMENTOS LTDA
CNPJ nº 65.289.668/0001-46