Art.º 35 · Norma regulamentar da Autoridade de Supervisão de Seguros e Fundos de Pensões n.º 6/2022-R — Avaliação das funções e atividades operacionais fundamentais ou importantes

1 -Antes de celebrar qualquer acordo de subcontratação com prestadores de serviços de computação em nuvem, as empresas de seguros e de resseguros devem avaliar se o acordo de subcontratação diz respeito a uma função ou atividade operacional que seja fundamental ou importante.
2 -Para efeitos da avaliação referida no número anterior, as empresas de seguros e de resseguros devem ter em conta, sempre que relevante, a possibilidade de as funções ou atividades operacionais contempladas pelo acordo virem a ser fundamentais ou importantes no futuro.
3 -As empresas de seguros e de resseguros devem igualmente reavaliar o caráter fundamental ou a importância da função ou atividade operacional anteriormente subcontratada a prestadores de serviços de computação em nuvem, se a natureza, a dimensão e a complexidade dos riscos inerentes ao acordo se alterarem substancialmente.
4 -Na avaliação a que se refere o presente artigo, as empresas de seguros e de resseguros devem ter em conta, em conjunto com os resultados da avaliação dos riscos, pelo menos, os seguintes elementos:
1. a)O potencial impacto de qualquer perturbação significativa da função ou atividade operacional subcontratada ou da incapacidade do prestador de serviços de computação em nuvem para prestar os serviços nos níveis de serviço acordados sobre:
  1. i)O cumprimento contínuo das suas obrigações regulamentares;
  2. ii)A resiliência e a viabilidade financeira a curto e longo prazo;
  3. iii)A continuidade da atividade e a resiliência operacional;
  4. iv)O risco operacional, incluindo a conduta, as TIC e o risco legal;
  5. v)O risco reputacional;
2. b)O potencial impacto do acordo de subcontratação de serviços de computação em nuvem na respetiva capacidade para:
  1. i)Identificar, monitorizar e gerir todos os riscos relevantes;
  2. ii)Cumprir todos os requisitos legais e regulamentares;
  3. iii)Realizar auditorias específicas sobre a função ou atividade operacional subcontratada;
3. c)A exposição agregada da empresa ou do grupo ao mesmo prestador de serviços de computação em nuvem e o potencial impacto dos acordos de subcontratação cumulativos na mesma área de atividade;
4. d)A dimensão e a complexidade de qualquer área de atividade afetada pelo acordo de subcontratação de serviços de computação em nuvem;
5. e)A capacidade para transferir o acordo de subcontratação proposto para outro prestador de serviços de computação em nuvem, se necessário ou desejável, ou reintegrar os serviços;
6. f)A proteção de dados pessoais e não pessoais e o potencial impacto, para a empresa, tomadores de seguros ou outros titulares de dados, de uma violação da confidencialidade ou da incapacidade de assegurar a disponibilidade e a integridade dos dados, conforme previsto, nomeadamente, no Regulamento (UE) n.º 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016.
5 -Para efeitos do disposto na alínea f) do número anterior, as empresas de seguros e de resseguros devem ter especialmente em conta os dados sujeitos a sigilo comercial ou sensíveis, como os dados de saúde dos tomadores de seguros.

Artigo 35.º — Avaliação das funções e atividades operacionais fundamentais ou importantes

Histórico de Alterações

Referenciado por (1)