Riscos operacionais e de mercado

Classificação dos riscos antes de mensurá-los

Risco é a combinação de um evento incerto e seu possível impacto sobre os objetivos. Para empresas de ativos digitais, uma perda pode decorrer de falha de software, ações de funcionários, interrupções de serviços externos, escassez de liquidez, mudanças legais ou movimentos de mercado. Essas causas não são intercambiáveis. Um incidente operacional pode causar uma perda de mercado; um choque de mercado pode expor controles operacionais frágeis. Portanto, a gestão de riscos deve descrever a causa, a exposição, os controles, as premissas de probabilidade ou cenário, o impacto e o risco residual após a mitigação.

O NIST Cybersecurity Framework (CSF) 2.0 fornece uma estrutura organizacional voluntária com as funções Govern, Identify, Protect, Detect, Respond e Recover. A NIST Special Publication 800-61 Revision 3 (2025) aborda aspectos da resposta a incidentes no âmbito do CSF 2.0. Essas são referências úteis para o risco cibernético, mas não comprovam que qualquer prestador seja seguro ou esteja em conformidade legal. Os controles operacionais também exigem gestão empresarial, responsabilização jurídica e garantia independente adequada.

Falhas operacionais e dependências

Fragilidades humanas e de processos

As falhas operacionais incluem instruções de pagamento incorretas, segregação insuficiente de funções, alterações não autorizadas de configuração, reconciliações incompletas, perda de registros e procedimentos de recuperação não testados. Um controle de segregação de funções significa que nenhum indivíduo pode iniciar e aprovar uma ação sensível sem as verificações prescritas. Definições claras de funções são particularmente importantes para instituições que movimentam ativos de clientes, mantêm registros financeiros ou emitem relatórios públicos. Um registro imutável em blockchain não corrige, por si só, um processo de aprovação falho.

O risco de terceiros surge quando uma organização depende de hospedagem em nuvem, infraestrutura de negociação, fornecedores de dados, serviços de custódia ou bibliotecas de software críticas. Um acordo de nível de serviço estabelece expectativas contratuais; não garante que um prestador consiga resistir a uma interrupção. A diligência prévia deve abranger subcontratação, resiliência, monitoramento de segurança, notificação de incidentes, direitos de acesso, evidências de auditoria e uma estratégia de saída. Concentrar muitos serviços em um único prestador pode criar um ponto único de falha, mesmo quando cada serviço parece robusto individualmente.

Incidentes cibernéticos e limites de recuperação

Os controles de segurança buscam reduzir tanto a frequência quanto o impacto dos incidentes. Entre as capacidades típicas estão gestão de acesso, revisão de alterações, monitoramento, backups, restauração testada, planos de resposta e aprovação independente para operações de alto impacto. Em atividades com ativos digitais, algumas transferências não autorizadas não podem ser desfeitas por meio de processos técnicos comuns. Portanto, a preparação deve incluir o escalonamento para instituições ou autoridades pertinentes, a preservação de registros e dados de transações e comunicações confiáveis com os clientes. A NIST SP 800-61 Rev. 3 incentiva a integração da resposta a incidentes à gestão de riscos mais ampla, em vez de esperar até que ocorra um incidente.

Riscos de mercado sem previsões de preços

Volatilidade, liquidez e slippage

Volatilidade é a amplitude das variações do preço de mercado ao longo do tempo. Liquidez é a capacidade de negociar sem afetar materialmente o preço nem esperar demais. Slippage é a diferença entre o preço solicitado ou esperado e o preço efetivamente obtido na execução. Um mercado pode apresentar um preço indicativo e, ao mesmo tempo, ter pouca profundidade executável. Ordens grandes, condições de estresse ou interrupções nas negociações podem aumentar o slippage. Um analista deve mensurar a exposição usando cenários observados e premissas documentadas, sem prometer resultados futuros estáveis.

O risco de concentração existe quando uma organização depende fortemente de um único ativo, contraparte, local ou serviço. Risco de contraparte é a possibilidade de outra parte não cumprir uma obrigação contratual. O risco de liquidação diz respeito à falha em entregar dinheiro ou ativos conforme acordado. Exposição ao preço e titularidade jurídica não são a mesma coisa: um cliente pode ter um direito contratual contra um intermediário, em vez de um ativo sob seu controle direto. Da mesma forma, o valor de uma garantia pode mudar enquanto a obrigação do empréstimo subjacente permanece, gerando pressão de margem mesmo quando o software funciona conforme projetado.

Integridade do mercado e qualidade das informações

Os mercados podem estar sujeitos a manipulação, divulgações enganosas, conflitos de interesse, wash trading ou interrupções que prejudiquem a execução justa. Wash trading envolve operações que criam uma aparência enganosa de atividade, em vez de refletir uma demanda econômica genuína; as definições legais e a comprovação dependem do mercado e da jurisdição. O volume divulgado publicamente nem sempre é auditado de forma independente. Os profissionais devem considerar a proveniência dos dados, as metodologias, as plataformas de negociação, as atividades com partes relacionadas e a diferença entre preços divulgados e ofertas executáveis. A International Organization of Securities Commissions (IOSCO) publicou 18 Policy Recommendations for Crypto and Digital Asset Markets em novembro de 2023, abordando abuso de mercado, conflitos, custódia, risco operacional e distribuição para investidores de varejo.

Do registro de riscos à ação

Probabilidade, impacto e responsáveis

Um registro de riscos documenta um evento, um responsável, a exposição, o controle, a avaliação, a mitigação e a data de revisão. Escalas qualitativas podem ser úteis, mas devem ter definições consistentes. Uma classificação «alta» sem evidências ou processo decisório não passa de um rótulo. Use vários cenários plausíveis, incluindo uma interrupção de um prestador de terceiros durante um mercado volátil, congestionamento simultâneo de pagamentos e uma falha de aprovação interna. Para cada cenário, pergunte como ele é detectado, qual serviço continua funcionando, quem pode agir e como os clientes e reguladores recebem as comunicações exigidas.

Resiliência e deveres de interesse público

A continuidade dos negócios busca manter serviços críticos durante uma interrupção; a recuperação de desastres concentra-se em restabelecer capacidades após um evento grave. O objetivo de tempo de recuperação (RTO) é o prazo definido para retomar um serviço, e o objetivo de ponto de recuperação (RPO) é a quantidade tolerada de perda de dados, expressa em tempo. São parâmetros de planejamento, não garantias. Alguns registros de transações podem ser reconstruídos a partir de fontes independentes, mas registros de identidade de clientes, aprovações e correspondências do razão interno podem não ter substituto on-chain. Portanto, os backups e a restauração devem refletir o processo empresarial completo, e não apenas os dados do registro distribuído.

Para gestores e funcionários do setor público, a proporcionalidade é essencial. Um pequeno projeto educacional, um custodiante institucional e um sistema público de pagamentos diferem em impacto, responsabilidades e exposição. Cada um precisa de apetite a risco documentado e limites de escalonamento adequados à sua função. Os órgãos públicos também precisam garantir transparência, contratação legal, confidencialidade e continuidade dos serviços essenciais. Os conselhos devem receber métricas úteis para a tomada de decisões: incidentes, controles vencidos, testes de recuperação, quase incidentes, grandes exposições de concentração e constatações de auditoria ainda não corrigidas.

Uma pergunta final útil é: 'Se nossas premissas preferidas falharem, que evidências mostram que conseguiremos reconhecer o problema e proteger as pessoas afetadas?' Essa pergunta evita afirmar que a tecnologia elimina riscos. Ela transforma uma matriz de riscos genérica em um compromisso operacional com responsáveis identificáveis e procedimentos testados.

Foco na prova: Diferencie os riscos operacionais, cibernéticos, de liquidez, de contraparte, de mercado e jurídicos; interprete RTO e RPO; e relacione a avaliação de riscos a responsáveis concretos, testes de controle, procedimentos de escalonamento e decisões sobre risco residual.