Plan de Continuidad de Negocios

Objetivo y alcance

El Plan de Continuidad de Negocios y de Recuperación de Desastres establece directrices, responsabilidades, procedimientos y controles para asegurar la continuidad de las actividades críticas de Swapo ante eventos que puedan causar interrupciones relevantes en procesos operativos, tecnológicos, humanos o de terceros. Sus objetivos son:

• reducir el impacto de eventos adversos sobre los clientes, el mercado y el regulador;
• preservar la integridad, la disponibilidad y la confidencialidad de la información;
• asegurar la reanudación ordenada de las actividades esenciales;
• mantener el cumplimiento de las exigencias regulatorias aplicables.

El plan abarca procesos críticos, sistemas e infraestructura tecnológica, personal esencial, instalaciones físicas, prestadores de servicios y terceros críticos, y flujos de comunicación interna y externa. Se aplica a administradores, colaboradores, prestadores de servicios y terceros que participen, directa o indirectamente, en las operaciones de Swapo.

Principios

• Proporcionalidad al tamaño y a la complejidad de Swapo.
• Prioridad a los procesos críticos.
• Prevención y preparación.
• Respuesta rápida y coordinada.
• Comunicación clara y oportuna.
• Responsabilidades y gobernanza definidas.

Responsabilidades y gobernanza

La Alta Administración tiene la responsabilidad final por el plan. Le corresponde aprobar el plan y sus revisiones, asegurar recursos financieros, humanos y tecnológicos adecuados, supervisar las pruebas y las acciones correctivas, y garantizar la alineación con la estrategia de Swapo.

El Director de Riesgos y Capital es el responsable del plan. Coordina la elaboración, el mantenimiento y la ejecución del plan, declara su activación, coordina las áreas involucradas, reporta los eventos relevantes a la Alta Administración y articula las comunicaciones externas, cuando corresponda.

Procesos críticos

Swapo debe realizar un Análisis de Impacto en el Negocio para identificar y clasificar sus procesos críticos, considerando impactos regulatorios, financieros, operativos, reputacionales y tecnológicos. Entre los procesos críticos están:

• recepción y envío de órdenes de clientes;
• liquidación y transferencia de activos virtuales;
• monitoreo de cumplimiento (compliance) y de prevención del lavado de dinero y del financiamiento del terrorismo;
• mantenimiento de los sistemas tecnológicos esenciales;
• atención y soporte a los clientes;
• registro, custodia e integridad de los datos regulatorios.

Para cada grupo de procesos críticos, el plan define un tiempo máximo estimado de reanudación y una pérdida máxima aceptable de datos.

Escenarios considerados

El plan considera, de forma no exhaustiva, los siguientes escenarios:

• indisponibilidad de sistemas críticos;
• falla de proveedores de nube o de conectividad;
• ataques cibernéticos;
• indisponibilidad de personal clave;
• fallas de prestadores de servicios críticos;
• indisponibilidad de la sede física;
• eventos regulatorios de emergencia.

Estrategias de continuidad y recuperación

Para la continuidad operativa y del personal, el plan prevé:

• redundancia de la infraestructura tecnológica y uso de entornos en la nube con alta disponibilidad;
• documentación formal de los procesos críticos;
• posibilidad de operación remota de las funciones esenciales, con accesos remotos seguros;
• segregación entre entornos de producción y de contingencia;
• mapeo de las funciones críticas y definición de sustitutos.

Para la recuperación de desastres, están previstos respaldos periódicos y automatizados, almacenamiento segregado y seguro, cifrado de datos sensibles, pruebas periódicas de restauración y, según corresponda, entornos redundantes, planes de contingencia y capacidad de migración rápida de los servicios críticos.

Los terceros críticos son aquellos cuya falla pueda comprometer actividades esenciales. Swapo debe identificarlos y clasificarlos, exigir cláusulas contractuales de continuidad, evaluar periódicamente riesgos y desempeño, y mantener planes de contingencia para sustituirlos o mitigar fallas.

Activación del plan

El plan puede activarse cuando haya una interrupción relevante de sistemas críticos, un riesgo significativo para la continuidad, una determinación de la Alta Administración o un evento que exija comunicación al regulador.

La activación incluye la evaluación inicial del evento, la comunicación interna inmediata, la puesta en marcha de las medidas de contingencia y el registro formal del evento.

Comunicación en situaciones de crisis

El plan prevé procedimientos formales de comunicación en situaciones de crisis:

• a los colaboradores;
• a los clientes, cuando corresponda;
• al Banco Central de Brasil y a las demás autoridades, según se exija.

Las comunicaciones deben documentarse y ser proporcionales a la gravedad del evento.

Pruebas, revisión y vigencia

Swapo se compromete a probar el plan periódicamente, registrar los resultados y los planes de acción, capacitar a los equipos involucrados y revisar el plan después de las pruebas o de eventos reales.

El plan debe revisarse anualmente, siempre que haya un cambio relevante en el modelo operativo, después de incidentes relevantes y como consecuencia de cambios regulatorios.

El plan se integra con las políticas de gestión de riesgos, de seguridad de la información y de controles internos y con el programa de cumplimiento (compliance) regulatorio. Entra en vigor en la fecha de su aprobación por la Alta Administración y debe mantenerse actualizado y disponible para la supervisión del Banco Central de Brasil.

Base normativa

• Ley n.º 14.478/2022.
• Regulación del Banco Central de Brasil aplicable a las SPSAV.
• Buenas prácticas prudenciales de continuidad de negocios.

Sobre esta versión

Versión pública del documento “Plan de Continuidad de Negocios y Plan de Recuperación de Desastres (BCP/DRP)”, del 21/09/2026, que forma parte de la solicitud de autorización presentada al Banco Central de Brasil. La autorización aún no ha sido concedida.

El texto resume el documento interno. Se omitieron datos personales (LGPD), parámetros de monitoreo y detalles técnicos cuya divulgación perjudicaría la seguridad, la prevención de fraudes y la prevención del lavado de dinero, además de condiciones sujetas a confidencialidad comercial (Resolución BCB n.º 520/2025, art. 52, § 2). Esta versión no sustituye el contrato de prestación de servicios ni la regulación aplicable.

Todas las políticas · Centro de Transparencia