Sean Inggs, da Leeward, sobre as lacunas de resiliência cibernética que os conselhos dos fundos ignoram

Os ciberataques a empresas financeiras raramente fazem manchetes por causa de códigos engenhosos. Eles fazem manchetes por causa do que quebrou e de quem era responsável por vigiar. Para fundos de investimento, essa questão de responsabilidade é mais nebulosa do que a maioria dos conselhos assume, e é uma lacuna que a Leeward, a firma de governança e diretores independentes sediada nas Ilhas Cayman, diz que está atrasada para receber atenção.

“Os conselhos dizem a si mesmos que a cibersegurança está sendo tratada porque o fundo não executa nenhum sistema próprio”, disse Sean Inggs, diretor independente na Leeward. “Mas o dinheiro do fundo e os dados dos investidores do fundo ainda passam por um gestor e um administrador todos os dias. Essa é a superfície de ataque, e o conselho é responsável pela supervisão, independentemente de a regulamentação nomear o fundo diretamente ou não.”

Onde a regulamentação alcança e onde ela para

A Autoridade Monetária das Ilhas Cayman tem um regime vinculativo de cibersegurança em vigor há vários anos por meio de sua Regra e Declaração de Orientação sobre Cibersegurança para Entidades Reguladas. A Regra coloca a responsabilidade final pela gestão do risco cibernético no órgão governante de uma entidade, exige uma estrutura documentada para identificar, monitorar e se recuperar de incidentes, solicita revisões independentes periódicas e obriga as entidades abrangidas a relatar incidentes materiais à CIMA dentro de 72 horas.

O detalhe que surpreende muitos diretores é o de escopo. A Regra se aplica a gestores de investimento e à maioria das outras entidades reguladas pela CIMA, mas não diretamente aos fundos mútuos e fundos privados em si. De acordo com a Leeward, essa distinção é exatamente o motivo pelo qual os conselhos dos fundos não podem lê-la como um problema de outra pessoa.

“O gestor que está no escopo é o mesmo gestor que executa suas subscrições e resgates”, disse Inggs. “Então, o risco alcança o fundo mesmo quando a regra não o faz. Um diretor que para de ler em ‘o fundo está fora do escopo’ parou de ler uma linha cedo demais.”

De questionários para supervisão genuína

A posição da Leeward é que a maioria dos fundos já coleta os documentos certos e exige pouco deles. Um relatório de auditoria de um provedor de serviços ou um questionário de segurança anual confirma que um processo existe. Não confirma que o fundo sobreviveria à semana se esse provedor ficasse offline.

A empresa incentiva os conselhos a passarem do papel para testes operacionais. Isso significa entender quais provedores são genuinamente críticos para a continuidade do fundo, conhecer o plano de recuperação se um deles falhar e confirmar que a resposta a incidentes foi realmente ensaiada, em vez de apenas documentada. Também significa clareza na cadeia de notificação, para que o conselho tome conhecimento de uma violação com tempo suficiente para importar, especialmente dada a obrigação de relatar em 72 horas que se aplica às entidades ao redor do fundo.

“A resiliência é uma questão de continuidade, e a continuidade é o trabalho do conselho”, disse Inggs. “Você não precisa auditar um firewall. Você precisa saber o que acontece na primeira manhã de um incidente, e precisa saber isso antes que essa manhã chegue.”

A divulgação aumenta as apostas

A pressão também está aumentando do lado da divulgação. Quando as Ilhas Cayman renovaram seu quadro de fundos no início de 2026, introduziram requisitos para que os documentos de oferta detalhassem os riscos específicos de tecnologia, incluindo cibersegurança, e explicassem como esses riscos são mitigados. Os investidores lerão essas declarações e as testarão.

A Leeward espera que a resiliência operacional se torne uma parte rotineira da due diligence institucional, em vez de uma preocupação nichada. Fundos que podem mostrar um conselho genuinamente engajado com a questão, argumenta a firma, terão mais facilidade para ganhar e manter capital institucional do que aqueles que tratam o risco cibernético como uma nota de rodapé técnica.

“Os fundos que acertam isso não são os que têm as políticas mais longas”, disse Inggs. “São aqueles em que o conselho pode dizer, em linguagem clara, como o fundo continua operando em um dia ruim.”

A Leeward fornece serviços de diretor independente e governança das Ilhas Cayman. Sean Inggs é diretor independente na Leeward e diretor profissional registrado sob a Lei de Registro e Licenciamento de Diretores das Ilhas Cayman, com mais de 20 anos de experiência internacional em direito e governança em hedge funds, private equity, estruturas de family office e empresas de blockchain. Saiba mais em leeward.ky.