Sean Inggs, da Leeward, comenta sobre a negligência dos conselhos em relação ao Fundo de Resiliência Cibernética

Os ciberataques a instituições financeiras raramente chegam às manchetes por causa de códigos sofisticados. Eles ganham destaque por causa do que deu errado e de quem foi o responsável por monitorar a situação. Para fundos de investimento, essa questão da responsabilidade é mais complexa do que a maioria dos conselhos administrativos imagina, e é uma lacuna que a Leeward, empresa de governança corporativa e consultoria para diretoresdent sediada nas Ilhas Cayman, afirma estar precisando de atenção urgente.

“Os conselhos administrativos dizem a si mesmos que a segurança cibernética está sob controle porque o fundo não opera nenhum sistema próprio”, disse Sean Inggs, diretor independentedent Leeward. “Mas o dinheiro do fundo e os dados dos investidores ainda passam por um gestor e um administrador todos os dias. Essa é a superfície de ataque, e o conselho é responsável pela supervisão dela, independentemente de o regulamento mencionar o fundo diretamente ou não.”

Até onde vai a regulamentação e onde ela termina

A Autoridade Monetária das Ilhas Cayman (CIMA) mantém um regime vinculativo de cibersegurança em vigor há vários anos, por meio de sua Norma e Declaração de Orientações sobre Cibersegurança para Entidades Regulamentadas. A Norma atribui a responsabilidade final pela gestão do risco cibernético ao órgão de administração da entidade, exige uma estrutura documentada paradent, monitorar e recuperar-se dedent, prevê revisõesdent periódicas e obriga as entidades abrangidas a relatarem incidentesdentà CIMA em até 72 horas.

O detalhe que surpreende muitos diretores é o seu âmbito de aplicação. A regra aplica-se a gestores de investimento e à maioria das outras entidades regulamentadas pela CIMA, mas não diretamente aos fundos mútuos e fundos privados em si. Segundo Leeward, essa distinção é precisamente o motivo pelo qual os conselhos de administração dos fundos não podem interpretá-la como um problema de terceiros.

“O gestor que está dentro do escopo é o mesmo que administra suas subscrições e resgates”, disse Inggs. “Portanto, o risco atinge o fundo mesmo quando a regra não o faz. Um diretor que para de ler na frase 'o fundo está fora do escopo' parou de ler uma linha antes da hora.”

De questionários à supervisão genuína

A posição da Leeward é que a maioria dos fundos já coleta a documentação correta e exige muito pouco deles. Um relatório de auditoria ou um questionário anual de segurança de um provedor de serviços confirma a existência de um processo. Isso não garante que o fundo sobreviveria durante a semana se esse provedor fosse desativado.

A empresa incentiva os conselhos a passarem da burocracia para os testes operacionais. Isso significa entender quais fornecedores são realmente essenciais para a continuidade do fundo, conhecer o plano de recuperação caso um deles falhe e confirmar se a resposta adent foi de fato ensaiada, e não apenas documentada. Significa também clareza na cadeia de notificação, para que o conselho tome conhecimento de uma violação com rapidez suficiente para que isso faça diferença, especialmente considerando a obrigação de notificação em 72 horas que se aplica às entidades vinculadas ao fundo.

“Resiliência é uma questão de continuidade, e continuidade é responsabilidade do conselho”, disse Inggs. “Você não precisa auditar um firewall. Você precisa saber o que acontece na primeira manhã de umdent, e precisa saber disso antes que essa manhã chegue.”

A divulgação aumenta os riscos

A pressão também está aumentando por parte das exigências de transparência. Quando as Ilhas Cayman atualizaram sua estrutura de fundos no início de 2026, introduziram requisitos para que os documentos de oferta especifiquem os riscos tecnológicos específicos, incluindo a segurança cibernética, e expliquem como esses riscos são mitigados. Os investidores lerão essas declarações e as testarão.

A Leeward prevê que a resiliência operacional se tornará uma parte rotineira da due diligence institucional, em vez de uma preocupação de nicho. Fundos que demonstrarem um conselho genuinamente engajado com a questão, argumenta a empresa, terão mais facilidade em atrair e manter capital institucional do que aqueles que tratam o risco cibernético como uma nota de rodapé técnica.

“Os fundos que acertam nesse ponto não são aqueles com as políticas mais longas”, Inggs . “São aqueles em que o conselho consegue explicar, em linguagem clara, como o fundo continua funcionando mesmo em um dia ruim.”

A Leeward oferece serviços independentesdent diretoria e governança corporativa nas Ilhas Cayman. Sean Inggs é diretor independentedent Leeward e diretor profissional registrado sob a Lei de Registro e Licenciamento de Diretores das Ilhas Cayman, com mais de 20 anos de experiência internacional em direito e governança corporativa em fundos de hedge, private equity, estruturas de family office e empresas de blockchain. Saiba mais em leeward.ky.