O que é a continuidade de negócio?

Definição

A ISO 22301 define os requisitos de um sistema de gestão da continuidade de negócio. O seu alcance vai muito além da informática e abrange pessoas, instalações, fornecedores e informação.

O desencadeador pode ser um incêndio, um ciberataque, a falha de um fornecedor, uma inundação ou a ausência súbita de pessoas-chave. Quem planeia olha para o efeito, como perder umas instalações, porque nunca conseguiria listar todas as causas.

Porque é importante

Ninguém define prioridades com calma a meio de uma crise. O que foi decidido antes é o que limita a perda.

É também uma questão legal. O artigo 21.º, n.º 2, alínea c), da NIS2 refere a continuidade das atividades e a gestão de crises, e o DORA exige-a às entidades financeiras.

Como funciona

Primeiro vem a análise de impacto no negócio. Ordena as atividades e fixa os objetivos de recuperação, e só depois se avaliam os riscos para essas atividades.

Escolha depois uma estratégia para cada recurso: instalações alternativas, teletrabalho, um segundo fornecedor, um processo manual. Os planos dizem então quem faz o quê e por que ordem.

Os exercícios vêm no fim e nunca terminam de verdade. Cada um revela algo a corrigir, e os planos mudam com a empresa.

Um caso prático

Um ransomware deita abaixo o sistema de armazém de uma empresa de logística. O plano designa um responsável de crise, passa as encomendas prioritárias para as listas de preparação em papel impressas todas as noites e chama a segunda transportadora.

Em seis horas a empresa expede 60 % do seu volume, o nível fixado na sua análise de impacto, enquanto a informática repõe o sistema a partir das cópias de segurança.

Boas práticas

• Parta dos serviços de que os clientes dependem e depois siga aquilo de que esses serviços precisam.
• Mantenha os planos acessíveis quando a rede falha, incluindo em papel.
• Nomeie um substituto para cada função-chave. As pessoas vão de férias, e as crises não esperam.
• Faça exercícios pelo menos uma vez por ano com pessoas de fora da informática.

Erros frequentes

• Tratar a continuidade como um projeto de cópias de segurança, o que deixa a empresa com servidores a funcionar e ninguém que saiba o que fazer.
• Escrever um plano tão longo que ninguém o lê antes do dia em que é preciso.
• Nunca o testar. O primeiro teste é onde a maioria dos planos falha, e é melhor falhar num exercício.
• Esquecer que a equipa de crise precisa de uma forma de comunicar quando o email está em baixo.

Perguntas

A ISO 22301 é certificável?

Sim. Contém requisitos que os organismos de certificação acreditados auditam.

O que é a gestão de crises?

A forma como a direção decide e comunica durante um acontecimento grave. Os planos de continuidade executam essas decisões em cada área operacional.

Com que frequência se deve testar um plano de continuidade?

A ISO 22301 exige exercícios em intervalos planeados e quando ocorrem alterações significativas. Uma vez por ano é um mínimo comum.

Uma pequena empresa precisa de um plano de continuidade?

Sim, à sua medida. Algumas páginas com prioridades, pessoas, contactos e soluções alternativas bastam muitas vezes.

O que faz um bom exercício de continuidade?

Um cenário realista, as pessoas que agiriam de facto, um limite de tempo e uma lista escrita de correções no fim.