BCM Gestão da Continuidade de Negócio.

O que a gestão da continuidade de negócio cobre de facto

A gestão da continuidade de negócio é a disciplina de gestão que mantém em funcionamento as atividades mais importantes de uma organização, ou as restabelece rapidamente, quando algo corre mal. O fator desencadeante pode ser um incidente cibernético, o colapso de um fornecedor, uma inundação, uma falha de energia ou uma pandemia. A ameaça não precisa de ser prevista pelo nome. O que importa é que a atividade que ela paralisaria tenha sido identificada, priorizada e dotada de um plano testado para a recuperar dentro de um prazo aceitável.

O âmbito é deliberadamente amplo. A gestão da continuidade de negócio considera as pessoas, as instalações, a tecnologia, os fornecedores e a informação, e não apenas o parque informático. Essa é a primeira coisa que a distingue da recuperação de desastres, que é o subconjunto centrado na informática voltado para o restabelecimento da infraestrutura, das aplicações e dos dados. Um banco pode restabelecer todos os servidores e ainda assim não conseguir operar porque o centro de atendimento não tem onde se instalar e o terceiro que valoriza as suas operações está indisponível. A gestão da continuidade de negócio é responsável por esse quadro completo.

É também um ciclo contínuo, não um projeto com data de fim. Os planos ficam desatualizados no momento em que uma organização se reorganiza, adota um novo sistema ou integra um novo fornecedor crítico. As equipas que correspondem perante um incidente real são as que ensaiaram um cenário recentemente e registaram o que falhou, corrigindo-o depois antes da ronda seguinte.

O ciclo de vida fundamental da gestão da continuidade de negócio

A maioria dos programas segue uma sequência reconhecível, refletida na norma internacional ISO 22301:

1. Análise de impacto no negócio. O estudo estruturado que classifica cada atividade conforme a gravidade com que a disrupção a prejudica ao longo do tempo e produz os objetivos de recuperação.
2. Apreciação do risco. Identificar as ameaças e vulnerabilidades com maior probabilidade de perturbar as atividades priorizadas.
3. Estratégia e soluções. Escolher como manter as atividades em funcionamento ou recuperá-las: locais alternativos, soluções de contorno, redundância, diversificação de fornecedores.
4. Planos e procedimentos. Redigir o plano de continuidade de negócio, a estrutura de resposta a incidentes e os manuais de recuperação que as pessoas usarão efetivamente sob pressão.
5. Exercícios e revisão. Exercícios de simulação e testes ao vivo, revisões pós-incidente e auditorias que reintroduzem as correções no ciclo.

Onde se situa a gestão da continuidade de negócio no panorama regulatório

A continuidade passou de boa prática a obrigação supervisionada em vários setores. ISO 22301 especifica os requisitos de um sistema de gestão da continuidade de negócio certificável e é a referência à qual a maioria das organizações se alinha. Na União Europeia, o Digital Operational Resilience Act estabelece expectativas de continuidade e de testes para as entidades financeiras, e a Diretiva NIS 2 exige medidas de continuidade de negócio, incluindo cópias de segurança e gestão de crise, aos operadores de setores essenciais e importantes.

A certificação não é obrigatória para fazer bem a gestão da continuidade de negócio, mas dá aos auditores, aos reguladores e aos grandes clientes uma base reconhecida. Quer um programa procure ou não um certificado, aplicam-se as mesmas disciplinas: conhecer as atividades críticas, definir objetivos de recuperação defensáveis, redigir planos utilizáveis e provar que funcionam testando-os.