BIA Business Impact Analysis.

O que uma BIA realmente faz

Uma Business Impact Analysis responde a uma pergunta da qual depende o resto do programa de continuidade: se esta atividade parar, quão grave fica, e com que rapidez? Você pega cada atividade de negócio, a projeta no tempo e descreve as consequências da sua interrupção em cada intervalo. Algumas atividades doem em questão de minutos, o processamento de pagamentos ou o balcão de admissões de um hospital. Outras podem ficar paradas por dias antes que alguém fora da equipe perceba. A BIA é o que separa as duas, de modo que os escassos recursos de recuperação vão para onde o dano se acumula mais rápido, e não para onde está o gestor que mais levanta a voz.

O impacto é avaliado em várias dimensões, não apenas na perda de receita. A perda financeira é a mais óbvia, mas uma BIA séria também capta a exposição regulatória e jurídica, as penalidades contratuais, a segurança das pessoas e o dano reputacional. Uma consequência trivial em euros pode ser existencial em termos de confiança. O sentido de olhar para várias dimensões é que a atividade que encabeça a lista em dinheiro raramente é a mesma que encabeça a lista no plano jurídico ou de segurança, e o conselho precisa ver todas elas antes de definir prioridades.

Do impacto aos objetivos

A BIA não para na descrição. Ela produz os números sobre os quais a estratégia de recuperação é construída. À medida que o impacto cresce ao longo do tempo, você chega ao ponto em que ele se torna inaceitável. Esse limiar define o recovery time objective, o período máximo tolerável durante o qual a atividade pode permanecer parada. O recovery point objective vem do mesmo exercício no lado dos dados: quanto trabalho recente, medido em tempo, pode ser perdido antes que a interrupção cause um dano inaceitável. O minimum business continuity objective descreve o nível reduzido de operação que você deve sustentar durante a interrupção, não o serviço completo, mas o suficiente para permanecer viável.

Esses resultados são a entrada formal da estratégia de continuidade. Um recovery time objective é um requisito imposto à solução de recuperação, não um desejo. Se a BIA diz que uma atividade deve estar restabelecida dentro de uma janela apertada, a estratégia e o orçamento têm de entregar isso, ou a organização tem de aceitar conscientemente a lacuna. É por isso que a BIA é o documento que deveria ser aprovado pelos responsáveis de negócio e lido pelo conselho, em vez de ser escrito pela TI de forma isolada.

Onde a BIA se situa nas normas

Sob a ISO 22301, a BIA é uma etapa obrigatória para estabelecer um sistema de gestão da continuidade de negócio. A norma espera que você determine as atividades que sustentam a entrega de produtos e serviços, avalie os impactos ao longo do tempo de não as executar e use isso para definir prazos priorizados de retomada. A BIA alimenta diretamente a avaliação de riscos e a escolha da estratégia de continuidade. Sob a DORA, a mesma lógica se aplica à resiliência operacional digital: espera-se que as entidades financeiras compreendam o impacto de uma interrupção sobre as suas funções críticas ou importantes, e essa compreensão começa por uma análise de impacto.

Uma BIA não é uma avaliação de riscos, e confundir as duas enfraquece ambas. A avaliação de riscos pergunta o que poderia causar uma interrupção e qual a sua probabilidade. A BIA é deliberadamente agnóstica quanto às ameaças: pergunta quanto uma interrupção dói, independentemente da causa, seja o gatilho um ciberataque, uma inundação ou um fornecedor que falha. Você as executa como exercícios complementares. A BIA diz o que deve ser protegido e com que rapidez deve se recuperar; a avaliação de riscos diz o que é mais provável que o ameace. Juntas, justificam para onde vai o investimento em continuidade.

Na prática, uma BIA é repetida segundo um ciclo e após mudanças importantes, porque atividades, dependências e tolerâncias mudam com o tempo. O fornecedor que era periférico no ano passado está agora no seu caminho crítico; o processo que você podia perder por dois dias está agora voltado para o cliente. Uma BIA com duas reestruturações de idade é decoração.