Unidade 2. Conceitos e definições
• Conceitos e definições;
• Business continuity within an holistic approach to resilience;
• Theoretical state of the art
• Business continuity management key concepts
• Isn’t business continuity just another kind of risk management?
• All analyses must be «objective»
• «Critical» does not mean «important»
• Main takeaways
Conceitos e definições
Está na altura de aprender algumas definições!
Até agora, referimos a resiliência organizacional e a gestão da continuidade de negócio, implicando que a última é uma componente importante da primeira.
Mas quais são as respetivas definições? Estas são as definições mais comumente aceites, incluídas na ISO 22300: 2021.
A continuidade de negócio numa abordagem holística à resiliência
Como podemos ver no diapositivo anterior, a continuidade de negócio foca-se mais na entrega de produtos e serviços enquanto a resiliência é um conceito mais abrangente, que significa a capacidade da organização de absorver e se adaptar a mudanças.
Isto porque a continuidade de negócio deve ser considerada como uma das muitas disciplinas que contribuem para a resiliência de uma organização. É realmente verdade que a continuidade de negócio por si só não pode tornar uma organização totalmente resiliente; sem os devidos ajustes à continuidade de negócio, nenhuma empresa se pode considerar resiliente.
A resiliência tem de ser um objetivo estratégico da sua organização, o que, por sua vez, deve acrescentar valor às várias funções e departamentos da empresa que contribuem para o cumprimento deste objetivo.
Conhecimentos teóricos atuais
Na maioria dos casos, os conhecimentos atuais sobre as várias disciplinas de resiliência é orientado pelas normas internacionais relevantes, emitidas pela ISO (Organização Internacional de Normalização).
As normas ISO definem o que constitui um sistema de gestão bem implementado que pertence a uma determinada disciplina de resiliência. Por exemplo, ISO 22301:2019 define os elementos necessários de um PCN.
Além disso, existem especificações técnicas adicionais (ISO/TS) definem requisitos mais aprofundados em relação a práticas específicas inerentes a um PCN (tais como a ISO/TS 22317 sobre a análise do impacto na empresa).
Conceitos principais da gestão da continuidade de negócio
There are many key concepts in business continuity management that every professional needs to keep in mind when implementing a business continuity management system, which ISO sets out and many professional manuals reference.
A implementação de um sistema de gestão da continuidade pode ser feita através de uma série padrão de seis práticas profissionais, ou «fases» do projeto, mas todas as metodologias consideram conceitos que são, frequentemente, mal interpretados.
A implementação de um sistema de gestão da continuidade pode ser feita através de uma série padrão de seis práticas profissionais, ou «fases» do projeto, mas todas as metodologias consideram conceitos que são, frequentemente, mal interpretados.
Assim, é importante esclarecer alguns aspetos desde o início.
A continuidade de negócio não é só outro tipo de gestão de risco?
Apesar de existirem interesses comuns, a gestão da continuidade de negócio não está relacionada com riscos e está devidamente definida.
O professor Ian Mitroff apresentou uma famosa definição de risco, atualmente também incluída na ISO 31000: «o risco é o efeito da incerteza nos objetivos1».1O risco de um evento para uma organização é, na verdade, geralmente calculado através de um produto entre a probabilidade desse evento ocorrer e do impacto do mesmo, caso ocorra, na organização.
Na gestão da continuidade de negócio, a probabilidade de ocorrência dos eventos é, em rigor, irrelevante. Num sentido mais amplo, também o são os eventos em si.
A gestão da continuidade de negócio foca-se apenas nas consequências de um evento na organização — que ativos estarão indisponíveis, como será afetada a entrega de produtos e serviços e como será possível recuperá-los.
Para exemplificar claramente as diferenças em termos de abordagem:
A continuidade de negócio oferece proteção contra todos os eventos que uma organização pensou que nunca pudessem acontecer, mas que acontecem.
1Risk Management — GuidelinesISO 31000: 2018, ISO, 2018.
«O risco é o efeito da incerteza nos objetivos.»
— ISO 31000
Todas as análises têm de ser «objetivas»
São muitos os resultados de um sistema de gestão da continuidade, mas um dos resultados principais é, certamente, um mapa de todos os processos essenciais para a entrega dos principais produtos e serviços (a Unidade 2 irá ilustrar de que forma é possível consegui-lo).
Ao longo dos seus esforços profissionais para implementar um PCN, terá de se envolver com várias áreas na sua organização, cada uma das quais tem as suas próprias sensibilidades em relação à importância e indispensabilidade das suas atividades diárias, bem como a sua própria perceção de risco e vulnerabilidade.
Se esta diversidade não for incluída na sua análise, o resultado será uma recolha de respostas incomparáveis. Por exemplo:
•O departamento de contabilidade e o departamento comercial dizem que o impacto da sua disrupção seria «grave».
O que significa «grave»? Será que ambos os departamentos têm em mente a mesma escala de consequências? O problema está claro.
Assim, garantir que todos operam com uma «linguagem» e um quadro de referência comuns é muito importante.
«Crítico» não significa «importante»
A continuidade de negócio diz respeito à salvaguarda da entrega dos produtos e/ou serviços de uma organização. Um dos principais métodos através dos quais atinge os seus objetivos é ao garantir a continuidade dos processos críticos que estão por trás de um determinado produto e/ou serviço. No caso de uma disrupção, isto significa que os processos críticos têm de ser restaurados mais rapidamente do que os menos críticos ou não críticos.
Isto não significa que os processos críticos sejam mais importantes do que os não críticos. Para ilustrar o que se pretende dizer, considere o seguinte exemplo:
•Está a pagar as suas faturas de serviços online, mas, de repente, fica sem luz.
Pagar as faturas é certamente mais importante do que a sua luz estar desligada, mas neste cenário disruptivo, a prioridade imediata é voltar a ter luz, caso contrário não poderá pagar as suas faturas.
Em conformidade, no contexto da continuidade de negócio, diremos que as «ligar as luzes» é um processo crítico.
Conclusões principais
A gestão da continuidade de negócio tem de fazer parte dos esforços de resiliência mais amplos da organização, e nenhuma organização se pode considerar verdadeiramente resiliente sem boas práticas de gestão da continuidade de negócio.
A continuidade de negócio em si oferece inúmeras vantagens:
1. Salvaguarda a entrega de produtos e serviços, independentemente de qualquer evento específico;
2. Permite que a organização reflita racionalmente sobre as suas prioridades de recuperação face a um incidente;
3. É uma vantagem competitiva.