Unidade 3. Plano de continuidade de negócio
• O que é um PCN?
• Preparação
• Política de PCN vs. programa de PCN: Qual é a diferença?
• Integrar todas as pessoas
• Para concluir
• Descubra o que é o quê
• Como posso quantificar o quão crítico é um processo?
• Como realizar uma AIE
• Após a AIE, a CRA: Análise dos requisitos de continuidade
• Por fim, a avaliação de ameaças
• Descobrir o que é o quê
• Como ir de um ponto A até um ponto B
• Planos, planos e mais planos
• Testar tudo para ver se funciona
O que é um PCN?
Um plano de continuidade de negócio é o conjunto de práticas organizadas que promove e mantém todas as atividades necessárias para garantir a entrega continuada dos produtos ou serviços de uma organização.
A ISO 22301: 2019 é a principal norma internacional que define os requisitos de um PCN suficientemente funcional, mas existem muitas metodologias no mercado que mostram como poderá implementar um na sua organização
A ISO 22313: 2020 aborda o conteúdo da ISO 22301, mas, abaixo, poderá ver os passos gerais da implementação, como conceptualizado pelo Business Continuity Institute.
Preparação
Qualquer PCN precisa de contar com apoio e recursos adequados para ser eficaz. Apenas a direção de topo da organização os pode garantir, tanto inicialmente quanto ao longo dos anos.
Do mesmo modo, a direção de topo tem de garantir que não existem dúvidas em relação à resposta às seguintes quatro perguntas:
1. Qual é o âmbito do PCN?
2.Quem é responsável pelo PCN?
3. Quais são os seus objetivos estratégicos e operacionais?
4. A cultura organizacional está preparada para aceitar o PCN?
Política de PCN vs. programa de PCN:
Qual é a diferença?
Muitas organizações confundem a política de PCN e o programa de PCN da organização. Na verdade, é bastante comum que as organizações criem um documento que, se devidamente compreendido, se trata do programa de PCN, mas chamam-no de política de PCN.
Na realidade, ambos os documentos são muito diferentes.
«Se não souber para onde vai,
acabará por ir para outro lugar.» – Yogi Berra
Integrar todas as pessoas
Quando o PCN estiver devidamente informado e for devidamente promovido, é necessário garantir que a cultura e as pessoas da organização estão prontas para absorver e manter o novo sistema de gestão.
Os objetivos principais desta fase são:
1. Garantir que todas as pessoas falam a mesma linguagem operacional,
2. Sensibilizar o pessoal, de forma completa, para as funções do PCN,
3. Incorporar a continuidade de negócio nas atividades diárias.
Existem muitas formas de o fazer.
É necessário um esfoço contínuo para incorporar a continuidade de negócio na organização. Tal como com qualquer outra prática de gestão, é necessário mantê-la regularmente.
Se mantida adequadamente, a continuidade de negócio pode trazer vários benefícios corolários a longo prazo para a organização.
Descubra o que é o quê
Durante a fase de análise, a organização realiza o que se chama de análise do impacto na empresa (ou AIE) para determinar:
1. Os processos críticos da organização,
2. As suas prioridades de recuperação (entre os processos críticos, quais são os mais críticos?),
3. Os requisitos de continuidade de recursos, ou seja, as ferramentas e ativos necessários para dar seguimento aos resultados dos processos nos níveis mínimos aceitáveis após uma disrupção.
Durante a AIE, as opiniões subjetivas não devem ser consideradas de modo a tornar os resultados o mais objetivos e comparáveis possível.
Como posso quantificar o
quão crítico é um processo?
A AIE tem de ser o mais objetiva possível. Para tal, especialmente neste contexto, é necessário um critério que permita à organização distinguir processos críticos de não críticos, bem como processos mais ou menos críticos.
Este critério é frequentemente conhecido como um OTR. O quão crítico é um processo define-se através de durante quanto tempo a organização pode tolerar a sua disrupção, na pior das hipóteses, antes de o respetivo impacto na organização se tornar inaceitável.
A organização pode, então, definir o que constitui um impacto e quais são os prazos aceitáveis e inaceitáveis («limites do impacto») e, consequentemente, criar uma escala de OTR que possa ser aplicada durante a análise.
Como realizar uma AIE
Cada organização terá uma forma única de realizar uma análise do impacto na empresa, mas a maioria das organizações começa por mostrar os limites do impacto a um proprietário de processos e por perguntar: se não puder realizar as suas atividades habituais no pior cenário possível (tal como em momentos de pico de atividade) durante um período prolongado, qual será o impacto na organização?
É importante ajudar o proprietário de processos a realizar a avaliação, tendo em mente as seguintes sugestões:
1.Não considere a probabilidade de disrupção;
2.Não considere estratégias/táticas de continuidade implementadas atualmente;
3.Não considere planos de recuperação implementados atualmente.
O proprietário de processos tem de avaliar o impacto «bruto» na organização, avaliando a eficácia das estratégias/táticas/planos atuais e garantindo que os processos realmente críticos — os que possivelmente já estão salvaguardados — são tratados com a devida prioridade.
Após a AIE, a CRA: Análise dos requisitos de continuidade
Após compreender devidamente os processos críticos da empresa, o passo seguinte é realizar a análise dos requisitos de continuidade (ARC). A organização tem de compreender o que cada processo crítico precisa para ser operado no devido momento e que estratégias podem ser implementadas para garantir que esses recursos estão disponíveis no caso de um incidente ou disrupção.
Abaixo estão alguns requisitos de continuidade comuns que os proprietários de processos têm de detalhar na fase de análise.
Por fim, a avaliação de ameaças
A última atividade de análise que a organização precisa de realizar é uma avaliação de ameaças para identificar os pontos de falha únicos e os níveis de risco inaceitáveis para os seus processos críticos.
Descobrir o que é o quê (passo a passo)
Como ir de um ponto A até um ponto B
A análise permite recolher informações. Na fase de conceção, a empresa tenta conceber estratégias e soluções para garantir que:
1.As prioridades de recuperação são respeitadas,
2.As ameaças e as vulnerabilidades são mitigadas,
3.Os requisitos dos recursos estão disponíveis.
Para tal, a organização tem de comparar os seus objetivos com os recursos disponíveis para garantir que qualquer medida aprovada é realista e eficaz e que não entra em conflito com outras estratégias atuais ou propostas.
As estratégias e soluções que a organização irá conceber e selecionar, na maioria dos casos, serão coerentes com as prioridades de recuperação identificadas na análise.
Especificamente, é importante que os OTR sejam realistas — existem várias estratégias para o garantir.
Planos, planos e mais planos
Depois de a organização identificar as estratégias e táticas de continuidade de negócio, terá de definir a implementação exata das mesmas nos planos de continuidade de negócio (PCN).
Os PCN de sucesso têm várias qualidades em comum:
1. São concisos, adaptáveis e relevantes;
2. São documentos práticos, feitos para serem utilizados, não apenas lidos;
3. São atualizados e testados constantemente
Os PCN de uma organização devem ser independentes de qualquer cenário, não se focando em corrigir a causa de uma disrupção operacional, mas sim em garantir que a organização está pronta para reagir à perda de:
•Locais
•Pessoal
•TI/ tecnologia
•Fornecedores/fornecimentos
Testar tudo para ver se funciona
A última fase do desenvolvimento de um PCN eficaz é a fase, na qual a organização precisa de testar as suas estruturas de gestão de continuidade de negócio numa «situação de stress» para poder avaliar a sua eficácia e detetar pontos de melhoria.
A continuidade de negócio é um ciclo de melhoria contínua. Todos os anos e em todos os ciclos são tiradas lições que deverão ser incorporadas de forma iterativa.
Não é essencial acertar à primeira. E isso não é necessariamente algo bom. «Um exercício sem falhas é uma falha perfeita.» Existem sempre áreas de melhoria e se os métodos da empresa não as identificarem, então, esses métodos não são eficazes.
