Continuidade de Negócio e ISO 22301 em Portugal

Uma falha de energia, um incidente de segurança, a indisponibilidade de instalações ou a perda de um fornecedor crítico podem afetar a prestação de serviços. Um plano útil começa por saber quais são as atividades prioritárias, que recursos exigem e como serão mantidas ou retomadas.

• Precisa de construir ou atualizar um plano de continuidade de negócio.
• Clientes ou parceiros pedem evidências da sua capacidade de recuperação.
• Os planos existentes ainda não foram exercitados com as equipas.
• Pretende avaliar internamente um sistema de gestão alinhado com a ISO 22301.

O trabalho pode abranger a análise de impacto no negócio (BIA), a avaliação de riscos de interrupção e a definição de prioridades e dependências. A partir desse diagnóstico, são trabalhadas estratégias, responsabilidades e procedimentos adequados ao contexto da organização.

• Atividades prioritárias, serviços essenciais e necessidades dos clientes.
• Pessoas, instalações, informação, tecnologia e fornecedores necessários.
• Objetivos de recuperação e recursos para os alcançar.
• Ativação dos planos, comunicação e articulação entre equipas.
• Exercícios, registo de resultados e melhoria dos planos.

A ISO 22301:2019 é uma referência para sistemas de gestão da continuidade de negócio. A edição e as alterações aplicáveis são identificadas nos critérios do projeto.

Na consultoria, apoio a construção e atualização do sistema, dos planos e das evidências. Numa auditoria interna, avalio o sistema face aos critérios definidos, através de entrevistas, análise documental e amostragem de evidências. São trabalhos com finalidades diferentes, delimitados na proposta.

1. Enquadrar: compreender o âmbito, os serviços e as interrupções relevantes.
2. Analisar: rever impactos, riscos, dependências e capacidade existente.
3. Preparar ou avaliar: trabalhar os planos ou executar a auditoria acordada.
4. Concluir: apresentar resultados e prioridades à organização.

A proposta identifica os documentos e atividades incluídos. Conforme a modalidade, podem integrar o trabalho um diagnóstico, a análise de impacto, um plano de melhoria, planos de continuidade, um guião de exercício ou um relatório de auditoria interna.

Os exercícios têm objetivos, participantes e condições de execução definidos previamente. A organização decide sobre recursos, aceitação de riscos e implementação das ações identificadas.

Continuidade de negócio é o mesmo que recuperação informática?

A recuperação informática trata a reposição de serviços tecnológicos. A continuidade de negócio abrange também pessoas, instalações, fornecedores, comunicação e a manutenção das atividades prioritárias. As duas vertentes devem ser articuladas.

Preciso de certificação para começar?

Pode começar por uma necessidade concreta, como uma BIA, revisão de planos ou exercício. Se pretender certificação, o âmbito do sistema e a preparação são definidos em função desse objetivo; a decisão cabe ao organismo de certificação.

Pode auditar um sistema que ajudou a implementar?

A participação anterior é avaliada antes da contratação. A auditoria deve salvaguardar a objetividade e a imparcialidade; quando há conflito, é necessário outro enquadramento ou outro auditor.

Que informação é necessária para uma proposta?

Indique o setor, serviços principais, locais abrangidos, dimensão aproximada, planos existentes e objetivo do trabalho. A duração e a modalidade presencial, remota ou combinada são acordadas na proposta.