Maturidade ISO 22301 · Continuidade de negócios e gestão de crises financeiras
Seu dispositivo de continuidade, medido pela ISO 22301 e traduzido em plano de ação detalhado.
10 temas, undefined perguntas, uma escala de 5 níveis. E a ação que faz cada nível avançar para o seguinte.
Os 10 temas do referencial, já redigidos de N1 a N5. Uma empresa, uma unidade de negócio, ou 300 ao mesmo tempo.
Maturidade ISO 22301 · Continuidade de negócios e gestão de crises financeiras
10 temas, undefined perguntas, escala de 5 níveis.
Nordhavn Industries
53 / 100
Eles medem sua maturidade com a Datamensio
Um exemplo
Essa situação poderia ser a sua.
Vamos pegar o exemplo de uma empresa: três unidades, três planilhas, nenhuma resposta em comum.
Ninguém sabe consolidar.
A Nordhavn Industries, 2.400 pessoas em Hamburgo, Lyon e Porto. Um cliente pergunta como está o grupo. Cada unidade responde na sua própria planilha, com suas próprias escalas.
Três semanas, uma única base.
Um diagnóstico ISO 22301:2019 iniciado nas três unidades ao mesmo tempo, a partir das anotações de entrevista dos responsáveis. O referencial já estava escrito, os 10 temas e os níveis N1 a N5 também.
Dois gastos evitados antes de serem assumidos.
Um score de 53 em 100, um desvio concentrado em três temas. O assistente de IA identificou que duas ações do plano se repetiam com as de outra auditoria. A apresentação dos resultados ao comitê foi solicitada em uma frase.
O que isso evitou para eles
- 3unidades medidas na mesma base, em vez de três questionários para retrabalhar
- 2ações duplicadas detectadas antes do gasto
- 1apresentação dos resultados ao comitê, sem retrabalho manual
Esses números são de um exemplo. Eles poderiam ser os seus.
A norma impõe processos. A Datamensio mostra onde você está.
01
O referencial já está escrito
Temas, perguntas e níveis N1 a N5 redigidos. Você não começa de uma planilha vazia.
02
O score sai no mesmo dia
On-line, por link de autoavaliação ou em entrevista. Tema por tema, comparável ao longo do tempo.
03
O desvio vira um plano com custos definidos
Cada passagem de nível traz sua ação. A IA prioriza pelo efeito esperado, não pela ordem da norma.
04
A evolução se comprova
Campanha após campanha, contra sua meta e contra seu histórico. É o que sua diretoria pede.
A escala de maturidade
Um nível, o seguinte, e a ação que liga os dois.
É esse mecanismo (um nível, um nível superior, e a ação que liga os dois) que transforma uma constatação em trajetória.
Os prazos máximos de interrupção admissíveis das atividades prioritárias estão definidos, validados pelas áreas de negócio e coerentes com as soluções de continuidade implementadas?
- N1
Nenhum prazo de interrupção admissível está definido. As atividades prioritárias não são identificadas de forma explícita.
- N2
Prazos constam em uma análise de impacto, elaborada pela equipe de riscos e não validada pelos responsáveis das áreas de negócio. Sua coerência com os meios de recuperação não é verificada.
- N3
Os prazos são validados pelas áreas de negócio, documentados atividade por atividade e comparados com as capacidades reais de recuperação. As lacunas identificadas são registradas.
- N4
Os prazos são testados durante os exercícios, as lacunas em relação às capacidades de recuperação são objeto de planos de ação acompanhados, e as dependências em relação a prestadores críticos são integradas.
- N5
Os prazos são reavaliados a cada mudança na atividade, no sistema de informação ou no portfólio de prestadores, com um histórico documentado das revisões e de seus efeitos sobre as soluções adotadas.
Ação para passar de N2 para N3
Organizar um workshop de validação por área de negócio sobre a análise de impacto, fazer cada responsável por atividade prioritária assinar os prazos de interrupção admissíveis, depois comparar cada prazo com as capacidades de recuperação existentes e registrar as lacunas no plano de ação apresentado na análise crítica pela diretoria.
« Graças à Datamensio, cumprimos nossas metas com muito mais eficiência. Os serviços de inspeção do FEDER e do nosso ministério supervisor apreciaram especialmente essa abordagem, que lhes traz dados confiáveis. »
Diretora da CCI 94CCI Île-de-France
« Acreditamos que essa é a solução mais adequada para levar nosso projeto de transformação em escala e medir o impacto de acordo com nossas necessidades. »
Maja SucekChief Operating Officer, Interreg Danube
Raramente sozinho
Um referencial se combina. Associe vários para cobrir sua atividade, ou peça para a IA escrever o seu.
Faça sua primeira mediçãoem ISO 22301.
Do que trata esse referencial
A ISO 22301 é a norma internacional de gestão da continuidade de negócios. Publicada em sua versão atual em 2019, ela é certificável por um organismo credenciado. Exige um escopo definido, uma análise de impacto sobre o negócio que identifica as atividades prioritárias e seus prazos máximos de interrupção admissíveis, estratégias e soluções de continuidade proporcionais, procedimentos de resposta e gestão de crise, um programa de exercícios e testes, além de uma análise crítica pela diretoria. No setor financeiro, esses requisitos se cruzam com os da DORA, de Basileia III e das expectativas dos supervisores quanto à resiliência operacional.
Na prática, o dispositivo é difícil de ser gerenciado. A documentação quase sempre existe, mas sua fidelidade ao funcionamento real é bem mais rara. Os prazos de interrupção admissíveis foram validados pelas áreas de negócio, ou definidos pela equipe de riscos? As dependências em relação a prestadores críticos, infraestruturas de mercado e fornecedores de dados estão mapeadas até o fim da cadeia? O último exercício gerou constatações corrigidas, ou apenas um relatório arquivado? Essas perguntas se colocam entidade por entidade, e as respostas divergem dentro de um mesmo grupo.
Uma confusão frequente merece ser esclarecida: a ISO 22301 não é o plano de recuperação de TI. A recuperação técnica, coberta especialmente pela ISO 27031, é apenas um componente das soluções de continuidade. A norma trata das atividades de negócio, sua priorização, os modos de funcionamento degradado e a condução de crises. No setor bancário e de seguros, a entrada em vigor da DORA deslocou o foco: os testes de resiliência, o monitoramento de prestadores de serviços digitais críticos e a notificação de incidentes se tornam exigíveis, e um sistema ISO 22301 maduro constitui a base reutilizável para isso.
O diagnóstico de maturidade responde a uma pergunta diferente da auditoria de certificação. A auditoria verifica a presença dos requisitos e conclui por uma conformidade ou uma não conformidade. O diagnóstico posiciona cada prática em uma escala progressiva e indica a ação que leva ao nível seguinte. A Datamensio mede a maturidade e prepara a auditoria, mas não emite nenhum certificado. A pontuação por tema se compara entre unidades de negócio e ao longo do tempo, e a lacuna em relação à meta gera o plano de ação.
O referencial está pronto para uso e se adapta à sua organização. A IA ajusta os temas, as perguntas e os níveis ao seu setor e ao seu escopo, ou constrói uma versão personalizada a partir dos seus próprios documentos: política de continuidade, análises de impacto, relatórios de exercícios. Os modelos utilizados podem ser selecionados, inclusive entre soluções europeias.
Norma de referência: ISO 22301:2019
Os temas avaliados
Governança e política de continuidade
Política formalizada e aprovada, escopo do sistema de gestão, papéis e responsabilidades, envolvimento da diretoria, recursos alocados.
Análise de impacto sobre o negócio
Identificação das atividades prioritárias, prazos máximos de interrupção admissíveis, objetivos de recuperação, validação pelas áreas de negócio, frequência de atualização.
Avaliação dos riscos de interrupção
Cenários considerados, avaliação de probabilidades e impactos, articulação com o dispositivo de risco operacional, consideração dos incidentes ocorridos.
Dependências e prestadores críticos
Mapeamento das dependências internas e externas, infraestruturas de mercado, fornecedores de dados, cláusulas contratuais de continuidade, planos de saída.
Estratégias e soluções de continuidade
Opções adotadas por atividade prioritária, modos de funcionamento degradado, sites e recursos de contingência, redundância de sistemas, adequação aos objetivos de recuperação.
Procedimentos de resposta e gestão de crise
Dispositivo de alerta e escalonamento, comitê de crise e mandatos de decisão, procedimentos documentados, continuidade da liderança, comunicação interna e externa.
Comunicação com as partes interessadas
Informação a clientes, reguladores e contrapartes, notificação de incidentes dentro dos prazos regulatórios, coordenação com os prestadores.
Programa de exercícios e testes
Tipologia e realismo dos exercícios, cobertura das atividades prioritárias e dos prestadores, participação da alta liderança, tratamento das constatações.
Desempenho e monitoramento
Indicadores de continuidade, controles permanentes, auditorias internas, análise crítica pela diretoria, acompanhamento das lacunas até o encerramento.
Melhoria contínua e lições aprendidas
Análise das interrupções reais, atualização das análises de impacto e dos procedimentos, comparação de resultados ao longo do tempo, maturidade do próprio dispositivo.
Uma versão curta do referencial, com undefined perguntas, está disponível para autoavaliação on-line. A versão completa tem 10 temas e undefined perguntas.
Perguntas frequentes
A ISO 22301 é certificável, e a Datamensio emite a certificação?
A norma é certificável por um organismo credenciado. A Datamensio não certifica: ela mede a maturidade do dispositivo, documenta as lacunas e produz o plano de ação que prepara a auditoria de certificação.
Qual a diferença entre esse diagnóstico e uma auditoria de conformidade?
A auditoria verifica a presença dos requisitos e conclui por uma conformidade ou uma não conformidade. O diagnóstico posiciona cada prática em uma escala de maturidade e indica a ação que leva ao nível seguinte. Os dois se complementam: o diagnóstico prepara, a auditoria valida.
Quanto tempo leva a avaliação?
Uma autoavaliação conduzida pelo responsável pela continuidade se realiza em uma sessão de trabalho. No modo colaborativo, com as áreas de negócio, TI e compras, a coleta se estende por uma a duas semanas, sendo a maior parte do tempo dedicada às trocas com os colaboradores envolvidos.
É possível adaptar o referencial à nossa organização?
Sim. Os temas, as perguntas e os níveis são modificáveis, e você pode incluir seus próprios requisitos internos. A IA ajusta o referencial ao seu setor ou constrói uma versão personalizada a partir dos seus documentos de continuidade.
Como esse diagnóstico se articula com a DORA e as expectativas do supervisor?
A DORA retoma princípios convergentes: atividades críticas, testes de resiliência, monitoramento de prestadores, notificação de incidentes. Um diagnóstico ISO 22301 constitui uma base reutilizável. Um roteiro transversal permite consolidar várias auditorias sem duplicar as ações.
É preciso ter competências técnicas para responder?
As perguntas tratam das práticas de gestão da continuidade, não das configurações técnicas. Alguns pontos dizem respeito à recuperação de TI ou aos contratos com fornecedores: o modo colaborativo permite direcionar essas perguntas ao interlocutor correto.
É possível comparar os resultados entre entidades?
Sim. As avaliações realizadas com o mesmo referencial se comparam entre unidades de negócio, entre países e com suas próprias avaliações anteriores. A IA agrupa as lacunas em um roteiro priorizado, com custo, prazo e impacto esperado na pontuação.
Onde os dados ficam hospedados?
Na França, na OVH, com backup na Scaleway. Nenhuma transferência para fora da União Europeia. Os modelos de IA utilizados podem ser selecionados, inclusive entre soluções europeias.