Maturidade · Norma nacional dos Emirados de gestão da continuidade de negócio
A sua continuidade de negócio medida no referencial dos Emirados, e traduzida num plano de ação orçamentado.
10 domínios, uma escala de 5 níveis. E a ação que faz passar de um nível para o seguinte.
Os 10 domínios do referencial, já redigidos de N1 a N5. Uma empresa, uma unidade de negócio, ou 300 de uma vez.
Maturidade · Norma nacional dos Emirados de gestão da continuidade de negócio
10 domínios, escala de 5 níveis.
Nordhavn Industries
53 / 100
Medem a sua maturidade com a Datamensio
Um exemplo
Esta situação podia ser a sua.
Vejamos o exemplo de uma empresa: três instalações, três folhas de cálculo, nenhuma resposta comum.
Ninguém sabe consolidar.
Nordhavn Industries, 2 400 pessoas em Hamburgo, Lyon e Porto. Um cliente pergunta em que ponto está o grupo. Cada instalação responde na sua folha de cálculo, com as suas próprias escalas.
Três semanas, uma única base.
Um diagnóstico AE/SCNS/NCEMA 7000:2021, Business Continuity Management Standard (Émirats arabes unis) lançado nas três instalações ao mesmo tempo, a partir das notas de entrevista dos responsáveis. O referencial já estava escrito, os 10 domínios e os níveis N1 a N5 também.
Duas despesas evitadas antes de serem assumidas.
Uma pontuação de 53 em 100, um desvio concentrado em três domínios. O assistente de IA detetou que duas ações do plano duplicavam as de outro diagnóstico. O relatório de resultados para a comissão foi pedido numa frase.
O que isto lhes evitou
- 3instalações medidas na mesma base, em vez de três questionários a retrabalhar
- 2ações duplicadas detetadas antes da despesa
- 1relatório de resultados para a comissão, sem retrabalho manual
Estes números são os de um exemplo. Podiam ser os seus.
A norma impõe processos. A Datamensio diz onde está.
01
O referencial já está escrito
Domínios, perguntas e níveis N1 a N5 redigidos. Não parte de uma folha de cálculo em branco.
02
A pontuação sai no próprio dia
Online, por link de autoavaliação ou em entrevista. Domínio a domínio, comparável ao longo do tempo.
03
O desvio transforma-se num plano com custos
Cada passagem de nível tem a sua ação. A IA prioriza pelo efeito esperado, não pela ordem da norma.
04
A progressão demonstra-se
Campanha após campanha, face ao seu objetivo e ao seu histórico. É isso que a sua comissão executiva pede.
A escala de maturidade
Um nível, o seguinte, e a ação que liga os dois.
É este mecanismo (um nível, um nível superior, e a ação que liga os dois) que transforma uma constatação numa trajetória.
O programa de exercícios cobre os processos críticos e origina ações corretivas acompanhadas?
- N1
Não foi realizado nenhum exercício. Os planos existem no papel e nunca foram postos à prova.
- N2
Realizam-se exercícios pontuais, muitas vezes com o mesmo cenário. As constatações são referidas na reunião mas não originam um acompanhamento formalizado.
- N3
Um programa anual cobre os processos críticos. Cada exercício é objeto de um relatório e de ações corretivas atribuídas a um responsável.
- N4
Os cenários variam e incluem a célula de crise e os prestadores críticos. As ações corretivas são encerradas nos prazos e verificadas no exercício seguinte.
- N5
O programa é revisto todos os anos em função dos incidentes ocorridos, da evolução das atividades e dos cenários nacionais. Os ensinamentos alimentam a atualização dos planos e da análise de impacto, com rastreabilidade das revisões.
Ação para passar de N2 a N3
Estabelecer um calendário anual de exercícios que cubra cada processo crítico, designar para cada exercício um relator que produz um relatório em quinze dias, e inscrever o acompanhamento das ações corretivas na ordem de trabalhos do comité de pilotagem trimestral.
« Graças à Datamensio, cumprimos os nossos objetivos com muito mais eficácia. Os serviços de inspeção do FEDER e do nosso ministério de tutela apreciaram particularmente esta abordagem, que lhes fornece dados fiáveis. »
Diretora da CCI 94CCI Île-de-France
« Consideramos que é a solução mais adequada para levar o nosso projeto de transformação à escala e medir o impacto de acordo com as nossas necessidades. »
Maja SucekChief Operating Officer, Interreg Danube
Raramente sozinho
Um referencial combina-se. Associe vários para cobrir a sua atividade, ou peça à IA para escrever o seu.
Faça a sua primeira medição
Sobre o que trata este referencial
A norma nacional dos Emirados de gestão da continuidade de negócio é o quadro de referência publicado pela National Emergency Crisis and Disasters Management Authority (NCEMA). Aplica-se a entidades governamentais federais e locais, bem como a organizações privadas que operam em atividades consideradas sensíveis ou críticas para o país. Segue a lógica do ciclo de vida da continuidade: política e governação, análise de impacto na atividade, avaliação de riscos, estratégias de recuperação, planos documentados, programa de exercícios, revisão e melhoria. A conformidade é verificada através de auditorias conduzidas ou mandatadas pela autoridade, com níveis de avaliação atribuídos às entidades.
Na prática, o dispositivo é difícil de gerir porque assenta em dados que envelhecem rapidamente. A análise de impacto foi refeita desde a última reorganização, ou remonta ao dossiê elaborado para a auditoria anterior? Os tempos máximos de interrupção admissíveis foram validados pelas áreas de negócio, ou fixados pela equipa de continuidade por falta de resposta? Os exercícios cobrem os cenários realmente plausíveis no local, ou repetem todos os anos o mesmo cenário porque é fácil de organizar? Estes desvios não aparecem numa pasta de planos atualizados.
Um ponto de contexto surge com frequência: a norma dos Emirados e a ISO 22301 partilham uma arquitetura próxima, mas não se substituem mutuamente. O quadro nacional acrescenta exigências próprias, nomeadamente a articulação com os dispositivos nacionais de gestão de crises e emergências, os canais de notificação à autoridade e a consideração dos riscos locais. Uma organização certificada pela ISO 22301 dispõe de uma base sólida, mas isso não significa que tenha demonstrado o seu alinhamento com os requisitos dos Emirados. O inverso também é verdade.
O diagnóstico de maturidade responde a uma questão diferente da auditoria. A auditoria conclui por um desvio ou uma conformidade relativamente a um requisito. O diagnóstico situa cada prática numa escala progressiva e indica a ação que permite passar ao nível seguinte. Para um grupo presente em vários locais ou várias entidades nos Emirados, esta leitura permite comparar as unidades de negócio entre si, medir a progressão de uma campanha para outra e decidir onde investir primeiro.
No Datamensio, o referencial está pronto a utilizar. Pode adaptá-lo ao seu contexto: a IA ajusta os domínios, as perguntas e os níveis, ou constrói uma versão a partir dos seus próprios documentos, política de continuidade, planos existentes ou relatórios de exercícios.
Norma de referência: AE/SCNS/NCEMA 7000:2021, Business Continuity Management Standard (Émirats arabes unis)
Os domínios avaliados
Política e governação da continuidade
Existência de uma política aprovada pela direção, âmbito declarado, papéis e responsabilidades, comité de pilotagem, recursos atribuídos ao programa.
Quadro regulamentar e relação com a autoridade
Identificação das obrigações aplicáveis, pontos de contacto designados, canais de notificação, acompanhamento das recomendações resultantes de avaliações anteriores.
Análise de impacto na atividade
Inventário dos processos críticos, tempos máximos de interrupção admissíveis, objetivos de recuperação, dependências internas, validação pelos responsáveis de processo.
Avaliação de riscos e cenários
Identificação das ameaças relevantes para o local e o setor, cenários selecionados, probabilidade e impacto, articulação com os riscos nacionais identificados.
Estratégias de continuidade e recuperação
Opções escolhidas por processo, locais de contingência, redundância de sistemas, recursos humanos de reserva, equilíbrio entre custo e prazo de recuperação.
Planos de continuidade e gestão de crises
Conteúdo e acessibilidade dos planos, procedimentos de ativação, limiares de acionamento, célula de crise, cadeia de decisão e de substituição.
Cadeia de fornecimento e prestadores críticos
Mapeamento dos fornecedores essenciais, requisitos contratuais de continuidade, alternativas identificadas, verificação dos dispositivos de terceiros.
Comunicação de crise
Diretório de crise, mensagens preparadas, porta-vozes designados, informação dos colaboradores, clientes e autoridades, meios de reserva se os canais habituais falharem.
Formação, sensibilização e exercícios
Programa anual de exercícios, variedade de cenários, participação da direção, relatórios, acompanhamento das ações corretivas resultantes dos exercícios.
Monitorização, revisão e melhoria
Indicadores de desempenho do dispositivo, auditorias internas, revisão pela direção, atualização após incidente ou reorganização, histórico de versões.
Está disponível uma versão curta do referencial para a auto-avaliação online.
Perguntas frequentes
Este diagnóstico atribui uma conformidade com a norma dos Emirados?
Não. O Datamensio mede a maturidade das suas práticas e prepara a avaliação conduzida pela autoridade ou por um organismo mandatado. Obtém uma pontuação por domínio, a lista dos desvios e o plano de ação para os resolver, não um certificado.
Qual a diferença entre este diagnóstico e uma auditoria de conformidade?
A auditoria verifica a presença de um requisito e conclui por conforme ou não conforme. O diagnóstico situa cada prática numa escala de cinco níveis e indica a ação que permite passar ao nível seguinte. Os dois são complementares: o diagnóstico prepara, a auditoria valida.
Já estamos certificados pela ISO 22301. Este diagnóstico traz alguma vantagem?
Sim. Os dois quadros partilham uma arquitetura próxima, mas o referencial dos Emirados acrescenta exigências próprias, nomeadamente a articulação com os dispositivos nacionais de gestão de crises e os canais de notificação à autoridade. O diagnóstico evidencia o que já está coberto pelo seu sistema de gestão e o que ainda falta construir no perímetro local.
Quanto tempo demora a avaliação?
A versão curta preenche-se numa única sessão por um responsável de continuidade. A versão completa, em modo colaborativo, decorre ao longo de uma a duas semanas: a maior parte do tempo é utilizada para recolher elementos junto dos responsáveis de processo, da DSI e dos locais.
É possível adaptar o referencial à nossa organização?
Sim. Pode modificar as perguntas, as formulações de níveis e os domínios, ou acrescentar os seus próprios. A IA gera uma versão a partir da sua política de continuidade e dos seus planos existentes, e afina os níveis segundo a metodologia CMMI. O referencial é seu.
É possível comparar vários locais ou várias entidades?
Sim. O diagnóstico pode ser lançado em campanha para tantas entidades quantas necessárias, com um benchmark entre unidades de negócio e face a campanhas anteriores. Os desvios consolidados alimentam um roteiro transversal em vez de um plano de ação por local.
O que acontece depois do diagnóstico?
O desvio entre a pontuação obtida e o alvo gera o plano de ação. A IA agrupa-o num roteiro priorizado, e o catálogo de serviços apresenta uma solução para cada elemento, com custo, prazo e impacto esperado na pontuação. O relatório de resultados às direções e às entidades é feito num espaço colaborativo com a sua identidade visual.
Onde estão alojados os dados?
Em França, na OVH, com cópia de segurança na Scaleway. Nenhuma transferência fora da União Europeia. Os modelos de IA utilizados podem ser selecionados, incluindo entre soluções europeias.