Maturidade ISO 22316 · Gestão da resiliência organizacional

A ISO 22316 trata da segurança e da resiliência, mais precisamente da capacidade de uma organização absorver perturbações, adaptar-se a elas e prosseguir as suas atividades. Publicada em 2017, não formula requisitos mas descreve princípios e uma série de atributos: uma visão e uma razão de ser partilhadas, uma compreensão do contexto interno e externo, uma liderança capaz de decidir na incerteza, uma cultura que sustenta a resiliência, uma informação partilhada, recursos disponíveis, uma coordenação entre as disciplinas de gestão, e uma melhoria contínua alimentada pela experiência. É um quadro de pilotagem, não uma checklist.

Esta natureza torna o tema difícil de gerir. A resiliência não se lê em nenhum painel de controlo existente: reparte-se entre a continuidade de atividade, a gestão de riscos, a segurança, os recursos humanos, a cadeia de fornecimento e a comunicação, cada uma com as suas próprias instâncias. As questões que se repetem são concretas. Quem decide quando duas disciplinas propõem respostas contraditórias? As decisões tomadas durante a última perturbação alteraram algo na organização, ou ficaram apenas no relatório? As dependências críticas, fornecedores, sistemas, competências raras, são conhecidas para além das equipas que as operam?

Uma confusão surge com frequência: a ISO 22316 e a ISO 22301 não abrangem o mesmo objeto. A ISO 22301 estabelece requisitos para um sistema de gestão da continuidade de atividade e é certificável. A ISO 22316 alarga o quadro à capacidade global da organização, para além dos cenários de rutura identificados, e não é certificável. Uma organização pode dispor de um plano de continuidade testado e continuar frágil na coordenação, na cultura ou na adaptação. O inverso é mais raro, mas existe.

O diagnóstico de maturidade responde a uma questão diferente da auditoria. A auditoria conclui com um desvio ou uma conformidade. O diagnóstico situa cada atributo numa escala progressiva, em cinco níveis construídos segundo o método CMMI, e indica a ação que permite passar ao nível seguinte. O desvio entre a pontuação obtida e o objetivo gera diretamente o plano de ação, que a IA agrupa num roteiro priorizado. As unidades de negócio comparam-se entre si e com a sua própria avaliação anterior.

No Datamensio, o referencial está pronto a usar e continua a ser seu. A equipa ajusta os domínios, as perguntas e a formulação dos níveis. A IA aperfeiçoa esses níveis, adapta o vocabulário ao seu setor, ou constrói uma variante a partir dos seus próprios documentos: política de continuidade, relatos de crises anteriores, mapeamento das dependências.