Maturidade ISO 22301 · Continuidade de negócio e gestão de crises financeiras

A ISO 22301 é a norma internacional da gestão da continuidade de negócio. Publicada na sua versão atual em 2019, é certificável por um organismo acreditado. Exige um âmbito definido, uma análise de impacto no negócio que identifique as atividades prioritárias e os seus prazos máximos de interrupção admissíveis, estratégias e soluções de continuidade proporcionadas, procedimentos de resposta e gestão de crise, um programa de exercícios e testes, e depois uma revisão pela gestão. No setor financeiro, estes requisitos cruzam-se com os do DORA, de Basileia III e com as expectativas dos supervisores quanto à resiliência operacional.

Na prática, o dispositivo dificilmente se deixa pilotar. A documentação existe quase sempre, a sua fidelidade ao funcionamento real muito menos. Os prazos de interrupção admissíveis foram validados pelas áreas de negócio, ou fixados pela equipa de risco? As dependências face aos prestadores críticos, às infraestruturas de mercado e aos fornecedores de dados estão mapeadas até ao fim da cadeia? O último exercício produziu constatações corrigidas, ou um relatório arquivado? Estas questões colocam-se entidade a entidade, e as respostas divergem dentro do mesmo grupo.

Uma confusão frequente merece ser esclarecida: a ISO 22301 não é o plano de recuperação informática. A recuperação técnica, coberta nomeadamente pela ISO 27031, é apenas uma componente das soluções de continuidade. A norma incide sobre as atividades de negócio, a sua priorização, os modos de funcionamento degradado e a condução de crise. Na banca e nos seguros, a entrada em vigor do DORA deslocou o ponto de referência: os testes de resiliência, a vigilância dos prestadores de serviços digitais críticos e a notificação de incidentes tornam-se exigíveis, e um sistema ISO 22301 maduro constitui a base reutilizável.

O diagnóstico de maturidade responde a uma questão diferente da auditoria de certificação. A auditoria verifica a presença dos requisitos e conclui por uma conformidade ou um desvio. O diagnóstico situa cada prática numa escala progressiva e indica a ação que permite passar ao nível seguinte. A Datamensio mede a maturidade e prepara a auditoria, não emite qualquer certificado. A pontuação por domínio compara-se entre unidades de negócio e ao longo do tempo, e o desvio em relação ao objetivo gera o plano de ação.

O referencial está pronto a usar e adapta-se à sua organização. A IA ajusta os domínios, as perguntas e os níveis ao seu setor e ao seu âmbito, ou constrói uma versão a partir dos seus próprios documentos: política de continuidade, análises de impacto, relatórios de exercícios. Os modelos utilizados podem ser selecionados, incluindo entre soluções europeias.