O que é continuidade de negócios e como manter a empresa operando durante uma crise?

O que é a análise de impacto no negócio?

A etapa de identificar atividades críticas e impactos tem nome: análise de impacto no negócio, conhecida pela sigla BIA (Business Impact Analysis). Para cada processo, ela avalia o que acontece se a atividade parar por uma hora, um dia ou uma semana, considerando efeitos financeiros, legais, contratuais e de imagem. O resultado indica:

• O tempo máximo que cada atividade pode ficar parada antes de causar dano grave.
• O prazo de recuperação de cada sistema e a perda de dados tolerada, que se traduzem em RTO e RPO.
• Os recursos mínimos para operar em contingência: pessoas, equipamentos, sistemas, locais e fornecedores.
• As dependências entre áreas, como a expedição, que não despacha mercadorias sem a nota fiscal emitida pelo faturamento.

A norma ISO 22301, publicada no Brasil pela ABNT, descreve como estruturar um sistema de gestão de continuidade. Ela serve como referência mesmo para quem não pretende buscar a certificação.

O que um plano de continuidade costuma conter?

• Critérios de acionamento: quais situações ativam o plano e quem tem autoridade para declarar a crise.
• Equipe de crise: papéis definidos, com substitutos para cada função.
• Comunicação: como avisar colaboradores, clientes e fornecedores. Em incidentes com dados pessoais, inclui avaliar a comunicação à ANPD e aos titulares prevista na LGPD.
• Procedimentos alternativos: formas manuais ou provisórias de seguir operando, como registrar pedidos em formulário ou usar a contingência prevista para a emissão de nota fiscal eletrônica.
• Locais e trabalho remoto: onde as pessoas vão trabalhar se o prédio estiver inacessível.
• Fornecedores críticos: contatos, contratos e alternativas.
• Recuperação de tecnologia: ligação com o plano de Disaster Recovery e a ordem de retomada dos sistemas.

Como isso funciona em uma crise real?

Imagine um ataque de ransomware que derruba o ERP de uma distribuidora numa segunda-feira de manhã. Enquanto a TI isola o ambiente e inicia a recuperação, o plano de continuidade responde a outras perguntas. O comercial sabe que deve registrar pedidos em uma planilha padronizada. O financeiro prioriza folha e pagamentos que não podem atrasar. A expedição organiza as entregas urgentes a partir de relatórios extraídos periodicamente para essa finalidade. Um porta-voz definido avisa os clientes sobre prazos, sem improviso.

O mesmo raciocínio vale para situações menos dramáticas, como a ausência do único funcionário que sabe operar um sistema específico. Documentar esse conhecimento e treinar substitutos também é continuidade.

Como manter o plano atualizado e útil?

Um plano guardado em uma pasta envelhece rápido. Telefones mudam, fornecedores são trocados e novos sistemas entram em produção. Algumas práticas ajudam:

• Exercícios de mesa: a equipe de crise percorre um cenário simulado em reunião e verifica se decisões e contatos funcionam.
• Testes parciais: acionar um local alternativo ou uma rotina manual por algumas horas.
• Revisão após mudanças: nova filial, novo sistema crítico, troca de fornecedor ou reorganização de áreas.
• Aprendizado com incidentes: cada interrupção real, mesmo pequena, gera ajustes. O formato de postmortem sem culpa ajuda a encontrar causas sem procurar culpados.

Um responsável pelo programa e uma agenda anual de testes evitam que a continuidade dependa da boa vontade de cada área.