Todo conselho conhece a pergunta e quase nenhum tem a resposta escrita: se o sistema central cair, se o prédio alagar, se o fornecedor crítico falir — quanto tempo a operação aguenta? A ISO 22301 existe para trocar essa angústia por três números e um plano ensaiado.
BIA: a fotografia do que não pode parar
A Análise de Impacto no Negócio (BIA) mapeia processos críticos e define o RTO (tempo máximo tolerável de parada) e o RPO (perda máxima tolerável de dados). Sem esses números, todo investimento em redundância é chute — com eles, você dimensiona exatamente o que precisa proteger primeiro e quanto vale cada hora de indisponibilidade.
Plano que não é testado é ficção
O coração da norma são os exercícios: simulados de mesa com a diretoria, testes técnicos de recuperação e lições registradas. Reguladores vêm elevando a régua — no sistema financeiro, resoluções do CMN/Bacen exigem gestão de continuidade e resposta a incidentes; na Europa, o DORA fez o mesmo para todo o setor financeiro. A tendência é essa exigência escorrer pelas cadeias de suprimento.
Estudos de mercado estimam o custo médio de indisponibilidade de sistemas críticos em dezenas de milhares de reais por hora em médias empresas — e o dado mais cruel: parte relevante das PMEs que sofrem um desastre grave sem plano fecha as portas em até dois anos.
Referências e legislação
- ISO 22301:2019 · Gestão de continuidade de negócios — requisitos
- Resolução CMN nº 4.893/2021 · Política de segurança cibernética e continuidade para instituições financeiras — acessar
- Regulamento (UE) 2022/2554 (DORA) · Resiliência operacional digital no setor financeiro europeu
O primeiro exercício de mesa costuma ser constrangedor — papéis indefinidos, contatos desatualizados, decisões travadas. Ótimo: melhor descobrir isso num ensaio de duas horas do que numa crise de madrugada.
— Núcleo Técnico EBAEM · Empresa Brasileira de Assessoria Executiva e Multidisciplinar
Como a EBAEM ajuda: fale com nosso time e transforme este tema em plano de ação na sua organização.