Este termo relativamente novo, «Resiliência Operacional», leva muitas pessoas a perguntar: «Será o mesmo que recuperação de negócios?», ou «Qual é a diferença?». Embora existam semelhanças, deixem-me explicar as diferenças. Existem semelhanças, mas deixem-me tentar mostrar em que medida são diferentes.
A Resiliência Operacional representa uma evolução em relação à recuperação tradicional dos negócios (também designada por Continuidade de Negócios ou Recuperação de Desastres de TI), passando de uma abordagem centrada exclusivamente na capacidade de recuperar a atividade empresarial em caso de perturbação para uma abordagem que visa tornar a empresa resiliente, de modo a minimizar os impactos das perturbações e permitir que a organização continue a funcionar mesmo quando estas ocorrem. Tendo em conta que uma empresa média pode perder até 10% do seu valor devido a uma perturbação, a Resiliência Operacional centra-se em medidas preventivas destinadas a reduzir esses impactos potenciais.
Continuidade de Negócios Tradicional
Há décadas que as organizações em todo o mundo dispõem de funções de Continuidade de Negócio para ajudar a empresa a recuperar após uma interrupção. Isto implica documentar e testar planos de recuperação centrados nos processos empresariais internos, nas instalações, nas pessoas e nos sistemas de TI. As análises de impacto nos negócios (BIAs) identificam quais os processos empresariais internos ou sistemas de TI que são mais críticos para a empresa. Gostaria de salientar que esta abordagem é reativa (recuperação) e centrada no interior da empresa (processos empresariais internos, sistemas de TI, etc.).
Resiliência operacional
Este conceito teve origem junto dos reguladores do setor dos serviços financeiros, principalmente no Reino Unido. Foram implementadas regulamentações recentes que estão a ter repercussões em todo o mundo, à medida que outras entidades reguladoras globais seguem o exemplo. Ao contrário da Continuidade de Negócios, a Resiliência Operacional é mais eficaz na preparação das organizações para perturbações resultantes de pandemias, escassez na cadeia de abastecimento, perturbações geopolíticas e ciberataques.
Os principais componentes da Resiliência Operacional estão implícitos no próprio termo. Operacional (a forma como a empresa funciona) Resiliência (implementação de medidas para reduzir o impacto de perturbações). Trata-se de uma abordagem proativa em oposição a uma reativa.
Outra distinção reside no foco. A resiliência operacional começa pela identificação dos produtos e serviços mais importantes que a empresa oferece aos seus clientes. Trata-se de um enfoque voltado para o exterior. Devido a esse foco, as prioridades e os indicadores podem ser muito diferentes. O indicador mais importante é a «tolerância ao impacto», ou seja, até que ponto um cliente ou a própria empresa pode ser afetado antes que a perturbação seja considerada intolerável. Por exemplo, se o nosso portal de banca online estiver em baixo e os clientes não conseguirem aceder ao seu dinheiro, durante quanto tempo será isso tolerável para um cliente? Ou, se a empresa estiver a perder receitas devido à indisponibilidade da banca online, de quanto pode a empresa dar-se ao luxo de perder? As métricas referem-se ao impacto real — dólares e cêntimos, neste exemplo. Esta análise conduz a uma abordagem diferente da simples existência de planos de recuperação para quando a banca online estiver em baixo. A empresa será muito mais proativa nas medidas que tomar para garantir que o serviço bancário online não fique inoperacional de forma alguma.
Já abordei alguns exemplos da diferença entre a recuperação de negócios e a resiliência operacional. Aqui está uma tabela que destaca algumas dessas diferenças.
| | Recuperação de Negócios/TI | Resiliência operacional |
|---|---|---|
| Objetivos | Centrado na recuperação do que foi interrompido | Dedicados a reforçar a resiliência em toda a organização |
| Análise do Impacto nos Negócios | Dedicado a determinar o grau de importância dos processos empresariais internos | Dedicado a identificar os produtos e serviços importantes oferecidos aos clientes |
| Métricas | Objetivo de Tempo de Recuperação e Objetivo de Ponto de Recuperação | Tolerâncias ao impacto, tais como: o que os clientes podem tolerar caso os nossos produtos e serviços lhes sejam interrompidos. quanto de receita podemos dar-nos ao luxo de perder caso os nossos produtos e serviços sejam interrompidos |
| Gestão de riscos | A equipa de BCM realiza uma análise superficial dos riscos | A coordenação com a função de gestão de riscos é fundamental para que exista uma abordagem única em matéria de riscos em toda a empresa. Frequentemente designada por «Gestão Integrada de Riscos» |
| Testes | Consiste, normalmente, na análise detalhada dos planos de recuperação para verificar se fazem sentido | Testes abrangentes de cenários para avaliar o que pode correr mal e como devemos reagir. Que medidas operacionais temos ou precisamos de implementar. |
| Dependências | Concentre-se num processo empresarial, num sistema informático ou numa instalação. Por vezes, é importante ter em conta as interdependências | Começando pelo produto/serviço oferecido ao cliente, identifique os processos empresariais, os sistemas, as pessoas, os dados, as instalações e os terceiros envolvidos na prestação desse produto/serviço – e, em seguida, incorpore resiliência em toda esta «cadeia de valor» |
| Terceiros | Certifique-se de que têm os seus próprios planos de recuperação | As tolerâncias ao impacto dos terceiros têm de corresponder às nossas. Fazem parte da cadeia de valor acima referida e temos de garantir que são tão resilientes quanto a nossa empresa. |
Há quem diga que não há grande diferença, mas, tendo passado os últimos 30 anos da minha carreira nesta área, posso afirmar que se trata de uma evolução. Embora, por enquanto, seja um tema decorrente da regulamentação, trata-se de uma boa prática que todas as organizações deveriam adotar.
Para mais informações, consulte os recursos publicados na Archer Operational Resilience. Contacte-nos para falar com um especialista da Archer.
