A Continuidade de Negócios e a Resiliência Operacional são conceitos intimamente relacionados, ambos destinados a garantir a capacidade de uma organização continuar funcionando diante de interrupções, mas têm escopos e abordagens bem diferentes.
A Continuidade de Negócios, antecessora da Resiliência Operacional, sempre fez parte do arcabouço de Gestão de Risco Operacional das organizações de serviços financeiros. As atividades tradicionais de continuidade de negócios incluíam a conclusão de uma análise periódica do impacto nos negócios (Business Impact Analysis - BIA), a atualização e teste dos planos de contingência anualmente, treinamentos específicos para os times envolvidos nesses planos e a solicitação a todos os funcionários para conhecer e armazenar devidamente uma cópia dos planos consigo.
Com a crescente digitalização e a dependência da tecnologia, ao longo dos anos, o aumento do risco de perturbações graves fez com que a continuidade dos negócios ganhasse mais foco e ampliasse seu escopo. As organizações começaram a aumentar a profundidade das suas capacidades de recuperação e a frequência dos seus testes.
Depois, após uma série de falhas significativas no sistema, a resiliência operacional ganhou claramente destaque em 2018, quando um documento de discussão conjunta das autoridades reguladoras do Reino Unido introduziu o conceito de “tolerâncias ao impacto”, o que levou as empresas a começarem a pensar seriamente sobre os tipos de falhas que podem ocorrer e que seriam intoleráveis tanto para os seus clientes como para os mercados de serviços financeiros (o link para esse documento do Banco da Inglaterra está no final desse artigo).
Esta iniciativa gerou um debate mundial importante, inclusive com o estabelecimento da definição formal de Resiliência Operacional como “a capacidade de uma organização de identificar e se proteger contra ameaças e falhas potenciais, responder e adaptar-se, bem como recuperar e aprender com eventos disruptivos”.
Desnecessário dizer que a ênfase das empresas e dos reguladores durante a pandemia de Covid-19 em 2020 foi quase inteiramente colocada na questão da resiliência. A Covid-19 redirecionou a discussão para uma área que antes estava largamente relacionada com a tecnologia.
Conforme observado pelo Banco de Compensações Internacionais (Bank of International Settlements – BIS), o planejamento da resiliência operacional antes da pandemia tinha sido impulsionado principalmente pelas “vulnerabilidades provocadas pela mudança tecnológica e por um ambiente cibernético cada vez mais hostil”.
A Covid-19, por outro lado, criou uma experiência bastante diferente, com as organizações tendo de lidar com uma perturbação generalizada e duradoura que teve um impacto significativo no seu ativo mais importante: os seus colaboradores.
Características de um Programa de Resiliência Operacional
De forma geral, o ciclo de vida da resiliência operacional pode ser descrito em 5 etapas:
1. Identificação dos serviços de negócios relevantes
Para ser operacionalmente resiliente, uma organização precisa de conseguir uma mudança de mentalidade, desenvolvendo uma visão “de fora para dentro”, ou seja, como um cliente a veria. Do ponto de vista do cliente, quando um serviço ou produto esperado não é entregue ou um compromisso não é cumprido, não é visível nem importante se o processo falhou nas operações, na tecnologia ou em alguma outra área. É apenas o resultado – a falha na entrega final do produto ou serviço – que importa. Neste contexto, torna-se cada vez mais importante que as organizações compreendam a interligação dos diferentes processos e aproveitem uma mentalidade de serviços de ponta a ponta; aquele em que os funcionários olham além de seus estreitos silos para o impacto no cliente final. A tarefa de mapear os serviços de negócios importantes pode ter como ponto de partida a revisão de Auto Avaliações de Riscos e Controles (Risk and Control Self Assessments - RCSA) baseados em processos, que já foram executados como parte da estrutura de gestão risco operacional.
2. Mapeamento de dependências
A maioria das organizações possui estruturas formais, políticas e mapas de processos que documentam seus serviços e listam dependências. Mas há um lado “mais suave” igualmente (se não mais) importante neste processo, através do qual os colaboradores melhoram a sua compreensão de como aquilo que fazem tem impacto em toda a cadeia de produção da organização e nos clientes externos. Quando a equipe consegue visualizar essa interconexão, isso permite ações preventivas mais ponderadas e robustas e respostas mais rápidas e coerentes. Os funcionários têm essa mentalidade centrada no cliente? E se não, que formação e educação são fornecidas pelos colegas de risco e resiliência para melhorá-la? As equipes de risco operacional já têm o hábito de ministrar treinamento e educação aos colaboradores, o que proporciona uma excelente oportunidade para incorporar alguns componentes de resiliência, em vez de criar programas de formação separados.
3. Definição de tolerâncias de impacto e teste via cenários
As tolerâncias ao impacto articulam o nível máximo tolerável de interrupção de um serviço de negócio importante, incluindo a duração da interrupção. Definir essas tolerâncias exige que as organizações pensem nos piores cenários, o que pode criar uma sobreposição significativa entre os universos de risco operacional e resiliência. A análise de cenários de risco operacional pode muito bem abordar tópicos importantes (como fraude, incumprimento regulamentar ou processos judiciais trabalhistas) mas que possuem muito mais impacto nas questões de cálculo de capital de risco requerido do que nas capacidades de resiliência dos serviços de negócio relevantes da organização. Porém, muitas vezes são avaliados cenários de risco operacional onde dificilmente se pode esperar que uma empresa detenha capital contra o risco, como por exemplo, grandes avarias na infraestrutura externa, indisponibilidade do fornecimento de energia ou da rede nacional de pagamentos. Consequentemente, existe uma área de sobreposição entre os cenários de resiliência operacional e os cenários de risco operacional, que consiste em temas de interesse mútuo. Estes podem incluir: terceirização e falhas de fornecedores, indisponibilidade de pessoas, tempo de inatividade da tecnologia, corrupção de dados, destruição das instalações etc. Esses temas são relevantes para ambas as disciplinas e, ao se trabalhar em conjunto, os enredos dos cenários podem ser alinhados, enriquecendo toda a experiência de ambos os lados.
4. Monitoramento, gerenciamento e tratamento de interrupções
Para permanecer dentro das tolerâncias ao impacto de forma contínua, é fundamental ser capaz de evitar e recuperar de perturbações dentro de prazos e parâmetros definidos, e identificar e gerir proativamente ameaças e vulnerabilidades. Cada organização deve decidir como a resiliência operacional se enquadra na sua taxonomia de riscos, permitindo fluxos de informação transparentes e significativos em toda a organização. Uma área de potencial interação entre resiliência e gestão de risco operacional é a de captura e reporte de eventos de risco operacional. As organizações podem procurar implementar uma única rota de notificação para eventos perturbadores relevantes, sejam eles relacionados à TI ou não. O canal utilizado para reportar eventos materiais de risco operacional pode ser claramente seguido para uma escalada rápida, integrado com um plano de comunicação de crises que descreva como será a comunicação com as partes interessadas internas e externas durante uma interrupção. Isto permite que a organização responda mais rapidamente a um evento, bem como se comunique prontamente com clientes, funcionários e reguladores.
5. Lições aprendidas e autoavaliação de conformidade com processo
As lições aprendidas e a autoavaliação de conformidade são componentes essenciais de um processo de Resiliência Operacional, ajudando as organizações a melhorar a sua resiliência, a adaptar-se às mudanças nas circunstâncias e a garantir a conformidade com regulamentos e padrões relevantes. Essa etapa, quando bem implementada, deve obrigatoriamente incluir:
Análise pós-incidente: avaliação do que deu certo e o que não deu durante os esforços de resposta e recuperação do incidente. Esta análise pode ajudar a identificar lacunas, pontos fracos e áreas de melhoria nas estratégias de resiliência operacional.
Documentação: a documentação deve incluir detalhes sobre o incidente, as ações tomadas, os resultados e quaisquer recomendações de melhoria. Crie um repositório centralizado para essas lições, tornando-as facilmente acessíveis às equipes relevantes.
Análise da causa raiz (ou fator de risco): compreender os problemas subjacentes que levaram ao incidente pode ajudá-lo a resolvê-los de forma eficaz para evitar interrupções semelhantes no futuro.
Melhoria contínua: atualização das estratégias, políticas e procedimentos de resiliência operacional com base nos insights obtidos.
Treinamento e conscientização: incorporação das lições aprendidas nos programas de treinamento e conscientização dos funcionários.
Importante lembrar que as lições aprendidas que são úteis para fins de resiliência operacional podem já existir no espaço de gestão de risco operacional, por exemplo, a partir do registro e análise eventos de risco. A estrutura, formato e rigor do processo de gestão de eventos de risco podem ser replicados para fins de resiliência e implementados em toda a organização.
Com base em tudo que foi descrito acima, eu entendo que a Continuidade de Negócios, como parte integrante da Gestão de Risco Operacional, pode ser encarada como um subconjunto da Resiliência Operacional, com um foco mais restrito na continuidade de funções e processos críticos da própria organização, ou seja, possui um olhar de “dentro para dentro".
A Resiliência Operacional, por outro lado, abrange um conjunto mais amplo de estratégias e práticas que visam garantir a capacidade de uma organização se adaptar e prosperar face a perturbações, incluindo funções críticas e não críticas, que impactem de maneira significativa os processos de negócio mais importantes para a organização e que afetem os seus clientes, ou seja, um olhar de “fora para dentro".
Embora a Continuidade de Negócios seja um componente essencial da Resiliência Operacional, esta última adota uma abordagem mais abrangente e holística à gestão de riscos e ao planeamento da resiliência. Porém, é óbvio que a Resiliência Operacional se beneficia de uma gestão eficaz de risco operacional.
É essencial que as organizações garantam que os seus arcabouços de gestão de risco existentes, que seus planos de continuidade de negócio e que o gerenciamento de dependências de terceiros estejam implementados de forma consistente, de forma que estejam integrados com o processo de Resiliência Operacional. Para garantir essa integração, as organizações devem garantir que:
A resiliência operacional não seja tratada como uma categoria taxonômica separada, mas como resultado da materialização dos riscos operacionais.
Os enredos dos cenários de risco operacional sejam comparados e revisados em relação aos cenários de resiliência.
Os resultados do RCSAs também sejam considerados no âmbito da resiliência operacional e, sempre que possível, devem ser utilizados RCSAs baseados em processos.
Análises preliminares no sentido da convergência da escalada de eventos de risco com outros tipos de incidentes (por exemplo, relacionados com a tecnologia), em um trabalho conjunto com a equipe de TI.
No futuro, com certeza ocorrerão inevitavelmente perturbações mais repentinas e específicas do que a Covid-19. Nestas circunstâncias, as organizações que investiram na construção de capacidades sólidas de resiliência – com profissionais de risco e resiliência trabalhando de forma sinérgica – serão aquelas que estarão mais bem preparadas para esses novos desafios.
Referências
Bank of England, Prudential Regulation Authority, Financial Conduct Authority (2018) Building the UK Financial Sector’s Operational Resilience www.bankofengland.co.uk/-/media/boe/files/prudential-regulation/discussion-paper/2018/dp118.pdf
