Continuidade de negócios
Continuidade de negócios (PCN, PRD e GCN)
Do plano no papel à empresa que sabe o que fazer quando para.
Em que consiste este trabalho
Pegamos os processos que não podem parar e definimos como cada um volta a operar. As estratégias de recuperação são escolhidas com as alternativas e os custos na mesa e depois viram dois documentos, o plano de continuidade de negócios e o plano de recuperação de desastres, escritos para serem seguidos sob pressão, com passos e telefones.
Até onde ir é escolha sua: ficar só nos planos e assumir a manutenção com o seu time, montar o sistema de gestão completo alinhado à ISO 22301, com política, papéis definidos, treinamento e calendário de testes, ou contratar a operação contínua, em que nós mantemos tudo atualizado, conduzimos os testes e levamos o resultado ao seu comitê.
Do seu lado, precisamos do resultado do BIA, ou de fazê-lo antes quando não existir, e de acesso às pessoas que executam cada processo crítico e à equipe técnica que vai operar a recuperação. No fim, os planos existem, têm dono e quem vai usá-los sabe disso. Nas modalidades com exercício, eles já foram postos à prova uma vez antes do dia em que precisam valer.
Se o objetivo é a certificação ISO 22301, o sistema de gestão completo é o caminho que sustenta a auditoria. Nós preparamos e assessoramos; quem certifica é sempre o organismo independente.
Como conduzimos, etapa por etapa
As etapas e os entregáveis abaixo descrevem a modalidade Sistema de gestão completo. As outras modalidades aparecem quando você pede a proposta.
Definição de escopo
Fechamos por escrito o que entra e o que fica de fora, e por quê. Escopo mal definido é a causa mais comum de projeto que estoura prazo.
Diagnóstico de lacunas
Comparamos o que existe hoje com o que a referência exige, item a item, e classificamos cada lacuna por risco e por esforço de correção. O resultado sai em ordem de ataque: o que fazer primeiro e por quê, em vez de um inventário de tudo que está errado.
Estratégias de recuperação
Definimos como cada processo crítico volta a operar e a que custo, com as alternativas na mesa antes da escolha.
Elaboração dos planos
Escrevemos os planos no formato de quem vai usá-los no pior dia do ano: direto, com passos e telefones.
Implantação
Colocamos os controles de pé junto com o seu time, escrevemos o que precisa existir no papel e treinamos quem vai operar. Nada é dado por implantado sem estar funcionando na prática e sem alguém do seu lado sabendo sustentar.
Exercício
Colocamos as pessoas na situação e conduzimos. O que falha aqui é o que teria falhado de verdade.
O que não está incluso
- Contratação e custo do ambiente alternativo de recuperação, seja nuvem ou site físico, que é investimento seu junto ao provedor
- Execução técnica da recuperação durante um desastre real, que cabe à sua equipe ou ao provedor contratado
- A certificação ISO 22301 em si, que só um organismo certificador independente pode emitir
- O BIA, quando ainda não existe: é serviço próprio, vem antes e é o que diz quais processos estes planos precisam cobrir
- Implementação técnica das estratégias escolhidas, como replicação, backup ou redundância, que fica com a sua TI ou com o fornecedor
- Ferramenta ou software de gestão de continuidade: os planos funcionam em formato de documento, e a licença, se você quiser uma, é contratação sua
- Gestão de crises e comunicação de incidente, que respondem a outra pergunta e têm serviço próprio
- A auditoria interna do sistema de gestão para fins de certificação, que exige independência de quem implantou
Costuma vir junto
Não é pacote e não muda o que você já escolheu. É o que costuma aparecer logo depois, na experiência de quem já passou por isso.