Norma ABNT NBR 15999-2: garante a continuidade das operações das organizações

Originária da BS 25999-2, a norma ABNT NBR 15999-2 especifica os requisitos de um plano para manter a operação em funcionamento em caso de algum alguma ocorrência grave no ambiente de negócio. O seu objetivo é garantir os processos fundamentais para que a empresa após ter passado por um incidente gerador de uma ruptura do negócio, retorne à sua condição normal, conseguindo desta forma, minimizar os prejuízos.

Criada pelo BSI em 2006, a norma britânica BS 25999 foi publicada no Brasil em outubro de 2007 pela ABNT com o nome ABNT NBR 15999, sendo a primeira norma para o gerenciamento da continuidade do negócio, que estabelece os processos, princípios e terminologias da Gestão da Continuidade do Negócio (GCN) ou Business Continuity Management (BCM). Ela prove a base para o entendimento, desenvolvimento e implementação da continuidade do negócio dentro das organizações, bem como proporciona confiança nos negócios entre empresas e seus pares. Ela foi desenvolvida por praticantes da comunidade global e é desenhada para propiciar à organização, uma grande capacidade de restabelecer seus principais processos dentro de uma condição e prazo anteriormente acordados.

Conteúdo

Escopo

Define o escopo da norma, os requisitos para a sua implementação e como documentar o sistema de gestão da continuidade dos negócios.

Referencias Normativas

O pedido será revisto para assegurar que seja dentro do âmbito de aplicação da CB da acreditação. O CB irá reunir uma equipe de auditoria para corresponder ao Cliente da indústria específica e ambiente tecnológico.

Definições e Termos

Esta seção descreve as terminologias e definições usadas dentro do corpo da norma.

Planejando o Sistema de Gestão de Continuidade do Negócio (SGCN)

Essa segunda parte da norma é baseada no modelo de Melhoria Contínua (Planejar-Executar-Checar-Agir). O primeiro passo é planejar o SGCN, estabelecendo e inserindo dentro da organização.

Implementando e Operando o SGCN

Esta seção abrange quatro seções da Parte 1 da norma, que é entender a organização, determina a estratégia de continuidade de negócios, desenvolver e implementar uma resposta para a Continuidade dos Negócios e finalmente executar/dar manutenção/revisar todo o processo.

Monitorando e Revisando o SGCN

Para garantir que o SGCN é continuamente monitorado, a fase de Checagem deve abranger uma auditoria interna e uma gestão das revisões do SGCN.

Mantendo e Melhorando o SGCN

Para garantir que o SGCN seja simultaneamente mantido e melhorado de forma permanente, este capítulo aborda as medidas corretivas e preventivas.

Dessa forma, a continuidade de negócios é um grande desafio das organizações e o gerenciamento da continuidade do negócio deve ser um elemento fundamental da empresa como um todo. A capacidade de uma organização em manter as operações essenciais durante e após um evento desastroso, bem como a velocidade em que ela é capaz de restabelecer a funcionalidade total, pode significar a diferença entre a manutenção ou a perda do negócio.

 

Figura 1 – Ciclo de vida da gestão de continuidade dos negócios

 

A norma foi publicada em duas partes:

 BS 25999-1:2006 – Código de Práticas para a Gestão da Continuidade do Negócio: Destina-se a fornecer um conjunto de boas práticas para a gestão da continuidade do negócio, servindo como suporte à implementação e melhoria deste tipo de sistema.

 BS 25999-2:2007 – Especificações para a Certificação da Gestão da Continuidade do Negócio: As especificações são genéricas e planejadas para serem aplicadas em toda a organização, ou parte dela, independente do tipo, tamanho ou natureza do negócio. A extensão da aplicação dessa especificação depende da dimensão e complexidade da organização. Portanto, a concepção e a implementação para corresponder às necessidades dessa norma serão influenciadas pelos requisitos regulatórios, de clientes, de negócios, dos produtos e serviços, dos processos definidos e do tamanho e estrutura da organização.

Da mesma forma que as atuais normas de sistema de gestão, esta norma também se utiliza do modelo PDCA (Planejar – Fazer – Verificar – Agir) para o desenvolvimento, implementação, manutenção e melhoria do sistema de gestão de continuidade do negócio. Ela apresenta também o ciclo de vida da continuidade do negócio que representa a operação contínua desse sistema dentro da organização.

Este ciclo de vida é composto pelas fases: entender a organização, determinar a estratégia de continuidade do negócio, desenvolver e implementar uma resposta à GCN e, testar, manter e analisar criticamente a GCN, sempre considerando a inclusão da continuidade do negócio na cultura da organização. De maneira geral, as empresas precisam entender melhor o que significa esse tipo de sistema de gestão. Atualmente, elas possuem uma dependência cada vez maior de um ambiente de TI, haja vista ser uma área fundamental para que as empresas criem,mantenham e troquem informações. Estes ambientes suportam cada vez mais os principais processos de negócios das organizações os quais estabelecem os diferenciais estratégicos, permitindo assim atingir uma maior produtividade, competitividade e sucesso nas operações.

A Gestão de Continuidade do Negócio é baseada na identificação dos principais processos de negócio e dos riscos a que eles estão submetidos. Ela engloba dois planos básicos: o de Resposta a Incidentes e o de Continuidade do Negócio, que identifica incidentes que podem produzir ou que produziram uma ruptura dos processos definidos além de estabelecer atividades para que a interrupção seja minimizada a níveis acordados.

As principais características da Continuidade de Negócios são:

• De maneira proativa, melhorar a resiliência de uma organização contra a interrupção de sua habilidade em alcançar seus objetivos chaves;
• Prover um método para restaurar uma habilidade da organização em apoiar seus produtos e serviços chaves a um nível acordado dentro de um tempo estabelecido depois de uma interrupção, e
• Desenvolver uma capacidade comprovada para gerenciar uma interrupção dos negócios e proteger a reputação e nome da organização
• Melhorar a resiliência da organização proativamente contra a interrupção de sua habilidade em alcançar seus objetivos chaves;
• Prover um método ensaiado de restaurar a habilidade da organização em fornecer seus produtos e serviços chaves em certo nível e dentro de um certo tempo após uma interrupção;
• Desenvolver uma capacidade comprovada para gerenciar uma interrupção dos negócios e protegendo a reputação e o nome da organização;
• Minimizar ações judiciais e coordenar a comunicação com os vários públicos.

 

Figura 2 – Componentes da contingência e da gestão da continuidade dos negócios