ISO 22301: sua operação de pé mesmo no pior cenário

Erro comum na implantação

Comece pela BIA com as áreas de negócio — ela define tudo o que vem depois;

Vale lembrar: a norma exige o que faz sentido para o porte e a complexidade da operação — sistema inchado costuma ser fragilidade, não virtude.

Dúvidas frequentes

Continuidade não é só backup de TI?

Backup é uma fração — e das menores. Pergunte: com os dados salvos, você opera sem o prédio? Sem o sistema principal por 3 dias? Sem o fornecedor crítico? Sem 40% da equipe? A 22301 cobre o negócio inteiro: pessoas e sucessão de decisões, instalações alternativas, fornecedores e logística, comunicação com clientes e imprensa, e a ordem de retomada dos processos que geram receita. Empresas que só cuidaram do backup descobrem na crise que os dados estavam salvos — e a operação, parada.

Quanto tempo leva para implementar?

Com patrocínio real da direção, 4 a 8 meses num caminho claro: a análise de impacto no negócio (BIA) com as áreas (1–2 meses) define processos críticos e prazos máximos de parada; as estratégias de continuidade são desenhadas e aprovadas contra esses prazos (1–2 meses); os planos de resposta e continuidade são documentados e as equipes treinadas (1–2 meses); e o primeiro ciclo de exercícios valida tudo e gera os ajustes (1–2 meses). O maior risco de atraso não é técnico: é a BIA ficar acadêmica, sem decisão da direção sobre o que realmente é prioritário.

Preciso de site alternativo?

Depende do que a BIA disser — a norma exige estratégia suficiente para os seus prazos de retomada, não uma solução específica. Muitas operações resolvem com combinações mais baratas: trabalho remoto testado, redundância em nuvem, acordos de reciprocidade, contratos de standby com fornecedores e estoques estratégicos. Operações físicas (produção, atendimento presencial, logística) podem precisar de alternativas de instalação. A regra de ouro: o investimento segue o impacto — gasta-se onde a parada custa caro.

Como a auditoria avalia continuidade?

Pelos testes, acima de tudo: planos sem exercício são hipótese, não capacidade. O auditor examina a cadeia completa — BIA aprovada e atual, estratégias coerentes com os prazos definidos, planos acessíveis (inclusive com sistemas fora do ar) e, principalmente, os registros dos exercícios: cenários, participantes, tempos alcançados versus objetivos, falhas encontradas e ajustes feitos nos planos. Um exercício que revelou problemas e gerou correções vale mais que dez simulados perfeitos no papel.