Risco, Resiliência e PCN pós COVID-19.

7 de maio de 2020

enigma.consultoria

Sem categoria

Leave a comment

BCP, covid-19, pandemia, PCN, resiliência, risco, risco operacional

MÁRIO SÉRGIO RIBEIRO (*)

Quem é ou foi meu aluno sabe que já não é de hoje que comento que o mundo que cria inúmeras facilidades de um lado, cria também inúmeras dificuldades e incertezas do outro. Vamos ter que nos acostumar com a ideia de lidar com cada vez mais incertezas, a despeito de toda tecnologia e metodologia de previsão que dispomos.

A Pandemia do COVID-19 que se abateu sobre o mundo é um de vários possíveis eventos catastróficos que pode vir a nos colocar “de joelhos”. Como consequência desse atual evento que vivenciamos, fica uma pergunta: os negócios sobreviventes da COVID-19, como ficarão? As empresas têm Resiliência organizacional para aguentar um tranco desse tamanho? Como podem desenvolver estratégias de continuidade e sobreviver, mesmo diante de eventos dessa magnitude, que pelo jeito, pode vir a nos visitar novamente?

Há quase dez anos atrás o matemático americano John Casti escreveu um livro com o título “O colapso de tudo” – os eventos extremos que podem destruir a civilização a qualquer momento”. Título impactante? O autor quis chamar a atenção, alguns poderiam pensar, para vender livro? Em um primeiro momento talvez sim. Mas se você ler o currículo de Casti provavelmente não apostaria nisso. No livro, Casti analisa onze eventos alarmantes – e prováveis – situações que podem arrastar o mundo para uma idade das trevas, como diz a contracapa. Vamos a eles:

(1) Um apagão na Internet

(2) A falência do sistema global de abastecimento de alimentos

(3) Um ataque por pulso eletromagnético que destrói todos os aparelhos eletrônicos

(4) O fracasso da globalização

(5) A destruição provocada pela criação de partículas exóticas

(6) A desestabilização do panorama nuclear

(7) O esgotamento das reservas de petróleo

(8) Uma Pandemia Global

(9) Pane no sistema elétrico e no suprimento de água potável

(10) Robôs inteligentes que dominam a humanidade

(11) Uma crise no sistema financeiro global

Eu li e reli nesses dias este livro de Casti e confesso que não duvido do que ele fala! Alguns deles já acenderam sinal amarelo…Trata-se de um livro excelente e que recomendo a leitura a todos. Infelizmente, um dos eventos previstos por Casti estamos vivenciando: a Pandemia Global do COVID-19. E quando sairmos dela, machucados, mas vivos, até que ponto estaremos preparados para outros eventos que porventura possam vir, como alguns dos citados por Casti? Devemos, tanto como pessoas como empresa, ampliar nossa Resiliência. Mas afinal, o que essa tal de Resiliência organizacional?

Resiliência Organizacional é a capacidade de uma organização em absorver e se adaptar em um ambiente em mudança e capacitada a cumprir seus objetivos, sobreviver e prosperar. Organizações mais resilientes podem antecipar e responder a ameaças e oportunidades, decorrentes de mudanças repentinas ou graduais em seu contexto interno e externo. (fonte: ISO 22316:17)

O aumento da resiliência pode ser uma meta organizacional estratégica e é o resultado de boas práticas comerciais e gerenciamento eficaz de riscos. E é nesse aspecto do gerenciamento eficaz de riscos que quero iniciar meu raciocínio nesse aumento da Resiliência organizacional.

Ao sairmos dessa Pandemia veremos um mundo de outra forma e certamente as empresas olharão para essa questão da Resiliência. Mais conservadora e mais ressabiada com eventos de rara probabilidade, mas de impactos catastróficos, elas investirão em aumentar sua resiliência ou, pelo menos, deverão pensar muito mais do que antes do COVID-19 na sua Avaliação de Risco, em suas estratégias de continuidade e em seus planos de continuidade de negócios. Disso eu não tenho dúvida! Vamos explorar a questão…

Quando desenvolvemos nosso Plano de Continuidade de Negócios passamos por uma etapa que chamamos de Processo de Avaliação de Risco, que tem como objetivo: identificar os riscos de interrupção das atividades prioritárias da empresa, bem como os processos, sistemas, informações, pessoas, bens, parceiros terceirizados e outros recursos que os suportam. Em seguida, esses riscos identificados devem ser analisados, avaliados e identificados tratamentos que se alinhem com os objetivos de continuidade de negócios e de acordo com o apetite de risco da empresa.

Essa pandemia do COVID-19 acendeu uma luz amarela sobre o processo de avaliação de riscos. Eventos que antes poderiam ser considerados de probabilidade raríssima e que nem eram avaliados na maioria dos planos, devem passar a serem considerados e, seu tratamento, alinhado com as devidas estratégias de continuidade. Esse certamente é o momento ideal para que se faça uma análise desse processo dentro da continuidade de negócios. Para ajudar nessa análise, uma série de perguntas devem ser feitas. Vejamos algumas delas:

(1) Estou usando uma metodologia devidamente referendada para Avaliar o Risco da continuidade dos negócios?

(2) A identificação dos riscos tem processo e critérios definidos que tragam para o contexto os riscos de quaisquer probabilidade e magnitude?

(3) Ainda no que diz respeito a identificação dos riscos, estamos usando metodologia que nos permite identificar todas as categorias de riscos possíveis que tenham uma alinhamento direto com a continuidade de negócios?

(4) Existem riscos catastróficos (ou quase) que eu poderia estar incluindo em minha avaliação?

(5) Existe metodologia claramente definida que permite avaliar quais riscos de interrupção podem ser tratados?

(6) Os tratamentos escolhidos estão alinhados com os objetivos de continuidade de negócios e de acordo com o apetite de risco da empresa?

Os riscos que foram identificados e que necessitem de tratamento, a empresa deve considerar medidas proativas que possam reduzir a probabilidade, diminuir o período de interrupção e limitar o impacto da interrupção. Para alguns riscos, o tratamento, com o intuito de aumentar a resiliência organizacional, será a inclusão em algumas das estratégias de continuidade a serem definidas.

As estratégias de continuidade que são definidas e selecionadas a partir da análise de impacto nos negócios e no processo de avaliação de riscos tem como propósito proteger atividades prioritárias, estabilizar, continuar, retomar e recuperar atividades priorizadas, além de suas dependências e recursos de apoio. Faz ainda parte de seu escopo, mitigar, responder e gerenciar impactos.

Nessa pandemia do COVID-19 uma grande maioria de empresas “descobriu na marra” a estratégia do home office e do trabalho virtual. Obviamente as empresas que já tinham seu PCN, em sua grande parte, deveriam ter essa estratégia de home office definida para algumas de suas atividades e, portanto, saíram na frente. Mas, mesmo assim, provavelmente para uma boa parte delas, se tornou insuficiente para tirar a empresa de uma situação complicada, em alguns casos, dramática.

A questão central é que o evento da COVID-19 parou a roda da economia porque o seu ativo principal saiu de cena: Pessoas! E sem as pessoas, a roda não gira, não há como as empresas existirem. Dessa forma, o que se pode aprender com o COVID-19?

Eventos catastróficos, que podem ir desde um incêndio total das instalações de sua empresa ou uma crise sistema financeiro global (como a de 2008) e que Casti coloca que pode voltar (está entre os onze eventos), devem começar a fazer parte de seu processo de avaliação de risco, estratégia de continuidade de negócios e planos de continuidade de negócios.

A preocupação até hoje na elaboração e implementação de PCNs era com eventos como no máximo um incêndio com perda total. Estratégias de continuidade que estabilizem, continuem, retomem e recuperem as atividades priorizadas de uma empresa em um evento dessa natureza ou semelhante, é possível de se planejar e implementar. As estratégias não dependem de um contexto externo.

Mas o que fazer para eventos nos quais você depende de um governo, de uma situação extrema, onde a decisão não está com você, que se vê de “mãos atadas” para enfrenta-la? Para cada tipo de evento desse deve ser pensada e elencada uma solução. Vejamos como exemplo o próprio COVID-19.

Em um primeiro plano sugestiono que as empresas comecem a olhar com mais carinho para os Riscos Emergentes. Risco Emergente é um termo usado para descrever novos riscos que não encaixam no universo de riscos atual ou riscos que estão mudando, assim como sua interação com outros riscos. Comum a ambos é que Riscos Emergentes são difíceis de quantificar, mas considerados como tendo potencial para impactar a empresa de forma substancial.

A importância de gerir Riscos Emergentes se encontra no seu potencial para afetar a estratégia de negócios; consideração antecipada e mitigação podem ser vista como uma atividade chave de agregar valor através das Funções de Gestão de Risco. Não é objeto aqui fazer um detalhamento sobre Riscos Emergentes, que farei breve em outro artigo, mas se as empresas já estivessem inserido essa abordagem em sua função de riscos, muito provavelmente teriam detectado uma ameaça nas Endemias já ocorridas. Vejamos:

1. Poderiam dar atenção, entre outros, a estudos como de Casti, que é um dos fundadores do X-Center, instituição de pesquisa com sede em Viena que analisa eventos extremos causados pelo homem e como prever sua ocorrência;

2. Recorrer a base histórica sobre eventos de endemia, que já tivemos. Vejamos:

Coronavírus são conhecidos desde meados da década de 1960;
2003: SARS (síndrome respiratória aguda grave);
2005: Gripe aviária;
Síndrome Respiratória do Oriente Médio (MERS) foi identificada em 2012 e segunda onda em 2018;
Mercado de Whuan na China já foi fechado e reaberto três vezes.

3. Os eventos citados protagonizaram Endemias e uma Pandemia não foi questionada, mas poderia. Entre alguns aspectos, a globalização diminuiu as fronteiras e o vai e vem pelo mundo ocorre em abundância e em um piscar de olhos. A China comunista virou um potência capitalista e seus aeroportos são dos mais movimentados do mundo. Saímos da Ásia em um dia e depois de 18 horas estamos no Brasil? Ou em sete na Europa? E assim com qualquer país do mundo…

Com essa abordagem não tenho pretensão nenhuma de fazer previsões, de se prestar a um tolo, que fala depois do ocorrido, de encontrar uma fórmula de encontrar os cisnes negros de Taleb ou de encontrar culpados (OMS, governos, empresas, etc.). Nada disso! O que pretendo é mostrar que nosso cuidado com a Avaliação de Riscos de agora em diante deve ser muito mais contínuo e detalhado, carecendo de um monitoramento diário de dados e informações, em função da ampliação das categorias de risco que podem afetar o negócio de uma empresa. Talvez, incluir a raridade em sua Avaliação seja um começo…

Um dos maiores, senão o maior problema, enfrentado pelas empresas agora é a falta de caixa para suportar esse período incerto de inatividade. Uma das mais variadas soluções que podem ser adotadas para o futuro, baseada nessa nova avaliação de risco a ser realizada, é entender a Alocação de Capital para Risco Operacional como uma excelente resposta à um evento de risco operacional de elevada magnitude. Isso já existe de forma obrigatória em alguns setores regulados de nossa economia. Essa alocação seria usada diante de um evento, como o da COVID-19 por exemplo, por meio de políticas claramente definidas e aprovadas pela Alta Administração da empresa.

Na sequência de nossa revisão da Gestão da Continuidade de Negócios, a partir da avaliação de riscos e das estratégias, os procedimentos dos planos devem ser revistos. A resposta e estabilização da emergência, a gestão da crise, a comunicação com partes interessadas, a recuperação e o retorno ganham novos contextos que devem ser reavaliados com detalhes e critérios. Um item muito importante e que muitos esquecem é a sua cadeia de suprimentos! Reavaliar o risco de seus fornecedores/parceiros, pelo menos os mais críticos, é fundamental!

Muito dessa reavaliação tem como aprendizado este exato momento em que as empresas estão passando e tendo que resolver e resolver e… É um momento duro, mas deve ser guardado como forma de avaliar o que deu certo e o que deu errado. O certo entra como resposta a essa reavaliação, o errado, como aprendizado para um novo acerto.

De toda forma temos um novo paradigma. Os tomadores de decisão da empresa devem começar a pensar que infelizmente o imprevisto faz parte de nossa vida humana nesse planeta. Que os Eventos Extremos devem aparecer com maior frequência e que precisaremos desenvolver nossa Resiliência, ou mais ainda como define Taleb em seu livro Antifrágil: precisamos ser mais do que resilientes, precisamos ser Antifrágeis!

Em A Peste, romance existencialista de 1947, o escritor Albert Camus pinta um quadro emocionante de profissionais de saúde que se unem para combater um surto de peste bubônica. Camus em seu livro diz: parece ser que os seres humanos têm, na melhor hipótese, uma ilusão de controlar seu destino e que, em última análise, a irracionalidade governa os acontecimentos.

Se cuidem!

Abraço.

Até a próxima.

_______________________________________________________________

(*) 60 anos, mestre em segurança da informação pela USP. Sócio da ENIGMA Consultoria. Professor da FIA-USP e da ANBIMA. E-mail: mario.ribeiro@enigmaconsultoria.com.br

Os sinais de que um PCN pode não funcionar.

26 de setembro de 2017

enigma.consultoria

Sem categoria

Leave a comment

GCN, PCN, Plano de Continuidade de Negócios, recuperação de desastre

(*) Mário Sérgio Ribeiro

Em uma recente palestra sobre continuidade de negócios, uma pessoa na plateia questionou: Como posso ter certeza que meu Plano de Continuidade de Negócios (PCN) funcionará, caso precise dele? Resposta: Certeza, certeza, nenhuma. Talvez tenha mais incertezas do que certeza de que ele irá funcionar como você pensou e elaborou, do que propriamente certeza 100%. E a pessoa retrucou: e por quê? Respondi resumidamente o que a seguir resolvi transformar a resposta em um artigo. Vamos lá…

Já escrevi algumas vezes que você elabora um Plano de Continuidade de Negócios com o objetivo de utilizá-lo em caso de uma interrupção prolongada nas operações da empresa quer seja por qualquer tipo de evento. Claramente é um tratamento a um risco de interrupção de seus negócios que pode levar até, a descontinuidade do mesmo.

Pois bem, mas porque pode não funcionar como devido? Antes de mais nada queria apenas dizer que não tenho bola de cristal e nem tenho sinais de premonição. Vou apenas usar minha experiência profissional e acadêmica sobre o tema para opinar. Pode ser que eu esteja totalmente errado, e então vocês me perdoem. Dito isso, vamos aos sinais de que pode não funcionar…

Muitos PCNs que vi para depois construir um novo tem definido um escopo de proteção limitado. Ainda se comete o equívoco de olhar PCN como algo de TI, protegendo apenas esse recurso, parece incrível, mas é verdade. A definição do escopo dos recursos a responder a um risco de descontinuidade das operações é crucial. TI é apenas um dos recursos. Existem outros e eles devem ser contemplados. Uma empresa não vive apenas de um recurso. Esse leque de recursos depende do ramo de atividade que a empresa atua, mas figurinhas presentes em todos os ramos de atividade, inclusive manufatura, são: pessoas, processos, instalações, suprimentos e fornecedores/parceiros. Se começou errado aqui, grande chance de dar errado.

Um passo seguinte é a realização de forma mais detalhada e assertiva possível da Análise de Impacto do Negócio, que conhecemos como BIA (business impact analysis). O BIA feito fora das melhores práticas do mercado não traz o raio – x necessário dos processos da empresa e como resultado, a chance de definição de estratégias de recuperação não serão as melhores possíveis. Realizar o BIA requer um processo e uma metodologia para executá-lo, e não se trata de algo simples e rápido de ser aplicado e obtido os resultados. Infelizmente, não dá para buscar na Internet uma e achar que ela serve para aplicar em sua empresa. Vi vários BIAs executados dessa forma, com uma metodologia caçada na internet e que resultaram em Estratégias de recuperação bem equivocadas. Aqui então, nossa segunda chance de dar errado.

O outro passo é executar também de forma detalhada uma Avaliação do Risco. Aqui temos dois objetivos. Primeiro, fazermos uma avaliação completa, com resposta e plano de ação, para que diminuamos a chance de termos que utilizar o PCN e segundo, identificamos quais processos/componentes de nossa operação devam ter definidos estratégias de continuidade em caso de indisponibilidades. Mais uma chance de fazermos errado em face da especificidade do tema.

Um outro item importante é a definição das estratégias de recuperação para os recursos definidos em meu escopo de proteção. Como falei no início do artigo, alguns recursos são obrigatórios para todos os ramos de negócio, outros, entretanto, habitam apenas alguns ramos. Aqui, nesse passo, o buraco é mais embaixo, como diz o ditado popular. Somente com as etapas anteriores realizadas de forma sistemática e detalhada é que podemos selecionar e definir com assertividade as melhores estratégias de continuidade.

Outra, aqui é onde a Alta Administração deve coçar o bolso. Por mais que tenhamos possibilidade de adotarmos estratégias que não demandem grandes investimentos, esse é o momento da realização de algumas reuniões com aqueles que cuidam do dinheiro da empresa. Uma coisa boa é, que dependendo da experiência de quem está conduzindo a elaboração do Plano, é possível adotarmos estratégias com baixos investimento que atendam ao que o BIA e a Análise de Risco preconizaram. Já tive oportunidade de realizar vários projetos nessa linha. Aqui temos mais um item com enorme potencial de fazer com que, aquilo que se pensou que iria dar certo, infelizmente não deu!

Das Estratégias para frente entramos no que eu costumo chamar de 2ª Onda do PCN, que trata da elaboração do Plano, do treinamento das equipes e dos testes. É a partir da conclusão da 1ª onda (BIA, análise de risco e estratégias de continuidade) que podemos iniciar a 2ª onda.

Com relação à elaboração do Plano existem diversos modelos e formas de fazê-lo. O que é certo é que ele tenha que ter alguns atributos importantes:

Seja simples, sem deixar de conter todos os elementos necessários;
Que contemple todos os componentes, desde a definição ou não por sua ativação até a volta à normalidade;
Que seja desenvolvido de acordo com a cultura da empresa e não um copiar-colar de outros modelos;
Que esteja totalmente alinhado ao definido na 1ª onda do projeto; e
Que seja lúdico, facilmente encontrável para ser ativado.

São atributos nada complexos de se entender e praticar. Sim, mas já topei com alguns que não atendiam em nada esses atributos. Já vi plano com mais de 200 páginas, com texto absolutamente desnecessário, que não tinha absolutamente nada a ver com a cultura da empresa (foi desenvolvido para alguma outra e bum, copiar e colar), com tabelas e listas em branco e/ou completamente desatualizadas, que quem deveria coordenar o plano não sabia onde estava o documento para consulta e por aí vai…

O certo é que o Plano é um ser vivo e deve refletir exatamente o que a empresa precisa fazer para recuperar suas operações, no caso de ter ativado por conta de um evento. Conhecer o processo, metodologia e o modelo para sua elaboração é uma atividade que não admite erro, uma vez que esse documento será seu “companheiro” diante de uma crise. Então, encontramos mais um elemento, e talvez o principal, para que a coisa não funcione.

E o Treinamento, hein? Relegado por muitas empresas a um plano absolutamente secundário, pode ser visto como uma grande ameaça caso não se faça. Se você depende de pessoas para recuperar operações, como querer que elas atuem de forma correta naquilo que projetou para a crise se não treina as mesmas? Como querer que as equipes diversas do PCN trabalhem nessa crise, que não é igual ao dia a dia, se também deixa as mesmas de lado, não as treinando? É dar um tiro no pé. É remar tudo que remou até aqui e morrer na praia. Achamos mais um…

E por fim o Teste. Alguém sabe por que fazemos Teste do PCN? Sim, você pode responder, para checarmos se está tudo certo. Pode ser…talvez fosse melhor olharmos por uma outra fresta e nos perguntar: o que está fora dos conformes, o que está errado no Plano? Essa deve ser a visão quando realizamos Teste do PCN. E pode começar errado logo de início, quando não nos utilizamos de um processo para planejá-lo e executá-lo. Com o processo definido tenho que escolher o melhor método de acordo com o grau de maturidade da empresa para o tema. Muito erro ocorre por conta disso. Não queira fazer um teste de elevada complexidade e de alto impacto se for o primeiro Teste. Os testes ganham complexidade com a maturidade do plano. É importante ter em mente que vários itens podem não dar certo quando testamos; isso tem que acontecer! Imaginar o contrário é falta de experiência com o tema.

E por último lembrar que o PCN é um ser vivo e deve ser periodicamente revisado, no mínimo anualmente. Sei de muito PCN que ficou dentro da gaveta por anos; sorte da empresa que não houve nenhuma crise no período.

Isso me faz lembrar de uma história que me foi contada por um amigo acerca de uma auditoria de um órgão regulador à uma dada empresa. Vamos à ela:

O auditor, desconfiado de que o Plano mostrado era antigo, de pelo menos uns três anos atrás, pegou a árvore de chamada e aleatoriamente escolheu um nome. Todos sabemos da máxima de que auditor tem o dedo podre. Pois bem, o dito auditor escolheu um nome, pegou seu celular e ligou para o funcionário da lista. Ao ser atendido, disse que aquela chamada se tratava de um teste do Plano e que ele, o funcionário, deveria seguir os procedimentos treinado. Nisso, segundo a história que recebi, o pessoal da empresa ficou paralisado…Do outro lado da linha o funcionário simplesmente respondeu: deve estar havendo algum engano, pois eu me desliguei da empresa há mais de um ano…

De tudo que abordei aqui é importante assimilar que um Plano estruturado em bases frágeis, com várias vulnerabilidades em sua elaboração e implantação, certamente não vai cumprir com o objeto de sua existência: não permitir que a empresa deixe de operar dentro dos requisitos e parâmetros necessários.

Eu sinceramente devo confessar a vocês o que é pior: a empresa não ter um Plano e assumir esse risco e deixar para o improviso ou na mão de Deus para que algo não ocorra, ou acreditar que tenha um Plano que vai lhe tirar de uma crise e esse ser capenga, repleto de furos, se precisa ser usado, sabemos, aí só Deus ajudando!

Até a próxima.

________________________________________________________________________________________________

(*) 58 anos, engenheiro, mestre em segurança da informação pela USP. Sócio da ENIGMA Consultoria. Professor da FIA-USP e da ANBIMA. E-mail: mario.ribeiro@enigmaconsultoria.com.br