Auditoria ISO 22301 — Sistema de Gestao de Continuidade de Negocios
Avaliacao da capacidade de resiliencia e recuperacao ante disrupcoes criticas.
A ISO 22301:2019 estabelece os requisitos para um sistema de gestao de continuidade de negocios, mas a norma e frequentemente mal interpretada. Nao se trata de ter um documento PDF com passos de recuperacao — trata-se de demonstrar com evidencia que a organizacao pode ativar, executar e sustentar esses planos sob condicoes reais de estresse. Os tres achados mais comuns em auditorias de continuidade sao: BIA desatualizado (com premissas de impacto que nao refletem a operacao atual), planos de recuperacao nunca testados em exercicio completo, e tempos de recuperacao objetivo (RTO) que nao correspondem as capacidades tecnicas reais. Uma interrupcao nao testada custa em media entre USD 300 mil e USD 1,2 milhao dependendo do setor. A avaliacao mede a distancia entre os compromissos documentados e a capacidade operacional real de resposta.
Entregaveis
Avaliacao de BIA
Revisao da analise de impacto nos negocios e seus pressupostos.
Auditoria de planos de recuperacao
Verificacao de planos por processo critico e teste de viabilidade.
Relatorio de resiliencia
Avaliacao da capacidade de resposta e tempos de recuperacao.
Fluxo de Intervenção
Analise de contexto
Revisao do escopo, partes interessadas e processos criticos.
Teste de estresse
Simulacao de cenarios de interrupcao e avaliacao de resposta.
Entrega de resultados
Relatorio com achados, lacunas e plano de melhoria priorizado.
Consultas Técnicas
Nao e um requisito normativo, mas as normas compartilham a mesma estrutura de alto nivel (Anexo SL) e se complementam na pratica. A ISO 27001 protege a informacao; a ISO 22301 garante que a operacao se recupere quando um incidente a interrompe. Organizacoes que adotam ambas de forma integrada reduzem a duplicidade de controles em 30-40% e apresentam um sistema auditavel mais coerente perante o organismo certificador. O diagnostico permite avaliar ambas as normas em paralelo se a organizacao necessitar.
Sim. A clausula 8.5 da ISO 22301 exige que a organizacao realize exercicios e testes dos planos em intervalos planejados e quando ocorram mudancas significativas. A ausencia de testes documentados constitui uma nao conformidade maior porque nao existe evidencia de que os planos funcionem. Alem do achado normativo, o risco real e operacional: um plano nao testado e uma hipotese, nao uma capacidade. A avaliacao inclui um exercicio de simulacao que permite medir tempos de resposta reais contra os RTO comprometidos.
Fernando Arrieta oferece servicos de avaliacao, diagnostico e orientacao metodologica para sistemas de gestao. Estas atividades sao independentes do processo de certificacao, que e realizado exclusivamente por organismos de certificacao acreditados.