O desempenho empresarial depende da forma como as perturbações são geridas. E estas perturbações são mais frequentes, graves e mais difíceis de prever do que nunca.
Os planos de continuidade de negócio mais eficazes estão profundamente interligados com a governação, o risco e a conformidade, onde as disciplinas trabalham em conjunto para uma melhor tomada de decisões, uma resposta mais rápida e prioridades sincronizadas. No entanto, alcançar esse nível de coordenação não acontece automaticamente. É necessário o compromisso de ambas as equipas – e o suporte técnico adequado para ajudar a relação a prosperar.
Um dos maiores desafios na integração do risco e da resiliência é o facto de as equipas operarem de forma diferente. A equipa de GRC é orientada por cenários, focada na estratégia e frequentemente concentrada em questões financeiras, de reputação ou regulamentares. A continuidade de negócio é processual, operacional e preocupada em manter as pessoas, os processos e os sistemas a funcionar sob pressão.
À medida que os conselhos de administração e a administração executiva procuram minimizar o impacto da perturbação no desempenho empresarial, a pressão aumenta para superar estas divisões estruturais, culturais e técnicas. Veja como se preparar para o sucesso.
Construir uma Base para uma Melhor Ligação
Passar de funções paralelas para um programa integrado de risco e resiliência não requer uma reconstrução total. Comece com algumas iniciativas básicas – mas importantes:
- Criar uma equipa multifuncional. Reúna uma equipa com representação de ambas as funções. Este grupo pode trabalhar em conjunto para identificar riscos, priorizar ações e desenvolver soluções. Podem estabelecer fluxos de trabalho comuns que incorporem a colaboração cruzada desde o início. Pode até descobrir que, com os seus esforços combinados, os dados recolhidos para um requisito podem ser aproveitados para cumprir outro, poupando tempo e esforço a todos.
- Estabelecer uma cadência regular de comunicação. Não espere que surjam problemas. Reúna a equipa multifuncional regularmente como um fórum para levantar questões, discutir soluções e construir confiança.
- Decidir sobre uma linguagem e métricas comuns. Reúnam-se para instituir uma taxonomia comum e critérios de medição para todas as partes interessadas – incluindo tanto as equipas de risco e resiliência como os parceiros internos. Definam em conjunto o que significa “crítico” para produtos, serviços, sistemas e fornecedores – e garantam que tanto o registo de risco empresarial como as análises de impacto no negócio refletem os mesmos pressupostos. Objetivos e KPI partilhados também podem motivar as equipas a colaborar em soluções. E uma linguagem comum ajudará a eliminar discrepâncias e mal-entendidos – o que é especialmente importante quando se enfrentam as pressões da perturbação.
- Estabelecer uma estrutura de governação conjunta. Um comité de direção partilhado mantém o risco e a resiliência alinhados com a estratégia empresarial e garante uma comunicação consistente até à liderança e ao conselho de administração. Um patrocinador executivo que possa defender o trabalho do grupo multifuncional é uma vantagem poderosa. Esta pessoa terá a autoridade para obter um amplo apoio da liderança e garantir os recursos necessários.
- Aproveitar os dados de GRC para priorizar os testes de resiliência. Utilize o registo de risco empresarial para priorizar cenários de testes de resiliência. Por exemplo, se um fornecedor ou instalação específica aparecer no nível de risco mais elevado em GRC, isso deve impulsionar exercícios de simulação e testes de recuperação.
- Traduzir o apetite ao risco em objetivos de recuperação. As equipas de GRC definem as tolerâncias. As equipas de continuidade de negócio operacionalizam-nas. Alinhe os objetivos de tempo de recuperação com o apetite ao risco declarado para ligar a estratégia à execução operacional.
- Alinhar os registos de risco com as análises de impacto no negócio. Embora estas ferramentas sejam frequentemente desenvolvidas em silos, são realmente dois lados da mesma moeda. Se um risco crítico está no seu registo de risco, deve ser mapeado para uma prioridade da análise de impacto no negócio e vice-versa. Isso revelará as suas exposições reais ao risco.
- Realizar exercícios conjuntos. Não limite os testes de cenário apenas à equipa de resiliência. Envolva a equipa multifuncional para ajudar todos a pensar para além dos seus papéis e partilhar diferentes perspetivas para fazer melhorias. Exercícios co-liderados e relatórios pós-ação permitem que tanto o risco como a resiliência validem pressupostos, identifiquem pontos cegos e comuniquem conjuntamente os resultados aos executivos e conselhos de administração.
- Sincronizar métricas e painéis de controlo. Ligue os indicadores-chave de risco com o desempenho de recuperação operacional. Painéis de controlo partilhados podem mostrar quando os limiares são ultrapassados – e com que rapidez a organização recupera.
Adicionar Software para Fortalecer a Ligação
O software atual de GRC e continuidade de negócio dá às equipas de risco e resiliência acesso aos mesmos dados de alta qualidade para que possam trocar conhecimentos e colaborar em ações. Reforça o vocabulário acordado, normaliza processos e estabelece uma fonte de dados credíveis para todos, desde a gestão de primeira linha até ao conselho de administração.
Veja o que procurar:
Soluções concebidas especificamente para GRC e para resiliência. Tenha cuidado com fornecedores especializados que tentam reivindicar conhecimentos numa disciplina sobre a qual sabem pouco. Procure software que seja construído especificamente para a prática de GRC e especificamente para a prática de resiliência – que também estejam fortemente integrados entre si. Dessa forma, cada equipa obtém a melhor solução para as suas necessidades com o benefício adicional de uma troca de informações perfeita.
Um modelo de dados partilhado. O que começa como, digamos, uma violação de dados num fornecedor crítico, pode levar a riscos operacionais, riscos cibernéticos, riscos de conformidade e muito mais. Procure software que reúna todos os dados relacionados com o risco num único local facilmente acessível a todas as partes interessadas. Os dados podem ser introduzidos uma vez e utilizados por todos, o que poupa tempo, reduz a probabilidade de erros e acrescenta transparência.
Interoperabilidade. Combine elementos como exposições ao risco, indicadores-chave de risco e apetites ao risco da perspetiva de GRC com métricas de continuidade de negócio como desempenho de tempo de recuperação, resultados de análises de impacto no negócio e níveis de garantia de recuperação. Procure software que os coloque numa única visualização, numa única voz e num único contexto, para que tenha a imagem geral e possa ver se os riscos críticos e os planos de resposta foram devidamente exercitados.
Automação de fluxos de trabalho. A tecnologia integrada automatiza tarefas rotineiras, fluxos de trabalho e acompanhamento, poupando tempo, melhorando a precisão e acrescentando consistência. Procure software que não só simplifique o trabalho quotidiano em cada disciplina, mas que também desencadeie automaticamente ações multifuncionais. Por exemplo, um risco sinalizado numa auditoria cibernética desencadearia imediatamente uma revisão de impacto no negócio e uma verificação do plano de continuidade. Ou um requisito regulamentar de resiliência alimentaria diretamente o seu quadro de GRC, com controlos mapeados, testados e prontos a usar.
Relatórios e análises. Os conselhos de administração querem saber que a organização está preparada para quaisquer obstáculos que surjam. Isso significa reportar resultados de testes, capacidades de recuperação e lacunas de uma forma que reflita a resiliência empresarial. Procure software que ajude a equipa multifuncional a identificar lacunas, determinar um plano de ação, atribuir responsabilidades e definir um cronograma para conclusão.
O Seu Próximo Passo
A sobrevivência em meio a uma volatilidade constante exige que o risco e a resiliência trabalhem em conjunto.
Inicie a conversa. Estabeleça um vocabulário comum, partilhe métricas e sincronize as suas prioridades. Encontre sistemas e software que facilitem a discussão, fortaleçam a confiança e apoiem o tipo de tomada de decisões informada que minimizará a perturbação, fortalecerá o desempenho empresarial e dará à sua organização vantagem sobre os concorrentes.
E não espere. Uma ligação quebrada entre a gestão de risco e a resiliência prejudica ambas as funções – com implicações de custo reais para a organização.
Aproximar as equipas de risco e resiliência ajudará a sua organização a fazer um melhor trabalho de planeamento para o inesperado. Pode desenvolver capacidades de resposta antecipadamente – e melhorar as suas hipóteses de enfrentar qualquer perturbação com tranquilidade.
Para mais informações sobre como colmatar a lacuna entre GRC e continuidade de negócio, descarregue o ebook O Poder de Integrar Risco e Resiliência e consulte o software de Continuidade de Negócio e Resiliência da Riskonnect.
