ISO 27001 & BS 25999

De acordo com diversas fontes, a principal norma em continuidade de negócios BS 25999-2 será substituída pela norma internacional ISO 22301 até o fim de 2011. (Atualização: A nova data será marcada para Junho ou Julho de 2012) Este tipo de transição é normal e acontece com a maioria das normas de gestão. Aconteceu, por exemplo, com a norma ISO 27001 em 2005, que substituiu a norma BS 7799 -2. Quais são as principais mudanças trazidas pela ISO 22301 em relação à BS 25999-2?

Observação importante: como a norma ISO 22301 ainda não foi publicada, sua versão final ainda não existe e, por isso, alguns aspectos abordados aqui podem não constar na versão final. Essas informações estão baseadas em uma versão preliminar publicada em fevereiro de 2011 no site BSi Draft Review.

O título da ISO 22301 será ISO 22301 Segurança social – Sistemas de gestão de continuidade de negócios – Requisitos. Embora “Segurança social” possa soar um pouco estranho em relação à continuidade de negócios, eis a sua definição de acordo com a ISO: “… normalização no domínio da segurança social, com a finalidade de aumentar os recursos de gestão de crises e continuidade de negócios, ou seja, por meio do aprimoramento da interoperabilidade técnica, humana, organizacional e funcional, bem como da conscientização situacional entre todas as partes interessadas.”

À primeira vista, é óbvio que a estrutura da ISO 22301 é muito diferente da estrutura da norma BS 25999-2, embora todos os elementos básicos da BS 25999-2 ainda estarem presentes na norma ISO 22301.

Vejamos alguns detalhes.

Semelhanças…

A maior semelhança é que todos os principais elementos de continuidade de negócios da BS 25999-2 estarão presentes na norma ISO 22301: política de continuidade de negócios, análise de impacto nos negócios, avaliação de riscos, estratégia de continuidade de negócios (que será chamada de “opções de continuidade de negócios” na ISO 22301), planos de continuidade de negócios, exercícios e testes etc.

A análise de impacto nos negócios provavelmente será dividida em várias cláusulas, exigindo maior precisão. Os requisitos para os planos de continuidade de negócios, incluindo os procedimentos de resposta e planos de recuperação, são muito mais detalhados também, assim como, por exemplo, a parte relacionada à comunicação.

O conteúdo de gestão da BS 25999-2 (controle de documentos, auditoria interna, análise de gestão, ações corretivas e preventivas, gestão de recursos humanos, etc) também será transferido para a nova norma. Aliás, estes elementos existem em todas as outras normas de gestão, como ISO 9001, ISO 14001 e ISO 27001.

No entanto, a documentação será chamada de “informação documentada” e as ações preventivas serão chamadas de “ações para abordar problemas e dúvidas”.

… e diferenças

O modelo PDCA (Plan-Do-Check-Act ou Planejar-Fazer-Verificar-Agir) é ainda menos claro na ISO 22301 em comparação à norma BS 25999-2, embora esta não seja tão clara sobre esse aspecto como a ISO 27001. No entanto, acredito que isso não afetará a clareza do processo de implementação da norma, pois as suas principais seções estão organizadas de uma forma bastante lógica.

A ISO 22301, obviamente, enfatizará muito mais a definição dos objetivos, acompanhando o desempenho e as métricas. Assim, a continuidade de negócios se aproximará bastante do modo de pensar da alta gestão.

Seguindo essa linha, a ISO 22301 define claramente o que é esperado em termos de gestão e resume essas expectativas em uma única seção.

A ISO 22301 irá resolver uma das carências da BS 25999-2 e vai exigir planejamento e preparação muito mais cuidadosos dos recursos necessários para garantir a continuidade dos negócios. Agora, haverá mais requisitos e eles estarão melhor estruturados.

Por fim, como norma internacional, os organismos de certificação serão muito mais rígidos em relação à certificação de acordo com a ISO 22301 e, por isso, a norma obterá popularidade muito mais rápido.

Como conclusão, todos os elementos básicos da BS 25999-2 provavelmente estarão presentes na norma ISO 22301 também, só que a ISO 22301 será mais precisa e mais exigente. As organizações que já implementaram BS 25999-2 e desejarem obter a certificação para a norma ISO 22301 deverão dedicar mais atenção aos detalhes e investir mais tempo na preparação e manutenção de seu sistema. Por outro lado, a ISO 22301 certamente ajudará a elevar sua solidez e credibilidade, assim como aconteceu com a ISO 27001 seis anos atrás, quando ela substituiu a norma BS 7799-2.

This post is also available in: Inglês, Alemão, Japonês, Espanhol, Croata