O processo de planejamento de contingência começa com uma avaliação de risco para avaliar o impacto potencial de cada risco. Normalmente, a análise de risco é conduzida por líderes de negócios e funcionários. Os membros da equipe começam com uma sessão de tempestade de ideias, onde discutem riscos potenciais, cursos de ação e a preparação geral da empresa. Durante essa fase, é importante deixar claro o escopo do projeto e convidar todas as partes interessadas relevantes a contribuir. As empresas não precisam criar um plano de gerenciamento de risco para cada ameaça que enfrentam, apenas aquelas consideradas altamente prováveis e com potencial de interromper as operações de negócios.

Uma análise do impacto no negócio (BIA) eficaz é fundamental para entender as diferentes funções de negócios e como elas reagirão a eventos inesperados. Por exemplo, embora uma insuficiência de microprocessadores possa ser devastadora para uma parte de uma empresa que lida com a fabricação de consoles de jogos, provavelmente terá pouco ou nenhum impacto no departamento de RH da mesma empresa.

Para avaliar a urgência de criar um plano de ação para essa ameaça específica, a empresa precisaria saber quanto de sua receita estava sendo gerada a partir da parte da empresa ameaçada pela insuficiência de microprocessadores. Se os consoles de jogos são uma alta porcentagem de sua receita, eles vão querer ter certeza de que têm um plano forte em vigor em breve. Uma BIA bem desenvolvida ajuda as partes interessadas a avaliar o risco e entender melhor quais partes de sua empresa são mais críticas para as operações diárias.

Depois de identificar os riscos enfrentados pela empresa, determinar a probabilidade e a gravidade de cada risco e conduzir uma BIA, os líderes de negócios podem seguir um processo simples de três etapas para criar seu plano de backup.

Identifique os gatilhos que colocarão o plano em ação: por exemplo, se um furacão se aproxima, em que ponto a tempestade que se aproxima aciona o plano de contingência? Quando está a 80 quilômetros de distância, 100? Eles precisarão tomar decisões claras para que as equipes encarregadas da execução saibam quando iniciar o trabalho.

Crie uma resposta apropriada: a ameaça para a qual a empresa se preparou chegou. As equipes precisarão saber exatamente o que se espera delas para que a empresa possa se recuperar rapidamente. Elas precisarão de instruções claras e acessíveis, protocolos fáceis de seguir e uma forma de todos se comunicarem uns com os outros.

Delegue responsabilidade de forma clara e justa: como qualquer outra iniciativa, o planejamento de contingência exige uma gestão eficaz do projeto para ter sucesso. No caso de uma ameaça existencial, como um desastre natural, todos os envolvidos em ajudar a empresa a se recuperar precisam saber sua função e receber o treinamento adequado necessário para realizá-la. Por exemplo, no caso de um incêndio, não seria justo esperar que os funcionários não treinados em combate a incêndio peguem uma mangueira. No entanto, com o treinamento adequado, eles podem fazer uma contagem de funcionários ou ir de andar em andar para garantir que outros funcionários tenham sido evacuados.

Uma maneira de melhorar o fluxo de trabalho entre as equipes ao projetar um plano é criar um gráfico RACI. RACI significa responsável, responsabilizável (accountable), consultado e informado e é um processo amplamente usado para ajudar equipes e indivíduos a delegar responsabilidade e reagir a crises em tempo real.

Embora possa ser difícil justificar a importância de colocar recursos financeiros em algo que possa nunca acontecer, esses últimos anos nos ensinaram o valor de um bom planejamento de contingência. Pense em todos os problemas da cadeia de suprimentos, insuficiências críticas de equipamentos de proteção pessoal e caos financeiro provocados pela pandemia. O que teria sido diferente se as organizações tivessem implementado planos de contingência eficazes para os tipos de ameaças que enfrentaram?

Custo e incerteza são grandes barreiras quando se trata de convencer os líderes de negócios sobre a importância de fazer um investimento em planejamento de contingência. Como todos os custos dos planos de contingência são estimados (não há como saber com precisão como os eventos vão prejudicar uma empresa), os tomadores de decisões estão compreensivelmente hesitantes.

Diferentes setores têm maneiras diferentes de abordar esse problema. No setor de construção, é comum reservar 10% do orçamento geral de um projeto para contingências. Outros setores usam métodos diferentes. Um método popular estima os riscos de acordo com uma porcentagem da probabilidade de ocorrência. Por esse método, se houver um risco de 25% de ocorrer um evento que resulte em US$ 200.000 em custos de recuperação, a empresa deve reservar 25% (ou US$ 50.000) para estar em conformidade com seu plano de contingência.

Os mercados e os setores estão em constante mudança; portanto, a realidade que um plano de contingência enfrenta quando é acionado pode ser muito diferente daquela para a qual ele foi criado. Por exemplo, após os ataques terroristas de 11 de setembro, muitos dos planos de contingência que o governo dos EUA tinha em vigor tornaram-se subitamente irrelevantes, pois haviam sido preparados décadas antes.

Para evitar uma desconexão semelhante entre planos e ameaças, as empresas precisam testar e reavaliar constantemente os planos que fizeram. Por exemplo, as diretrizes da IBM determinam que os planos devem ser testados pelo menos uma vez por ano e aprimorados conforme necessário.³ Se novos riscos forem descobertos e sua gravidade e probabilidade forem consideradas suficientemente altas, os planos antigos podem ser totalmente descartados.

As empresas que criam planos sólidos se recuperam mais rapidamente de um evento disruptivo do que as empresas que não o fazem. Quando ocorre um evento negativo, quanto mais rápido a empresa se recuperar e voltar aos negócios como de costume, menor será o risco para a empresa, seus clientes e seus funcionários.

Um bom plano de contingência minimiza os danos a uma empresa, tanto reputacionais quanto financeiros. Por exemplo, embora uma violação de dados sem dúvida prejudique a reputação de um banco, bem como seus resultados, a forma como o banco responde desempenhará um papel crítico para que seus clientes decidam continuar fazendo negócios com ele.

Muitas organizações utilizam um plano de contingência forte para mostrar aos funcionários e clientes que levam a preparação a sério. Ao planejarem uma vasta gama de eventos potencialmente prejudiciais, os líderes de negócios podem mostrar aos investidores, clientes e trabalhadores que tomaram as medidas necessárias para minimizar o risco.

Gravidade e probabilidade do risco: os fabricantes têm acompanhado as notícias em uma região onde obtêm peças específicas de aviões e consideraram "alta" a probabilidade de disrupção no local. Eles inicialmente realizam uma busca por outro fornecedor, mas rapidamente descobrem que levará meses (ou até anos) para encontrar um. Uma vez que a peça é necessária para a construção de todos os seus aviões, eles rotulam também a gravidade dessa disrupção como "alta".

Gatilho: os fornecedores informam ao fabricante que, em breve, ficarão sem a peça necessária devido a um evento geopolítico disruptivo em seu país de origem.

Resposta: o fabricante inicia a pesquisa de um novo fornecedor da peça muito necessária em um país mais estável.

Gravidade e probabilidade do risco: os gerentes de um banco sabem de uma vulnerabilidade em seu aplicativo que estão trabalhando para corrigir. Se o aplicativo for hackeado e seus sistemas de informações estiverem comprometidos, eles provavelmente perderão dados vitais dos clientes. Eles classificam a probabilidade desse evento como “alta”, pois, como instituição financeira, são um alvo desejável. Eles também sabem, por observarem seus concorrentes que enfrentaram situações semelhantes, que o potencial de disrupção de seus negócios em um evento como esse é grande. Eles também classificam a gravidade desse risco como “alta”.

Gatilho: a TI faz com que os gerentes do banco saibam que o aplicativo do banco foi hackeado e que os dados de seus clientes não estão mais seguros.

Resposta: o aplicativo é imediatamente desativado, e os clientes são notificados de que seus dados foram comprometidos. Eles são informados sobre as medidas que o banco está tomando para garantir que tenham acesso ao seu dinheiro e que suas informações pessoais não estejam disponíveis para ninguém na dark web. Uma equipe de plantão de especialistas em segurança, especialmente treinada para esse cenário, é acionada para restaurar os sistemas do banco e proteger as informações dos clientes.

Gravidade e probabilidade do risco: os gerentes da usina sabem que inundações severas podem espalhar água não tratada para as ruas e cursos de água públicos da cidade. Tanto a gravidade desse risco quanto sua probabilidade, dada a tempestade iminente, são consideradas “altas”.”

Gatilho: o caminho do furacão se volta para a cidade e se aproxima a menos de 160 km de distância, com velocidades de vento superiores ao limite classificado como "seguro". O plano de contingência da usina é colocado em ação.

Resposta: todos os trabalhadores necessários são chamados para a usina 24/7, e são adotadas medidas para tratar o máximo possível de água antes da chegada do furacão. De acordo com seu plano, o que sobrar será bombeado para tanques de retenção projetados para resistir a um furacão. Quando as velocidades de vento sobem para uma certa velocidade, a própria usina é desligada, e todos os trabalhadores são evacuados.