O que é BIA (Business Impact Analysis)?

Por que BIA é importante?

Sem BIA, a continuidade é decidida por quem conhece a infraestrutura, não por quem conhece o negócio. A ordem de recuperação vira a ordem dos servidores, e os objetivos de tempo são escolhidos por hábito, o que encarece a arquitetura onde não precisa e deixa descobertos os processos que não podem parar.

A BIA produz a informação que nenhuma ferramenta técnica entrega: quanto custa cada período de interrupção de um processo e a partir de quando esse custo se torna inaceitável. Ela é a base da continuidade de negócios.

Como funciona

A ISO 22301:2019 exige a BIA como parte da análise de negócio (cláusula 8.2.2), e a ISO/TS 22317:2021 orienta como conduzi-la. O desenho típico vai do mais amplo ao mais detalhado: primeiro produtos e serviços, depois processos e, quando necessário, atividades.

1. Escopo e critérios de impacto: categorias (financeira, regulatória, operacional, reputacional) e escala por faixa de tempo, aprovadas pela direção.
2. Identificação: produtos, serviços e processos, com seus responsáveis.
3. Impacto ao longo do tempo: avaliação de cada categoria em marcos de tempo definidos.
4. MTPD: o ponto em que o impacto da interrupção se torna inaceitável.
5. Objetivos de recuperação: RTO menor que o MTPD, RPO para os dados de cada processo e nível mínimo aceitável de operação (MBCO).
6. Dependências e recursos: pessoas, sistemas, dados, instalações, fornecedores e outros processos.
7. Validação: aprovação pelos donos dos processos e pela direção, com revisão periódica e após mudanças relevantes.

Exemplo prático

Processo: faturamento e emissão de notas fiscais (exemplo ilustrativo).

Resultado: MTPD de 72 horas; RTO de 24 horas, deixando margem para imprevistos na recuperação; RPO de 1 hora para as transações do ERP; MBCO definido como a emissão de notas para os contratos de maior valor. Entre as dependências está o provedor de nuvem do ERP, que entra no TPRM como terceiro crítico; o RTO de 24 horas vira requisito de arquitetura e de teste de restauração.

Como calcular ou avaliar

• O impacto foi estimado pelos donos do processo, com dados — receita por dia, penalidades contratuais, prazos regulatórios —, e não pela TI.
• O RTO é menor que o MTPD em todos os processos, e a capacidade real de recuperação foi testada; sem teste, o RTO é uma intenção.
• O RPO é compatível com a frequência e o tipo de cópia de segurança: um backup diário não sustenta RPO de uma hora.
• As dependências são coerentes: um processo com RTO de 4 horas não pode depender de um sistema ou fornecedor que se recupera em 48 horas.

BIA não é avaliação de risco. A BIA mede a consequência da interrupção, qualquer que seja a causa; a avaliação de risco estima probabilidade e impacto de causas específicas. A ISO 22301 trata as duas em itens separados da cláusula 8.2 (8.2.2 e 8.2.3).

BIA na gestão de cyber risk

Para o risco cibernético, a BIA fornece a magnitude que costuma faltar. Um cenário de ransomware sobre o ERP de faturamento só pode ser quantificado se alguém souber quanto custa cada dia sem faturar — exatamente o que a curva de impacto registra. A mesma informação orienta a gestão de exposição: uma vulnerabilidade explorável em um sistema que sustenta um processo com RTO de 4 horas pesa mais do que a mesma falha em um sistema que tolera dias de parada. A relação entre BIA e operação de risco está desenvolvida no artigo sobre o CROC.

No sentido inverso, cenários cibernéticos testam a BIA. Ataques destrutivos podem atingir ao mesmo tempo o ambiente de produção e as cópias de segurança, e a premissa de recuperação usada para definir o RTO precisa resistir a esse caso. A NIST IR 8286D trata justamente do uso da BIA para informar a priorização e a resposta a riscos de cibersegurança.

Relação com frameworks

• ISO 22301:2019: requisitos do sistema de gestão de continuidade de negócios; BIA em 8.2.2, avaliação de riscos em 8.2.3 e estratégias e soluções de continuidade em 8.3.
• ISO/TS 22317:2021: diretrizes para o processo de BIA, alinhadas à ISO 22301, partindo da priorização de produtos e serviços e descendo a processos e atividades.
• NIST SP 800-34 Rev. 1: planejamento de contingência para sistemas de informação, com BIA e os parâmetros MTD (maximum tolerable downtime), RTO e RPO; o MTD cumpre papel equivalente ao MTPD.
• Resolução CMN 4.893/2021: a política de segurança cibernética deve conter diretrizes para os cenários de incidentes considerados nos testes de continuidade; na redação da 5.274/2025, o relatório anual passa a incluir os resultados desses testes, considerando cenários de indisponibilidade causada por incidentes.