Governação, cultura de segurança, continuidade de atividade e projeto final

1A política de segurança e de gestão dos riscos

A política, adotada pelo conselho, fixa o quadro que todos os países e serviços aplicam:

• princípios (dever de proteção, aceitação, direito de retirada, igualdade de tratamento, nenhum pagamento às partes no conflito);
• apetite pelo risco e limiares por categoria;
• papéis e responsabilidades, da direção aos pontos focais;
• requisitos mínimos: avaliação dos riscos, plano de segurança, formação, comunicação dos incidentes, gestão de crise;
• posição sobre as questões sensíveis (escoltas armadas, guardas armados, resgates, comunicação em caso de rapto);
• acompanhamento: relatórios, auditorias, revisões.

Normas mínimas por nível de risco tornam a política operacional. Exemplo: em qualquer país classificado como de risco elevado, um conselheiro de segurança dedicado, um plano revisto a cada 6 meses, uma formação avançada para todo o pessoal exposto, um exercício de crise anual e comunicações por satélite em cada base.

2O papel do conselho e da direção

O conselho de administração não gere a segurança no dia a dia, mas tem a responsabilidade última por ela:

• adota a política e o apetite pelo risco;
• recebe um relatório regular (pelo menos anual, trimestral para os riscos principais);
• é informado sem demora dos incidentes graves e das crises;
• verifica que os recursos são suficientes e que as auditorias são acompanhadas.

A direção presta contas com um painel de controlo simples: incidentes por categoria e gravidade, taxas por 100 trabalhadores, países acima do limiar, conformidade com as normas mínimas (planos atualizados, formações, exercícios), recomendações em atraso, maturidade.

Exemplo de leitura. 12 países; 10 têm um plano de segurança atualizado (83 %); 7 fizeram um exercício de crise no ano (58 %); 3 países têm riscos residuais acima do apetite. O conselho pede para estes 3 países uma decisão explícita: medidas adicionais, redução de atividades, ou aceitação fundamentada e temporária da ultrapassagem.

3Auditar a segurança

As auditorias de segurança (internas, por pares ou externas) verificam que o dispositivo existe e funciona:

• documentos: avaliação dos riscos, plano, procedimentos, listas de contactos, registo dos incidentes;
• práticas: controlos de chamada efetivos, registos de movimentos, registos de visitantes, testes de rádio;
• conhecimentos: entrevistas com o pessoal (conhecem o plano, o nível de segurança, o procedimento em caso de incidente?);
• equipamentos: estado dos veículos, comunicações, kits, reservas de hibernação;
• equidade: medidas reais para o pessoal nacional e os parceiros.

Exemplo de amostra. O auditor entrevista 30 trabalhadores: 27 conhecem o nível de segurança atual (90 %), 18 sabem o que fazer se um colega não responder a um controlo de chamada (60 %), 9 participaram num exercício no ano (30 %). Os procedimentos escritos existem, mas a sua apropriação é fraca: a formação e os exercícios tornam-se prioritários.

4A cultura de segurança

Os procedimentos mais bem escritos falham sem uma cultura de segurança: um conjunto de comportamentos partilhados em que a segurança é vista como um meio de fazer o trabalho, e não como um obstáculo.

Os seus sinais:

• os incidentes e os quase-incidentes são comunicados, e os erros discutidos sem medo;
• os responsáveis aplicam as regras que impõem;
• cada pessoa pode dizer «não» ou «stop» sem ser ridicularizada nem sancionada;
• o pessoal nacional participa nas análises e nas decisões;
• a segurança é discutida nas reuniões de programa, não apenas entre especialistas;
• a qualidade dos programas e o comportamento pessoal são reconhecidos como medidas de segurança.

A cultura vê-se no que acontece quando um responsável apressado quer contornar uma regra. Se ninguém se atreve a dizer nada, a cultura de segurança é fraca.

5A continuidade de atividade

O plano de continuidade de atividade prepara a organização para manter as suas funções essenciais apesar de uma perturbação grave: perda de um escritório, corte prolongado da Internet, ciberataque, pandemia, evacuação, saída súbita de pessoas-chave.

Etapas:

• Identificar as funções críticas: pagamento dos salários, dos fornecedores e das transferências aos beneficiários, abastecimento dos centros de saúde, comunicações com as equipas, relatórios aos doadores com prazo.
• Fixar para cada uma um prazo máximo de interrupção: por exemplo 24 horas para as comunicações de emergência, 7 dias para os salários, 30 dias para os relatórios aos doadores.
• Prever as soluções de recurso: escritório alternativo, acesso remoto, cópias de segurança, delegações de assinatura, fornecedores de reserva, stocks.
• Designar suplentes para as funções-chave e documentar os acessos essenciais (sem partilhar palavras-passe em claro).
• Testar o plano pelo menos uma vez por ano.

Exemplo. O sistema de processamento salarial está alojado num servidor no escritório da capital. Prazo máximo tolerado: 7 dias. Se o escritório ficar inacessível, o restauro a partir da cópia de segurança fora do local demora 3 dias, o que respeita o prazo, desde que a cópia seja recente e testada: a última tem 5 semanas. Ação: cópia de segurança diária automatizada, teste trimestral de restauro.

6Projeto final: um quadro de gestão dos riscos para um país

O projeto final do Mini MBA Segurança e gestão de riscos consiste em redigir, para um país ou uma zona reais (apenas com dados públicos, nunca com informações confidenciais de uma organização) ou fictícios mas realistas, um quadro de gestão dos riscos de 6 a 10 páginas:

• 1. Análise do contexto: atores, dinâmicas, cenários, indicadores.
• 2. Avaliação dos riscos: ameaças, vulnerabilidades por perfil, matriz, riscos inerentes e residuais, comparação com o limiar.
• 3. Estratégia: dosagem de aceitação, proteção, dissuasão, e estratégia de acesso e de negociação.
• 4. Plano de segurança resumido: níveis, procedimentos-chave, comunicações, planos de contingência (evacuação médica, hibernação, relocalização, rapto).
• 5. Pessoas: dever de proteção equitativo, saúde, bem-estar, salvaguarda interna, seguros.
• 6. Riscos da organização: extrato do registo (fiduciário, conformidade, PSEA, digital, reputação).
• 7. Parceiros, orçamento e governação: partilha do risco, orçamento de segurança, painel de controlo, continuidade de atividade.

Critérios de avaliação: qualidade da análise, coerência entre riscos e medidas, realismo e proporcionalidade, equidade entre pessoal e parceiros, respeito pelos princípios humanitários, clareza. O projeto faz parte do exame do terceiro mês.