Questão de Análise de Sistemas · CESGRANRIO BNDES 01/2024 (nº 44)

O conceito-chave aqui é que, antes de decidir como se recuperar de uma crise, a organização precisa saber o que pode ser perdido e quanto isso impacta. A análise de impacto nos negócios (AIN) e a avaliação de riscos são o "raio-X" da organização: elas revelam quais atividades são críticas, em quanto tempo a paralisação causa dano financeiro/reputacional e quais ameaças podem derrubar essas atividades. É esse diagnóstico que define os parâmetros (ex.: tempo-alvo de recuperação, prioridade de recursos) para as estratégias e soluções.

• (A) Correta: É exatamente o que a ABNT NBR ISO 22313 define: a AIN e a avaliação de riscos geram os dados (impactos, prazos, dependências) que servem de base para escolher as estratégias e soluções de continuidade.
• (B) Incorreta: Avaliar documentação e capacidades é uma etapa de verificação (auditoria/teste), que acontece depois de implementar as soluções, não fornece os parâmetros iniciais para defini-las.
• (C) Incorreta: O planejamento e controle operacional é a fase de execução do SGCN (como operar os processos diários), não a fase de análise que gera os parâmetros.
• (D) Incorreta: Os planos e procedimentos são o produto final (o "manual" de resposta), que só são escritos depois que as estratégias já foram definidas com base na análise.
• (E) Incorreta: O programa de exercícios serve para testar e melhorar os planos já existentes, não para gerar os parâmetros iniciais de estratégia.

Armadilha da banca na letra (B): O distrator mais tentador é a letra B, pois parece lógico "avaliar o que já temos" antes de planejar. Porém, a banca troca a ordem lógica: avaliar capacidades é uma atividade de validação posterior (após implementar as soluções), enquanto a AIN e a avaliação de riscos são a entrada de dados (input) que determina os parâmetros. Não confunda "avaliar o que existe" com "definir o que é necessário".