Cine conduce compania în primele două ore ale unei crize? Pentru board, managementul crizei și continuitatea afacerii sunt probleme de guvernanță, risc și capacitate de decizie

Este 8:15 dimineața. Echipa IT constată că site-ul companiei, un business de e-commerce, nu mai funcționează. Primele verificări arată că problema este serioasă, dar cauza nu poate fi încă stabilită. Poate fi o defecțiune tehnică. Poate fi un atac cibernetic.

La 9:00, platforma este în continuare indisponibilă. Fiecare minut înseamnă tranzacții care nu se mai întâmplă și venituri pierdute. În același timp, incidentul este imposibil de ascuns. Clienții nu pot accesa site-ul, nu pot plasa comenzi și încep să ceară explicații pe social media și prin serviciul de relații cu clienții.

La 9:40, echipa IT confirmă că există suficiente indicii pentru a suspecta un incident de securitate. Nu se știe încă dacă au fost compromise date și nici cât de extins este atacul.

Mai există însă o problemă. CEO-ul, CFO-ul și Chief Commercial Officer-ul sunt în același avion, în drum spre o întâlnire regională. Pentru următoarele trei ore și jumătate, niciunul dintre ei nu poate fi contactat.

La 10:15, un jurnalist solicită o poziție oficială. Un client important vrea să știe când va putea relua comenzile. Echipa juridică analizează posibilele implicații, IT-ul continuă investigația, iar comunicarea are nevoie de răspunsuri pe care, în acest moment, nimeni nu le poate confirma complet. Între timp, vânzările sunt oprite, iar trei dintre executivii care ar evalua în mod normal impactul strategic, financiar și comercial nu sunt disponibili.

Compania nu mai gestionează un incident tehnic. Gestionează simultan o problemă operațională, financiară, juridică, reputațională și de comunicare.

Cine conduce compania acum? Răspunsul la această întrebare nu ar trebui găsit la 10:15. Ar trebui stabilit cu mult înainte.

Managementul crizei nu poate fi delegat unui singur departament

Există încă organizații în care pregătirea pentru criză este asociată în principal cu departamentul de comunicare. Dacă riscul este digital, responsabilitatea se mută către IT. Dacă apar implicații juridice, intră în prim-plan echipa juridica.

Fiecare dintre aceste funcții este esențială. Niciuna nu poate însă conduce singură o criză majoră.

O criză serioasă obligă compania să ia, aproape simultan, decizii operaționale, financiare, juridice, de resurse umane și de comunicare. Iar multe dintre aceste decizii trebuie luate înainte ca managementul să dispună de imaginea completă.

IT-ul trebuie să determine amploarea incidentului. Operațiunile trebuie să decidă ce poate continua și ce trebuie oprit. Juridicul evaluează obligațiile companiei. Financiarul estimează impactul. HR-ul trebuie să păstreze organizația informată și funcțională. Comunicarea trebuie să răspundă presiunii din exterior.

Dar dacă oamenii care iau în mod obișnuit deciziile critice nu sunt disponibili, cine are mandatul să decidă? Aici se vede diferența dintre existența unor proceduri și pregătirea reală.

Într-o criză, funcțiile companiei nu își pot permite luxul de a lucra succesiv. Trebuie să funcționeze în paralel, pe baza acelorași informații și cu responsabilități foarte clar definite.

De aceea, pregătirea pentru criză este, în opinia mea, o responsabilitate de board.

„Avem un plan de criză?” este doar începutul conversației

Boardurile tratează cu rigoare auditul, riscul financiar, securitatea cibernetică sau conformitatea. Există indicatori, scenarii, responsabilități și mecanisme de control. Pregatirea pentru criză merită aceeași disciplină.

Existența unui document într-un folder intern nu înseamnă că organizația este pregătită. Un plan care nu a fost testat este, în cel mai bun caz, o ipoteză.

Întrebările importante sunt mai incomode.

Când a fost testat ultima dată?

Cine poate lua o decizie critică fără aprobarea CEO-ului?

Cine preia conducerea dacă mai mulți membri ai echipei executive nu sunt disponibili?

Cine poate decide suspendarea temporară a unei activități?

Cine aprobă comunicarea externă atunci când informațiile sunt încă incomplete?

Care sunt funcțiile companiei care trebuie protejate cu orice preț?

Și, poate cel mai important, au fost oamenii puși vreodată în situația de a lua aceste decizii într-o simulare suficient de realistă încât să apară ezitările, blocajele și conflictele de autoritate care apar într-o criză reală?

Un plan poate părea impecabil într-o sală de ședințe. Valoarea lui se vede când trebuie folosit sub presiune, cu informații incomplete, priorități concurente și consecințe care se acumulează de la o oră la alta.

În 2026, crizele rareori mai vin singure

Mai există un motiv pentru care pregătirea pentru criză ar trebui să urce pe agenda boardului.

Tot mai des, avem de gestionat permacrize, situații în care mai multe riscuri se suprapun și se amplifică reciproc.

În scenariul nostru, un incident cibernetic blochează un site de e-commerce. În scurt timp, problema devine comercială, pentru că vânzările se opresc. Devine reputațională, pentru că mii de clienți pot vedea că platforma nu funcționează. Poate deveni juridică, dacă există suspiciuni privind compromiterea datelor. Iar dacă informația oficială întârzie, apar speculațiile, informațiile eronate sau dezinformarea.

De aceea, nu mai este suficient să avem planuri separate pentru cyber, reputație, operațiuni sau comunicare. Companiile trebuie să înțeleagă efectul de domino și să fie pregătite pentru momentul în care mai multe presiuni apar simultan.

Continuitatea afacerii începe cu mult înainte ca businessul să se oprească

Aici se întâlnesc managementul crizei și continuitatea afacerii, sau business continuity.

Business continuity înseamnă să știi, înainte ca incidentul să apară, care sunt funcțiile fără de care compania nu poate opera și cât timp îți poți permite ca acestea să fie indisponibile.

Pentru un business de e-commerce, site-ul este evident una dintre aceste funcții. Fiecare oră de indisponibilitate poate însemna venituri pierdute, clienți afectați și o presiune reputațională în creștere.

Dar reziliența nu se reduce la tehnologie.

Cine ia deciziile? Cine are autoritatea necesară? Ce alternative sunt disponibile? Care sunt furnizorii critici? Cine trebuie informat primul? Cum ajunge informația verificată la oamenii care trebuie să decidă? O companie poate avea un manual de criză foarte bun și poate pierde ore importante pentru că nimeni nu știe cine are autoritatea să îl activeze.

Poate avea oameni competenți și resurse suficiente și totuși să transmită mesaje contradictorii pentru că juridicul, operațiunile, IT-ul și comunicarea lucrează cu versiuni diferite ale aceleiași situații.

Business continuity este, în ultimă instanță, și despre capacitatea organizației de a continua să decidă atunci când condițiile normale de funcționare dispar.

Primele ore ale unei crize spun foarte multe despre o companie

În scenariul nostru, CEO-ul, CFO-ul și Chief Commercial Officer-ul vor reveni online abia după trei ore și jumătate.

Compania nu poate aștepta până atunci.

În acest interval trebuie să investigheze incidentul, să protejeze infrastructura, să limiteze impactul financiar, să gestioneze relația cu clienții și angajații, să răspundă presei și să evalueze eventualele obligații juridice.

Primele ore arată dacă organizația știe cine conduce. Dacă responsabilitățile sunt clare. Dacă informația circulă rapid. Dacă există o imagine comună asupra situației. Dacă stakeholderii prioritari au fost identificați. Și, mai ales, dacă oamenii au suficientă autoritate pentru a acționa.

De aceea, analiza de risc, pregătirea pentru criză, managementul crizei și continuitatea afacerii nu ar trebui tratate ca proiecte independente.

În managementul crizei, avantajul nu îl are neapărat compania care a anticipat exact ce urma să se întâmple. Nicio organizație nu poate prevedea fiecare incident.

Avantajul îl are compania care și-a construit capacitatea de a decide atunci când informația este incompletă, de a funcționa atunci când sistemele obișnuite sunt sub presiune și de a păstra încrederea atunci când răspunsurile nu sunt încă perfecte.

Pentru un board, acesta ar trebui să fie standardul de pregătire.

Nu capacitatea de a elimina orice criză. Asta nu este realist.

Ci capacitatea de a se asigura că, atunci când următoarea criză începe, organizația nu își consumă primele ore încercând să afle cine are dreptul să conducă.