Quanto custa realmente quando o seu maior cliente exige a ISO 27001 e ainda não a tem?

O email chega numa terça-feira qualquer. O seu maior cliente, aquele que representa uma fatia considerável da faturação, anexou uma cláusula nova ao contrato de renovação. Exige ISO 27001 certificada. E tem uma data.

A partir desse momento, há um relógio a contar. E pergunta que circula na reunião seguinte costuma ser a errada. Perguntam «quanto custa». A pergunta certa é outra.

O custo do «ainda não» não é o que está a pensar

A leitura óbvia é simples: dizemos que não, perdemos o contrato, contabilizamos o prejuízo. O custo mais caro acontece quando a empresa diz que sim sem perceber o que está a prometer. Aceita o prazo do cliente sem o confrontar com o tempo real de uma implementação honesta. E é aí que começa o problema que ninguém vê no momento da assinatura.

Porque uma certificação ISO 27001 feita à pressa não é uma certificação. É uma dívida adiada. Controlos montados para passar na auditoria e não para funcionar no dia a dia. Documentação que descreve uma empresa que não existe. Uma operação que continua a correr exatamente como antes, agora com um certificado na parede a dizer o contrário.

O custo real é este: pagar duas vezes. A primeira para certificar a correr. A segunda, mais tarde, para corrigir tudo o que ficou por fazer, normalmente quando já há um incidente, uma auditoria de seguimento, ou um segundo cliente a fazer perguntas mais difíceis.

Os três tempos que tem de mapear antes de responder

Quem recebe a exigência tende a olhar para um único número, o prazo do cliente, e a desenhar tudo a partir dele. É aí que o caminho começa torto. Há três tempos a considerar, não um.

O trabalho de quem lidera isto internamente não é escolher o prazo mais curto. É tornar visível o desfasamento entre estes três tempos antes de assumir compromissos. Porque uma vez assinado, o relógio do cliente passa a mandar em tudo.

Onde é que o atalho parte?

Vale a pena ser concreto sobre o que cede quando se aperta o tempo para lá do razoável. Cede o diagnóstico, entra-se em implementação sem saber onde estão os verdadeiros gaps. Cede o alinhamento da liderança, a administração assina o orçamento, mas não se compromete com a mudança, e sem patrocínio executivo qualquer projeto de transformação perde tração. Cede a gestão da mudança, montam-se controlos que as pessoas não usam, porque ninguém as preparou. Cede a operação, porque mudar a forma como uma empresa trabalha demora mais do que mudar um documento.

O custo que raramente entra na conta de quem inicia o processo

Há um custo de que poucos falam: o custo pessoal. Quem recebeu a exigência e prometeu o prazo é quem vai estar na sala quando a auditoria correr mal. O risco de execução tem um nome, e normalmente é o de quem disse «sim, conseguimos». E há ainda um dado que muda a leitura toda, em vários estudos de implementação, o maior custo da ISO 27001 não é financeiro. É organizacional. Está na mudança de cultura e de processos. Ou seja: o dinheiro raramente é o que faz um projeto destes falhar. O tempo e o alinhamento, esses sim.

O que distingue quem percorre isto bem

As empresas que saem deste processo mais fortes, e não apenas certificadas, fazem três coisas de forma diferente.

Começam pelo diagnóstico, não pelo prazo

Percebem onde estão antes de prometer onde vão chegar. Isso permite negociar o tempo do cliente com dados, em vez de o aceitar por receio de perder o negócio. Um prazo defendido com um diagnóstico na mão é quase sempre mais convincente do que um «sim» dado à pressa.

Envolvem a liderança cedo

Não como quem aprova um orçamento, mas como quem assume que isto é uma decisão de negócio com consequências para a empresa toda. A certificação é a consequência. A preparação é o trabalho. Sem este envolvimento, o projeto fica órfão a meio do caminho.

Escolhem acompanhamento em vez de entrega

A diferença entre uma consultora que deixa um conjunto de documentos à porta e um parceiro que percorre o caminho ao lado da equipa é, quase sempre, a diferença entre passar na auditoria uma vez e construir algo que se mantém de pé na segunda.

A pergunta deixa de ser «como obtenho o certificado a tempo». Passa a ser «como me torno o tipo de empresa que isto pressupõe, e como o faço sem partir nada pelo caminho».