BCM Hospitalar: ISO 22301 DRP RTO RPO Ransomware

A gestão de continuidade de negócios — Business Continuity Management (BCM) na sigla internacional — entrou no vocabulário hospitalar brasileiro de modo abrupto na sequência de três eventos: a pandemia da Covid-19, que expôs fragilidade de cadeia de suprimentos médica e capacidade de pico em UTI; a onda de ataques de ransomware contra hospitais e operadoras de saúde brasileiras a partir de 2021, que paralisou prontuário eletrônico, faturamento e logística por dias a semanas; e o crescimento de interrupções de cadeia de suprimentos decorrentes de tensões geopolíticas e desastres climáticos.

A norma de referência é a ISO 22301:2019 (Security and Resilience — Business Continuity Management Systems), que define estrutura de governança, análise de impacto no negócio (BIA — Business Impact Analysis), avaliação de risco, plano de continuidade (BCP), plano de recuperação de desastres (DRP — Disaster Recovery Plan), exercícios de simulação e revisão. Para o hospital, BCM precisa cobrir simultaneamente continuidade clínica (UTI, bloco cirúrgico, farmácia), continuidade operacional (TI, faturamento, logística) e — frequentemente esquecido — continuidade do PGRSS.

Por que PGRSS entra na continuidade do negócio

A interrupção da coleta de RSS por mais de 48 horas transforma um hospital de médio porte em risco sanitário grave. Coletor amarelo cheio em corredor é exposição ocupacional, é foco de infecção cruzada, é multa de Vigilância Sanitária e — se o evento se prolongar — é interdição da unidade. A continuidade do PGRSS depende de três variáveis críticas: disponibilidade de transportador licenciado (com plano de contingência se o contratado primário falhar), disponibilidade de tratador licenciado (incinerador, autoclave, microondas), e disponibilidade interna de capacidade de armazenamento estendido (abrigo externo com licença ambiental para volume acima do diário).

O que muda em 2026 é que essas três variáveis precisam ser mapeadas, contratadas, exercitadas e auditadas, não assumidas. O hospital que opera com transportador único, sem contrato backup e sem plano de contingência escrito, falha qualquer auditoria ISO 22301 ou exercício de simulação real.

RTO e RPO aplicados ao PGRSS

O RTO (Recovery Time Objective) define o tempo máximo aceitável para restaurar a operação após interrupção. Para coleta de RSS hospitalar, o RTO típico é 24-48 horas para Grupo A1 (biológico infectante) e 72 horas para Grupo D não contaminado. O RPO (Recovery Point Objective) define a perda máxima aceitável de dado/processo. Para PGRSS, o RPO traduz-se em manutenção do registro de MTR (Manifesto de Transporte de Resíduos) mesmo durante incidente — o registro digital precisa ter backup off-site e capacidade de operação manual em fallback.

Tabela: BCM hospitalar e impacto sobre PGRSS

A leitura cruzada da tabela mostra que o BCM hospitalar precisa endereçar seis cenários distintos que afetam PGRSS, e cada cenário tem RTO/RPO específico, plano de continuidade próprio e norma de referência sobreposta. O hospital que cobre apenas ransomware (porque foi a manchete recente) deixa cinco vetores sem mitigação.

O playbook de ransomware aplicado ao PGRSS

O ataque de ransomware paralisa primeiro o sistema de gestão (ERP, prontuário eletrônico, faturamento). O efeito segundário sobre PGRSS é menos óbvio mas igualmente grave: sem prontuário, a equipe não consegue rastrear paciente fonte de resíduo biológico; sem ERP, o registro de MTR não é gerado; sem faturamento, o transportador não sabe se a coleta deve ser executada. O playbook precisa cobrir: operação manual de MTR em papel pré-impresso, comunicação alternativa via WhatsApp Business ou rádio com transportador, registro físico de coleta com assinatura cruzada, e recuperação posterior com migração de registro para sistema digital.

Para o serviço que estrutura essa frente, a Seven Resíduos atua como parceiro técnico que entrega planos de continuidade de coleta com transportador backup e protocolo escrito para fallback manual em incidente cibernético.

Três perfis: como diferentes hospitais implementam BCM

Hospital privado de capital aberto: opera ISO 22301 certificada por exigência de auditoria interna e seguro D&O. PGRSS aparece no BIA com RTO 24h e plano de contingência testado anualmente em exercício tabletop.

Hospital filantrópico de alta complexidade: implementa BCM por exigência de credor de debênture e por aprendizado pós-incidente. PGRSS entra no plano após primeira interrupção real de coleta.

Hospital privado regional: começa do zero, geralmente após sustar evento real (ransomware, falha de transportador). Implementa playbook simples em 6 meses, evolui para ISO 22301 em 24 meses.

Três erros recorrentes em BCM hospitalar

1. Operar com transportador único sem contrato backup. O risco é trivial de mitigar e o custo do backup é marginal. Operar sem ele é descumprimento da boa prática ISO 22301.
2. Não exercitar o playbook em simulação anual. Plano de continuidade não testado é ficção. O exercício tabletop ou simulação real expõe gaps de comunicação, protocolo e responsabilidade.
3. Confundir DRP de TI com BCM de operação. DRP cobre restauração de sistemas; BCM cobre continuidade do negócio. Hospital que tem DRP mas não tem BCM volta ao ar de TI mas continua paralisado operacionalmente.

O horizonte 2027: BCM consolidado com ESG e ERM

A próxima onda inclui integração de BCM com ERM (matriz única de risco com plano de continuidade por categoria), integração com IFRS S2 (risco físico climático passa a alimentar o BIA), e certificação ISO 22301 como pré-requisito para acreditação JCI nível avançado. Cada movimento exige PGRSS estruturado com RTO/RPO definidos e exercitados.

Para aprofundar, leia o post sobre ERM hospitalar e o artigo sobre sustentabilidade hospitalar IFRS S2, além do panorama geral de PGRSS e governança. Como referência, a norma ISO 22301:2019 e a RDC 222/2018 da ANVISA são leitura essencial.

Quer estruturar BCM hospitalar com PGRSS resiliente e exercitável? Fale com a Seven Resíduos e receba diagnóstico de continuidade.