Este 8:15 dimineaţa. Echipa IT constată că site-ul companiei, un business de e-commerce, nu mai funcţionează. Primele verificări arată că problema este serioasă, dar cauza nu poate fi încă stabilită. Poate fi o defecţiune tehnică. Poate fi un atac cibernetic.

La 9:00, platforma este în continuare indisponibilă. Fiecare minut înseamnă tranzacţii care nu se mai întâmplă şi venituri pierdute. În acelaşi timp, incidentul este imposibil de ascuns. Clienţii nu pot accesa site-ul, nu pot plasa comenzi şi încep să ceară explicaţii pe social media şi prin serviciul de relaţii cu clienţii.

La 9:40, echipa IT confirmă că există suficiente indicii pentru a suspecta un incident de securitate. Nu se ştie încă dacă au fost compromise date şi nici cât de extins este atacul.

Mai există însă o problemă. CEO-ul, CFO-ul şi Chief Commercial Officer-ul sunt în acelaşi avion, în drum spre o întâlnire regională. Pentru următoarele trei ore şi jumătate, niciunul dintre ei nu poate fi contactat.

La 10:15, un jurnalist solicită o poziţie oficială. Un client important vrea să ştie când va putea relua comenzile. Echipa juridică analizează posibilele implicaţii, IT-ul continuă investigaţia, iar comunicarea are nevoie de răspunsuri pe care, în acest moment, nimeni nu le poate confirma complet.

Între timp, vânzările sunt oprite, iar trei dintre executivii care ar evalua în mod normal impactul strategic, financiar şi comercial nu sunt disponibili.

Compania nu mai gestionează un incident tehnic. Gestionează simultan o problemă operaţională, financiară, juridică, reputaţională şi de comunicare.

Cine conduce compania acum? Răspunsul la această întrebare nu ar trebui găsit la 10:15. Ar trebui stabilit cu mult înainte.

Managementul crizei nu poate fi delegat unui singur departament

Există încă organizaţii în care pregătirea pentru criză este asociată în principal cu departamentul de comunicare. Dacă riscul este digital, responsabilitatea se mută către IT. Dacă apar implicaţii juridice, intră în prim-plan echipa juridica.

Fiecare dintre aceste funcţii este esenţială. Niciuna nu poate însă conduce singură o criză majoră.

O criză serioasă obligă compania să ia, aproape simultan, decizii operaţionale, financiare, juridice, de resurse umane şi de comunicare. Iar multe dintre aceste decizii trebuie luate înainte ca managementul să dispună de imaginea completă.

IT-ul trebuie să determine amploarea incidentului. Operaţiunile trebuie să decidă ce poate continua şi ce trebuie oprit. Juridicul evaluează obligaţiile companiei. Financiarul estimează impactul. HR-ul trebuie să păstreze organizaţia informată şi funcţională. Comunicarea trebuie să răspundă presiunii din exterior.

Dar dacă oamenii care iau în mod obişnuit deciziile critice nu sunt disponibili, cine are mandatul să decidă? Aici se vede diferenţa dintre existenţa unor proceduri şi pregătirea reală.

Într-o criză, funcţiile companiei nu îşi pot permite luxul de a lucra succesiv. Trebuie să funcţioneze în paralel, pe baza aceloraşi informaţii şi cu responsabilităţi foarte clar definite.

De aceea, pregătirea pentru criză este, în opinia mea, o responsabilitate de board.

„Avem un plan de criză?” este doar începutul conversaţiei

Boardurile tratează cu rigoare auditul, riscul financiar, securitatea cibernetică sau conformitatea. Există indicatori, scenarii, responsabilităţi şi mecanisme de control. Pregatirea pentru criză merită aceeaşi disciplină.

Existenţa unui document într-un folder intern nu înseamnă că organizaţia este pregătită. Un plan care nu a fost testat este, în cel mai bun caz, o ipoteză.

Întrebările importante sunt mai incomode.

Când a fost testat ultima dată?

Cine poate lua o decizie critică fără aprobarea CEO-ului?

Cine preia conducerea dacă mai mulţi membri ai echipei executive nu sunt disponibili?

Cine poate decide suspendarea temporară a unei activităţi?

Cine aprobă comunicarea externă atunci când informaţiile sunt încă incomplete?

Care sunt funcţiile companiei care trebuie protejate cu orice preţ?

Şi, poate cel mai important, au fost oamenii puşi vreodată în situaţia de a lua aceste decizii într-o simulare suficient de realistă încât să apară ezitările, blocajele şi conflictele de autoritate care apar într-o criză reală?

Un plan poate părea impecabil într-o sală de şedinţe. Valoarea lui se vede când trebuie folosit sub presiune, cu informaţii incomplete, priorităţi concurente şi consecinţe care se acumulează de la o oră la alta.

În 2026, crizele rareori mai vin singure

Mai există un motiv pentru care pregătirea pentru criză ar trebui să urce pe agenda boardului.

Tot mai des, avem de gestionat permacrize, situaţii în care mai multe riscuri se suprapun şi se amplifică reciproc.

În scenariul nostru, un incident cibernetic blochează un site de e-commerce. În scurt timp, problema devine comercială, pentru că vânzările se opresc. Devine reputaţională, pentru că mii de clienţi pot vedea că platforma nu funcţionează. Poate deveni juridică, dacă există suspiciuni privind compromiterea datelor. Iar dacă informaţia oficială întârzie, apar speculaţiile, informaţiile eronate sau dezinformarea.

De aceea, nu mai este suficient să avem planuri separate pentru cyber, reputaţie, operaţiuni sau comunicare. Companiile trebuie să înţeleagă efectul de domino şi să fie pregătite pentru momentul în care mai multe presiuni apar simultan.

Continuitatea afacerii începe cu mult înainte ca businessul să se oprească

Aici se întâlnesc managementul crizei şi continuitatea afacerii, sau business continuity.

Business continuity înseamnă să ştii, înainte ca incidentul să apară, care sunt funcţiile fără de care compania nu poate opera şi cât timp îţi poţi permite ca acestea să fie indisponibile.

Pentru un business de e-commerce, site-ul este evident una dintre aceste funcţii. Fiecare oră de indisponibilitate poate însemna venituri pierdute, clienţi afectaţi şi o presiune reputaţională în creştere.

Dar rezilienţa nu se reduce la tehnologie.

Cine ia deciziile? Cine are autoritatea necesară? Ce alternative sunt disponibile? Care sunt furnizorii critici? Cine trebuie informat primul? Cum ajunge informaţia verificată la oamenii care trebuie să decidă? O companie poate avea un manual de criză foarte bun şi poate pierde ore importante pentru că nimeni nu ştie cine are autoritatea să îl activeze.

Poate avea oameni competenţi şi resurse suficiente şi totuşi să transmită mesaje contradictorii pentru că juridicul, operaţiunile, IT-ul şi comunicarea lucrează cu versiuni diferite ale aceleiaşi situaţii.

Business continuity este, în ultimă instanţă, şi despre capacitatea organizaţiei de a continua să decidă atunci când condiţiile normale de funcţionare dispar.

Primele ore ale unei crize spun foarte multe despre o companie

În scenariul nostru, CEO-ul, CFO-ul şi Chief Commercial Officer-ul vor reveni online abia după trei ore şi jumătate.

Compania nu poate aştepta până atunci.

În acest interval trebuie să investigheze incidentul, să protejeze infrastructura, să limiteze impactul financiar, să gestioneze relaţia cu clienţii şi angajaţii, să răspundă presei şi să evalueze eventualele obligaţii juridice.

Primele ore arată dacă organizaţia ştie cine conduce. Dacă responsabilităţile sunt clare. Dacă informaţia circulă rapid. Dacă există o imagine comună asupra situaţiei. Dacă stakeholderii prioritari au fost identificaţi. Şi, mai ales, dacă oamenii au suficientă autoritate pentru a acţiona.

De aceea, analiza de risc, pregătirea pentru criză, managementul crizei şi continuitatea afacerii nu ar trebui tratate ca proiecte independente.

În managementul crizei, avantajul nu îl are neapărat compania care a anticipat exact ce urma să se întâmple. Nicio organizaţie nu poate prevedea fiecare incident.

Avantajul îl are compania care şi-a construit capacitatea de a decide atunci când informaţia este incompletă, de a funcţiona atunci când sistemele obişnuite sunt sub presiune şi de a păstra încrederea atunci când răspunsurile nu sunt încă perfecte.

Pentru un board, acesta ar trebui să fie standardul de pregătire.

Nu capacitatea de a elimina orice criză. Asta nu este realist.

Ci capacitatea de a se asigura că, atunci când următoarea criză începe, organizaţia nu îşi consumă primele ore încercând să afle cine are dreptul să conducă.