Durante muito tempo, a sustentabilidade empresarial esteve sobretudo associada às questões ambientais, deixando outras dimensões em segundo plano. Mas os desafios que hoje se colocam às organizações exigem uma visão mais abrangente, que tenha também em conta os riscos físicos, digitais, operacionais e regulatórios. Em entrevista à Green Savers, Cláudia Tapadas, diretora de Estratégias de Sustentabilidade da The Equator Company, defende que sustentabilidade e resiliência não devem ser tratadas como áreas separadas: ambas são essenciais para garantir a capacidade de uma empresa continuar a funcionar e a criar valor perante mudanças e situações imprevistas.
É neste enquadramento que a The Equator Company está a desenvolver o Equator Resilience Blueprint, um modelo de avaliação que cruza sete dimensões num único diagnóstico e traduz os resultados num indicador de zero a 100. O objetivo é ajudar as organizações a identificar vulnerabilidades, compreender melhor as suas dependências e perceber onde devem concentrar os esforços. Mais do que responder a exigências de reporte ou cumprir obrigações, a questão está em saber se as empresas estão preparadas para enfrentar os riscos e se conseguem transformar essa preparação em decisões concretas.
Incêndios, cheias, ondas de calor, falhas de energia, ruturas logísticas e ciberataques deixaram de ser acontecimentos excecionais para muitas organizações. O que é que mudou no perfil de risco das empresas e porque é que a capacidade de resistir a estas disrupções deve hoje fazer parte da estratégia de sustentabilidade?
Mudaram quatro aspetos ao mesmo tempo: a frequência, a simultaneidade, a gravidade e a ligação entre os riscos. Incêndios, cheias e ondas de calor deixaram de ser eventos raros. De acordo com a Agência Europeia do Ambiente (EEA), na União Europeia os fenómenos meteorológicos e climáticos extremos causaram perdas estimadas em 822 mil milhões de euros entre 1980 e 2024, e um quarto desse valor – mais de 208 mil milhões de euros – concentrou-se entre 2021 e 2024. Um ciberataque já não é um problema do departamento de informática, pode parar uma operação durante dias. Em Portugal, o CERT.PT registou 2 758 incidentes de cibersegurança em 2024, mais 36% do que em 2023. E uma rutura num fornecedor distante, numa rota logística ou na rede elétrica propaga-se em cascata até ao coração do negócio.
Durante quanto tempo conseguimos operar se perdermos a energia, os sistemas ou um fornecedor crítico? E o que mudou na empresa depois da última disrupção que sofremos? A primeira reflexão avalia a preparação. A segunda, a capacidade de aprender, e é a que mais vezes fica sem resposta.
Se a organização não consegue garantir continuidade, não consegue cumprir compromissos com clientes, trabalhadores, comunidades ou financiadores. Os sinais já são visíveis e a OCDE sublinha que a cobertura de seguro dos riscos climáticos em Portugal é baixa, o que deixa grande parte das perdas a cargo das empresas e do Estado. Os financiadores olham para a resiliência da operação quando avaliam risco e custo de crédito e o próprio reporte de sustentabilidade pede às empresas que analisem a resiliência da sua estratégia face ao risco climático
Apesar desta exposição crescente, muitas organizações não sabem quanto tempo conseguiriam manter a sua atividade perante uma disrupção crítica. Porque é que continua a existir esta dificuldade em medir a resiliência empresarial?
Porque a resiliência está dispersa pela organização e é desafiante ter uma leitura única e integrada. A gestão de risco olha para a matriz de riscos, a informática para a cibersegurança, as operações para a continuidade, as compras para os fornecedores, a sustentabilidade para o clima. Cada função tem as suas métricas, os seus prazos e a sua linguagem. O resultado é que existem muitos dados, mas não existe uma resposta integrada e estruturante nas estratégias, nos processos e na cultura.
Há também uma diferença grande entre ter um plano e saber que ele funciona. Na nossa experiência, muitas empresas têm planos de continuidade, mas não definiram em quanto tempo precisam de recuperar cada processo crítico, ou nunca testaram esse objetivo.
Por fim, uma parte importante da exposição é externa às organizações, em fornecedores, em prestadores de serviços digitais, na energia, na logística. Essas dependências raramente estão mapeadas com o detalhe necessário.
Medir resiliência exige, por isso, juntar estas peças num só diagnóstico e traduzi-las numa leitura que a administração consiga usar para decidir.
O Equator Resilience Blueprint cruza sete dimensões num único diagnóstico e traduz o resultado num indicador de zero a 100. O que é que esta abordagem integrada permite perceber que uma análise isolada dos riscos físicos, digitais, operacionais ou regulatórios não consegue mostrar?
Permite ver as ligações, que é onde as organizações costumam falhar. Uma empresa pode ter uma cibersegurança robusta e um plano de continuidade bem escrito, mas se ninguém tem autoridade clara para o ativar, ou se a energia de reserva nunca foi testada, a força de uma dimensão é anulada pela fragilidade de outra. Uma análise apenas por áreas dá nota positiva a cada parte e não vê o ponto onde a cadeia parte.
O Blueprint avalia a organização de ponta a ponta em sete dimensões: infraestrutura e ativos críticos; governação e liderança de crise; cadeia de valor e interdependências; capital humano e cultura de resiliência; compliance e regulação; continuidade operacional e recuperação; ambiente, clima e recursos naturais. O resultado é um score de 0 a 100, com cinco níveis, de Frágil a Referência, e uma leitura por dimensão.
O valor do score não está no número em si, mas na identificação das maiores vulnerabilidades para que possam ser trabalhadas. É importante dar à administração, à gestão de risco, às operações e à sustentabilidade uma linguagem comum. Permite saber onde estamos, comparar unidades ou geografias, acompanhar a evolução ao longo do tempo e, sobretudo, perceber onde está o elo mais fraco antes de ser uma crise a revelá-lo.
Até que ponto é que a crescente interdependência entre empresas, infraestruturas, fornecedores, energia e sistemas digitais está a criar pontos de vulnerabilidade que as organizações ainda não conhecem suficientemente bem?
Em grande medida. As organizações tornaram-se mais eficientes, mas também mais dependentes umas das outras. O apagão ibérico de 28 de abril de 2025 mostrou isso de forma muito clara, ao deixar em poucos segundos, sem eletricidade cerca de 6,4 milhões de clientes em Portugal, e só à meia-noite estava reposta energia em 95% dos consumidores. O relatório final dos peritos europeus conclui que o colapso resultou da interação de vários fatores, que provocaram subidas rápidas de tensão e o disparo em cascata de centrais de produção.
O problema é que a maioria das empresas conhece bem os seus fornecedores diretos, mas conhece mal as dependências desses fornecedores. Sabe quem lhe presta o serviço, mas nem sempre sabe de que energia, de que plataforma digital ou de que rota esse serviço depende. É aí, no segundo e no terceiro nível da cadeia, que estão muitas das vulnerabilidades que ninguém mapeou. No Blueprint, a cadeia de valor é avaliada desde a raiz, em 360º.
A sustentabilidade é muitas vezes associada à redução de emissões, à eficiência de recursos ou à gestão dos impactos ambientais. Porque deve a resiliência ser hoje entendida como parte integrante dessa agenda?
Porque a sustentabilidade sempre teve duas metades e durante muito tempo só olhámos para uma. Reduzir emissões, usar melhor os recursos e gerir impactos é essencial, é a forma como a empresa reduz o seu contributo para o desafio global. Mas o clima já está a mudar, e a outra metade é a capacidade de adaptação, que passa por proteger pessoas, ativos e operações dos efeitos que já não conseguimos evitar. O enquadramento europeu reconhece isto há vários anos, por exemplo, ao incluir a adaptação às alterações climáticas como um dos objetivos ambientais da Taxonomia.
A resiliência vai além do clima. Tem uma dimensão social evidente, porque numa empresa os primeiros afetados são os trabalhadores, os clientes e, nos serviços essenciais, comunidades inteiras. Tem uma dimensão de governação, que se foca em quem decide, com que informação e em quanto tempo. E tem uma dimensão ambiental que vai da adaptação climática às soluções baseadas na natureza e à economia circular, que também reduzem dependências.
Na prática, resiliência e sustentabilidade respondem ao mesmo desafio: como é que a organização continua a criar valor num contexto mais instável.
O novo modelo procura também ajudar as organizações a decidir onde devem investir para reduzir as suas vulnerabilidades. Como é que se passa de um diagnóstico de risco para decisões concretas de adaptação e preparação?
No Blueprint, o score por dimensão dá origem a um mapa de vulnerabilidades, que cruza a probabilidade e o impacto de cada risco crítico. A partir daí construímos com o cliente um roadmap priorizado, com uma análise de custo e benefício por iniciativa.
Esse roadmap distingue duas coisas. Os ganhos rápidos, que muitas vezes custam pouco e têm um efeito imediato, como nomear um responsável com autoridade para ativar a resposta a uma crise, fazer um exercício de simulação com a liderança, testar os sistemas de reserva. E as iniciativas estruturantes, que exigem investimento e tempo, como redundância de infraestruturas ou adaptação de ativos ao risco climático. Cada medida fica associada a um responsável, a um prazo e à obrigação regulatória que ajuda a cumprir.
O último passo é medir. Definimos indicadores e metas por dimensão e acompanhamos a evolução, para que a resiliência não seja uma fotografia tirada uma vez, mas um processo vivo. O retorno depende de cada organização, mas decidir onde investir primeiro faz toda a diferença. Até porque não estamos a falar muitas vezes de começar de novo, mas sim de olhar de forma crítica para o património da empresa e entender onde estão as vulnerabilidades a ser trabalhadas.
A existência de novas exigências regulatórias, nomeadamente nas áreas da resiliência das entidades críticas e da cibersegurança, está a acelerar esta mudança? Ou existe ainda o risco de as empresas tratarem estas obrigações de forma fragmentada?
As duas coisas estão a acontecer. A Diretiva CER, transposta pelo Decreto-Lei n.º 22/2025, está em vigor desde março de 2025. As entidades críticas tinham de ser designadas até 17 de julho de 2026 e, a partir da notificação, têm nove meses para avaliar os seus riscos e dez meses para submeter um plano de resiliência. A NIS2, transposta pelo Decreto-Lei n.º 125/2025 e em vigor desde 3 de abril de 2026, alarga as obrigações de cibersegurança a muitas mais organizações e obriga os órgãos de gestão a aprovar e supervisionar as medidas de cibersegurança. O DORA, aplicável desde janeiro de 2025, exige resiliência operacional digital ao setor financeiro. A resiliência tem obrigações concretas, prazos e responsabilidades da gestão, pela primeira vez com este alcance.
Mas o risco de fragmentação é real. Estes diplomas convergem no objetivo e estão juridicamente ligados, porque uma entidade designada como crítica ao abrigo da CER é automaticamente uma entidade essencial no regime da cibersegurança. Ainda assim, em muitas organizações, continuam a ser tratados por equipas diferentes, com calendários e métricas próprios. O resultado pode ser três exercícios de conformidade paralelos, mais custo, mais carga sobre as equipas e, no fim, uma empresa que cumpre no papel, mas não está mais preparada.
A nossa abordagem é usar o compliance como ponto de partida, não como ponto de chegada. Um único diagnóstico, uma única base de evidência e um único roadmap podem responder a várias obrigações ao mesmo tempo. Quem fizer este trabalho de forma integrada cumpre melhor, gasta menos e ganha capacidade real de resposta.
Num contexto em que os riscos se tornam mais frequentes, interligados e difíceis de antecipar, o que é que distingue uma organização que apenas reage às crises de outra que está efetivamente preparada para resistir e recuperar?
A organização que reage, descobre as suas fragilidades durante a crise. A organização preparada já as conhece, e decidiu o que fazer com elas.
Na prática, isso vê-se em cinco aspetos. Conhece os seus ativos e dependências críticas, incluindo as que estão fora de portas. Definiu quanto tempo pode estar parada em cada processo essencial e testou se consegue recuperar nesse prazo. Tem uma governação clara, alguém com autoridade para decidir e um circuito de escalonamento que todos conhecem. Capacita as equipas, com exercícios regulares que envolvem a liderança e não apenas os perfis técnicos. E integra aprendizagens, depois de cada incidente, revisita os planos e corrige.
Nenhuma destas características depende da dimensão da empresa. Dependem de transformar a resiliência numa disciplina de gestão, medida e acompanhada como qualquer outro indicador estratégico.
O primeiro passo é simples, é saber onde se está. Foi para isso que criámos o Resilience Snapshot, um questionário gratuito de dez perguntas, que se responde em cerca de cinco minutos e devolve uma primeira leitura do score e das três lacunas prioritárias da organização, em resilience.equatorcompany.com.
