Protocolo de Escalation

Passo 1 — Definir os níveis de escalation

Estrutura típica de 5 níveis (adaptar à organização):

| Nível | Papel | Quando aciona |

|---|---|---| | L1 | On-call primário | Toda página inicial. | | L2 | On-call secundário | L1 sem ack em 5 min ou pede escalation. | | L3 | Líder técnico do domínio / Manager on-call | L2 sem solução em X min, ou complexidade técnica requer expertise específica. | | L4 | Diretor de engenharia / VP / COO | P0 não resolvido em 30 min; exposição externa significativa. | | L5 | CEO / Conselho | Crise reputacional, regulatória ou financeira material. |

Para incident que toca outras áreas (jurídico, comunicação, financeiro, comercial), também ter:

- Escalation lateral: jurídico / comunicação / suporte / vendas — acionado conforme tipo de exposição.

Passo 2 — Definir decision rights em cada nível

Em cada nível, definir o que o papel pode decidir sozinho e o que precisa subir. Sem isso, escalation vira passar batata quente.

L1 (On-call primário) — pode:

- Executar runbook conhecido. - Acionar flag/canary rollback. - Iniciar mitigação técnica documentada. - Decidir abrir incident (severidade até P2).

L1 — não pode (deve escalar): - Declarar P0/P1. - Comunicar externamente (status page, cliente, mídia). - Acionar vendor com custo de suporte premium.

L2 (On-call secundário) — pode: - Tudo de L1. - Confirmar declaração de P0/P1.

L3 (Líder técnico / Manager on-call) — pode: - Decidir rollback de grande escala. - Acionar mais pessoas do time (mobilizar time inteiro). - Aprovar comunicação externa de impacto baixo/médio. - Acionar vendor com custo de suporte premium.

L3 — não pode (deve escalar): - Comunicação a cliente enterprise com SLA. - Comunicação a regulador. - Decisão financeira material (compensação a cliente, multa).

L4 (Diretor / VP / COO) — pode: - Aprovar comunicação a clientes enterprise. - Autorizar gastos emergenciais. - Acionar plano de continuidade (business-continuity-plan). - Coordenar com áreas (jurídico, comunicação).

L5 (CEO / Conselho): - Decisões reputacionais, regulatórias materiais, contratação de crisis PR.

Documentar como matriz RACI ou listas explícitas. Sem isso, ninguém sabe o que pode decidir e tudo sobe.

Passo 3 — Definir gatilhos automáticos de escalation

Escalation por critério humano falha em pânico. Definir gatilhos automáticos:

| Condição | Aciona |

|---|---| | L1 sem ack em 5 min | L2 automático. | | L2 sem ack em 5 min | L3 automático. | | P0 sem mitigação em 30 min | L4 automático. | | P0 sem mitigação em 60 min | L5 automático. | | P1 sem mitigação em 60 min | L3 automático. | | P1 sem mitigação em 2h | L4 automático. | | Exposição de PII confirmada | Jurídico + DPO automático. | | SLA contratual violado | Comercial + L4 automático. | | Cliente enterprise em risco | Customer Success Lead + L4 automático. |

Configurar tudo isso no paging tool. Auto-escalation é o que evita "esqueci de chamar o manager".

Passo 4 — Mapear escalation por domínio

Diferentes domínios precisam de pessoas diferentes. Construir matriz domínio × nível:

| Domínio | L1 (on-call) | L3 (líder) | L4 (executivo) |

|---|---|---|---| | Auth | rotação Auth | Tech Lead Auth | Diretor de Eng | | Payments | rotação Payments | Tech Lead Payments | COO | | Infra | rotação SRE | SRE Lead | Diretor de Eng | | Dados | rotação Data | Data Lead | CTO | | Suporte | rotação Suporte | Head of Support | CCO |

Sem essa matriz, escalation genérica acaba acordando o líder errado, que perde tempo decifrando o que é antes de poder agir.

Passo 5 — Definir escalation externa (vendor, cliente, regulador)

Escalation externa exige protocolo separado:

Para vendor crítico:

- Canal de escalation contratualizado (não suporte público). - Pessoa de contato e suplente do lado do vendor. - Tempo de resposta contratual. - Quem do lado da empresa pode acionar (papel). - Histórico de uso registrado.

Para cliente enterprise com SLA: - Contato técnico primário e suplente. - Contato comercial primário. - Política: comunicar dentro de X min de detecção, update a cada Y min. - Quem comunica (Customer Success, não engineering direto).

Para regulador: - Mapear por framework (LGPD, GDPR, PCI, setorial). - Prazo legal de notificação. - Quem do jurídico aciona (DPO, advogado externo). - Template pré-aprovado de notificação.

Passo 6 — Política de paging fora do horário

Definir explicitamente o que pode acordar pessoas e o que pode esperar:

Pode acordar (qualquer hora):

- Páginas P0/P1 do on-call em escala. - Auto-escalation por timeout. - Acionamento de L3+ por incident em curso.

Não acorda (vai para canal assíncrono): - Páginas P2/P3 (esperar horário comercial). - Tickets de suporte. - Pedidos comerciais. - Atualizações de status que não exigem ação.

Para L4/L5 (executivos), regra adicional: pageiam apenas em P0 confirmado, ou em situação que exige decisão executiva imediata (PR, regulador). Não usar para "manter executivo informado" de noite.

Passo 7 — Templates de comunicação por nível

Cada nível tem mensagem diferente. Templates pré-aprovados:

Para L3 (Manager on-call):

``

[ESCALATION L3] em Sintoma: Impacto: Detectado: On-call em ação: Mitigação tentada: Razão da escalation: Decisão necessária: War room: `

Para L4 (Diretor/VP/COO):

` [INCIDENT P0/P1] Início: Status atual: Impacto: Risco: Próximos passos: Comunicação externa: IC: Próximo update: `

Para L5 (CEO):

` [INCIDENT CRÍTICO] Resumo executivo (3 linhas): Risco material: Ação requerida: Próximo update: Coordenador: `

Para cliente enterprise:

` [STATUS] degradado Caro cliente, Identificamos degradação em iniciada às . . Nosso time está atuando. Estimativa de resolução: . Próximo update: . Contato dedicado: . ``

Passo 8 — Definir política de re-escalation

Escalation não é unidirecional. Definir quando descer:

- L3 informa L1/L2 quando assume coordenação técnica.

- L4 informa L3 do que decidiu. - Quando severidade cai (de P0 para P1), os níveis acima são informados e podem se desengajar. - Resolução do incident notifica todos os níveis acionados.

Sem fluxo de retorno, executivos acordados em P0 ficam acordados sem saber que terminou.

Passo 9 — Documentar e configurar

Saída final operável:

- Documento de protocolo no handbook (10-20 páginas).

- Matriz domínio × nível com nomes/papéis atuais. - Configuração de auto-escalation no paging tool. - Templates de comunicação no repositório de templates. - Cadastro de contatos externos (vendor, cliente, regulador) em local seguro com acesso controlado. - Lista de telefones celulares de L4/L5 para acionamento via Twilio/SMS em P0 (com consentimento explícito).

Passo 10 — Testar o protocolo

Protocolo não testado é teoria. Cadência mínima:

- Tabletop trimestral: simulação P1 e P0, validar que escalation acontece nas pessoas certas no tempo certo.

- Drill semestral: simulação real com paging acionado (em janela combinada). - Pós-incident: auditar se escalation real seguiu o protocolo; gaps viram update do documento.