Unidad 2. Conceptos y definiciones
• Conceptos y definiciones
• Continuidad del negocio dentro de un enfoque holístico de la resiliencia
• Estado teórico de la literatura
• Business continuity management key concepts
• ¿No es la continuidad de negocio otro tipo de gestión de riesgos?
• Todos los análisis deben ser «objetivos»
• «Crítico» no significa «importante»
• Principales conclusiones
Conceptos y definiciones
Pero ahora es el momento de las definiciones!
Hasta ahora, hemos mencionado tanto la resiliencia organizacional como la gestión de la continuidad de negocio, dando a entender que la segunda es un componente importante de la primera.
Pero, ¿cuáles son exactamente nuestras definiciones? Estas son las más comúnmente aceptadas, según lo establecido en la norma ISO 22300: 2021.
Continuidad del negocio dentro de un enfoque holístico de la resiliencia
Como podemos ver en la diapositiva anterior, la continuidad de la actividad se centra estrictamente en la entrega de productos y servicios, mientras que la resiliencia es un concepto más amplio que significa la capacidad de la organización para absorber y adaptarse a los cambios.
Esto se debe a que la continuidad de la actividad debe considerarse como una de las muchas disciplinas que contribuyen a la resiliencia de una organización. Es cierto que la continuidad de la actividad por sí sola no puede hacer que una organización sea perfectamente resiliente, pero también es cierto que, sin unos mecanismos adecuados de continuidad de la actividad, ninguna organización puede considerarse resiliente.
La resiliencia debe ser un objetivo estratégico de la organización, por tanto debe dar valor a las numerosas funciones y departamentos empresariales que contribuyen a alcanzar este objetivo.
Estado teórico de la literatura
En la mayoría de los casos, el estado del arte de las distintas disciplinas de la resiliencia viene impuesto por las normas internacionales pertinentes, emitidas por la Organización Internacional de Normalización (ISO).
Las normas ISO definen lo que constituye un sistema de gestión bien implantado que pertenece a una disciplina de resiliencia determinada. Por ejemplo, la norma ISO 22301:2019 define los elementos necesarios de un SGCN.
Además, las especificaciones técnicas adicionales (ISO/TS) establecen requisitos más detallados para las prácticas específicas inherentes a un SGCN (como la ISO/TS 22317 sobre el análisis de impacto empresarial).
Conceptos clave de la gestión de la continuidad del negocio
Hay muchos conceptos clave en la gestión de la continuidad del negocio que todo profesional debe tener en cuenta a la hora de implantar un SGCN, que la norma ISO establece y a los que muchos manuales profesionales hacen referencia.
La implantación de un SGCN puede realizarse a través de una serie estándar de seis prácticas profesionales, o «fases» del proyecto, pero todas las metodologías se basan en conceptos que a menudo se malinterpretan.
Estos malentendidos no sólo son importantes desde el punto de vista del rigor teórico, sino también porque pueden causar complicaciones innecesarias, redundancias u otras ineficiencias cuando una organización intenta implantar/mejorar su SGCN.
Por eso es importante dejar claras algunas cosas desde el principio.
¿No es la continuidad de negocio otro tipo de gestión de riesgos?
Hay intereses que se solapan, pero la gestión de la continuidad del negocio no tiene que ver con el riesgo, tal y como éste se define.
El profesor Ian Mitroff proporcionó la famosa definición de riesgo que actualmente también se incluye en la norma ISO 31000, «el riesgo es el efecto de la incertidumbre sobre los objetivos1.»1En efecto, el riesgo de un acontecimiento para una organización se calcula comúnmente mediante alguna forma de producto entre la probabilidad de que ese acontecimiento ocurra y su impacto, en caso de que ocurra, sobre la organización.
En la gestión de la continuidad del negocio, la probabilidad de que se produzcan acontecimientos es, en sentido estricto, irrelevante. En gran medida, también lo son los propios sucesos.
La gestión de la continuidad de negocio sólo se interesa por las consecuencias de un suceso en la organización: qué activos dejaría indisponibles, cómo afectaría a la entrega de productos y servicios y cómo restablecerlos.
Un ejemplo claro de las diferencias de enfoque:
• La continuidad de negocio ofrece protección frente a todos aquellos sucesos que una organización pensaba que nunca ocurrirían, pero que siempre ocurren.
1 Gestión de riesgos – Directrices ISO 31000: 2018, ISO, 2018.
«El riesgo es el efecto de la incertidumbre sobre los objetivos».
– ISO 31000
Todos los análisis deben ser «objetivos»
Son muchos los resultados de un sistema de gestión de la continuidad de negovio, pero uno de los principales es, sin duda, un mapa de todos los procesos críticos que intervienen en la entrega de productos y servicios clave (la Unidad 2 ilustrará cómo puede conseguirse).
Para implantar un SGCN, tendrá que comprometerse con diferentes áreas de sus organizaciones, cada una con su propia sensibilidad sobre la importancia y criticidad de su actividad diaria, así como su propia percepción del riesgo y la vulnerabilidad.
Si no se corrige esta diversidad en el análisis, el resultado será una colección de respuestas no comparables. Por ejemplo:
• Tanto el departamento de contabilidad como el de administración dicen que el impacto derivado de su interrupción sería «grave».
¿Qué significa «grave» en este caso? ¿Estamos seguros de que ambos tienen en mente la misma escala de consecuencias? El problema está claro.
Por lo tanto, es primordial garantizar que todo el mundo opera en un «idioma» común y con un marco de referencia común.
«Crítico» no significa «importante»
La continuidad del negocio se ocupa de salvaguardar el suministro de los productos y/o servicios de una organización. Uno de los principales métodos con los que se persigue este objetivo es garantizar la continuidad de los procesos críticos que subyacen a un determinado producto y/o servicio. En caso de disrupción, esto significa que los procesos críticos deben restablecerse más rápidamente que los menos críticos o no críticos.
Esto no significa que los procesos críticos sean más importantes que los no críticos. Como ejemplo de lo que queremos decir, considere el siguiente ejemplo:
• Estás pagando tus facturas por Internet, pero de repente se apaga la luz.
Ahora bien, pagar las facturas es sin duda más importante que tener la luz encendida o apagada en un momento dado, pero en este escenario perturbador, la prioridad inmediata es asegurarse de que la luz vuelva a encenderse: sencillamente, no se pueden pagar las facturas sin ella.
En consecuencia, en un contexto de continuidad de negocio, diremos que «encender las luces» es un proceso crítico.
Principales conclusiones
La gestión de la continuidad del negocio debe formar parte de los esfuerzos más amplios de resiliencia de una organización, y no se puede decir que una organización sea verdaderamente resiliente sin unas buenas prácticas de gestión de la continuidad del negocio.
La propia continuidad de la actividad ofrece numerosas ventajas:
1. Garantiza la entrega de productos y servicios independientemente de cualquier acontecimiento específico.
2. Permite a la organización pensar racionalmente sobre sus prioridades de recuperación ante un incidente.
3. Es una ventaja competitiva.