Unidad 3. Sistema de gestión de continuidad de negocio
• ¿Qué es un SGCN?
• Configurar todo
• Política BCMS vs Programa BCMS: ¿Cuál es la diferencia?
• Todos a bordo
• Resumiendo
• Averiguar qué es qué
• ¿Cómo cuantificar el nivel de criticidad de un proceso?
• Cómo realizar el BIA
• Después del BIA, el CRA: Análisis de los requisitos de continuidad
• Por último, la Evaluación de Amenazas
• Averiguar qué es qué (paso a paso)
• Cómo llegar del punto A al punto B
• Planes, planes y nada más que planes
• Probarlo todo para ver si funciona
¿Qué es un SGCN?
Un sistema de gestión de la continuidad de negocio es el conjunto de prácticas organizadas que promueven y mantienen todas las actividades necesarias para garantizar la prestación continuada de los productos o servicios de una organización.
ISO 22301: 2019 es la principal norma internacional que establece los requisitos para un SGCN suficientemente funcional, pero existen muchas metodologías en el mercado que ilustran cómo implantar uno en tu organización.
La norma ISO 22313: 2020 profundiza en el contenido de la norma ISO 22301, pero a continuación se exponen los pasos generales para su implantación, tal y como los concibe el Instituto de Continuidad Empresarial.
Configurar todo
Todo SGCN necesita recibir el soporte y los recursos adecuados para ser eficaz. Sólo la alta dirección de la organización puede garantizar que así sea, tanto al principio como a lo largo de los años.
En consecuencia, la alta dirección debe asegurarse de que no haya dudas sobre la respuesta a las cuatro preguntas siguientes:
1. ¿Cuál es el ámbito de aplicación del SGCN?
2. ¿Quién está a cargo del SGCN?
3. ¿Cuáles son sus objetivos estratégicos y operativos?
4. ¿Está la cultura organizativa preparada para aceptar el SGCN?
Política BCMS vs Programa BCMS:
¿Cuál es la diferencia?
Muchas organizaciones confunden la Política del SGCN de la organización con el Programa de SGCN. De hecho, es bastante común que las organizaciones definan un documento que, bien entendido, es su Programa de SGCN, pero lo llamen su Política de SGCN.
En realidad, ambos documentos son muy diferentes.
«Si no sabes a dónde vas,
acabarás en otro sitio». – Yogi Berra
Todos a bordo
Una vez que el SGCN se ha creado y promovido adecuadamente, hay que esforzarse por garantizar que la cultura y el personal de la organización están preparados para absorber y mantener el nuevo sistema de gestión.
Los objetivos clave de esta fase son:
1. Garantizar que todos hablen un lenguaje operativo común.
2. Desarrollar una conciencia de 360° de las funciones del personal en el SGCN.
3. Integrar la continuidad del negocio en el día a día.
Hay muchas formas de hacerlo.
Integrar la continuidad del negocio en una organización es un esfuerzo continuo. Como cualquier otra práctica de gestión, debe mantenerse con regularidad.
Si se mantiene adecuadamente, la continuidad del negocio puede aportar a la organización varias ventajas a largo plazo.
Averiguar qué es qué
Durante la fase de análisis, la organización lleva a cabo lo que se denomina un análisis del impacto en el negocio (o BIA – Business Impact Analysis, por sus siglas en inglés) para determinar:
1. Los procesos críticos de la organización.
2. Sus prioridades de recuperación (entre los procesos críticos, ¿cuáles son más críticos que otros?)
3. Sus requisitos de recursos de continuidad, es decir, las herramientas y activos necesarios para continuar con los procesos a niveles mínimos aceptables después de una disrupción.
Durante el BIA no deben tenerse en cuenta las opiniones subjetivas para que los resultados sean lo más objetivos y comparables posible.
¿Cómo cuantificar el nivel de criticidad
de un proceso?
El BIA tiene que ser lo más objetivo posible. Esto requiere que, especialmente para los niveles de criticidad, exista un criterio cuantificable que permita a la organización distinguir entre procesos críticos y no críticos, así como entre procesos más y menos críticos.
Este criterio suele conocerse como TOR, o tiempo objetivo de recuperación. La criticidad de un proceso se define como la cantidad de tiempo que la organización puede tolerar su interrupción en el peor de los casos antes de que el impacto en la organización sea inaceptable.
Por tanto, la organización puede definir lo que constituyen impactos y plazos aceptables e inaceptables («umbrales de impacto») y, en consecuencia, derivar una escala TOR que pueda aplicarse durante el análisis.
Cómo realizar el BIA
Cada organización tendrá su propia forma de realizar un análisis del impacto en la empresa, pero la mayoría de las organizaciones empiezan mostrando los umbrales de impacto a un propietario de proceso y preguntándole: si no pudiera completar sus actividades habituales en el peor de los casos (como en momentos de máxima actividad) durante un periodo de tiempo prolongado, ¿cuál sería el impacto en la organización?
Es importante ayudar al propietario del proceso a lo largo de su evaluación teniendo en cuenta los siguientes consejos:
1. No considerar la probabilidad de la disrupción.
2. No considerar las estrategias/tácticas de continuidad actualmente activas.
3. No tener en cuenta los planes de recuperación actualmente activos.
El propietario del proceso debe evaluar el impacto «bruto» en la organización, tanto para evaluar la eficacia de las estrategias/tácticas/planes existentes como para garantizar que los procesos verdaderamente críticos -los que suelen estar ya salvaguardados- reciben la prioridad adecuada.
Después del BIA, el CRA: Análisis de los requisitos de continuidad
Tras comprender bien los procesos críticos de una organización, el siguiente paso es realizar el análisis de requisitos de continuidad (ARC). La organización debe comprender qué necesita cada proceso crítico para funcionar, de modo que, llegado el momento, puedan desplegarse estrategias eficaces para garantizar que esos recursos estén disponibles ante un incidente o dirupción.
Los siguientes son requisitos de continuidad habituales que los responsables de procesos deben detallar durante la fase de análisis.
Por último, la Evaluación de Amenazas
La última actividad de análisis que debe realizar la organización es una evaluación de amenazas para identificar puntos únicos de fallo y niveles inaceptables de riesgo inherentes a sus procesos críticos.
Averiguar qué es qué (paso a paso)
Cómo llegar del punto A al punto B
El análisis proporciona la información. La fase de diseño es en la que la organización intenta «diseñar» estrategias y soluciones para asegurarse de que:
1. Se cumplen las prioridades de recuperación.
2. Se mitigan las amenazas y vulnerabilidades.
3. Los recursos necesarios son desplegables.
Para ello, la organización debe comparar sus objetivos con sus recursos disponibles para asegurarse de que cualquier medida aprobada sea realista, eficaz y no entre en conflicto con otras estrategias existentes o propuestas.
Las estrategias y soluciones que una organización diseñará y seleccionará, en la mayoría de los casos, serán coherentes con las prioridades de recuperación identificadas en el análisis.
En concreto, es importante que los TOR confirmados sean realistas, y existen varias estrategias para garantizar que lo sean.
Planes, planes y nada más que planes
Una vez que la organización ha identificado sus estrategias y tácticas de continuidad de negocio, debe establecer su aplicación exacta en planes de continuidad de negocio (PCN).
Los PCN de éxito tienen varias cualidades en común:
1. Son concisos, adaptables y pertinentes.
2. Son documentos prácticos, hechos para ser utilizados, no sólo leídos.
3. Se actualizan y prueban constantemente.
Los planes de continuidad de negocio de una organización deben ser independientes del escenario, sin centrarse en solucionar la causa de una interrupción del negocio, sino más bien en asegurarse de que la organización está preparada para reaccionar ante ella:
• Pérdida del emplazamiento.
• Pérdida de personal.
• Pérdida de TI/tecnología.
• Pérdida de proveedor/suministro.
Probarlo todo para ver si funciona
El último paso de un SGCN eficaz es la fase de validación, en la que la organización tiene que «poner a prueba» sus estructuras de gestión de la continuidad de negocio y ver en qué aspectos son eficaces y en cuáles pueden mejorarse.
La continuidad de negocio es un ciclo de mejora continua. Cada año, en cada ciclo, se aprenden lecciones que deben incorporarse de forma iterativa.
No es imprescindible hacerlo todo bien a la primera. Tampoco es bueno. «Un ejercicio que no encuentra fallos es un fracaso perfecto». Siempre hay aspectos mejorables, y si los ejercicios de una organización no los identifican, significa que los propios ejercicios no son eficaces.
