01 · El problema que ISO 22301 intenta resolver
Las organizaciones sufren interrupciones. Algunas son predecibles: fallo de un sistema tecnológico crítico, ausencia de personal clave, interrupción de un proveedor principal. Otras son impredecibles en su forma pero no en su posibilidad: desastre natural, ciberataque, pandemia, crisis regulatoria.
ISO 22301 no pretende eliminar las interrupciones. Pretende que la organización pueda seguir entregando sus productos o servicios críticos durante y después de una interrupción, dentro de límites de tiempo y capacidad que la organización misma define como aceptables.
El concepto clave es ese: la organización define qué es aceptable. Cuánto tiempo puede estar sin operar un proceso antes de que el impacto sea inaceptable. Cuánta capacidad reducida puede tolerar temporalmente. Esos umbrales son el núcleo técnico de un sistema de gestión de continuidad del negocio.
ISO 22301:2019 define el Tiempo Máximo Tolerable de Interrupción (MTPD) como el tiempo después del cual la viabilidad de la organización se ve amenazada si el producto o servicio no puede reanudarse. El Objetivo de Tiempo de Recuperación (RTO) debe ser menor que el MTPD. Si la organización no puede definir estos valores con fundamento, el plan de continuidad no tiene base técnica.
02 · Cinco rasgos de un plan ficticio
En la práctica auditora identifico planes de continuidad ficticios con rapidez. No porque estén mal redactados: muchos tienen excelente redacción. Porque no superan cinco pruebas concretas.
La primera prueba es el simulacro con fecha conocida y personal avisado con semanas de anticipación. Un simulacro donde todos saben cuándo va a ocurrir y qué van a evaluar no prueba la capacidad de respuesta: prueba la capacidad de prepararse para una prueba. Aporta poco valor real.
La segunda es que los proveedores críticos no participan. La continuidad de una organización depende en gran medida de sus proveedores críticos. Si el plan de continuidad no ha sido coordinado con ellos, no verificado con ellos, ni probado con ellos, el plan asume una continuidad de proveedores que nadie ha verificado.
La tercera prueba es que el plan nunca ha sido activado en una situación real, ni siquiera parcialmente. Los planes que existen solo en papel no tienen ajustes provenientes de la realidad. Los planes que se han activado, aunque sea en situaciones menores, tienen marcas de la realidad que los hacen más robustos.
La cuarta es que los responsables firmados en el plan ya no están en sus puestos. Este es uno de los fallos más frecuentes en auditorías de continuidad. El plan fue elaborado hace dos años. Los nombres y cargos son precisos para ese momento. La mitad de esas personas salió de la organización. Nadie actualizó el plan.
La quinta es que el análisis de impacto en el negocio (BIA) tiene más de dieciocho meses sin actualización. El perfil de criticidad de los procesos cambia. Lo que era crítico hace dos años puede no serlo hoy, y viceversa. Un BIA desactualizado produce prioridades de recuperación incorrectas.
03 · Qué hace funcional un plan real
Un plan de continuidad funcional tiene cuatro características que no son sobre el documento: son sobre lo que el documento representa.
Primero, el plan refleja análisis de impacto actual. La organización sabe qué procesos son críticos, por qué lo son, cuánto tiempo puede sobrevivir sin ellos y qué recursos mínimos necesita para reanudarlos. Esos datos tienen fecha y tienen nombre del responsable que los validó.
Segundo, las estrategias de continuidad son técnicamente viables. No son aspiraciones: son acuerdos concretos. Si la estrategia es operar desde un sitio alternativo, ese sitio existe, tiene capacidad verificada y el acuerdo está firmado. Si la estrategia es transferir operaciones a un proveedor de respaldo, ese proveedor sabe que existe ese acuerdo y puede cumplirlo.
- BIA actualizado con ciclo máximo de doce meses. Los valores de MTPD y RTO reflejan la operación actual, no la de hace dos años. El responsable de cada proceso crítico los conoce y los puede defender.
- Estrategias de continuidad con acuerdos firmados. Cada estrategia tiene una contraparte real: un proveedor, un sitio alternativo, un acuerdo de personal. Los acuerdos tienen vigencia y se renuevan.
- Ejercicios con sorpresa controlada. Al menos un ejercicio por año donde el personal no conoce el escenario con anticipación. Los resultados se documentan con honestidad, incluyendo lo que falló.
- Responsables actualizados. El plan tiene nombres y cargos vigentes. Cada vez que hay un cambio de personal en un rol crítico del plan, el plan se actualiza antes de que la persona anterior deje su puesto.
- Integración con proveedores críticos. Los tres o cinco proveedores más críticos para la continuidad conocen su rol en el plan, han participado en al menos un ejercicio, y tienen compromisos contractuales alineados con los RTO de la organización.
04 · ISO 22301 como marco, no como burocracia
ISO 22301 es una norma exigente técnicamente. El análisis de impacto en el negocio, la evaluación de riesgos de continuidad, el diseño de estrategias, los procedimientos de respuesta y los ejercicios de validación requieren trabajo real.
La trampa es implementarla como burocracia: producir los documentos que pide la norma sin construir la capacidad que los documentos deben representar. Un sistema certificado bajo ISO 22301 que produce esos documentos sin la capacidad subyacente es una inversión con retorno negativo: tiene el costo de la implementación sin el beneficio de la resiliencia.
La calidad real de un plan de continuidad se revela bajo presión. El auditor puede verificar que el plan existe, que los ejercicios se documentaron, que los responsables están identificados. No puede simular una crisis real en una auditoría de dos días. Por eso las organizaciones con planes ficticios pueden superar auditorías durante años. La prueba definitiva llega cuando algo falla de verdad.
05 · La pregunta que hace la diferencia
Hay una pregunta que uso en auditorías de continuidad para distinguir rápidamente entre planes reales y ficticios. Se la hago al CEO o al director de operaciones, no al responsable de continuidad.
La pregunta es: "Si mañana a las 9 de la mañana su sistema de gestión ERP dejara de funcionar y no pudiera restaurarse en las próximas 48 horas, ¿qué pasaría exactamente? ¿Quién haría qué, con qué recursos, siguiendo qué procedimiento?"
Las organizaciones con planes funcionales tienen una respuesta articulada. No perfecta: articulada. Saben qué proceso manual activarían, quién tomaría las decisiones, cómo se comunicarían con clientes y proveedores, y cuánto tiempo aguantarían antes de que el impacto fuera inaceptable.
Las organizaciones con planes ficticios responden que tienen el plan de continuidad y que el responsable de continuidad podría explicarlo mejor. Ese es el indicador más claro de que el plan vive en un documento, no en la organización.