ISO 22301: Continuidad del negocio
La norma ISO 22301 es la norma internacional para la gestión de la continuidad del negocio, y plantea una pregunta que la mayoría de las empresas nunca han respondido con sinceridad: si mañana dejaran de funcionar sus instalaciones principales, su proveedor clave o su aplicación crítica, ¿sabe realmente qué ocurriría a continuación? No en teoría, sino en un sentido concreto, documentado y probado. En eso se basa la norma: un sistema de gestión para mantener la empresa en funcionamiento ante una interrupción y recuperarse tal y como se ha ensayado.
Lo que realmente se requiere
La norma ISO 22301 no es un plan que se elabore una sola vez. Requiere un análisis de impacto en el negocio que identifique qué procesos son los más importantes y cuánto tiempo de inactividad puede tolerar cada uno de ellos, una evaluación de riesgos que examine las formas realistas en que dichos procesos podrían verse interrumpidos, estrategias y planes de continuidad para los procesos que importan, y un programa de pruebas y simulacros que demuestre que los planes funcionan en condiciones similares a las reales. A todo ello se suma el propio sistema de gestión: el compromiso de la dirección, las funciones definidas, los objetivos documentados y un ciclo de auditoría interna y revisión por la dirección que evita que el conjunto se quede obsoleto.
Cómo lo abordo
Normalmente empiezo por el análisis de impacto en el negocio, ya que todo lo demás depende de que se haga correctamente. Hasta que no sepa qué procesos son verdaderamente críticos y cuáles son realmente sus objetivos de tiempo de recuperación, sus planes de continuidad no serán más que conjeturas. A partir de ahí, le ayudo a elaborar planes que su equipo pueda ejecutar realmente bajo presión: no carpetas repletas de lenguaje genérico, sino procedimientos específicos, asignados y probados. A continuación, llevamos a cabo ejercicios: como mínimo, simulacros teóricos, y simulaciones más realistas cuando sea pertinente, de modo que las deficiencias salgan a la luz en un ejercicio de simulación de mesa y no durante una interrupción real del servicio.
Si su objetivo es la certificación, le ayudo a elaborar la documentación del sistema de gestión que espera un auditor —política, alcance, objetivos, registros de auditoría interna, revisión por la dirección— y le preparo para la propia auditoría de certificación. Si la certificación no es el objetivo y solo desea un programa de continuidad que se mantenga firme cuando surja algún problema, lo desarrollamos con el mismo rigor, aunque sin el certificado.
¿A quién va dirigido?
Empresas cuyos clientes o organismos reguladores les solicitan pruebas de continuidad del negocio, organizaciones que han sufrido un conato de incidente y no desean que se repita, y cualquier persona cuyo «plan» actual sea un documento que nadie ha abierto desde que se redactó.
¿Desea saber hasta qué punto está realmente expuesta su organización? Contacte conmigo y le explicaré por dónde empezar.