Manos a la obra

Llegados a este punto, cualquier organización debería ponerse en marcha y definir “su” BCP en función del tipo de actividad que desarrolla y el sector en el que opera, teniendo en cuenta que para ser realmente efectivo el Plan de Continuidad de negocio no sólo debe afectar a los elementos tecnológicos, sino también al personal, a los procesos organizativos y los elementos más críticos y esenciales del negocio, por lo que deberá contar con el total apoyo e impulso desde las más altas instancias directivas y no únicamente del CIO y el personal técnico, como hasta ahora venía siendo la norma.

A partir de aquí parece haber un consenso bastante generalizado en cuanto a la necesidad de realizar una labor de análisis, tanto de los riesgos a los que está sometida como del impacto que tendría sobre la organización. Este proceso debería ayudar a diseñar una solución específica dirigida a reducir los riesgos, minimizar los impactos y establecer mecanismos de recuperación más efectivos en términos de coste/beneficio.

Posteriormente y a la vista de esta solución, el siguiente paso consistiría en su implementación práctica, tanto en lo referente a aspectos técnicos como al establecimiento de las responsabilidades y papel que cada trabajador debe desempeñar cuando se produzca una incidencia, de cara a reducir los efectos negativos y lograr una rápida recuperación del negocio.

La siguiente fase, y una de los más importantes de todo este proceso, es la de prueba. Todos los especialistas consultados se muestran de acuerdo en que la realización de pruebas periódicas es la mejor fórmula para estar realmente preparados y que todo el mundo sepa que hacer en caso de que una organización reciba un impacto de cualquier tipo en su estructura, desde el más ligero al más grave. Cuando se encuentra en esa situación es que el momento de la verdad ha llegado, si una empresa y su personal están preparados sabrán qué hacer en todo momento; en caso contrario que nadie piense que podrá coger un manual y consultarlo en búsqueda de respuestas o llamar a su supervisor para recibir instrucciones. Muy probablemente, llegados a esa situación, ni haya libro que consultar ni teléfono que descolgar, así que más vale que todo el mundo sepa lo que tiene que hacer.

Por último, y no menos importante, es conveniente hacer una actualización periódica del Plan de forma que se adapte en todo momento a las necesidades reales y a la evolución, no sólo tecnológica, de la organización, de forma que no se quede anclado en el pasado, en el momento en que se definió, porque entonces tampoco sería efectivo ni serviría al objetivo para el que fue previsto

¿Proyecto interno o externo?

Otra de las cuestiones que con frecuencia se plantea una organización cuando tiene que definir e implementar un Plan de Continuidad de Negocio es abordarlo internamente o, dada su complejidad y grado de exigencia, desarrollarlo externamente.
A este respecto, como cada organización es distinta y sus necesidades muy específicas, la respuesta no puede ser única. Si bien de entrada no habría que desestimar ninguna de esas dos opciones, la elección debería realizarse buscando la máxima idoneidad en función de su coste y de los resultados a obtener.

En todo caso, sí es cierto hay razones de peso para justificar el inclinarse por una u otra alternativa. Los partidarios de realizar este tipo de proyectos internamente esgrimen como principal argumento una cierta pérdida de control, mientras que los que se muestran proclives a la externalización entienden que son muchas las ventajas. Entre ellas, se cita la reducción de la inversión inicial en infraestructuras, así como la disminución del gasto derivado de asumir la adquisición de equipos, los recursos humanos y el mantenimiento, además de obtener una escalabilidad de recursos asociada a la evolución de la organización, de forma que no compromete su ritmo de crecimiento.

Otros argumento a tener en cuenta a la hora de decidirse o no a externalizar es que no todas las organizaciones disponen de los conocimientos y la experiencia necesaria para abordar un procesos de estas características, así como la ecuanimidad e independencia para diagnosticar los puntos débiles de la compañía y las medidas a adoptar.

Sea cual sea la opción por la que se incline, si finalmente ha decidido dar el paso adelante y dotar a su empresa de un Plan de Continuidad de Negocio, de lo que puede estar totalmente seguro es de que no se ha equivocado y que, pase lo que pase, su compañía siempre tendrá futuro.

La nueva norma BS 25999

Entender, desarrollar, implantar y gestionar la continuidad del negocio de una organización es el objetivo de la nueva norma BS 25999 definida por la British Standard Institution para gestionar la continuidad del negocio (BCM, Business Continuity Management) y lograr empresas ‘resilientes’.

Esta norma se ha concebido para que las empresas puedan continuar con su actividad en caso de interrupción, ya sea debido a un siniestro o catástrofe o a un incidente menor, y contribuir a minimizar el riesgo de interrupciones en su actividad.
La norma BS 25999 de continuidad de negocio, recientemente presentada en castellano, es el resultado de un desarrollo realizado con un extenso número de expertos que, con su experiencia en distintos sectores de la industria y la Administración, han establecido las bases de un sistema BCM con capacidad para mantener el funcionamiento de una organización ante cualquier circunstancia que se le presente.

Además, esta norma contiene un conjunto exhaustivo de controles basados en las mejores prácticas de BCM y abarca todo el ciclo de vida de la gestión de continuidad de negocio.

La BS 25999 se dirige a todo tipo de empresas, ya sean grandes o pequeña, y de cualquier sector de actividad. Por sus características, resulta especialmente apropiada para organizaciones que operan en entornos en los que los riesgos son mayores, como las finanzas, telecomunicaciones, transporte y el sector público, en los que la continuidad de la actividad resulta clave tanto para la propia organización, como para sus clientes y socios de negocio.

La norma BS 25999 comprende dos partes:

Primera parte: Código de buenas prácticas, que ya ha sido publicada y proporciona una guía de recomendaciones de buenas prácticas en cuanto a BCM.

Segunda parte: Publicada el 20 de noviembre 2007, proporciona los requisitos de un Sistema de Gestión de Continuidad de Negocio (SGCN) basado en las mejores prácticas de SGC. Incluye un estándar que sirve para demostrar el cumplimiento vía auditoría y proceso de certificación.