GUÍA TÉCNICA COLOMBIANA 176

Transcripción

1 GUÍA TÉCNICA GTC COLOMBIANA GUÍA PARA LA GESTIÓN DE LA CONTINUIDAD DE NEGOCIO (GCN) E: GUIDANCE ON BUSINESS CONTINUITY MANAGEMENT CORRESPONDENCIA: DESCRIPTORES: es una adopción idéntica de la norma BSI :2006. continuidad; negocio; gestión; riego; evento; respuesta; impacto. I.C.S.: Editada por el Instituto Colombiano de Normas Técnicas y Certificación (ICONTEC) Apartado Bogotá, D.C. - Tel. (571) Fax (571) Prohibida su reproducción Primera actualización Editada

2 PRÓLOGO El Instituto Colombiano de Normas Técnicas y Certificación, ICONTEC, es el organismo nacional de normalización, según el Decreto 2269 de ICONTEC es una entidad de carácter privado, sin ánimo de lucro, cuya Misión es fundamental para brindar soporte y desarrollo al productor y protección al consumidor. Colabora con el sector gubernamental y apoya al sector privado del país, para lograr ventajas competitivas en los mercados interno y externo. La representación de todos los sectores involucrados en el proceso de Normalización Técnica está garantizada por los Comités Técnicos y el período de Consulta Pública, este último caracterizado por la participación del público en general. La GTC 176 (Primera actualización) fue ratificada por el Consejo Directivo de Esta norma está sujeta a ser actualizada permanentemente con el objeto de que responda en todo momento a las necesidades y exigencias actuales. A continuación se relacionan las empresas que colaboraron en el estudio de esta norma a través de su participación en el Comité Técnico 205. Gestión de la continuidad del negocio. BANCO DE LA REPÚBLICA DELOITTE EMC 2 EMPRESAS PÚBLICAS DE MEDELLÍN -EEPPM- ITEAM CONSULTING PROFESIONAL INDEPENDIENTE -CARLOS JULIO DÍAZ- SMART SOLUTION WILLIS DE COLOMBIA Además de las anteriores, en Consulta Pública el Proyecto se puso a consideración de las siguientes empresas: ABN AMOR SECURITIES COLOMBIA S.A. -COMISIONISTA DE BOLSA- ACCIÓN SOCIEDAD FIDUCIARIA S.A. AEROVÍAS DEL CONTINENTE AMERICANO S.A. -AVIANCA S.A.- AGENCIA LOGÍSTICA ALIANZA FIDUCIARIA S.A. ALMACENES ÉXITO ASOCIACIÓN BANCARIA DE COLOMBIA - ASOBANCARIA- ASOCIACIÓN COMISIONISTA DE BOLSA ASOCOLFLORES AVANTEL BANCO AV VILLAS BANCO BILBAO VIZCAYA ARGENTARIA - BBVA COLOMBIA- BANCO CAFETERO S.A. -BANCAFÉ- BANCO COLPATRIA RED MULTIBANCA COLPATRIA S.A. BANCO DAVIVIENDA S.A. BANCO DE BOGOTÁ BANCO DE OCCIDENTE BANCO DEL COMERCIO BANCOLOMBIA BOLSA DE VALORES DE COLOMBIA BOLSA NACIONAL AGROPECUARIA CÁMARA DE COMERCIO COLOMBO AMERICANA CÁMARA DE COMPENSACIÓN DE DIVIAS DE COLOMBIA S.A. CHAIN VARGAS CITIBANK COLOMBIA CLUB EL NOGAL COLFONDOS S.A.

3 COMPAÑÍA DE SEGUROS BOLÍVAR S.A. CORPORACIÓN FINANCIERA COLOMBIANA -CORFICOLOMBIANA- CORPORACIÓN METROLOGÍA Y CALIDAD CRUZ ROJA SECCIONAL CUNDINAMARCA Y BOGOTÁ DELIMA MARSH DELIMA MARSH MARSH RISK CONSULTING DEPÓSITO CENTRALIZADO DE VALORES DE COLOMBIA -DECEVAL- DIRECCIÓN DE PLANEACIÓN Y ATENCIÓN DE EMERGENCIAS -DPAE- ECOPETROL ENFOQUES INTEGRALES ESCUELA COLOMBIANA DE INGENIERÍA EXTERIOR DE COLOMBIA S.A. -BANCOLDEX- FUNDACIÓN PANAMERICANA PARA EL DESARROLLO -FUPAD- FUNDACIÓN PANAMERICANA PARA EL DESARROLLO -FUPAD- WASHINTONG U.S.A. GESVALORES S.A. GIMNASIO LA FONTANA GROUP SEB COLOMBIA HEWLETT PACKARD HOLCIM DE COLOMBIA IBM INGETEKNIA CONSULTORES LTDA. INSURANCE SOLUTIONS INTER IGEN JEQ SOLUCIONES EFECTIVAS KPMG MERCK S.A. MINISTERIO DE HACIENDA NAVARTIS NESTLE OCCIDENTAL DE COLOMBIA OCENSA OPTYSYS S.A. PRAXO LTDA. PROPILCO SILVIO GERALDO Y ASOCIADOS SUMA VALORES S.A. COMISIONISTA DE BOLSA SUPERINTENDENCIA FINANCIERA SURTIGAS S.A. E.S.P. UNIVERSIDAD NACIONAL ICONTEC cuenta con un Centro de Información que pone a disposición de los interesados normas internacionales, regionales y nacionales y otros documentos relacionados. DIRECCIÓN DE NORMALIZACIÓN

4 CONTENIDO Página 1. OBJETO Y ALCANCE DE APLICACIÓN TÉRMINOS Y DEFINICIONES VISIÓN GENERAL DE LA GESTIÓN DE CONTINUIDAD DE NEGOCIO (GCN) QUÉ ES GCN? GCN Y ESTRATEGIA ORGANIZACIONAL GCN Y LA RELACIÓN CON LA GESTIÓN DE RIESGOS POR QUÉ UNA ORGANIZACIÓN DEBE EMPRENDER LA GCN BENEFICIOS DE UN PROGRAMA EFECTIVO DE GCN RESULTADOS DE UN PROGRAMA EFECTIVO DE GCN ELEMENTOS DEL CICLO DE VIDA DE LA GESTIÓN DE LA CONTINUIDAD DE NEGOCIO POLÍTICA DE LA ADMINISTRACIÓN DE LA CONTINUIDAD DE NEGOCIO VISIÓN GENERAL CONTEXTO DESARROLLO DE LA POLÍTICA DE CONTINUIDAD DE NEGOCIO ALCANCE DE UN PROGRAMA DE GCN ACTIVIDADES CONTRATACIÓN EXTERNA GESTIÓN DEL PROGRAMA GCN ASPECTOS GENERALES ASIGNACIÓN DE RESPONSABILIDADES (GOBIERNO)... 11

5 Página 5.3 IMPLEMENTACIÓN DE LA CONTINUIDAD DE NEGOCIO EN LA ORGANIZACIÓN GESTIÓN CONTINÚA DOCUMENTACIÓN DE LA GCN ENTENDIENDO LA ORGANIZACIÓN INTRODUCCIÓN ANÁLISIS DE IMPACTO AL NEGOCIO (BIA) IDENTIFICACIÓN DE ACTIVIDADES CRÍTICAS DETERMINACIÓN DE LOS REQUISITOS DE CONTINUIDAD EVALUACIÓN DE AMENAZAS A ACTIVIDADES CRÍTICAS (ANÁLISIS DE RIESGO) DETERMINACIÓN DE ALTERNATIVAS APROBACIÓN DETERMINAR LA ESTRATEGIA DE CONTINUIDAD DE NEGOCIO INTRODUCCIÓN OPCIONES DE ESTRATEGIA PERSONAL INSTALACIONES TECNOLOGÍA INFORMACIÓN SUMINISTROS PARTES INTERESADAS EMERGENCIAS CIVILES... 23

6 Página 7.10 APROBACIÓN DESARROLLO E IMPLEMENTACIÓN DE LA RESPUESTA DE LA GCN INTRODUCCIÓN ESTRUCTURA DE LA RESPUESTA AL INCIDENTE CONTENIDO DE LOS PLANES PLAN DE MANEJO DE INCIDENTES (PMI) CONTENIDO DEL PMI LOS PLANES DE CONTINUIDAD DE NEGOCIO (PCN) CONTENIDO DEL PCN EJERCICIOS Y PRUEBAS, MANTENIMIENTO Y REVISIÓN DE PLANES GCN INTRODUCCIÓN PROGRAMA DE EJERCICIOS Y PRUEBAS PROGRAMA DE EJERCICIOS Y PRUEBAS DE LOS PLANES DE LA GCN PLANES DE MANTENIMIENTO DE LA GCN PLANES DE REVISIÓN DE LA GCN INCORPORACIÓN DE LA GCN EN LA CULTURA DE LA ORGANIZACIÓN GENERALIDADES CONCIENTIZACIÓN FORMACIÓN BIBLIOGRAFÍA DOCUMENTOS DE REFERENCIA... 42

7 Página FIGURAS Figura 1. Ciclo de vida de la GCN... 8 Figura 2. Gestión del programa GCN Figura 3. Entender la organización Figura 4. Determinar la estrategia de continuidad de negocio Figura 5. Desarrollo e implementación de la respuesta de la GCN Figura 6. Línea de tiempo de un incidente Figura 7. Ejercicios y pruebas, mantenimiento y revisión de planes GCN Figura 8. Incorporación de la GCN en la cultura de la organización Tabla 1. Tipos y métodos de ejercicios y pruebas del programa BCM... 36

8 GUÍA PARA LA GESTIÓN DE LA CONTINUIDAD DE NEGOCIO (GCN) 1. OBJETO Y CAMPO DE APLICACIÓN Esta GTC establece los procesos, principios y terminología de la Gestión de la Continuidad del Negocio (GCN). El propósito de esta GTC es brindar una base para el entendimiento, desarrollo e implementación de la continuidad del negocio en una organización, con el fin de proporcionar confianza en las relaciones de la organización con clientes y otras organizaciones. También permite a la organización medir su capacidad de GCN, de forma consistente y reconocida. Esta GTC ofrece un sistema basado en las buenas prácticas de GCN. Cualquier persona con responsabilidad sobre las operaciones o la provisión de servicios puede utilizar esta GTC: desde la alta dirección pasando por todos los niveles de la organización; desde aquellos funcionarios con cargos sencillos, hasta aquellos con presencia global; desde simples comerciantes y pequeñas y medianas empresas (pymes), hasta grandes organizaciones que emplean cientos de personas. Por tanto, es aplicable a toda persona que sea responsable de cualquier operación, y de este modo de la continuidad de esa operación. Esta GTC no incluye las actividades de planificación de emergencia, puesto que este asunto se refiere a las emergencias civiles. NOTA En definitiva, no importa cuánto esfuerzo o recursos se inviertan en la GCN, una organización podría seguir enfrentándose a un incidente o combinación de incidentes que no había previsto. 2. TÉRMINOS Y DEFINICIONES Para los propósitos de esta GTC, se aplican los siguientes términos y definiciones: 2.1 Actividad. Proceso o conjunto de procesos realizados por una organización (o en su nombre) que producen o soportan uno o más productos o servicios. NOTA Ejemplos de tales procesos incluyen el área financiera, soporte a clientes, sistemas, producción, y distribución. 2.2 Continuidad de negocio. Capacidad estratégica y táctica de la organización para planificar y responder a incidentes o interrupciones del negocio, con el fin de continuar las operaciones del negocio en un lapso de tiempo predefinido aceptable. 1 de 42

9 2.3 Gestión de la continuidad del negocio (GCN). Proceso administrativo holístico que identifica las amenazas potenciales a una organización y los impactos a las operaciones del negocio que esas amenazas, en caso de materializarse, podrían causar y que proporciona una estructura para construir resiliencia organizacional con capacidad para una respuesta efectiva que salvaguarde los intereses de sus grupos claves de interés, su reputación, marca y actividades de valor agregado. NOTA La gestión de la continuidad de negocio involucra el manejo de la recuperación o actividades de continuidad de negocio en el evento de una interrupción del negocio y la administración total del programa, a través de entrenamiento, ejercicios, pruebas y revisiones, para asegurar que los planes de continuidad se mantengan actualizados. 2.4 Ciclo de vida de gestión de continuidad del negocio. Serie de actividades de continuidad de negocio que colectivamente cubren todos los aspectos y fases del programa de gestión de continuidad del negocio. NOTA El ciclo de vida de gestión de continuidad de negocio, se ilustra en la Figura Programa de gestión de continuidad del negocio. Proceso continuo de gestión y gobierno apoyado por la alta dirección y dotado adecuadamente para asegurar que se toman los pasos necesarios para identificar el impacto potencial de pérdidas, mantener viables los planes y estrategias de recuperación y asegurar la continuidad de productos y servicios por medio de formación, ejercicios, pruebas, mantenimiento y revisión. 2.6 Plan de continuidad de negocio (PCN). Conjunto de procedimientos e información documentados que se desarrolla, compila y mantiene preparado para su utilización en caso de producirse un incidente, para permitir a la organización continuar desempeñando sus actividades críticas a un nivel aceptable predefinido. 2.7 Estrategia de continuidad de negocio. Enfoque de una organización que le asegurará su recuperación y continuidad ante un desastre u otro tipo de incidente o interrupción del negocio. 2.8 Análisis de impacto al negocio (BIA). Proceso de análisis de funciones de negocio y efecto que una interrupción del negocio podría tener sobre dichas funciones. (BIA sus siglas en inglés). 2.9 Emergencia civil. Acontecimiento o situación que amenaza con serios daños al bienestar humano Consecuencia. Resultado de un incidente que tenga un impacto en los objetivos de una organización. NOTA 1 NOTA 2 objetivos. Podrá existir una serie de consecuencias provocadas por un incidente. Una consecuencia podrá ser cierta o incierta y podrá tener un impacto positivo o negativo sobre los 2.11 Análisis costo-beneficio. Técnica financiera que mide el costo de la implementación de una solución particular y lo compara con el beneficio derivado de esa solución. NOTA El beneficio debería definirse en términos financieros, de reputación, prestación del servicio, regulatorio u otro término apropiado para la organización Actividad crítica. Actividad que se realiza para garantizar el despacho de los productos y servicios claves que le permitan a la organización cumplir con sus objetivos más importantes. 2

10 2.13 Interrupción. Evento previsto (como una huelga de empleados o un huracán) o imprevisto (como un apagón o un terremoto), que causa una desviación negativa no planeada frente a los envíos de productos o prestación de los servicios de acuerdo con los objetivos de la organización Planificación de emergencia. Desarrollo y mantenimiento de procedimientos acordados para prevenir, reducir, controlar, mitigar y tomar otras acciones en casos o eventos de emergencias civiles Ejercicio. Actividad en la cual el (los) plan(es) de continuidad de negocio es (son) ensayado(s) parcial o totalmente para asegurar que contiene(n) la información apropiada y que los procedimientos producen el resultado previsto, cuando se realizan. NOTA Un ejercicio debería involucrar la invocación (activación) de los procedimientos de continuidad de negocio, pero es más probable que involucre la simulación de un incidente de continuidad anunciado o no anunciado donde los participantes desempeñan un papel, con el fin de analizar qué problemas podrán surgir, antes de realizarse una activación real Ganancia. Consecuencia positiva Impacto. Consecuencia evaluada de un resultado particular Incidente. Situación que podría ser o podría causar la interrupción del negocio, pérdidas, emergencia o crisis Plan de manejo de incidentes. Plan de acción definido y documentado claramente para ser utilizado durante un incidente. Su contenido típico es el personal clave, los recursos, las acciones y los servicios necesarios para el proceso de manejo del incidente Activación (invocación). Acto de declarar que el plan de continuidad de negocio de una organización necesita ponerse a funcionar para garantizar el envío de sus productos claves o la prestación de los servicios Probabilidad. Posibilidad de que algo ocurra bien sea que se haya definido, medido o estimado objetiva o subjetivamente, o en términos de los descriptores generales (tales como raro, improbable, probable, casi cierto), frecuencia o probabilidad matemática. NOTA La probabilidad puede expresarse cuantitativa o cualitativamente Pérdida. Consecuencia negativa Máximo período tolerable de interrupción. Periodo máximo de tiempo de interrupción después del cual la viabilidad de la organización se ve comprometida como consecuencia de los impactos negativos por no poder entregar sus productos o servicios Organización. Grupo de personas e instalaciones con una disposición de responsabilidades, autoridades y relaciones. EJEMPLO Compañía, corporación, firma, empresa, institución, institución de beneficiencia, empresa unipersonal o asociación, o parte o una combinación de las anteriores. NOTA 1 Su disposición, generalmente, es ordenada. NOTA 2 Una organización podrá ser pública o privada (NTC-ISO 9000:2005). 3

11 2.25 Productos y servicios. Resultados beneficiosos provistos por una organización a sus clientes, destinatarios y grupos de interés, por ejemplo: productos manufacturados, seguros de automóvil, cumplimiento regulatorio y servicios sanitarios Tiempo objetivo de recuperación. Conjunto de tiempos para: - reanudación de entrega y prestación de productos o servicios tras producirse un incidente, o - reanudación de la realización de una actividad tras producirse un incidente, o - recuperación de un sistema de Infraestructura Tecnológica tras producirse un incidente. NOTA El tiempo objetivo de recuperación es inferior al máximo período tolerable de interrupción Resiliencia. Capacidad de una organización para resistir los efectos de un incidente Riesgo. Algo que podría suceder y afectar el logro de los objetivos organizacionales. NOTA 1 La palabra riesgo es utilizada coloquialmente de varias formas: como sustantivo (un riesgo, o en plural riesgos ), como verbo (arriesgar (algo), o poner en riesgo), o como un adjetivo (riesgoso). Utilizado como sustantivo, el término riesgo se refiere a un evento potencial, sus causas, la probabilidad de que algo suceda o los efectos de dichos eventos. En administración de riesgos (véase el numeral 6.5) es importante tener claridad para distinguir entre los variados usos de la palabra riesgo. NOTA 2 El riesgo está relativamente definido para un objetivo particular; por tanto, lo concerniente a varios objetivos implica la posibilidad de más de una medición del riesgo respecto a cualquier fuente de riesgo. NOTA 3 El riesgo está cuantificado como el efecto promedio de sumar el efecto combinado de cada posible consecuencia con la probabilidad asociada de cada consecuencia, para obtener un valor esperado. Sin embargo, se necesitan distribuciones de probabilidad para cuantificar las percepciones sobre el rango de posibles consecuencias. Alternativamente, los estadígrafos, como la desviación estándar, puede utilizarse para obtener el valor esperado Riesgo residual. Cantidad total de riesgo que una organización está dispuesta a aceptar, tolerar o estar expuesta a asumir en cualquier momento dado Análisis de riesgo. Proceso total de identificación, análisis y evaluación de riesgos Gestión de riesgos. Desarrollo estructurado y aplicación de cultura, política, procedimientos y prácticas de gestión a las tareas de identificación, análisis, evaluación y respuesta ante el riesgo Partes interesadas. Todos aquellos que tienen interés especial en el logro de los objetivos de una organización. NOTA Éste es un término de amplio espectro que incluye, pero no se limita a, empleados internos y tercerizados, clientes, proveedores, accionistas, funcionarios, distribuidores, inversionistas, propietarios, gobierno y entes reguladores Alta dirección. Persona o grupo de personas que dirigen y controlan una organización al más alto nivel (NTC-ISO 9000:2005). NOTA La alta dirección, especialmente en grandes organizaciones multinacionales, podrá no estar directamente involucrada; sin embargo, queda manifiesta su responsabilidad, a través de la cadena de mando. En organizaciones pequeñas, la alta dirección la podrán tener los propietarios o un solo propietario. 4

12 BIBLIOGRAFÍA NTC-ISO 9000, Sistemas de Gestión de la Calidad. Fundamentos y Vocabulario. NTC-ISO/IEC (ambas partes), Tecnología de la información. Gestión del Servicio. NTC-ISO/IEC 27001, Tecnología de la información. Técnicas de seguridad. Sistemas de gestión de la seguridad de la información (SGSI). Requisitos PAS77, IT Service Continuity Management. OTRAS PUBLICACIONES [1] The Civil Contingencies Act 2004, London: TSO. 5

13 IMPORTANTE Este resumen no contiene toda la información necesaria para la aplicación del documento normativo original al que se refiere la portada. ICONTEC lo creo para orientar a su cliente sobre el alcance de cada uno de sus documentos y facilitar su consulta. Este resumen es de libre distribución y su uso es de total responsabilidad del usuario final. El documento completo al que se refiere este resumen puede consultarse en los centros de información de ICONTEC en Bogotá, Medellín, Barranquilla, Cali o Bucaramanga, también puede adquirirse a través de nuestra página web o en nuestra red de oficinas (véase El logo de ICONTEC y el documento normativo al que hace referencia este resumen están cubiertos por las leyes de derechos reservados de autor. Información de servicios aplicables al documento aquí referenciado la encuentra en: o por medio del contacto cliente@icontec.org. ICONTEC INTERNACIONAL 6