NORMA TÉCNICA NTC-ISO COLOMBIANA 22320

Transcripción

1 NORMA TÉCNICA NTC-ISO COLOMBIANA CONTINUIDAD DE NEGOCIO. GESTIÓN DE EMERGENCIAS. REQUISITOS PARA RESPUESTA ANTE INCIDENTES E: BUSSINESS CONTINUITY. EMERGENCY MANAGEMENT. REQUIREMENTS FOR INCIDENT RESPONSE CORRESPONDENCIA: DESCRIPTORES: esta norma es una adopción idéntica (IDT) por traducción de la norma ISO 22320:2011. emergencias; gestión de emergencias; incidentes; continuidad de negocio; respuesta ante incidentes. I.C.S.: Editada por el Instituto Colombiano de Normas Técnicas y Certificación (ICONTEC) Apartado Bogotá, D.C. - Tel. (571) Fax (571) Prohibida su reproducción Editada

2 PRÓLOGO El Instituto Colombiano de Normas Técnicas y Certificación, ICONTEC, es el organismo nacional de normalización, según el Decreto 2269 de ICONTEC es una entidad de carácter privado, sin ánimo de lucro, cuya Misión es fundamental para brindar soporte y desarrollo al productor y protección al consumidor. Colabora con el sector gubernamental y apoya al sector privado del país, para lograr ventajas competitivas en los mercados interno y externo. La representación de todos los sectores involucrados en el proceso de Normalización Técnica está garantizada por los Comités Técnicos y el período de Consulta Pública, este último caracterizado por la participación del público en general. La norma NTC-ISO fue ratificada por el Consejo Directivo de Esta norma está sujeta a ser actualizada permanentemente con el objeto de que responda en todo momento a las necesidades y exigencias actuales. A continuación se relacionan las empresas que colaboraron en el estudio de esta norma a través de su participación en el Comité Técnico 205 Continuidad de negocio. ASOCIACIÓN LATINOAMERICANA DE CONTINUIDAD DE NEGOCIO -ALCONT- ATLAS TRANSVALORES BANCO COLPATRIA MULTIBANCA COLPATRIA S.A. BANCO DE LA REPÚBLICA EMPRESAS PÚBLICAS DE MEDELLÍN -E.P.M.- INSTITUTO DISTRITAL DE TURISMO INTEK S.A. ISOLUCIONES LTDA. ITEAM LTDA. OCCIDENTAL DE COLOMBIA, INC. SMART IT SOLUTIONS CONSULTORS E.U. USAID / OFDA Además de las anteriores, en Consulta Pública el Proyecto se puso a consideración de las siguientes empresas: AEROVÍAS DEL CONTINENTE AMERICANO S.A. - AVIANCA - S.A. AON COLOMBIA CORREDORES DE SEGUROS BANCO AGRARIO DE COLOMBIA CENTRO COMERCIAL CHIPICHAPE CJE SUPPLIES LTDA. COMPAÑÍA DE FINANCIAMIENTO TUYA S.A. CONCALIDAD LTDA. CONSULTORES EN SEGURIDAD INTEGRAL S.A.S. CRUZ ROJA SECCIONAL CUNDINAMARCA Y BOGOTÁ DELIMA MARSH S.A. DEPÓSITO CENTRALIZADO DE VALORES DE COLOMBIA DECEVAL S.A. EMC^2 ENLACE OPERATIVO S.A. ESCUELA COLOMBIANA DE INGENIERÍA JULIO GARAVITO ETEK INTERNATIONAL COLOMBIA GESTIÓN & ESTRATEGIA S.A.S. INTEK DE COLOMBIA S.A. MALOKA CENTRO INTERACTIVO DE CIENCIA Y TECNOLOGÍA MANEJO TÉCNICO DE INFORMACIÓN S.A. MATPEL DE COLOMBIA S.A. ORGANISMO NACIONAL DE ACREDITACIÓN DE COLOMBIA -ONAC -

3 PROFESIONALES EN DEPORTE -PRODEPORT-LTDA. REDES HUMANAS S.A. RIOPAILA CASTILLA S.A. RISK LATAM S.A. SERVICIO OCCIDENTAL DE SALUD S.A. SETELCOM LTDA. SOLUCIONES EN CUMPLIMIENTO LEGAL & ASOC. S.A SURTIDORA DE GAS DEL CARIBE S.A. E.S.P. TECFIN INTERNATIONAL S.A. THOMAS MTI UNE EPM TELECOMUNICACIONES S.A. WILLIS COLOMBIA CORREDORES DE SEGUROS S.A. ICONTEC cuenta con un Centro de Información que pone a disposición de los interesados normas internacionales, regionales y nacionales y otros documentos relacionados. DIRECCIÓN DE NORMALIZACIÓN

4 CONTENIDO Página INTRODUCCIÓN 1. ALCANCE REFERENCIAS NORMATIVAS TÉRMINOS Y DEFINICIONES REQUISITOS PARA COMANDO Y CONTROL GENERALIDADES SISTEMA DE COMANDO Y CONTROL FACTORES HUMANOS REQUISITOS DE LA INFORMACIÓN OPERATIVA GENERALIDADES PROCESO DE INFORMACIÓN OPERATIVA CRITERIOS DEL PROCESO DE INFORMACIÓN OPERATIVA REQUISITOS PARA COOPERACIÓN Y COORDINACIÓN GENERALIDADES COOPERACIÓN COORDINACIÓN COMPARTICIÓN DE INFORMACIÓN FACTORES HUMANOS... 15

5 Página BIBLIOGRAFÍA DOCUMENTO DE REFERENCIA ANEXOS ANEXO A (Informativo) EJEMPLOS ANEXO B (Normativo) CRITERIOS DEL PROCESO DE INFORMACIÓN OPERATIVA FIGURAS Figura 1. Ejemplo de un proceso de comando y control en una organización con una jerarquía simple con necesidades de coordinación limitadas... 6 Figura 2. Procesos para suministrar información operativa... 8 Figura 3. Gráfico del proceso multidisciplinario de comando y control con mayor pertinencia de la coordinación... 13

6 INTRODUCCIÓN En años recientes han ocurrido muchos desastres, ataques terroristas y otros incidentes graves que han demostrado la importancia de una respuesta eficaz frente a los incidentes con el fin de salvar vidas, mitigar lesiones y daños, y asegurar un nivel básico de continuidad de las funciones esenciales de la sociedad. Estas funciones incluyen servicios de salud y de rescate, suministro de agua, alimentos, electricidad y combustibles. Mientras que en el pasado el enfoque de respuesta ante incidentes ha sido nacional, regional o dentro de organizaciones individuales, en el presente y en el futuro existe la necesidad de un enfoque multinacional y multiorganizacional. Esto es el resultado de relaciones y dependencias gubernamentales, no gubernamentales, comerciales e industriales en todo el mundo. La presente norma posibilita que las organizaciones de respuesta ante incidentes, públicas y privadas, mejoren sus capacidades de manejo de todo tipo de emergencias (por ejemplo, crisis, interrupciones y desastres). Las múltiples funciones de la respuesta ante incidentes las comparten organizaciones y agencias, y el sector privado y el gobierno tienen diferentes niveles de responsabilidad. De esta manera, existe la necesidad de brindar orientación a todas las partes involucradas acerca de cómo preparar e implementar respuestas eficaces ante incidentes. La presente norma posibilitará, con base en requisitos mínimos, que las organizaciones involucradas operen con una eficiencia óptima conjunta. Una respuesta eficaz ante incidentes necesita una estructura de comando y control, y coordinación y cooperación, con el fin de establecer coordinación y cooperación, llevar a cabo procesos de comando y facilitar el flujo de información entre las organizaciones, agencias y otras partes involucradas. Se espera que la asistencia brindada entre organizaciones, regiones o fronteras durante la respuesta ante incidentes sea adecuada a las necesidades de la población afectada y también que sea culturalmente aceptable. Por tanto, es esencial la participación de la comunidad en el desarrollo e implementación de medidas de respuesta ante incidentes. Las organizaciones involucradas requieren capacidad para compartir un enfoque común a través de límites geográficos y organizacionales. Los requisitos de información, al igual que los requisitos sobre estructura y procesos para gestión de la información pueden posibilitar que la industria desarrolle soluciones técnicas que brinden la máxima interoperabilidad de acuerdo con las necesidades de intercambio de comunicaciones y de información durante la respuesta ante incidentes. Un programa de gestión de la continuidad operativa y de preparación eficaz ante incidentes se puede implementar usando el documento ISO/PAS y llevando a cabo ejercicios multiorganizacionales regulares. La presente norma se puede usar en forma independiente o junto con otras normas desarrolladas por el comité 205 Continuidad de Negocio.

7 CONTINUIDAD DE NEGOCIO. GESTIÓN DE EMERGENCIAS. REQUISITOS PARA RESPUESTA ANTE INCIDENTES 1. ALCANCE La presente norma especifica los requisitos mínimos para una respuesta eficaz ante incidentes, y provee las bases para comando y control, información operativa, coordinación y cooperación para el área de respuesta ante incidentes dentro de una organización. Incluye estructuras y procedimientos organizacionales para comando y control, apoyo a decisiones, trazabilidad, gestión de la información e interoperabilidad. Establece los requisitos de información operativa para dar respuesta ante incidentes especificando procesos, metodologías de trabajo, captura y gestión de datos, para producir información oportuna, pertinente y exacta. Apoya el proceso de comando y control, al igual que la coordinación y cooperación, internamente dentro de la organización, y externamente con otras partes involucradas, y especifica requisitos para coordinación y cooperación entre organizaciones. La presente norma es aplicable a cualquier organización (privada, pública, gubernamental o sin ánimo de lucro) involucrada en la preparación o respuesta ante incidentes en el ámbito internacional, nacional, regional o local, incluidas las organizaciones: a) responsables de participar en la prevención de incidentes y preparación de la resiliencia; b) que ofrecen orientación y dirección para respuesta ante incidentes; c) que desarrollan reglamentaciones y planes para comando y control; d) que desarrollan coordinación y cooperación multiorganizacionales/ multiagencias para respuesta ante incidentes; e) que desarrollan sistemas de información y de comunicación para respuesta ante incidentes; f) que investigan en las áreas de respuesta ante incidentes, información y comunicación, y modelos de interoperabilidad de datos; g) que investigan en el campo de factores humanos relacionados con respuesta ante incidentes; 1 de 24

8 h) que son responsables de comunicación e interacción con el público. 2. REFERENCIAS NORMATIVAS Los siguientes documentos referenciados son indispensables para la aplicación de este documento. Para referencias fechadas, sólo se aplica la edición citada. Para referencias no fechadas se aplica la última edición del documento referenciado (incluida cualquier enmienda). ISO 22300, Societal Security. Terminology. 3. TÉRMINOS Y DEFINICIONES Para los propósitos de este documento normativo se aplican los términos y definiciones incluidos en ISO y además los siguientes. 3.1 Comando y control. Actividades de toma de decisiones orientadas a objetivos, evaluación de situaciones, planificación, implementación de decisiones y control de los efectos de la implementación en el incidente. NOTA Este proceso se repite continuamente. 3.2 Sistema de comando y control. Sistema que apoya la gestión eficaz de emergencias de todos los activos disponibles en procesos de preparación, respuesta ante incidentes, continuidad y/o recuperación. 3.3 Cooperación. Proceso de trabajo o acción conjunta para intereses y valores comunes, con base en acuerdos. NOTA Las organizaciones acuerdan mediante un contrato u otro medio, contribuir con sus recursos a la respuesta ante incidentes, pero mantener la independencia con relación a su estructura jerárquica interna. 3.4 Coordinación. Forma en la que diferentes organizaciones (públicas o privadas) o partes de la misma organización trabajan o actúan conjuntamente para lograr un objetivo común. NOTA 1 La coordinación integra las actividades de respuesta individuales de las partes involucradas (incluidas las organizaciones públicas o privadas, y el gobierno) para lograr sinergia, en la medida en que la respuesta ante incidentes tenga un objetivo unificado y para coordinar las actividades por medio de la compartición transparente de la información acerca de sus actividades respectivas de respuesta ante incidentes. NOTA 2 Todas las organizaciones están involucradas en el proceso de acordar un objetivo común de respuesta ante incidentes y aceptar la implementación de estrategias mediante este proceso de toma de decisiones por consenso. 3.5 Gestión de emergencias. Enfoque global de prevención de emergencias y de gestión en caso de que ocurran. NOTA En general, la gestión de emergencias utiliza un enfoque de gestión del riesgo para la prevención, preparación, respuesta y recuperación antes, durante y después de eventos potencialmente desestabilizadores y perjudiciales. 3.6 Comando de incidentes. Parte de una estructura organizada de respuesta ante incidentes. NOTA 1 Incidente es una situación que sería o podría llevar a una interrupción, pérdida, emergencia o crisis. [Fuente: ISO 22300] 2

9 NOTA 2 Comando de incidentes es el proceso que se lleva a cabo dentro de las estructuras de comando que se desarrollan durante la gestión de un incidente. 3.7 Preparación ante incidentes. Actividades que se realizan para preparar una respuesta ante incidentes. 3.8 Respuesta ante incidentes. Acciones tomadas con el fin de detener las causas de un peligro inminente y/o mitigar las consecuencias de eventos potencialmente desestabilizadores o perjudiciales, y recuperarse para regresar a una situación normal. NOTA Respuesta ante incidentes es una parte del proceso de gestión de emergencias. 3.9 Información. Datos que son procesados, organizados y correlacionados para producir significado 3.10 Información operativa. Información que ha sido contextualizada y analizada para permitir la comprensión de la situación y su posible evolución Organización. Grupo de personas e instalaciones con disposiciones en cuanto a responsabilidades, autoridades y relaciones. EJEMPLOS Una compañía, corporación, firma, empresa, institución, institución de caridad, empresario individual, asociación, agencia, o partes o una combinación de estos. NOTA 1 NOTA 2 Estas disposiciones generalmente se hacen en forma organizada. Una organización puede ser pública o privada. NOTA 3 Esta definición es válida para los propósitos de las normas de sistemas de gestión de la calidad. El término "organización" se define en forma diferente en la Guía ISO/IEC 2. [ISO 9000:2005, definición 3.3.1] NOTA 4 Una organización puede ser un grupo permanente o uno temporal creado ad hoc para llevar a cabo una tarea específica y limitada. BIBLIOGRAFÍA [1] ISO/IEC Guide 2, Standardization and Related Activities. General Vocabulary. [2] NTC - ISO 9000, Sistemas de Gestión de Calidad. Fundamentos y Vocabulario. [3] ISO 9241 (all parts), Ergonomic Requirements for Office Work with Visual Display Terminals (VDTs). [4] ISO (All Parts), Ergonomic Design of Control Centres. [5] ISO/PAS 22399:2007, Societal Security. Guideline for Incident Preparedness and Operational Continuity Management. [6] GTC 137, Gestión del Riesgo. Vocabulario (ISO Guide 73) 3

10 [7] International Red Cross Society and Red Crescent Society, Introduction to the guidelines for the domestic facilitation and regulation of international disaster relief and initial recovery assistance 1. 1 Publicada por la Federación de Sociedades de la Cruz Roja y la Luna Roja, P.O. Box 372, CH-1211 Geneva 19, Switzerland; disponible en: 4

11 IMPORTANTE Este resumen no contiene toda la información necesaria para la aplicación del documento normativo original al que se refiere la portada. ICONTEC lo creo para orientar a su cliente sobre el alcance de cada uno de sus documentos y facilitar su consulta. Este resumen es de libre distribución y su uso es de total responsabilidad del usuario final. El documento completo al que se refiere este resumen puede consultarse en los centros de información de ICONTEC en Bogotá, Medellín, Barranquilla, Cali o Bucaramanga, también puede adquirirse a través de nuestra página web o en nuestra red de oficinas (véase El logo de ICONTEC y el documento normativo al que hace referencia este resumen están cubiertos por las leyes de derechos reservados de autor. Información de servicios aplicables al documento aquí referenciado la encuentra en: o por medio del contacto cliente@icontec.org ICONTEC INTERNACIONAL 5