Retorno de inversión (ROI) en proyectos de continuidad de negocio. Alineamiento con el estándar ISO

Transcripción

1 Retorno de inversión (ROI) en proyectos de continuidad de negocio. Alineamiento con el estándar ISO

2 Página 2 INTRODUCCIÓN AL RETORNO DE LA INVERSIÓN EN PROYECTOS DE CONTINUIDAD DE NEGOCIO ÍNDICE 1. INTRODUCCIÓN A ROSI ROSI E ISO INTEGRACIÓN BENEFICIOS DE IMPLANTAR ISO CASO PRÁCTICO... ERROR! MARCADOR NO DEFINIDO. 5. OBSERVACIONES... ERROR! MARCADOR NO DEFINIDO.

3 Página 3 1. Introducción a ROI El cálculo de retorno de inversión (ROI) siempre ha sido una herramienta muy adecuada para justificar inversiones de cara a la gerencia de una organización. Ver beneficios no siempre es fácil, por eso este tipo de cálculos han ido ganando protagonismo en los últimos tiempos. La idea básica es que el ROI mida la relación entre el beneficio (tangible e intangible) que produce una inversión y el coste directo e indirecto de la inversión propiamente dicha. Centrándonos en ROI, la esencia del cálculo se basa en calcular los costes ahorrados como consecuencia de evitar incidentes que produzcan una interrupción de los servicios o de mitigar los efectos de dicha interrupción en caso de ocurrencia. Nótese, como aclaración, que se tomará como referencia el estándar internacional de continuidad de negocio ISO 22301:2012, que define los requisitos para implementar un Sistema de Gestión de Continuidad de Negocio (SGCN). Sin embargo, los beneficios aquí expuestos son aplicables a un proyecto de continuidad de negocio que no siga al detalle los requisitos de dicho estándar internacional. ISO nos aporta confianza en este sentido, ya que habiendo implantado un SGCN como se define en dicho estándar nos estamos asegurando una importante reducción y eliminación de incidentes de continuidad, así como su impacto en caso de ocurrencia. Además, al estar dentro de un ciclo de mejora continua, conseguimos que el sistema de gestión responda a las nuevas necesidades de continuidad de la organización que vayan apareciendo. A través de los diferentes procesos de continuidad que plantea ISO podemos reducir de forma considerable la gran mayoría de incidentes que en caso de no implantar ningún SGCN podrían amenazar nuestra organización. Otro factor clave a la hora de calcular el retorno de inversión en proyectos de continuidad de negocio es el hecho de tener que contar con un Análisis y Gestión de Riesgos (AGR) de continuidad de negocio. Gracias a un AGR tendremos un mapa claro de todos aquellos posibles sucesos que pueden poner en peligro la continuidad de nuestra organización. Si bien un AGR ni un SGCN garantizan la no ocurrencia de incidentes, el hecho de poder seguir prestando servicios a nuestros clientes nos reporta unos beneficios que están muy por encima de los costes en implantar el sistema y nos evita las pérdidas de no poder prestar servicio, además de evitar daño hacia la imagen de nuestra marca y la percepción negativa que se llevaría el cliente. Éstos últimos serían beneficios indirectos.

4 Página 4 2. ROI y Continuidad de Negocio Un proyecto de continuidad de negocio, máxime si tiene como referencia la norma ISO 22301, contempla en todas sus fases elementos que son perfectamente integrables dentro de un estudio de retorno de inversión en continuidad: Análisis de impacto en el Negocio (BIA): gracias a este proceso tendremos una información detallada sobre qué procesos son los más críticos para la organización desde el punto de vista del impacto que tendría su interrupción parcial o total. Esto nos da un beneficio claro: priorizar inversiones y saber dónde poner el foco en las actuaciones de continuidad, no dejando procesos que podrían parecer no críticos pero que en realidad lo son sin un plan de continuidad asociado. Análisis de riesgos sobre los activos: dentro de este procesos estudiaremos las amenazas que podrían materializarse sobre nuestros activos y nuestros procesos de negocio. Calculamos también la frecuencia de ocurrencia de esas amenazas y el impacto que tendría sobre nuestro negocio. Estas amenazas, a través de sus impactos, causan un daño al negocio que puede cuantificarse desde dos puntos de vista: desde el ahorro que supone no sufrir esos incidentes o desde el daño que supondría sufrirlas. La propia ausencia de controles y de planes de continuidad es una amenaza que se traduce en un aumento de la ocurrencia de incidentes y en consecuencia en un aumento de impacto, que puede contabilizarse de manera directa como un impacto económico (sanciones legales, penalizaciones a reembolsar a los clientes, costes de recuperación de la actividad ) o de manera indirecta como un impacto a la imagen de la compañía, la confianza de clientes, socios e inversores, etc. Tratamiento de esos riesgos (reducción de incidentes): en esta fase es donde implantamos los controles y planes de continuidad que harán reducir o eliminar los incidentes. Posteriormente se medirá la eficacia de esos controles para comprobar que realmente están siendo útiles para proteger nuestra organización. El gasto de implantar estos controles es uno de los costes a tener en cuenta a la hora de calcular el ROI. Planes de continuidad (BCP): el plan de continuidad de negocio en sí mismo (parte fundamental del proyecto que se implementa después de las fases anteriores) nos asegura poder seguir dando servicio a nuestros clientes en caso de catástrofes de origen natural (terremotos, inundaciones, etc.), industrial (incendios, explosiones, averías, etc.) o humano (errores no intencionados, ataques deliberados). Los beneficios obtenidos en caso de ocurrir un incidente grave pueden ser incalculables.

5 Página 5 Por dar algunos ejemplos, podemos pensar en la pérdida de productividad ocasionada al no poder prestar servicio (pérdidas diarias), la pérdida de imagen, las pérdidas por no cumplir con acuerdos de nivel de servicio, sanciones económicas al infringir regulaciones legales, etc. Es por esto que un BCP por si solo aporta suficiente retorno de inversión; más aún si lo enmarcamos dentro de un plan de implantación de un SGCN. Mejora continua: ISO contempla la mejora continua del sistema, basada en mejorar la eficacia del SGCN implantado y responder a las nuevas necesidades en continuidad de negocio que tiene la organización.

6 Página 6 3. Beneficios de implantar ISO Entre los principales beneficios de implantar ISO podríamos destacar los siguientes de forma esquemática, tanto el aumento de los aspectos positivos como la reducción de aspectos negativos: Confianza hacia clientes Posicionamiento en el mercado Competitividad Planificación y priorización de recursos Resolución y eliminación de incidentes Gestión de riesgos de continuidad Reducción de impactos tras incidentes. Riesgos Interrupciones de servicios Clientes descontentos Improvisación 4. Conclusiones Como se ha dicho antes, este tipo de estudios no es posible realizarlo sin conocer de forma exhaustiva las amenazas que afectan a una organización. Para realizarlo de la forma más precisa posible (siempre son estimaciones probabilísticas) debemos remontarnos a la historia reciente de la organización y ver qué incidentes se han sufrido, para así poder prever los posibles incidentes futuros. Una vez estimadas las posibles incidencias debemos calcular el coste asociado a ellas y ver en qué grado la continuidad de negocio nos permite reducir el impacto económico de las mismas.