Unidad 3: Sistemas de Gestión de Continuidad de Negocio 0. Introducción y objetivos 1. Sistema de Gestión de continuidad de negocio 2. Elementos de ciclo de vida de BCM 0. Introducción y objetivos Y la continuidad de negocio... También requiere un sistema de gestión? En esta unidad usted: Verá cómo se aplica un sistema de gestión a la continuidad de negocio Conocerá los elementos de un ciclo de vida de BCM. 1
1. Sistemas de gestión de continuidad de negocio Un sistema de gestión de continuidad de negocios, forma parte del sistema de gestión, el cual establece, implementa, opera, monitorea, evalúa, mantiene y mejora la continuidad de negocio. Está basado en el ciclo de Deming, explicado con anterioridad, e incluye una estructura organizacional, políticas, las actividades de planeación, responsabilidades, procedimientos, procesos y recursos. Tal como un sistema de gestión orientado a la mejora continua, se integra por cuatro etapas que son planear, hacer, monitorear y actuar. Esto asegura la consistencia con otros sistemas de gestión como son: de calidad, de seguridad de la información o ambientales. El sistema toma como entradas los intereses de los grupos que rodean a la organización y los requerimientos de continuidad, los cuáles a través de los procesos y acciones necesarias producen salidas de continuidad que cubren los requerimientos. Ilustración 1: Sistema de Gestión de Continuidad de Negocio En la fase de planear, se establece la política de continuidad de negocio, los objetivos, las metas, controles, procesos y procedimientos pertinentes para mejorar la continuidad de negocio, con el fin de obtener resultados alineados a la misión, visión y objetivos de la organización. En la fase de hacer, se implementa y opera la política de continuidad de negocio, los controles, procesos y procedimientos. 2
En la fase de revisar, se monitorea y evalúa el desempeño contra los objetivos y la política de continuidad de negocio. Además, se reportan los resultados a la Alta Dirección para su revisión, determinación y autorización de acciones de remediación y mejora. En la fase de actuar, se mantiene y mejora el BCMS, mediante la toma de acciones correctivas basadas en los resultados de la revisión del sistema y de la revaluación del alcance del sistema, la política y los objetivos de continuidad de negocio. De esta forma, queda integrado el sistema de gestión de continuidad de negocio. 2. Elementos del ciclo de vida de BCM El ciclo de vida de BCM, es una herramienta conceptual que apoya el sustento, diseño, implementación, prueba, mantenimiento e inmersión de la cultura de continuidad en una organización. Gestión de programa de BCM: Es el corazón del ciclo de vida de BCM, es en esta fase, donde se establece la necesidad que tiene la organización de desarrollar e implementar un BCM, apoyado por la Alta Dirección. Entender a la Organización: Es la fase donde se revisan los objetivos, metas, el funcionamiento y las condiciones bajo las que opera la organización. Es la fase que sirve de sustento al programa de BCM, y sus resultados dependen de la decisión de proteger a la organización. Seleccionar opciones de continuidad de negocio: Esta fase, toma los resultados de la fase anterior, y se encarga de seleccionar las estrategias que cubrirán los requerimientos de la organización, siguiendo la política de costo beneficio. Desarrollar e implementar la respuesta de BCM: Es la fase donde se implementan y documentan las estrategias seleccionadas en la fase anterior. Propiamente dicho, es la fase donde se elaboran los planes de continuidad de negocio. Ejercitar y probar: Esta fase, es la encargada de asegurar que los planes implementados cubran las necesidades de la organización, además se detectan los puntos de corrección y mejora del mismo. Embeber competencias y conciencia: Es una fase que refuerza el establecimiento del BCM en la cultura de la organización, y va muy de la mano con la alineación a la estrategia organizacional y a la inmersión en las actividades del día a día. 3
3. Un plan? Una mejor práctica? o un sistema? Qué debo implementar? Un sistema de gestión? o Una mejor práctica? o Solo debo hacer un plan de continuidad? Implementar solamente un plan de continuidad de negocio, es la base para introducirse en la práctica, sin embargo, para que un plan sea útil a la organización se debe asegurar que: El plan se apega a las necesidades y requerimientos de la organización Se han realizado las acciones necesarias, contando con los recursos para lograr el objetivo del plan La información que contiene, es actual y verídica Se ha probado bajo diferentes escenarios Se han incorporado las mejoras, detectadas durante las pruebas Es respaldado por la Alta Dirección Todos los colaboradores de la organización conocen al menos la existencia del plan, su utilidad y los beneficios. Un plan por sí mismo, no puede garantizar los puntos anteriores, y si se llegasen a lograrlo, quizás se trataría de esfuerzos informales e intuitivos que podrían derivar en planes ineficientes e incluso catastróficos, si no es que antes terminen almacenados en un cajón. Es necesario implementar un o más procesos que impulsen las actividades de gestión del plan como son: la calendarización, ejecución y 4
documentación de pruebas, que marquen los tiempos para realizar actualizaciones, las actividades de difusión y capacitación a diferentes niveles y que además, dichos procesos sean aprobados y respaldados por la Alta Dirección de la organización. Una forma de proporcionar formalidad y una estructura definida para lograr un plan exitoso, es mediante la implementación de mejores prácticas y/o sistemas de gestión enfocados a la materia. Al implementar mejores prácticas o estándares, se adoptan formas de trabajar previamente probadas de forma clara e indican el camino a seguir de cara a la gestión de la continuidad de negocio. Ahora bien Cuál es la diferencia entre mejor práctica y sistema de gestión? Como se dijo anteriormente, ambos marcan pautas claras sobre el camino a seguir para el logro de un objetivo determinado, en este caso, la continuidad de negocio, y que además dichos esfuerzos estén respaldados por la Alta Dirección. Sin embargo, las mejores prácticas permiten a la organización implementar aquellos puntos que le convienen o que considera necesarios para la consecución de la continuidad de negocio, quedando el riesgo de omitir puntos importantes que se pueden derivar de los resultados, si no son desastrosos, si pueden ineficientes. Adicionalmente, las instituciones que respaldan a las mejores prácticas no proporcionan una certificación a nivel organización, si no solamente a nivel personal. Al implementar un sistema de gestión, el cual siga las especificaciones de un estándar internacional, la organización obtiene luz sobre las acciones y entregables que obligatoriamente debe llevar a cabo, y sobre las cuales quedan a consideración de su implementación y ejecución. Además, al apegarse a un sistema de gestión, también queda la posibilidad de demostrar y medir, ante terceras instituciones su capacidad de recuperación. Adicionalmente, al implementar un sistema de gestión se puede alinear a los ya existentes, incluso ahorrando trabajo, pues muchas acciones de gestión se encuentran en funcionamiento. Si es la primera vez, en que se implementa un sistema, existe en posibilidad de alinear cualquier otro sistema relativo a cualquier tema. 5
Además, si se requiere información adicional sobre acciones precisas, se cuenta con documentos específicos de apoyo. Algunos ejemplos son: Para realizar auditorías se cuenta con el documento: ISO 19011:2011 Directrices para sistemas de gestión de auditorías Para pruebas y ejercicios: ISO 22398:2012 Directrices para ejercicios y pruebas 4. Documentación requerida por el SGCN La documentación, es un elemento indispensable en todo el sistema de calidad además, debe aportar valor a la organización. Algunos de los objetivos de contar con la documentación adecuada son: Permitir, comunicar y respaldar el propósito de las acciones que se llevan a cabo Contribuir a lograr la conformidad con los requerimientos del cliente, los del sistema de gestión, y además de mejora continua Contribuir a la repetitividad y trazabilidad del sistema en general Proporcionar evidencias objetivas Contribuir a la evaluación de la eficacia, y adecuación continua del sistema de gestión La documentación proporciona formalidad a la implementación del sistema, al momento de quedar plasmado por escrito el interés y respaldo de la Alta Dirección sobre las acciones encaminadas a la implementación y operación del sistema de gestión. 6