¿De la mano de Auditoría o durmiendo con el enemigo?
Hace unas semanas, en un curso online, conversaba con un consultor canadiense acerca de cómo sería un programa de continuidad de negocio ideal, algo así como un programa "soñado". Concordábamos en que uno de los atributos más deseados para tal programa sería que lo que mueva a la acción a nuestros participantes no sea el temor a observaciones o no-conformidades por parte de auditoría interna, que el enfoque y la metodología para gestionar la continuidad del negocio no estén concebidos o parametrizados para satisfacer a los auditores, y que el impulso para innovar no se trunque por el temor a incumplir lo establecido, donde auditoría interna no sea un stopper para la innovación. ¿Qué deberíamos hacer para estar más cerca de ese sueño? Para empezar... ¿deberíamos?
La teoría nos dice que una organización debe evaluar cómo está gestionando la continuidad del negocio, a fin de garantizar que esta sea efectiva; en ese sentido, las revisiones de auditoría sirven —o deberían servir— para analizar la competencia y la capacidad existentes en una organización. Hasta ahí, suena muy bien: Auditoría como un partner clave para el propósito de la continuidad del negocio.
Sin embargo, según la ISO 22301:2019, la organización debe realizar auditorías para revisar que el programa de continuidad del negocio cumple con los requerimientos de la organización y que se viene implementado y manteniendo efectivamente. Este enfoque asume que si el proceso metodológico es correcto y se aplica correctamente, el resultado deberá proporcionar competencia y capacidad efectiva y adecuada. ¿Y cuál es el problema?
Sucede que la mayoría de auditores de continuidad del negocio planifican y diseñan sus revisiones con base en algún proceso metodológico existente o mandatorio —normado por alguna entidad regulatoria—, y se enfocan únicamente en evaluar las evidencias del cumplimiento de dicho proceso. En el Perú, como en muchas partes del mundo, un referente obligado es el estándar ISO 22301 en este momento; y es así, entonces, que los auditores suelen pedir y revisar los resultados del último análisis de impacto al negocio (BIA), los resultados de la última evaluación de riesgos de continuidad, la documentación vigente de los planes de continuidad del negocio, los informes de las pruebas de los planes, las actas de asistencia a las capacitaciones a los participantes del programa, las aprobaciones del plan anual de trabajo, las evidencias de las revisiones por la alta dirección, y un largo etcétera. En otras palabras, lo que analizan, básicamente, es la documentación del programa.
Como a nadie le gusta tener observaciones de auditoría, lo más lógico es enfocar y diseñar nuestra metodología de gestión de continuidad del negocio y su documentación para satisfacer más fácilmente a los auditores, por más engorroso y ocioso que resulte mantenerla. Incluso, nosotros mismos solemos caer en la tentación de usar ese temor natural a una posible observación de auditoría para hacer que las cosas sucedan, contribuyendo así a una imagen de compliance que finalmente no es sostenible para nuestra disciplina. Y por último, al tener que ser evaluados por seguir un proceso metodológico específico, es obvio que no quede mucho espacio para la innovación.
¿Podríamos hacer algo para cambiar esta situación? ¿Deberíamos?
Fuentes:
International Organization for Standardization. [ISO]. (2019). ISO 22301:2019 Security and resilience—Business continuity management systems—Requirements. Recuperado de https://www.iso.org/standard/75106.html
The International Consortium for Organizational Resilience. [ICOR]. (2020). BCM 3000: Implementación ISO 22301. Programa de Desarrollo Profesional en Continuidad del Negocio.
Comentarios
Publicar un comentario