Apuntes sobre continuidad del negocio

La práctica de la continuidad del negocio, hoy por hoy, está estrechamente conectada con una amplia gama de disciplinas o áreas de especialización, entre las que destacan la recuperación ante desastres de TI, la gestión de crisis, la respuesta a ciberataques, la respuesta a emergencias, la seguridad ocupacional, la gestión de riesgos, la resiliencia organizacional, la auditoría de continuidad del negocio, entre otros. Si bien aún no hay un consenso total en cómo unas dependen de las otras, intentaré compilar las definiciones mayormente aceptadas. ¡Se vale discrepar! Continuidad del negocio |  Business Continuity Capacidad de una organización para continuar entregando sus productos y servicios durante una interrupción operativa, dentro de plazos aceptables, a una capacidad predefinida. Referencia : ISO 22301:2019 Recuperación ante desastres de TI |  IT Disaster Recovery Conjunto de recursos y actividades para restablecer los servicios de tecnología de la información (incluyendo...

Hace tan solo unos días, la comunidad de profesionales de la continuidad del negocio y la resiliencia organizacional en Latinoamérica fue testigo de un congreso sin precedentes —y no exagero— por tres razones: fue desarrollado 100% en línea, fue totalmente gratuito, y fue la primera vez que en un foro latinoamericano se habló acerca del nuevo enfoque para la gestión de la continuidad del negocio, Adaptive Business Continuity. Todas las conferencias están disponibles en el canal de YouTube del hombre detrás de esta iniciativa, Timothé Graziani , quien accedió además a darme una breve entrevista. Las conferencias grabadas están disponibles aquí:  https://www.youtube.com/channel/UCTeh22vDn6i9PmCauknQLzQ/videos Tim, ¿qué significó para ti haber llevado a cabo RESILIENCIA LATAM 2020 este año, en lo profesional y en lo personal? Creamos esta iniciativa en 2018 con el primer evento dedicado al tema de resiliencia organizacional en América Latina: “Resiliencia RD” (República Dominicana). ...

Extraído del Atlas de Peligros del Perú articulado por el Instituto Nacional de Defensa Civil (Indeci), en el mapa se muestran los resultados del estudio de microzonificación sísmica y tsunami realizado en 2010. Cada color indica una zona la cual corresponde un tipo de calidad de suelo: Peligro bajo (verde) : Está conformada por los afloramientos rocosos, los estratos de grava-aluvial de los pies de las laderas. Este suelo tiene un comportamiento rígido, con periodos de vibración natural. Peligro bajo Peligro relativamente bajo (amarillo) : Se incluyen las áreas de terreno conformado por un estrato superficial de suelo granulado fino y suelos arcillosos. Peligro relativamente bajo. Peligro alto (anaranjado) : Conformada en su mayor parte por los depósitos de suelos finos y arenas de gran espesor que se encuentran en estado suelto. Peligro alto. Peligro muy alto (rojo) : Conformada por los depósitos de arena eólicas de gran espesor y sueltas, depósitos fluviales, depósitos marin...

Hace unas semanas, tuve el placer de colaborar con JuanMa ; reconocido consultor y especialista en gestión de servicios, tecnologías de la información, manejo de riesgos y estrategia empresarial, peruano-español de nacionalidad; que dirige y conduce un espacio en la red llamado " Café con JuanMa ", en el que trata y desarrolla, de manera informal, diversos aspectos de interés junto a sus invitados. En dicha oportunidad, el tema fue "La Gestión de Riesgos y los Planes de Contingencia en los negocios", entrevista que fue publicada en cuatro bloques, los que aquí les dejo: Bloque I Bloque II Bloque III Bloque IV

Hasta el 22 de noviembre, se reunirán en Varsovia (Polonia) líderes mundiales para establecer nuevas medidas en favor del medio ambiente. El cambio climático tiene y tendrá un gran impacto en muchas empresas y organizaciones a nivel mundial. Sus efectos se evidencian a través de inundaciones, tormentas, ondas de calor y sequías. Esto representa un riesgo que no puede mitigar tan fácilmente. De cara a nuestros programas de gestión de continuidad del negocio, debemos: Considerar el cambio climático en las evaluaciones anuales de los riesgos de interrupción. Actualizar los planes a partir de los nuevos perfiles de riesgo. Mantener una comunicación permanente con nuestros proveedores y clientes claves, así como con nuestros socios de negocio acerca de cómo el cambio climático puede afectarles. Fuente : Diario Publimetro. (2013, noviembre). La 19 conferencia sobre el cambio climático . Recuperado de  https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEgkI7NcH3FbKOd09l...

Según explica el periodista Edwin Álvarez, la intensa actividad volcánica que se presenta en los últimos días en al menos seis países de Latinoamérica —desde México hasta Chile— tiene vigilantes a las autoridades de la región y ha llevado a decretar una alerta roja en Chile y Argentina, y una amarilla en Guatemala, Costa Rica, Ecuador, Colombia y México. Esta coyuntura se debe a que buena parte de la región está atravesada por el llamado Cinturón de Fuego del Pacífico , en el que se encuentra más del 75 % de los volcanes activos e inactivos del mundo y en donde se registra cerca del 85 % de los sismos que sacuden al planeta. Fuente : Álvarez, E. (2013, 29 de mayo). Se intensifica la actividad volcánica en América Latina .  La Republica.pe. Recuperado de  http://www.larepublica.pe/29-05-2013/se-intensifica-la-actividad-volcanica-en-america-latina

La división de consultoría en riesgos de  Aon  ha publicado su décimo mapa anual de terrorismo y violencia política . El mapa mide el riesgo —para los negocios internacionales— de violencia política en más de 200 países y territorios, basado en tres situaciones: Terrorismo y sabotaje Huelgas, disturbios, conmoción civil y daño malicioso Insurrección política, revolución rebelión, amotinamiento, guerra y guerra civil. 2013 Terrorism & Political Violence Map (AON)

Una amenaza de interrupción que me deja mucho qué pensar es el paro o huelga del personal . Si bien esta situación podría llevar a un escenario de no disponibilidad o ausencia masiva de trabajadores  —ante lo cual, normalmente, las empresas activan sus estrategias de "cadenas de backup o respaldo del personal" dentro de las mismas unidades funcionales o incluso desde otras áreas de la compañía—, el impacto operativo y la factibilidad de aplicar las contingencias previstas dependerán mucho del grado de asociación de la población laboral con el sindicato que convoca la paralización. La reflexión se me vino a la mente al leer la noticia de hoy, respecto del paro de trabajadores del Banco de la Nación, que generó una degradación severa en el servicio a los clientes. Al parecer, en la oficina principal sí se estuvo atendiendo, aunque con personal reducido: una mujer dijo que vio 3 o 4 personas atendiendo, cuando lo normal es que haya de 15 a 20. Según El Comercio, quienes estab...

"Las empresas no pueden abstraerse de la realidad: nuestro planeta es un organismo vivo, convulso y peligroso. El cambio climático, la amenaza del terrorismo y los movimientos de carácter social pueden ser amenazas, no tan lejanas, que inciden de forma directa en las cuentas de resultados de nuestras organizaciones, así como en su imagen en los mercados bursátiles y financieros." (Navas, 2010, p. 71) En este sentido, la función de administración de riesgos es de potenciar el " compliance ", contribuir con su experiencia e impulsar la coordinación con las demás áreas de la empresa. Hoy en día, en muchas organizaciones, continuidad del negocio forma parte de las responsabilidades delegadas a riesgos , bajo la visión de que el objetivo de la gestión integral de riesgos es viabilizar el negocio . Fuente : Navas, J. (2010). La Gerencia de Riesgos en el epicentro de la empresa . Gerencia de Riesgos y Seguros, n.° 107-2010, pp. 71-72.

La amenaza de "atentado terrorista", como uno de los posibles escenarios de interrupción a considerar en nuestras evaluaciones de riesgos (RA - risk assessment) , ha tomado relevancia en los últimos días debido a los trágicos eventos del pasado lunes 15 de abril en la ciudad de Boston . Aquí les comparto una interesante infografía acerca de los 10 atentados más importantes en los Estados Unidos desde 1970:  Fuente : Gestión. (2013, 17 de abril). Obama reconoce que no tienen pistas sobre atentado en Boston . p. 30.

En un post anterior , comentábamos acerca de las contingencias que las empresas debían implementar, de manera preventiva, ante posibles cortes del suministro eléctrico. Ayer me llegó este informe de APOYO Consultoría, en el que se alerta de una posible restricción en el servicio de energía eléctrica a nivel nacional, que podría afectar seriamente al sector industrial. El sistema de transporte del gas natural de Camisea está en riesgo debido a que: i) casi 200 km de los 729 km que tiene el gasoducto atraviesan el VRAEM (Valle de los Ríos Apurímac, Ene y Mantaro), donde han ocurrido ocho ataques o enfrentamientos armados desde abril; ii) la empresa operadora del gasoducto ha suspendido sus actividades de mantenimiento para preservar la integridad y seguridad de sus trabajadores y contratistas. Si este sistema sufriera un ataque o una falla, el gas almacenado en el ducto alcanzaría para solo 12 horas de consumo y se generaría un problema de desabastecimiento eléctrico a nivel n...

Jorge García Carnicero   compartió en el ISO 22301 Spanish Group , hace unos días, un interesante artículo acerca del apetito de riesgo ( risk appetite ) en el contexto de la continuidad del negocio, bajo el nuevo marco normativo de la ISO 22301. Desde la perspectiva del riesgo operacional , según mi colega Renzo Vásquez, el apetito es la cantidad de riesgo tratado que la organización está dispuesta y preparada a asumir o retener. Dicho apetito va a responder a varias métricas —las que sean importantes para la alta dirección—; no siendo todas, necesariamente, cuantitativas, sino que también pueden considerarse las de medición cualitativa. Por otro lado, estos niveles de aceptabilidad de riesgo deben ser revisados periódicamente. Zawada y Rupert (2012) opinaban que la integración de este concepto en el sistema de gestión de la continuidad del negocio era necesaria por dos razones: La organización debe establecer su apetito para todos los tipos de riesgos a los que es...

El Reino Unido es uno de los referentes más importantes respecto a programas de continuidad del negocio. Desde 2001, el Chartered Management Institute - CMI   viene realizando encuestas anuales a organizaciones británicas, cuyos resultados nos brindan una visión comparativa útil, con la que podemos hacer benchmark  y encaminar mejor nuestros programas. En su último reporte , publicado en marzo, una de las estadísticas más interesantes fue el ranking histórico de interrupciones 2007-2012. En él se observa que los eventos climáticos/ambientales, la pérdida de la infraestructura de TIC (Tecnología de la Información y Comunicaciones) y la pérdida de personal clave siguen encabezando la lista de amenazas que afectan la continuidad de las operaciones en las empresas en dicho país. Fuente : Woodman, P. & Pearson, G. (2012, marzo). Planning for the worst: The 2012 Business Continuity Management Survey . Recuperado de http://www.bcifiles.com/BCMReport2012.pdf

Ayer, en una reunión de trabajo, se habló acerca de la dificultad de gestionar y mantener actualizada la documentación propia del programa de continuidad del negocio. Sin duda, este puede ser el talón de Aquiles para sus administradores, si es que no cuentan con mecanismos automatizados para (a) poner a disposición del personal apropiado (antes y durante el evento de interrupción) los análisis de impacto, evaluaciones de riesgos, los planes en sí —directorios y listas de contactos, procedimientos de contingencia, formatos y recursos a utilizar, etc.—, las bitácoras o logs, entre otros documentos; (b) controlar la vigencia del contenido y la periodicidad de su actualización; y (c) descentralizar y hacer seguimiento al cumplimiento de estas actividades. En la misma reunión, se mencionaron dos herramientas disponibles en el mercado —que incluso ofrecían el soporte para todo lo descrito, con el valor añadido de poder custodiar esta documentación en la nube —: Global Continuit...

Conversando hace unos días con un supervisor de la Superintendencia de Banca, Seguros y AFP (SBS), me comentaba que una de las principales debilidades de la gestión de continuidad de negocios en el Perú era la falta de una evaluación a conciencia de los riesgos de interrupción a los que las empresas estaban expuestas. Enfatizaba en la necesidad de evaluar los riesgos desde el punto de vista de la geografía para cada una de las instalaciones o sedes; es decir, de "tropicalizar" la evaluación de riesgos. En el 2011, el Instituto Nacional de Defensa Civil ( Indeci ) publicó su " Atlas de peligros del Perú " . Tanto en formato de aplicación en línea, como en documento descargable, es una herramienta desarrollada gracias al apoyo de instituciones tecno-científicas del país, que puede servir para "tropicalizar" los riesgos de interrupción en todo el territorio nacional, con el propósito de implementar medidas de prevención y/o mitigación de los peligros d...

El análisis de impacto al negocio usualmente se confunde con la evaluación de riesgos .  Priti Sikdar , directora de Valsec Solutions de la India, explica la diferencia entre estas dos importantes actividades del ciclo de vida de un programa de Continuidad de Negocios. La evaluación de riesgos (o RA, por las siglas en inglés de Risk Assessment ) tiene que ver con la determinación de la pérdida potencial por causa de una amenaza y el costo de la medida de protección hacia los procesos críticos del negocio, pero sobre todo, los recursos críticos que los soportan. Es decir, cuánto gastar en prevención y protección. Para ello, se necesita saber primero cuáles son esos procesos y recursos críticos. En el análisis de impacto al negocio (o BIA, por las siglas en inglés de Business Impact Analysis ) se busca principalmetente: (a) determinar el impacto que tendría un evento disruptivo en los procesos de la organización —de ...