Apuntes sobre continuidad del negocio

Recientemente, pude leer el artículo de Michael Herrera , director ejecutivo de MHA Consulting —firma líder en consultoría de tecnología de la información y planificación de la continuidad del negocio—,  Lista de verificación para un Análisis de Impacto al Negocio (BIA)  [original:  A Business Impact Analysis Checklist ]. En este artículo, propone un checklist (lista de verificación) para realizar adecuadamente un Análisis de Impacto al Negocio (BIA), reafirmando no solo algunos de los principios fundamentales que conocemos, sino que también plantea aspectos clave, a partir de su experiencia, que pueden enriquecer nuestra comprensión y aplicación del BIA. Involucramiento de la alta dirección : Herrera enfatiza la importancia de tener el respaldo y la participación de la alta dirección desde el inicio del BIA. Esto asegura que el proceso esté alineado con la estrategia empresarial y que cuente con los recursos necesarios. Desarrollo de un cuestionario BIA detallado : Mien...

Si de todos los partnerships que debe tener el programa de continuidad del negocio, me pidieran que me quede con uno, escogería siempre a TI. En realidad, para que la planificación de la continuidad del negocio sea efectiva, debe involucrar a toda la organización, lo que implica la colaboración de todas las funciones y departamentos de la empresa. No obstante, en la mayoría de las organizaciones hoy en día, es el área de TI la que tiene la clave para el éxito del programa. Pero, ¿cómo lograr y mantener un partnership saludable y sostenible con TI? ¿Cómo hacer clic con ellos? Un partnership  muy necesario El especialista en continuidad del negocio y tecnología de la información,  Alex Janković , publicó un artículo en el que analiza la dependencia que existe entre la gestión de la continuidad del negocio y las áreas de tecnología de la información (TI), y también por qué es tan difícil hacer que TI se comprometa con las iniciativas del programa de continuidad.  En muc...

Uno de los aspectos claves en los que se basa la planificación de la continuidad del negocio, según las metodologías basadas en la ISO 22301, es el establecimiento del "tiempo objetivo de recuperación" o recovery time objective (RTO). Se trata del período de tiempo prioritario para reanudar una actividad o proceso interrumpido. Por años, los profesionales de la continuidad del negocio hemos tenido conversaciones como esta:   —Si ocurre un evento de interrupción, ¿en cuánto tiempo debería poder recuperarse tu proceso? —Bueno... eso depende —  es lo que suele responder el dueño o responsable del proceso. —Pero, pongámonos en el peor escenario. —¿Una catástrofe? —Sí... un terremoto, por ejemplo. ¿Ese sería tu peor escenario? —Sí, claro. Si ocurre un terremoto, no solo yo voy a estar afectado, así que imagino que podría recuperarme en tres o cuatro días. —¿Tres días, entonces? —Espera... pero si mi competencia se recupera antes, yo no puedo quedarme atrás... Depende, pues. Si la...

Regina Phelps is an internationally recognized thought leader in the field of crisis management, exercise design and pandemic and continuity planning. Since 1982, she has provided consultation and speaking services to multinational companies in five continents. She is founder of Emergency Management & Safety Solutions (EMSS), a crisis management and business continuity consulting firm. EMSS is 100% woman owned firm. I met Regina on her visit to Peru last year, and she had the kindness to autograph her book Emergency Management Exercises for me. With the same kindness, Regina unhesitatingly agreed to give me this interview.  Clic here to access the Spanish translation of this interview. Regina Phelps Place of birth: Visalia, California Career / profession: Spent seven years in healthcare. As a registered nurse and then a hospital administrator  Hobbies: I am deeply curious about many things. Avid birdwatcher, world traveler (have visited over 90 countries), I love to read...

Regina Phelps es una consultora experta en continuidad del negocio, gestión de crisis, respuesta a emergencias y diseño de ejercicios; quien desde hace más de 30 años viene prestando servicios a empresas multinacionales en los cinco continentes. Es fundadora de la firma de consultoría Emergency Management & Safety Solutions , una empresa 100% de propiedad de mujeres.  Además de tener la gentileza de autografiarme su libro Emergency Management Exercises  en su última visita al Perú el año pasado, Regina accedió sin titubear a darme esta entrevista. Haga clic aquí para acceder a la entrevista original en inglés . Regina Phelps • 67 años de edad • Nacida en Visalia, California (Estados Unidos) • Profesional de la salud durante 7 años, como enfermera y luego administradora de un hospital • Pasatiempos: Avistar aves, viajar (ya ha visitado más de 90 países), leer e investigar cualquier tema que llame su atención. 1. ¿Cómo fue que llegaste a la práctica de la continuidad del neg...

Acorde con la práctica estándar, las organizaciones determinan sus prioridades y requerimientos para el programa de continuidad del negocio, como parte del proceso de análisis de impacto o business impact analysis (BIA). Desde 2006 se introdujo un concepto para ayudar a determinar cómo debían priorizarse las actividades de las empresas ante un evento de interrupción y bajo qué condiciones estas debían ser recuperadas: el período máximo tolerable de interrupción o maximum tolerable period of disruption (MTPD). Image:  https://www.nbcnews.com/news/us-news/ditch-switch-call-go-permanent-daylight-saving-time-grows-n1043051 Según la norma internacional ISO 22301:2019, el MTPD es el período de tiempo dentro del cual, si no se pudieran reanudar las actividades, los impactos llegarían a ser inaceptables para la organización ; amenazando su supervivencia o haciendo que sus objetivos ya no sean alcanzables. Para poder identificar el MTPD para cada actividad, la organización debe decid...

Hace unas semanas, tuve el placer de colaborar con JuanMa ; reconocido consultor y especialista en gestión de servicios, tecnologías de la información, manejo de riesgos y estrategia empresarial, peruano-español de nacionalidad; que dirige y conduce un espacio en la red llamado " Café con JuanMa ", en el que trata y desarrolla, de manera informal, diversos aspectos de interés junto a sus invitados. En dicha oportunidad, el tema fue "La Gestión de Riesgos y los Planes de Contingencia en los negocios", entrevista que fue publicada en cuatro bloques, los que aquí les dejo: Bloque I Bloque II Bloque III Bloque IV

En diciembre de 1995, Malden Mills Industries , fabricante de Polartec  — una familia de tejidos de alto rendimiento y avanzada tecnología diseñados para una amplia gama de actividades al aire libre — , sufrió un terrible incendio en su planta de Lawrence (Massachusetts, USA) que destruyó por completo la fábrica. El presidente de la compañía, Aaron Feuerstein, decidió que la retención de empleados era tan importante para sus operaciones que prometió el pago de los salarios de los 3,000 empleados mientras se reconstruyera la planta. Feuerstein mantuvo su promesa: los trabajadores recogieron sus cheques puntalmente, durante tres meses, pagando en total 25 millones de dólares, y llegó a ser conocido como "el Mensch de Malden Mills"  — un hombre de negocios que parecía preocuparse más por sus trabajadores que por sus ganancias — . La prensa dio mucha cobertura a la decisión, una muy positiva, y lo mismo hicieron los políticos. Incluso el presidente Bill Clinton inv...

Aquí les comparto el escaneado del  borrador de la especificación técnica ISO 22317:2015   Seguridad de la Sociedad - Sistemas de gestión de continuidad de negocios - Análisis de Impacto al Negocio (BIA) . En la primera página se menciona que corresponde a una propuesta para la primera versión, fechada en diciembre de 2014. Fuente : International Organization for Standardization [ISO]. (2015).  ISO/DIS 22317:2015 Societal security — Business continuity management systems  —  Business Impact Analysis (Draft) .  Ginebra, Suiza: Autor.  Recuperado de  http://www.iso.org/iso/catalogue_detail.htm?csnumber=50054  

Hace unos meses, Dejan Kosutic enfatizó en la importancia de determinar la frecuencia de las copias de respaldo ( backups ) en el artículo " Backup policy – How to determine backup frequency " que escribió para su blog . En resumen, el análisis que se requiere para determinar esta frecuencia debe basarse en el valor que los datos en cuestión aportan al negocio. Para responder a la pregunta "¿Cuánta información se puede tolerar perder?", se debe determinar la variable denominada Máxima Pérdida de Datos o RPO (Recovery Point Objetive) , definida por la ISO 22301 como “ the point to which information used by an activity must be restored to enable the activity to operate on resumption ”. El mejor momento para hacerlo es durante el Análisis de Impacto al Negocio o BIA (Business Impact Analysis) . Se deberá pedir a los usuarios que listen todas sus bases de datos, aplicaciones y archivos, así como sus servicios (como el correo electrónico), etc., y para cada uno ...

Hace unas semanas, Pierre Dorion escribió un artículo titulado  Identifying business impact assessment errors , que, en resumen, enumera los errores más comunes en el proceso de análisis de impacto al negocio (BIA - business impact analysis ): Confundir la criticidad de una aplicación con su importancia para el negocio (¿Genera pérdidas o, simplemente, un doloroso inconveniente?) Pensar que el BIA es un proceso de una-sola-vez (Debe ser realizado periódicamente) Tratar de mitigar todos los riesgos durante el BIA, pensando así se reducirá el impacto (El BIA identifica el impacto "inherente"). Convocar a la gente equivocada a los talleres BIA (Es esencial el soporte y participación de las gerencias). Especialmente para compañías que conducen el BIA por primera vez, no contar con personal probadamente calificado y experimentado. Fuente : Dorion, P. (2012, septiembre). Identifying business impact assessment errors . SearchDisasterRecovery - TechTarget. Recuperado...

Ayer, en una reunión de trabajo, se habló acerca de la dificultad de gestionar y mantener actualizada la documentación propia del programa de continuidad del negocio. Sin duda, este puede ser el talón de Aquiles para sus administradores, si es que no cuentan con mecanismos automatizados para (a) poner a disposición del personal apropiado (antes y durante el evento de interrupción) los análisis de impacto, evaluaciones de riesgos, los planes en sí —directorios y listas de contactos, procedimientos de contingencia, formatos y recursos a utilizar, etc.—, las bitácoras o logs, entre otros documentos; (b) controlar la vigencia del contenido y la periodicidad de su actualización; y (c) descentralizar y hacer seguimiento al cumplimiento de estas actividades. En la misma reunión, se mencionaron dos herramientas disponibles en el mercado —que incluso ofrecían el soporte para todo lo descrito, con el valor añadido de poder custodiar esta documentación en la nube —: Global Continuit...

Aquellos que gestionan proveedores deben evaluar la resiliencia de estos. Los proveedores comprometidos seriamente con la resiliencia estarán dispuestos a evidenciar la gestión de continuidad de negocios como parte de su estrategia de provisión, así como la inversión en la resiliencia de su propia cadena de suministro. No obstante, este proceso es bidireccional, según lo señala Dave Window, consultor de Continuity 22301 Ltd: si uno quiere que ellos sean transparentes acerca de sus programas de continuidad de negocios, entonces uno también debe ser transparente; y si uno espera que ellos se comprometan a elevar su nivel de preparación ante interrupciones, entonces uno debe demostrarles cierto nivel de compromiso, siendo un contratante estable, estableciendo verdaderas alianzas estratégicas. Nick Wildgoose ( www.supplychainriskinsights.com ) recomienda asegurarse de que los proveedores entiendan que el desafío es para ambas partes, y que una adecuada gestión de continuidad de ...

El análisis de impacto al negocio usualmente se confunde con la evaluación de riesgos .  Priti Sikdar , directora de Valsec Solutions de la India, explica la diferencia entre estas dos importantes actividades del ciclo de vida de un programa de Continuidad de Negocios. La evaluación de riesgos (o RA, por las siglas en inglés de Risk Assessment ) tiene que ver con la determinación de la pérdida potencial por causa de una amenaza y el costo de la medida de protección hacia los procesos críticos del negocio, pero sobre todo, los recursos críticos que los soportan. Es decir, cuánto gastar en prevención y protección. Para ello, se necesita saber primero cuáles son esos procesos y recursos críticos. En el análisis de impacto al negocio (o BIA, por las siglas en inglés de Business Impact Analysis ) se busca principalmetente: (a) determinar el impacto que tendría un evento disruptivo en los procesos de la organización —de ...