Apuntes sobre continuidad del negocio

En un post anterior , nos preguntábamos qué podríamos hacer para que Auditoría Interna contribuya de manera eficaz al propósito de la continuidad del negocio, más allá de una mera revisión de la documentación y el cumplimiento  a partir de un proceso metodológico infructuoso y rígido. En esta segunda parte, pongo sobre la mesa de discusión algunas ideas que pueden ayudar a impulsar un cambio que no solo es necesario, sino urgente, tanto para nuestras organizaciones como para nuestra disciplina. En primer lugar, tenemos que revisar (retar) nuestro propio enfoque para gestionar la continuidad del negocio. Cuestionar, con honestidad, nuestras propias motivaciones para hacer lo que hacemos; cuánto esfuerzo en verdad dedicamos a mejorar las capacidades de respuesta y recuperación de nuestras empresas; y qué queremos (debemos) cambiar, a partir de ahora, para generar más valor.  Luego de eso es que tenemos que acercarnos a Auditoría; sentarnos a conversar con ellos y explicarles n...

Hace unas semanas, en un curso online, conversaba con un consultor canadiense acerca de cómo sería un programa de continuidad de negocio ideal, algo así como un programa "soñado". Concordábamos en que uno de los atributos más deseados para tal programa sería que lo que mueva a la acción a nuestros participantes no sea el temor a observaciones o no-conformidades por parte de auditoría interna, que el enfoque y la metodología para gestionar la continuidad del negocio no estén concebidos o parametrizados para satisfacer a los auditores, y que el impulso para innovar no se trunque por el temor a incumplir lo establecido, donde auditoría interna no sea un stopper para la innovación. ¿Qué deberíamos hacer para estar más cerca de ese sueño? Para empezar... ¿deberíamos? La teoría nos dice que una organización debe evaluar cómo está gestionando la continuidad del negocio, a fin de garantizar que esta sea efectiva; en ese sentido, las revisiones de auditoría sirven —o deberían servir— ...

El año pasado (2016) tuve la oportunidad de conocer de cerca la iniciativa del Ministerio de Salud y la OPS/OMS  (Organización Panamericana de la Salud) para elaborar el documento técnico de trabajo denominado Plan de Contingencia del Sector Salud ante un Sismo de Gran Magnitud en Lima Metropolitana y en las Regiones del Callao y Lima  2016 . Esta iniciativa responde a la necesidad de contar con un instrumento operativo para organizar la respuesta de los diferentes componentes del sector salud y de sus establecimientos, dentro de las primeras 72 horas posteriores a la ocurrencia de un gran sismo y tsunami que afecte en forma directa a Lima Metropolitana y a las regiones de Lima y Callao. El plan determina las responsabilidades y acciones que se deben implementar para la alerta, coordinación, respuesta, movilización de recursos y asegurar la continuidad operativa de las organizaciones de salud responsables de la primera respuesta. Las acciones previstas en el plan se debe...

La iniciativa  IBM Center for Applied Insights   — cuyo propósito es descubrir nuevas formas de pensar, trabajar y guiar a través de la investigación y el análisis de datos —  encuestó a 310 profesionales de las disciplinas de recuperación ante desastres y continuidad de negocios en Estados Unidos y Canadá, para conocer cuáles son las estrategias de resiliencia organizacional más efectivas hoy en día. La base de encuestados consistió principalmente en profesionales a cargo de funciones de gestión de la recuperación ante desastres y la continuidad del negocio de niveles ejecutivos y gerenciales, en la que más del 60% eran directores de TI o CIO (gerentes de Sistemas o gerentes de Tecnología). Los encuestados trabajaban para empresas en 19 sectores, que variaban en tamaños desde menos de 100 empleados a más de 10,000. A partir de los resultados obtenidos, IBM concluye que las organizaciones altamente resilientes se caracterizan porque: anticipan y planifican: forjan una...

El pasado 18 de abril se publicó en el diario oficial El Peruano la resolución ministerial n.° 080-2016-PCM , a través de la cual el Instituto Nacional de Defensa Civil (Indeci) comunicó a la población el calendario nacional de simulacros y simulaciones (*) para el presente año. Los dos simulacros nacionales de sismo se realizarán de la siguiente forma: Jueves, 16 de junio: Hora: 4 p. m. ( vespertino ) Escenario en el litoral:  Sismo seguido de Tsunami . Escenario en el interior del país: Sismo seguido de fenómenos de geodinámica externa . Jueves, 13 de octubre: Hora: 8 p. m. (nocturno) Escenario en el litoral:  Sismo seguido de Tsunami . Escenario en el interior del país:  Sismo seguido de fenómenos de geodinámica externa . (*) Diferencias y similitudes entre un simulacro y una simulación : Simulación : Ejercicio desarrollado en un ambiente preparado para tal fin, en el que participan los grupos o equipos de respuesta, y donde se establece el esc...

Hacia fines de 2013, la Superintendencia de Banca, Seguros y AFP (SBS), con el propósito de comenzar a generar información estadística a nivel del sector financiero peruano acerca de los eventos de interrupción operativa y el nivel de preparación de los actores de dicho sector, hizo público su proyecto normativo para el reporte obligatorio de indicadores clave para la continuidad de negocios. La norma estaría dirigida a los bancos, las compañías de seguros, el Banco de la Nación, el Banco Agropecuario, la Corporación Financiera de Desarrollo (COFIDE), el Fondo MIVIVIENDA, así como a las Administradoras Privadas de Fondos de Pensiones (AFP). Pero no fue hasta marzo de 2015 que el supervisor del sistema financiero publicó la norma oficialmente, a través de la circular SBS n.° G-180-2015 , solicitando: el reporte trimestral sobre las interrupciones del negocio (RO-1), en el cual se identifican las interrupciones ocurridas por fallas en los sistemas informáticos y en los proveedore...

TeVeo es una aplicación móvil de Osiptel , el organismo regulador de las telecomunicaciones en el Perú, que permite a los usuarios de telefonía celular, que posean un Smartphone, recopilar información de los eventos relacionados con la calidad de los servicios que los operadores les brindan (el desempeño del servicio de telefonía móvil experimentada en el terminal del usuario). Con esta información recopilada, Osiptel pondrá a disposición de todos los usuarios a nivel nacional un mapa de cobertura que muestre la intensidad de la señal para un análisis objetivo de la calidad de la telefonía móvil en el Perú. El mapa de cobertura se construye con los datos recopilados y enviados a los servidores de TeVeo, por parte de todos los usuarios de la aplicación. Los datos son recopilados según el recorrido de los usuarios por todo el territorio nacional. Mapas de cobertura Permiten visualizar el área geográfica en la que se dispone de un servicio; es decir, el área donde un proveedo...

La Presidencia del Consejo de Ministros , como ente rector del Sistema Nacional de Gestión del Riesgo de Desastres (SINAGERD), aprobó, en febrero de este año, los lineamientos para la gestión de la continuidad operativa de las entidades públicas en los tres niveles de Gobierno (central, regional y local), a través de la resolución ministerial n.° 028-2015-PCM; acorde con el Plan Nacional de Gestión del Riesgo de Desastres (PLANAGERD) para el período 2014-2021. La norma tiene la siguiente estructura: TÍTULO 1: DISPOSICIONES GENERALES Objeto Finalidad Base legal Alcance Definiciones TÍTULO 2: RESPONSABILIDADES EN LA IMPLEMENTACIÓN DE LA GESTIÓN DE LA CONTINUIDAD OPERATIVA De alta dirección y titular de la entidad De la unidad orgánica a cargo de la Gestión de la Continuidad Operativa TÍTULO 3: COMPONENTES DE LA GESTIÓN DE LA CONTINUIDAD OPERATIVA Componentes de la Gestión de la Continuidad Operativa Del análisis de riesgos, de procesos y de recursos Del Desar...

El especialista en riesgos financieros, Gregorio Belaúnde, escribió hace unos meses un interesante artículo para Gestión.pe , acerca de la gestión de la continuidad del negocio bajo el enfoque de la gestión del riesgo operacional de las organizaciones, específicamente para la valoración y priorización de los riesgos de interrupción de operaciones. Bajo las metodologías tradicionales de valoración del riesgo operacional, los eventos más graves que pueden afectar la continuidad de las operaciones de una organización —tales como sismos de gran magnitud u otras catástrofes naturales, incendios con alto grado de destrucción de un local clave, bombardeos en el marco de guerras, atentados terroristas de gran escala, etc.— suelen valorarse con una muy baja frecuencia, pero al tener un impacto fuerte deberían estar clasificados también como “insoportables”, es decir en la zona de criticidad extrema, de forma que se tomen medidas inmediatas para poder hacerles frente de la mejor manera posib...

Este viernes 30 de mayo a las 3 p. m. —estamos pasando de la mañana a la tarde— se realizará el simulacro nacional por sismo en todo el territorio peruano. Se ha convocado a la población en general en sus viviendas, edificios multifamiliares, conjuntos habitacionales, centros de trabajo, instituciones educativas, centros comerciales, galerías, templos, mercados, centros de abasto, campos feriales, lugares públicos, fábricas, estaciones de transporte, bancos, universidades, institutos, instituciones estatales, empresas privadas, tiendas, entre otros locales de afluencia masiva de personas. Cabe indicar que no se incluye la participación de hospitales, clínicas, cuarteles o instalaciones de servicios públicos que no deben interrumpir sus actividades. El objetivo principal del simulacro nacional por sismo es medir la capacidad de respuesta de la población, las autoridades de las plataformas de Defensa Civil, así como aplicar los procedimientos y protocolos de los equipos de primera re...

La cláusula 5.2 del estándar ISO 22301 establece que  “the BCMS is compatible with the strategic direction of the organization” . En un reciente artículo de Dejan Kosutic, se concluye que uno de los mecanismos que nos permiten lograrlo es contar con una  política o directiva  que —formalmente documentada y aprobada— sirva de enlace entre la alta dirección y el programa de continuidad del negocio. ¿Para qué? En primer lugar, la alta dirección deberá definir lo que quiere lograr con la continuidad del negocio — nadie le toma importancia a aquello que no desea—. En muchos casos, los altos ejecutivos no tienen idea de cómo la continuidad del negocio puede ayudar a sus empresas, por lo que no encuentran ninguna razón (motivación) para dar soporte —ni muchos menos para auspiciar— las iniciativas y esfuerzos relacionados con el programa de continuidad. En segundo término, la alta dirección necesita un documento fácil de entender, y que le permita controlar todo lo que su...

Problemas de abastecimiento de papel han ocasionado el cierre de varios periódicos en Venezuela. En resumen, las empresas periodísticas no pueden comprar el papel para imprimir sus periódicos debido a la falta de acceso a las divisas extranjeras:  Si una empresa desea importar cualquier producto desde cualquier lugar del extranjero, necesita pasar por la Comisión de Administración de Divisas ( Cadivi ), informarle los motivos, cantidad deseada y demás pormenores, y esperar a que el Estado delibere si la petición es razonable. Lo más común es que la empresa espere a que varias peticiones del mismo producto se acumulen para entonces encargar la compra.  Luego, los productos son registrados, revisados, retenidos para un sinfín de trámites administrativos, y luego repartidos a las empresas. La única forma de evitar este proceso engorroso es demostrar que el producto se encuentra en la lista oficial de primera necesidad . Aunque su venta seguiría siendo contr...

El Banco de Crédito (BCP) acaba de implementar GlobalCONTINUITY, el software que permite la gestión y mantenimiento del sistema del programa de continuidad del negocio, en base a la norma ISO 22301. El alcance de esta implementación incluye el soporte (automatización y gestión completa) a la estrategia de recuperación y continuidad tecnológica de los servicios del banco. El BCP es la institución más grande del sistema financiero peruano, con más de 4 millones de clientes, con una importante red de puntos de atención: más de 370 agencias, 1900 cajeros automáticos y 5700 agentes, además de canales como la banca por Internet, banca celular y banca por teléfono. Fuente : Audisec. (2013, julio). Audisec implementa GlobalCONTINUITY en el Banco de Crédito del Perú (BCP) . Recuperado de  http://audisec.es/es/noticias/16-noticias-destacadas/171-audisec-implementa-globalcontinuity-en-el-banco-de-cr%C3%A9dito-del-per%C3%BA-bcp.html

En enero de este año, la Superintendencia de Valores y Seguros ( SVS ) de Chile —símil de nuestra SBS — publicó un libro que analiza el impacto del terremoto 27-F en el mercado asegurador chileno, recogiendo las principales experiencias y cambios que este evento tuvo tanto en la industria aseguradora, como a nivel regulatorio. "27-F" es el nombre como se conoce al sismo de 9.5 en la escala de Richter ocurrido el sábado 27 de febrero de 2010, que afectó las regiones chilenas de Valparaíso, Metropolitana de Santiago, O'Higgins, Maule, Biobío y La Araucanía, que acumulan más de 13 millones de habitantes, cerca del 80% de la población del país. Entre otros aspectos, el libro recoge el impacto que experimentó el sector, el proceso de liquidación de siniestros, los reaseguros, la solvencia del mercado y el comportamiento de la industria post terremoto. Se explican también los cambios regulatorios después del terremoto, tales como las licitaciones de seguros asociados a cr...

En una reciente entrevista, Walter Piazza , presidente de la Cámara Peruana de la Construcción ( Capeco ), informó acerca la iniciativa apruebadesismos.com . Se trata de una página web que buscará informar al público sobre cómo debe reforzar sus casas, y al gobierno, sobre cuáles son las estructuras más vulnerables, así como la manera de reforzarlas —por ejemplo, gracias a los aisladores sísmicos —. "Para que una mejor ciudad sea posible, tiene que ser a prueba de sismos, y nos dimos cuenta del aporte que, como gremio, podemos hacer a la ciudad y al país, que no está preparado para un sismo de gran magnitud", indicó el especialista.

"Las empresas no pueden abstraerse de la realidad: nuestro planeta es un organismo vivo, convulso y peligroso. El cambio climático, la amenaza del terrorismo y los movimientos de carácter social pueden ser amenazas, no tan lejanas, que inciden de forma directa en las cuentas de resultados de nuestras organizaciones, así como en su imagen en los mercados bursátiles y financieros." (Navas, 2010, p. 71) En este sentido, la función de administración de riesgos es de potenciar el " compliance ", contribuir con su experiencia e impulsar la coordinación con las demás áreas de la empresa. Hoy en día, en muchas organizaciones, continuidad del negocio forma parte de las responsabilidades delegadas a riesgos , bajo la visión de que el objetivo de la gestión integral de riesgos es viabilizar el negocio . Fuente : Navas, J. (2010). La Gerencia de Riesgos en el epicentro de la empresa . Gerencia de Riesgos y Seguros, n.° 107-2010, pp. 71-72.

El SEIN es el Sistema eléctrico interconectado nacional  que abastece al 85% de la población peruana conectada —existen también sistemas “aislados”, no enlazados al SEIN, que cubren el resto del país—. La inversión en generación, transmisión y distribución eléctrica en las áreas urbanas es principalmente privada, mientras que los recursos para la electrificación rural provienen únicamente de recursos públicos. La seguridad del suministro del SEIN depende de la disponibilidad de las unidades de generación y de la oportuna ejecución de las actividades de mantenimiento programado. La adecuada calidad y continuidad del servicio eléctrico se garantiza teniendo unidades óptimas condiciones de operación, tanto las que están sincronizadas al SEIN, como las que se encuentran en calidad de "disponibles para su conexión a la red" tan pronto sean requeridas por el coordinador de la operación del sistema (en tiempo real).  Aquí, una interesante infografía sobre la situac...

En abril del 2009, la Superintendencia de Banca, Seguros y AFP (SBS), publicó los circulares G-139-2009 y G-140-2009 , referidos a la Gestión de Continuidad del Negocio y Gestión de Seguridad de la Información, respectivamente. El circular G-139-2009 es de cumplimiento obligatorio para las empresas del sector financiero peruano, incluidos los bancos, cajas municipales de ahorro y crédito, financieras, compañías de seguros y administradoras de fondos de pensiones (AFP); y tiene como propósito definir los criterios mínimos para elevar el nivel de preparación de las organizaciones para poder hacer frente a eventos externos que puedan interrumpir sus actividades críticas, así como contar con la capacidad para recuperar dichas actividades en el menor tiempo posible. Basado en la norma BS 25999, el circular establece cinco fases, como parte del sistema de gestión de continuidad del negocio:  Fuente : Morales, A. (2011, abril). Circulares G-139-2009 y G-140-20...