Apuntes sobre continuidad del negocio

Un ejercicio de escritorio o  tabletop exercise  es una sesión (formal o informal) de  brainstorming  utilizada para entrenar a uno o más equipos o áreas de la organización en sus procedimientos de recuperación del negocio, alentando en todo momento la participación de cada empleado. Por lo general, un moderador dirige al equipo a través de una discusión que se centra en los pasos que el equipo llevaría a cabo para activar los procedimientos de respuesta y recuperación del negocio durante un desastre. Bien hecho, este tipo de ejercicios pueden ayudar mucho a mejorar las capacidades de recuperación de los equipos y a un bajo costo.  Hace unos días, la consultora KingsBridgeBCP organizó un seminario web en el que  Tamara Williams  explicó cómo facilitar un ejercicio de escritorio ( tabletop exercise ) exitoso en 10 pasos: 1. Escoge el formato adecuado (con todo el personal clave, o con solo un equipo/área crítica) 2. Asegúrate de que el plan d...

La iniciativa  IBM Center for Applied Insights   — cuyo propósito es descubrir nuevas formas de pensar, trabajar y guiar a través de la investigación y el análisis de datos —  encuestó a 310 profesionales de las disciplinas de recuperación ante desastres y continuidad de negocios en Estados Unidos y Canadá, para conocer cuáles son las estrategias de resiliencia organizacional más efectivas hoy en día. La base de encuestados consistió principalmente en profesionales a cargo de funciones de gestión de la recuperación ante desastres y la continuidad del negocio de niveles ejecutivos y gerenciales, en la que más del 60% eran directores de TI o CIO (gerentes de Sistemas o gerentes de Tecnología). Los encuestados trabajaban para empresas en 19 sectores, que variaban en tamaños desde menos de 100 empleados a más de 10,000. A partir de los resultados obtenidos, IBM concluye que las organizaciones altamente resilientes se caracterizan porque: anticipan y planifican: forjan una...

Hace unas semanas, tuve el placer de colaborar con JuanMa ; reconocido consultor y especialista en gestión de servicios, tecnologías de la información, manejo de riesgos y estrategia empresarial, peruano-español de nacionalidad; que dirige y conduce un espacio en la red llamado " Café con JuanMa ", en el que trata y desarrolla, de manera informal, diversos aspectos de interés junto a sus invitados. En dicha oportunidad, el tema fue "La Gestión de Riesgos y los Planes de Contingencia en los negocios", entrevista que fue publicada en cuatro bloques, los que aquí les dejo: Bloque I Bloque II Bloque III Bloque IV

De acuerdo a las leyes peruanas, la gestión del riesgo de desastres  es un proceso social cuyo fin es la prevención, la reducción y el control permanente de los factores de riesgo de desastre en la sociedad, así como la adecuada preparación y respuesta ante este tipo de situaciones. En ese sentido, la resolución ministerial n.° 080-2016-PCM dispuso el cronograma para la realización de los ejercicios (simulacros y simulaciones) durante el presente año , con la finalidad de preparar a la población para reaccionar ante diversos escenarios (por bajas temperaturas; sismos seguido de tsunami; sismos seguido de fenómenos de geodinámica externa y por intensas precipitaciones pluviales), poniendo a prueba los planes de gestión reactiva de los sectores, gobiernos regionales y locales, entidades públicas y privadas; y asimismo, sensibilizar a las autoridades y a la población. Este jueves 16 de junio a las 4 p. m. se desarrollará en todo el territorio nacional el simulacro por sismo, para l...

El pasado 18 de abril se publicó en el diario oficial El Peruano la resolución ministerial n.° 080-2016-PCM , a través de la cual el Instituto Nacional de Defensa Civil (Indeci) comunicó a la población el calendario nacional de simulacros y simulaciones (*) para el presente año. Los dos simulacros nacionales de sismo se realizarán de la siguiente forma: Jueves, 16 de junio: Hora: 4 p. m. ( vespertino ) Escenario en el litoral:  Sismo seguido de Tsunami . Escenario en el interior del país: Sismo seguido de fenómenos de geodinámica externa . Jueves, 13 de octubre: Hora: 8 p. m. (nocturno) Escenario en el litoral:  Sismo seguido de Tsunami . Escenario en el interior del país:  Sismo seguido de fenómenos de geodinámica externa . (*) Diferencias y similitudes entre un simulacro y una simulación : Simulación : Ejercicio desarrollado en un ambiente preparado para tal fin, en el que participan los grupos o equipos de respuesta, y donde se establece el esc...

Según la JCAHO ( Joint Commission on the Accreditation of Healthcare Organizations ), se requiere que los proveedores de salud realicen simulacros de desastres internos y externos centrados en la atención de los pacientes. Estas pruebas forman parte de la respuesta ante emergencias dentro del plan de continuidad, e incluyen ejercicios para departamentos o unidades específicas (tales como la Sala de Emergencias, la Sala de Operaciones o los consultorios clínicos), el uso de energía eléctrica de contingencia y las luces de emergencia, pruebas del árbol de llamadas, y la adquisición de alimentos y agua. Una prueba aparte debe hacerse sobre los sistemas de tecnología de la información (TI), es decir, una prueba de recuperación de desastres de TI ( disaster recovery plan ). Esta incluye los procedimientos de copias de seguridad ( backups ), los servicios móviles (datos/voz) y la habilitación de servidores y equipamiento de la infraestructura informática. Durante la prueba, los usuarios...

Aquí les comparto el escaneado del  borrador de la norma ISO 22398:2011   Seguridad de la Sociedad - Lineamientos y guías para ejercicios y pruebas . En la primera página se menciona que corresponde a una propuesta para la primera versión, fechada en diciembre de 2011. Fuentes : International Organization for Standardization [ISO]. (2011). ISO/DIS 22398: Societal security — Guidelines for exercises and testing (Draft) . Ginebra, Suiza: Autor. EPS. (2011). Exercising Guidance is about to go Global (ISO 22398) . Recuperado de  http://emergencyplanningsolutions.com/e-zine/146-exercising-guidance-is-about-to-go-global-iso-22398

Hace unos días, bajo el marco de la gestión del riesgo operacional en el sistema financiero peruano, la Superintendencia de Banca, Seguros y AFP ( SBS ) realizó el primer Ejercicio Sectorial de Continuidad de Negocios en el Sistema Financiero , de forma coordinada con las autoridades del sector, el Banco Central de Reserva  y el Ministerio de Economía y Finanzas ; así como con el Banco de la Nación  y los bancos privados, el  BBVA Continental , Banco de Crédito , Banco de Comercio , Banco Falabella , Banco Financiero , Banco Ripley , Interbank y Scotiabank . Para la realización de este ejercicio sectorial —el primero en Latinoamérica—, se elaboró un proyecto estimado en 27 meses de duración, y se formó un equipo de trabajo conjunto (autoridades y bancos), el cual determinó como escenario hipotético un sismo de 8.5 grados en la escala de Richter que afecte la ciudad de Lima. Los objetivos del ejercicio fueron: Medir la efectividad de los mecanismos de comunicación ...

FINRA es una autoridad regulatoria en la industria financiera norteamericana, que a diferencia de la Security Exchange Comission ( SEC ) no es parte del gobierno, sino que es una organización independiente, sin fines de lucro, y autorizada por el Congreso para proteger a los inversores de los Estados Unidos supervisando la actividad de más de 600,000 agentes de bolsa ( brokers ), haciendo que la industria de valores opere de manera justa y honesta. A fines del 2009, FINRA publicó la última actualización a la directriz que obliga a que sus miembros implementen y mantengan planes de continuidad del negocio , a través de la  regla 4370: Business Continuity Plans and Emergency Contact Information . En el siguiente enlace:  http://www.finra.org/industry/issues/businesscontinuity/  se puede encontrar material didáctico y de ayuda para elaborar y/o mejorar los planes de continuidad —plantillas, FAQs, casos de estudio, papers , enlaces de interés, etc.—, que puede ser útil p...

Este viernes 30 de mayo a las 3 p. m. —estamos pasando de la mañana a la tarde— se realizará el simulacro nacional por sismo en todo el territorio peruano. Se ha convocado a la población en general en sus viviendas, edificios multifamiliares, conjuntos habitacionales, centros de trabajo, instituciones educativas, centros comerciales, galerías, templos, mercados, centros de abasto, campos feriales, lugares públicos, fábricas, estaciones de transporte, bancos, universidades, institutos, instituciones estatales, empresas privadas, tiendas, entre otros locales de afluencia masiva de personas. Cabe indicar que no se incluye la participación de hospitales, clínicas, cuarteles o instalaciones de servicios públicos que no deben interrumpir sus actividades. El objetivo principal del simulacro nacional por sismo es medir la capacidad de respuesta de la población, las autoridades de las plataformas de Defensa Civil, así como aplicar los procedimientos y protocolos de los equipos de primera re...

El Ministerio de Transportes y Comunicaciones , en coordinación con los operadores móviles y de telefonía fija en el país, ha habilitado hace varios meses un servicio gratuito de mensajería de voz ante la ocurrencia de algún desastre natural. El servicio permite: a cualquier persona que se encuentre ubicada en una zona afectada por la emergencia, registrar un mensaje de voz de corta duración y su número telefónico; y, a sus parientes o amigos, oír el mensaje de voz e informarse de la situación en la que se encuentra dicha persona. El servicio puede ser accedido desde cualquier equipo terminal fijo o móvil. De acuerdo con las indicaciones de la autoridad, el procedimiento para utilizarlo es el siguiente: Fuente : Ministerio de Transportes y Comunicaciones [MTC]. (2011). Mensajería de voz gratuita al 119 . Recuperado de  http://www.mtc.gob.pe/portal/banner_119/Mensajer%EDa%20de%20Voz%20Gratuita.pdf

Rob Burton y Tom Chiginsk  escribieron un artículo acerca de la necesidad de un programa estratégico de pruebas y ejercicios para poder asegurar un nivel de resiliencia acorde con el negocio y su sostenibilidad. A continuación comparto algunas de las ideas que permiten perfilar dicho programa: La premisa fundamental es que los planes a ser probados estén debidamente actualizados —sin pretender que estos lleguen a estar "perfectos"—. Entonces, el primer paso para definir el programa estratégico de pruebas y ejercicios es establecer una lista de objetivos claros , que contemplen el valor que se obtendrá tanto de los diferentes tipos de ejercicios individualmente, así como de todo el programa de pruebas.  En segundo lugar, se deberán seleccionar los escenarios a probar , que sean realistas y que tomen en cuenta la cultura organizacional, la ubicación y ámbito geográfico de la empresa, el funcionamiento interno, las relaciones jerárquicas, la cadena de valor, así como ...

Red de Energía del Perú  (REP) es una empresa del rubro de transmisión eléctrica, que garantiza el óptimo funcionamiento del  Sistema Eléctrico Interconectado Nacional  (SEIN), a través de sus dos centros de control (Lima y Arequipa). Forma parte del grupo empresarial ISA, el mayor transportador internacional de energía de América Latina, con más de 38,000 kilómetros de circuito de alta tensión en operación, con presencia en Colombia, Brasil, Perú, Chile, Bolivia, Ecuador, Argentina, Panamá y América Central. La compañía de electricidad ha hecho público un video de comunicación interna respecto de cómo gestionan la continuidad del negocio , así como el de un simulacro de su plan de continuidad:

El fin de semana antepasado, una mujer falleció por un paro cardiorrespiratorio mientras estaba siendo operada en una clínica de la ciudad de Lima, tras cortarse el fluido eléctrico de la zona en plena intervención quirúrgica (dio a luz en la clínica y luego se sometió a un procedimiento para extirparse el útero). La clínica no pudo encender el grupo electrógeno sino hasta 1 hora y media después de la caída del sistema eléctrico. Según declaraciones del cirujano, le informaron que iban a encender el generador y restituir el servicio eléctrico en 5 a 10 minutos, mientras tanto continuaron con la cirugía con dos linternas. Esta tragedia nos recuerda la importancia de asegurar la operatividad de los sistemas de contingencia eléctrica, y de las implicancias legales y de imagen para las empresas si estas no funcionaran de acuerdo a lo programado. Para ello son claves (a) un programa integral y permanente de pruebas de los grupos electrógenos (en vacío sin carga), donde se verifiquen los ...

A partir de la interesante infrografía elaborada por eWeek y Symantec , sobre algunos de los problemas y soluciones para la dificil tarea de mantener la continuidad del negocio en un ambiente de TI heterogéneo, he rescatado algunas ideas que vale la pena revisar: En primer lugar, se debe tener en cuenta que la continuidad es tan importante como cualquier otro componente de la infraestructura de TI. Si los sistemas de TI no están debidamente protegidos, la información debidamente respaldada, las aplicaciones y repositorios de datos replicados, y los sistemas de recuperación regularmente probados, un evento de interrupción medianamente grande podría dejar al negocio fuera de funcionamiento. Por otro lado, las empresas —sin importar su tamaño— deberían contar con un sistema de recuperación centralizado y fácil de desplegar, tanto para sus servidores virtuales como físicos. En caso que ocurra un desastre, no será nada bueno que se tenga que escribir (improvisar) el código o los sc...

“Las pruebas de verificación son siempre lo último en lo que se piensa”, comentó Jon Toigo en su artículo " Estrategias para comprobar el correcto funcionamiento del sistema de recuperación de desastres ", para SearchDataCenter . Respecto del mantenimiento de un plan de recuperación ante desastres de TI ( disaster recovery plan ), la planificación de cada prueba debe incluir la gestión de datos, la sustitución de infraestructuras y el reabastecimiento logístico. En otras palabras, la prueba debe permitirnos validar y confirmar: que se están protegiendo los datos correctos y que estos están disponibles, en la forma que sea, para poder ser recuperados;  que se cuenta con la infraestructura correcta (o que puede restablecerse rápidamente) para realojar las aplicaciones y los datos; y  que las personas y procesos para las labores de recuperación se han identificado, y que todos saben lo que tienen que hacer. Fuente : Toigo, J. (2009, julio). Estrategias para c...

Sarah D. Scalet nos recomienda algunas pautas para asegurar el éxito en las pruebas de escritorio ( tabletop exercises ): Decide el alcance y los supuestos de la prueba: ¿Simularás un incidente físico con daños o destrucción de activos, o estos estarán inaccesibles solamente? ¿Habrán muertos y heridos, o solo evaluarás la capacidad para recuperar el negocio en un sitio alterno? Evalúa cuán rápido puedes reunir al personal clave: el equipo de gestión de crisis no siempre deberá saber cuando ocurrirá un ejercicio de escritorio. Involucra a todos. Asegúrate de que cada persona tenga un rol. Si una persona responde todas las preguntas o situaciones, pide a otros que comenten lo que harían si esa persona no estuviera. Ten en cuenta que los primerizos podrían sentirse nerviosos. Algunos gerentes no querrán aparentar no saber cómo responder ante determinado problema. Para que se sientan más cómodos, planifica una sesión de orientación previa —no más de una hora de duración—. Genera...

El huracán Sandy pasará a la historia como una de las tormentas más destructivas,  ocasionando de acuerdo a las recientes estimaciones al menos 50 a 60 mil millones de USD en daños alrededor del noreste de los Estados Unidos. A medida que la situación se restablece y el país gestiona la fase de recuperación de esta crisis, es importante analizar qué y cómo se podría estar mejor preparados para futuros eventos. Hay varios factores que se deben considerar en dicha planificación, tales como (a) el impacto estimado de cada tipo de emergencia en la infraestructura del área afectada; (b) la seguridad de las personas y de las propiedades; así como (c) la coordinación entre el personal de respuesta a emergencias. Sin embargo, para tener éxito, todo plan debe prever un aspecto clave: la comunicación. Básicamente, el componente más crítico de cualquier plan de emergencia se basa en la capacidad de una organización de comunicarse interna y externamente, de manera oportuna y ef...

La doctora  Aarti Anhal , Gerente de Operaciones para la consultora 4C Strategies en el Reino Unido, escribió un artículo para la sección "Exercising" de la revista Continuity , titulado " Time to change the direction ". Anhal explica cómo, en lugar de ceñirse estrictamente a un plan de pruebas rígido, es posible estresar el escenario de un ejercicio a través de inyecciones ( injects ) —situaciones no planificadas, desviaciones sorpresivas, incidentes "fuera del guión"—, en la búsqueda del logro de los objetivos de la prueba. Según la doctora, resulta útil contar con estas inyecciones  diseñadas previamente, como "reserva", las que pueden servir tanto para (a) forzar un mayor análisis y respuesta por parte de los participantes de la prueba; (b) reducir la tensión o el nivel de estrés en algún momento de la prueba; así como para (c) permitir continuar con el ejercicio en algún punto de demasiada complejidad. Es importante, también que el equi...