Esta perspectiva ofrece una visión general de la Práctica Profesional 5 (PP5) del Instituto de Continuidad de Negocio – Implementación, que es la práctica profesional que «ejecuta las estrategias y tácticas acordadas a través del proceso de desarrollo del Plan de Continuidad de Negocio (PCN)». Como parte del ciclo de vida de la planificación de la continuidad empresarial, las actividades de Implantación continúan tras la selección de estrategias en la PP4, con el objetivo de documentar planes de continuidad empresarial que ayuden a la organización en la recuperación a nivel estratégico, táctico y operativo.
PP5 VISIÓN GENERAL
La PP5 proporciona al profesional de la continuidad de negocio orientación sobre dos temas específicos de la documentación de los planes de continuidad de negocio de la organización. En primer lugar, las Directrices de Buenas Prácticas (GPG) proporcionan una descripción detallada de un plan de continuidad de negocio, incluidos los principios generales, así como los conceptos y supuestos para documentar los planes. En segundo lugar, la PP5 ofrece orientación sobre el desarrollo de un plan de continuidad de la actividad, así como sobre la gestión del plan tras su creación. Profundicemos en cada área.
El Plan deContinuidad de Negocio
Las GPG sientan las bases para una documentación eficaz del plan al definir qué es realmente un plan de continuidad de negocio. El objetivo clave de un plan de continuidad de negocio, tal y como lo describen las GPG, es «identificar y documentar las prioridades, procedimientos, responsabilidades y recursos para ayudar a la organización a gestionar un incidente perturbador, al tiempo que se aplican estrategias de continuidad y recuperación a un nivel de servicio predeterminado». Las GPG describen la audiencia del plan, recordando al profesional que debe mantener los planes directos, adaptables, concisos y relevantes. Para definir mejor cómo funcionará un plan dentro de una organización, las GPG recomiendan crear planes de continuidad de negocio a nivel estratégico, táctico y operativo. Esto es similar a los planteamientos esbozados como parte de las actividades de análisis del impacto empresarial y diseño de estrategias. Aunque el modelo de los niveles estratégico, táctico y operativo puede aplicarse a la mayoría de las organizaciones, los GPG recomiendan utilizar la estructura general de una organización para personalizar el enfoque en función del tamaño y la estructura únicos de una organización determinada. Cuando se aplican a las actividades de implantación, estos niveles incluyen:
- Planes estratégicos – Un plan de nivel estratégico, tal como lo definen los GPG, «es un plan de alto nivel que define cómo deben abordarse y gestionarse por la alta dirección las cuestiones estratégicas derivadas de un incidente grave». En otras palabras, estos planes asumen una visión más macro de la organización, y están diseñados para proporcionar orientación sobre la dirección a largo plazo o la «visión de conjunto».
- Planes tácticos – Los planes de nivel táctico, según la definición de los GPG, «coordinan y gestionan la recuperación de una parte definida de una organización». En otras palabras, estos planes están más orientados a los procesos, centrándose en la recuperación de una agrupación de actividades interrelacionadas que proporcionan un resultado crítico.
- Planes operativos – Los planes de nivel operativo, según la definición de las GPG, «prevén la recuperación de las actividades empresariales cubiertas en el PCN». En otras palabras, los planes operativos asumen una visión más micro de la organización. Mientras que los planes de nivel táctico abordan un proceso compuesto por múltiples actividades, los planes operativos abordan una actividad empresarial concreta.
Desarrollo y Gestión de Planes
Mientras que la primera sección de la PP5 define qué es un plan de continuidad de negocio, cómo puede aplicarse a varios niveles dentro de una organización y por qué es importante para la empresa, la segunda sección ofrece orientación sobre cómo documentar los planes. Las GPG destacan que el profesional puede documentar los planes de nivel estratégico antes de que la alta dirección seleccione una estrategia de recuperación (debido a la naturaleza de alto nivel de los planes). Los planes tácticos y operativos, sin embargo, requieren estrategias de recuperación establecidas antes del desarrollo del plan, ya que los planes se componen de pasos concretos que describen cómo aplicar estrategias específicas y cómo operar con esas estrategias hasta que la organización vuelva a la normalidad. Además, las GPG documentan descripciones de la información específica que deben abarcar los planes, entre otras cosas
- Objeto y ámbito de aplicación
- Objetivos y supuestos
- Estructura de gestión de incidentes
- Responsabilidades/membresía del equipo de respuesta
- Activación del plan
- Información de contacto (para partes interesadas internas/externas)
- Lugares de reunión del equipo
- Comunicaciones (para partes interesadas internas/externas)
- Información clave (por ejemplo, detalles de las actividades prioritarias de la organización y plazos)
- Listas de acciones y procedimientos
Las secciones restantes de la PP5 proporcionan orientaciones adicionales sobre la documentación de planes estratégicos, tácticos y operativos, incluidas orientaciones sobre el tipo de información que se debe recopilar en función del nivel del plan, así como orientaciones sobre cómo estructurar los procedimientos de recuperación para los planes de distinto nivel.
La siguiente tabla demuestra hasta qué punto la PP5 refleja los requisitos descritos en la norma ISO 22301:
PP5 VALOR
Define la composición de los planes a todos los niveles
Gran parte del valor derivado del PP5 reside en su definición del contenido de los planes a nivel estratégico, táctico y operativo, y en cómo cada uno de estos tipos de planes puede aplicarse a organizaciones de distintos tamaños. Al proporcionar una visión general de alto nivel y el alcance de cuál es el objetivo de cada tipo de plan, el profesional encargado de la creación de planes puede desarrollar planes que proporcionen el nivel de detalle adecuado para el propósito y la audiencia previstos. Esta orientación es importante, ya que los directivos de nivel ejecutivo no quieren procedimientos paso a paso que seguir para recuperar una actividad empresarial concreta. A la inversa, un plan estratégico de alto nivel no ayudará a un director de departamento encargado de recuperar una actividad empresarial concreta. Al resumir el contenido deseado del plan en cada uno de los tres niveles, el profesional se asegura de que todos los planes sean pertinentes para el objetivo y el público previstos.
Identifica el Tipo de Planes Adecuados para las Distintas Organizaciones
Como ya se ha mencionado, los planes estratégicos, tácticos y operativos son adecuados para la mayoría de las organizaciones, y las GPG proporcionan orientación para aplicar cada uno de los tres en distintos tipos de organizaciones. Esta información es valiosa, ya que garantiza la pertinencia del plan y la idoneidad de los procedimientos de recuperación en función de los requisitos empresariales únicos. Por ejemplo, una pequeña organización con una única sede puede ser capaz de capturar toda la información pertinente en un plan, mientras que una gran organización multinacional puede necesitar muchos planes diferentes que abarquen todos los niveles para capturar el nivel de detalle adecuado. Siempre que una organización capte las actividades y el enfoque adecuados en los niveles estratégico, táctico y operativo, existe un cierto nivel de flexibilidad que proporcionan las GPG.
Demuestra lo básico del contenido del plan
Quizá una de las cosas más importantes que el PP5 ayuda a aclarar es qué tipo de información debe contener un plan. Las GPG proporcionan un marco para las necesidades mínimas de información. Estos requisitos de contenido del plan reflejan la ISO 22301 (Cláusula 8.4.4) de forma casi idéntica. La sección Desarrollo y gestión de planes (mencionada anteriormente) garantiza cierto grado de normalización entre todos los planes, ya sean de nivel estratégico, táctico u operativo. Esta normalización garantiza que los planes sean directos, adaptables, concisos y pertinentes, lo cual es necesario para garantizar que los planes sean utilizables en el momento de la interrupción.
PP5 ESTUDIO DE CASO
La empresa X es una gran organización multinacional con sede en Estados Unidos que suministra equipos de limpieza y disolventes a empresas de limpieza comercial. La organización tiene centros de producción en México, Estados Unidos, Alemania e India. Recientemente, uno de sus principales clientes exigió que la empresa X mostrara pruebas de un programa de continuidad empresarial como parte de la renovación de un contrato. En respuesta a la petición del cliente, la empresa X inició el proceso de implantación de un programa de continuidad de negocio.
Tras determinar qué departamentos y procesos entraban en el ámbito de aplicación, realizar un análisis del impacto empresarial y una evaluación de riesgos, e identificar las estrategias de respuesta y recuperación adecuadas, la organización inició el proceso de documentación de los planes de continuidad empresarial. Debido a cómo está estructurada la empresa, la organización determinó que necesitaría implantar planes a nivel estratégico, táctico y operativo. Los planes de gestión de crisis existirían en los tres niveles, con un plan estratégico para el Equipo Corporativo de Gestión de Crisis (CMT), planes tácticos para los CMT a nivel de centro y planes operativos para los Equipos de Recuperación de cada Departamento.
El plan estratégico para el CMT corporativo se centró en los grandes riesgos descubiertos durante el análisis de impacto empresarial y la evaluación de riesgos, y en cómo el CMT corporativo prioriza la recuperación de sus productos y servicios críticos en caso de una interrupción importante. Por ejemplo, la empresa X tiene un producto que representa casi el 40% de sus ingresos totales. El CMT corporativo identificó este producto como el principal foco de recuperación, recuperando otros productos de forma secundaria en función de las prioridades y plazos identificados previamente. El plan de nivel estratégico documentó las prioridades de recuperación como ayuda para el CMT Corporativo en la toma de decisiones empresariales durante un incidente perturbador que afectara a la organización en su conjunto.
Los planes tácticos para los CMT de los centros se centraron en proporcionar orientación y garantizar los recursos adecuados para la respuesta y recuperación de los procesos empresariales y los departamentos. Los CMTs de centro actúan como enlace con el CMT Corporativo, si se necesita apoyo adicional. El plan táctico ayudaría a los CMTs del emplazamiento a ayudar a los departamentos individuales a recuperarse. En caso de una interrupción mayor o más grave, los CMT del centro elevarían las solicitudes de recursos en nombre del centro y de los departamentos al CMT Corporativo, y devolverían los recursos a los departamentos. El siguiente diagrama muestra esta relación entre el CMT del centro y los equipos de recuperación de los departamentos.
Los planes operativos de los equipos de recuperación de los departamentos se centran en la recuperación de un departamento concreto y de las actividades empresariales subordinadas. Durante un incidente perturbador, los planes operativos proporcionan a los departamentos los procedimientos que deben seguir para elevar las solicitudes de información y recursos a los CMT del centro, y éstos, a su vez, remiten las prioridades y recursos de recuperación al departamento. Los planes operativos también responden a dos preguntas clave:
- Cómo recupera el departamento sus actividades empresariales más sensibles al tiempo cuando se enfrenta a una perturbación de las personas, el lugar de trabajo, la tecnología o los proveedores; y
- ¿Cómo funciona el departamento con estas estrategias y recursos de recuperación hasta que pueda volver a la normalidad?
El resultado de estructurar los planes a nivel estratégico, táctico y operativo es que la empresa X ahora puede responder con confianza a una interrupción en cualquier nivel de la empresa. Basándose en las directrices de la GPG, unos planes directos, adaptables, concisos y pertinentes guiarán a los usuarios con éxito a través de un esfuerzo de respuesta y recuperación.
REFLEXIONES FINALES
Desarrollar y gestionar planes de continuidad empresarial a todos los niveles es una parte fundamental de la implantación de un programa de continuidad empresarial con éxito. PP5 proporciona a los lectores una comprensión de alto nivel de lo que debe abarcar un plan de continuidad empresarial, así como la forma de desarrollar y gestionar planes para organizaciones de todas las formas y tamaños.
