El rendimiento corporativo depende de lo bien que se gestionen las interrupciones. Y estas interrupciones son más frecuentes, más graves y más difíciles que nunca de predecir.
Los planes de continuidad del negocio más eficaces están profundamente entrelazados con el gobierno, el riesgo y el cumplimiento, donde las disciplinas trabajan juntas para tomar mejores decisiones, responder más rápido y sincronizar prioridades. Sin embargo, alcanzar ese nivel de coordinación no ocurre automáticamente. Requiere compromiso por parte de ambos equipos y el soporte técnico adecuado para ayudar a que la relación prospere.
Uno de los mayores retos al integrar riesgo y resiliencia es que los equipos operan de forma diferente. El equipo de GRC se guía por escenarios, está orientado a la estrategia y a menudo se centra en cuestiones financieras, reputacionales o regulatorias. La continuidad del negocio es procedimental, operativa y se ocupa de mantener a las personas, los procesos y los sistemas en funcionamiento bajo presión.
A medida que los consejos de administración y la alta dirección buscan minimizar el impacto de las interrupciones en el rendimiento corporativo, aumenta la presión para superar estas brechas estructurales, culturales y técnicas. Así es como prepararse para el éxito.
Construya una base para una mejor conexión
Pasar de funciones paralelas a un programa integrado de riesgo y resiliencia no requiere una reconstrucción total. Empiece con unas cuantas iniciativas básicas —pero importantes—:
- Cree un equipo interfuncional. Forme un equipo con representación de ambas funciones. Este grupo puede trabajar conjuntamente para identificar riesgos, priorizar acciones y desarrollar soluciones. Puede establecer flujos de trabajo comunes que incorporen la colaboración cruzada desde el principio. Incluso puede descubrir que, con sus esfuerzos combinados, los datos recopilados para un requisito pueden aprovecharse para cumplir otro, ahorrando tiempo y esfuerzo a todos.
- Establezca una cadencia regular para hablar. No espere a que surjan problemas. Reúna al equipo interfuncional de forma periódica como foro para plantear cuestiones, debatir soluciones y generar confianza.
- Decidan un lenguaje y unas métricas comunes. Pónganse de acuerdo para implantar una taxonomía y unos criterios de medición comunes para todas las partes interesadas, incluidos los equipos de riesgo y resiliencia y los socios internos. Definan conjuntamente qué significa “crítico” para productos, servicios, sistemas y proveedores, y asegúrense de que tanto el registro de riesgos corporativo como los BIA reflejen los mismos supuestos. Los objetivos compartidos y los KPI también pueden motivar a los equipos a colaborar en soluciones. Y un lenguaje común ayudará a eliminar discrepancias y malentendidos, algo especialmente importante cuando se afrontan las presiones de una interrupción.
- Establezca una estructura de gobierno conjunta. Un comité de dirección compartido mantiene el riesgo y la resiliencia alineados con la estrategia empresarial y garantiza una comunicación coherente hacia la dirección y el consejo de administración. Contar con un patrocinador ejecutivo que pueda impulsar el trabajo del grupo interfuncional es una ventaja importante. Esta persona tendrá la autoridad para recabar un amplio apoyo del liderazgo y asegurar los recursos necesarios.
- Aproveche los datos de GRC para priorizar las pruebas de resiliencia. Utilice el registro de riesgos corporativo para priorizar los escenarios de pruebas de resiliencia. Por ejemplo, si un proveedor o una instalación específicos aparecen en el nivel superior de riesgo en GRC, eso debería impulsar simulacros de mesa y pruebas de recuperación.
- Traduzca el apetito de riesgo en objetivos de recuperación. Los equipos de GRC establecen las tolerancias. Los equipos de continuidad del negocio las operacionalizan. Alinee los objetivos de tiempo de recuperación con el apetito de riesgo declarado para tender un puente entre la estrategia y la ejecución operativa.
- Alinee los registros de riesgos con los análisis de impacto en el negocio. Aunque estas herramientas suelen desarrollarse en silos, en realidad son dos caras de la misma moneda. Si un riesgo crítico está en su registro de riesgos, debería asignarse a una prioridad del BIA y viceversa. Eso revelará sus exposiciones reales al riesgo.
- Realice ejercicios conjuntos. No limite las pruebas de escenarios solo al equipo de resiliencia. Involucre al equipo interfuncional para ayudar a todos a pensar más allá de sus funciones y compartir distintas perspectivas para introducir mejoras. Los ejercicios codirigidos y los informes posteriores a la acción permiten que tanto riesgo como resiliencia validen supuestos, saquen a la luz puntos ciegos y comuniquen conjuntamente los resultados a ejecutivos y consejos de administración.
- Sincronice métricas y paneles. Conecte los indicadores clave de riesgo con el rendimiento operativo de recuperación. Los paneles compartidos pueden mostrar cuándo se superan los umbrales y con qué rapidez se recupera la organización.
Añada software para reforzar la conexión
El software actual de GRC y continuidad del negocio ofrece a los equipos de riesgo y resiliencia acceso a los mismos datos de alta calidad para que puedan intercambiar conocimiento y colaborar en acciones. Refuerza el vocabulario acordado, estandariza procesos y establece una única fuente de datos fiable para todos, desde la gestión de primera línea hasta el consejo de administración.
Esto es lo que debe buscar:
Soluciones diseñadas específicamente para GRC y para resiliencia. Desconfíe de proveedores especializados que intentan atribuirse experiencia en una disciplina que conocen poco. Busque software creado específicamente para la práctica de GRC y específicamente para la práctica de la resiliencia, y que además esté estrechamente integrado entre sí. Así, cada equipo obtiene la mejor solución para sus necesidades, con el beneficio añadido de un intercambio de información fluido.
Un modelo de datos compartido. Lo que empieza como, por ejemplo, una brecha de datos en un proveedor crítico puede derivar en riesgos operativos, riesgos cibernéticos, riesgos de cumplimiento y más. Busque software que reúna todos los datos relacionados con el riesgo en un solo lugar, fácilmente accesible para todas las partes interesadas. Los datos pueden introducirse una vez y ser utilizados por todos, lo que ahorra tiempo, reduce la probabilidad de errores y aporta transparencia.
Interoperabilidad. Combine elementos como exposiciones al riesgo, KRI y apetitos de riesgo desde la perspectiva de GRC con métricas de continuidad del negocio como el rendimiento de los RTO, los resultados del BIA y los niveles de aseguramiento de la recuperación. Busque software que lo reúna en una sola vista, una sola voz y un solo contexto, para que tenga la visión global y pueda ver si los riesgos críticos y los planes de respuesta se han ejercitado adecuadamente.
Automatización de flujos de trabajo. La tecnología integrada automatiza tareas rutinarias, flujos de trabajo y seguimientos, ahorrando tiempo, mejorando la precisión y aportando consistencia. Busque software que no solo agilice el trabajo diario en cada disciplina, sino que también active automáticamente acciones interfuncionales. Por ejemplo, un riesgo señalado en una auditoría cibernética activaría de inmediato una revisión del impacto en el negocio y una comprobación del plan de continuidad. O un requisito regulatorio de resiliencia se incorporaría directamente a su marco de GRC, con controles asignados, probados y listos para su puesta en marcha.
Informes y analítica. Los consejos de administración quieren saber que la organización está preparada para cualquier obstáculo que surja. Eso implica informar sobre los resultados de las pruebas, las capacidades de recuperación y las brechas de una manera que refleje la resiliencia empresarial. Busque software que ayude al equipo interfuncional a identificar brechas, determinar un plan de acción, asignar responsabilidades y establecer un calendario de finalización.
Su siguiente paso
Sobrevivir en medio de una volatilidad constante exige que riesgo y resiliencia trabajen juntos.
Inicie la conversación. Establezca un vocabulario común, comparta métricas y sincronice sus prioridades. Encuentre sistemas y software que faciliten el diálogo, refuercen la confianza y respalden el tipo de toma de decisiones informada que minimizará las interrupciones, fortalecerá el rendimiento corporativo y dará a su organización ventaja sobre la competencia.
Y no espere. Una conexión rota entre la gestión de riesgos y la resiliencia socava ambas funciones, con implicaciones de coste reales para la organización.
Acercar los equipos de riesgo y resiliencia ayudará a su organización a planificar mejor lo inesperado. Puede desarrollar capacidades de respuesta con antelación y mejorar sus posibilidades de afrontar cualquier interrupción con entereza.
Para saber más sobre cómo cerrar la brecha entre GRC y la continuidad del negocio, descargue el ebook El poder de integrar riesgo y resiliencia y consulte el software de Continuidad del negocio y resiliencia de Riskonnect.
