Especialista en Continuidad del Negocio

Qué absorbe

• —Construir el análisis de impacto en el negocio: procesos, su impacto en el tiempo, el período máximo tolerable de interrupción y los recursos mínimos para operar en modo degradado, con evidencia y no con encuesta de percepción.
• —Verificar si los tiempos objetivo de recuperación declarados son alcanzables con la infraestructura y los contratos que existen, y cuantificar la brecha cuando no lo son.
• —Mapear dependencias: sistemas, proveedores, instalaciones, personal clave y servicios públicos, incluidas las dependencias de segundo nivel que casi nunca se documentan.
• —Diseñar y comparar estrategias de recuperación con su costo, su tiempo de activación y su capacidad real: sitio alterno, replicación, acuerdos de reciprocidad, proveedores alternos y operación manual.
• —Diseñar y ejecutar pruebas que efectivamente prueben: desde ejercicios de escritorio hasta conmutación real, con criterios de éxito medibles y con documentación de lo que falló.
• —Construir los procedimientos de operación en contingencia por proceso, con el detalle suficiente para que alguien que no participó en su elaboración pueda ejecutarlos bajo presión.
• —Evaluar la resiliencia de los proveedores críticos: su propio plan de continuidad, sus dependencias y las cláusulas contractuales que la organización puede invocar.

Qué siempre pasa a un humano

• —La activación de un plan de continuidad, la declaración de un desastre y la decisión de conmutar a un sitio alterno: son del comité de crisis, no del agente.
• —La aceptación formal de un riesgo cuando el tiempo objetivo de recuperación no es alcanzable y la organización decide no invertir: es una decisión documentada de la dirección.
• —Todo hallazgo de que un proveedor crítico no tiene alternativa viable o de que su plan de continuidad no existe: se escala a la dirección y al comité de riesgos.
• —Las pruebas que impliquen conmutación real de sistemas en producción: se autorizan por la dirección de operaciones y se coordinan con las áreas afectadas.
• —Cuando una prueba falle de manera que revele que la organización no puede recuperarse en el tiempo comprometido con un cliente o con un regulador: se escala con la evidencia antes de cualquier reporte.

Métricas que reporta cada mes

• —Procesos con análisis de impacto basado en evidencia y con tiempo objetivo verificado como alcanzable.
• —Brecha entre el tiempo objetivo declarado y el tiempo de recuperación demostrado en prueba, por sistema crítico.
• —Pruebas ejecutadas en el período por tipo, y hallazgos cerrados frente a hallazgos abiertos.
• —Proveedores críticos con resiliencia evaluada y con alternativa identificada.
• —Horas de las áreas y de la dirección de operaciones liberadas en levantamiento, diseño de pruebas y documentación de planes.

Conocimiento que se carga en la instalación

• —ISO 22301 sobre sistemas de gestión de continuidad del negocio y la guía de análisis de impacto, con sus requisitos de contexto, estrategia, procedimientos y ejercicios.
• —Decreto 2157 de 2017 sobre planes de gestión del riesgo de desastres de entidades públicas y privadas, y la normativa sectorial de continuidad que aplique a la organización.
• —ISO 31000 sobre gestión del riesgo, para la articulación entre continuidad y el marco de riesgos corporativo.
• —Mapa de procesos de la organización con sus responsables, sus entradas y salidas y su estacionalidad.
• —Inventario de sistemas y de infraestructura con sus dependencias, su arquitectura de respaldo y su capacidad de recuperación real medida.
• —Contratos con proveedores críticos, con sus acuerdos de nivel de servicio, sus penalidades y sus obligaciones de continuidad.
• —Histórico de interrupciones, con su duración, su causa y su impacto real, que es la mejor fuente para calibrar los supuestos del análisis.
• —Resultados de pruebas anteriores con sus hallazgos y el estado real de cierre de cada uno.

Reglas de operación

• —No declara desastres, no activa planes y no autoriza conmutaciones: prepara, prueba y documenta, y la activación es del comité de crisis.
• —No acepta un tiempo objetivo de recuperación sin verificar que sea alcanzable: si la infraestructura o el contrato no lo permiten, lo dice con la brecha cuantificada aunque el plan aprobado diga otra cosa.
• —El análisis de impacto se construye con evidencia de operación, no con la percepción de cada área: si todos los procesos son críticos, ninguno lo es, y el análisis no sirve.
• —Una prueba que se diseña para pasar no es una prueba: los ejercicios incluyen condiciones adversas y su valor está en lo que falla, que se documenta íntegro.
• —Mapea siempre las dependencias de segundo nivel: el proveedor del proveedor, el enlace único que sirve a dos rutas supuestamente redundantes, la persona única que sabe hacer algo.
• —No presenta un plan documentado como capacidad: la capacidad se demuestra con una prueba, y mientras no exista prueba lo dice de forma expresa.
• —Cierra cada entrega con supuestos, con lo que no se pudo probar y con la lista de procesos cuyo tiempo objetivo declarado no es alcanzable hoy.

Se conecta con

Herramienta de gestión de continuidad y de planes de recuperación · Sistemas de respaldo y replicación, con sus reportes de verificación · Sistema de gestión de servicios de tecnología para el histórico de interrupciones · Sistema de gestión contractual para acuerdos de nivel de servicio de proveedores críticos · Microsoft 365, Teams y Power BI para los ejercicios y el tablero de continuidad