GRCreal // expediente: academia curso: ISO 22301 Internal Auditor
ISO 22301 · BCMS · CONTINUIDAD DE NEGOCIO
Módulo 1

Introducción a la Auditoría ISO 22301

Auditar continuidad no es revisar carpetas de emergencia.
Es verificar que la organización puede sobrevivir a una crisis.

MÓDULO 01 / 10ISO 22301 · Auditoría de continuidad
FOCOIntroducción a la Auditoría ISO 22301

Conecta este módulo con el anterior y busca qué evidencia cambiaría tu conclusión.

Definición
Qué es un Sistema de Gestión de Continuidad de Negocio (BCMS)
Un Sistema de Gestión de Continuidad de Negocio (BCMS) es el conjunto de políticas, procesos, estructuras y capacidades que una organización establece para prepararse, responder y recuperarse de incidentes disruptivos, asegurando la entrega de productos y servicios en niveles aceptables.
“El BCMS no evita que ocurra un incidente. Evita que el incidente destruya el negocio.”
ISO 22301:2019
ISO 22301:2019 especifica los requisitos para implementar, mantener y mejorar un BCMS. Sigue la estructura armonizada de alto nivel (HLS), lo que facilita su integración con ISO 9001, ISO 27001 u otros sistemas de gestión.
Contexto
Por qué necesitamos ISO 22301
Las organizaciones enfrentan incidentes disruptivos que pueden interrumpir sus operaciones. Algunos ejemplos:
🌊Desastres naturales · Inundaciones, terremotos, incendios, tormentas. Pueden dejar instalaciones inoperativas por días o semanas.
💻Fallas tecnológicas: Caídas de sistemas, corrupción de datos, fallos de infraestructura crítica (energía, telecomunicaciones).
🦠Crisis sanitarias · Pandemias que afectan la disponibilidad del personal (aprendizaje del COVID-19).
🔒Ciberataques: Ransomware que encripta sistemas críticos. La continuidad es parte de la respuesta.
🏭Fallos de proveedores · Un proveedor crítico quiebra o sufre un incidente que afecta la cadena de suministro.
Clasificación
Tipos de auditoría aplicables al BCMS
1ª ParteAuditoría interna. Realizada por o en nombre de la propia organización. Evalúa el BCMS contra sus propios requisitos y los de ISO 22301.
2ª ParteAuditoría de proveedores. Realizada por clientes sobre sus proveedores críticos. Evalúa la capacidad del proveedor para continuar operando.
3ª ParteAuditoría de certificación. Realizada por organismos independientes para certificar el BCMS según ISO 22301.
Marco normativo
ISO 19011: Directrices para auditar el BCMS
ISO 19011:2018 es la norma que proporciona directrices para auditar sistemas de gestión. Se aplica directamente al BCMS.
1Principios de auditoría. Integridad, presentación justa, diligencia profesional, confidencialidad, independencia, enfoque basado en evidencia, enfoque basado en riesgos.
2Gestión del programa de auditoría. Cómo planificar auditorías del BCMS considerando la criticidad de los procesos y los riesgos de interrupción.
3Realización de la auditoría. Desde la reunión de apertura hasta el informe, con énfasis en evidencia objetiva.
Perfiles
Diferencias clave: auditar continuidad vs otros sistemas
📊Auditor tradicional. Verifica procesos documentados, registros, conformidad con requisitos estáticos.
🔄Auditor de continuidad. Verifica que la organización puede responder a lo inesperado. La evidencia incluye análisis de impacto al negocio (BIA), estrategias de recuperación, planes y ejercicios de simulación.
Un auditor de BCMS no necesita ser experto en todos los procesos del negocio, pero debe entender: - Qué es el análisis de impacto al negocio (BIA) y cómo se determina el RTO (Recovery Time Objective) - Qué son las estrategias de continuidad y cómo se seleccionan - Cómo se prueban los planes mediante ejercicios y simulacros - Qué evidencias demuestran que la organización puede recuperarse realmente
Error típico
Auditar "el plan" en lugar de "la capacidad"
“Tenemos un plan de continuidad de 200 páginas. Estamos preparados.”
Declaración peligrosa en una auditoría
Una auditoría del BCMS no se conforma con la existencia de documentos. Evalúa: - ¿El BIA está actualizado y basado en información real de las áreas de negocio? - ¿Las estrategias de continuidad son viables técnica y financieramente? - ¿Los planes han sido probados mediante ejercicios? ¿Qué resultados se obtuvieron? - ¿Las personas conocen su rol durante una crisis? ¿Se han entrenado? - ¿La organización ha aprendido de incidentes reales o simulados? Un plan en un estante no protege a nadie. La capacidad demostrable es lo que importa.
Resumen del módulo
Lo que debes llevarte de aquí
1ISO 22301 especifica requisitos para un Sistema de Gestión de Continuidad de Negocio (BCMS).
2El propósito del BCMS es preparar a la organización para responder y recuperarse de incidentes disruptivos (naturales, tecnológicos, sanitarios, ciberataques, fallos de proveedores).
3ISO 19011 es el marco de referencia para auditar cualquier sistema de gestión, incluido el BCMS.
4El auditor de continuidad no audita "el plan". Audita la capacidad real de la organización para sobrevivir a una crisis.
APLICACIÓN PRÁCTICA

Cómo llevar el contenido del módulo a una organización real

Este módulo debe utilizarse dentro de auditoría de continuidad de negocio, BIA, estrategias, planes, ejercicios y mejora. Su valor no está en repetir definiciones, sino en decidir qué debe ocurrir, quién participa y cómo se demuestra.

Para trabajar «Introducción a la Auditoría ISO 22301», comienza delimitando criterio, evidencia, muestreo, independencia y comunicación de conclusiones. Después conecta el requisito o principio con los procesos, sistemas, terceros y decisiones que realmente existen en la organización.

Los actores habituales serán Dirección, Continuidad, Tecnología, Operaciones, Comunicación y propietarios de procesos. No todos ejecutan el control, pero cada uno puede aportar una parte del contexto, la evidencia o la decisión.

  1. Define el objeto y el alcance antes de discutir controles.
  2. Identifica propietario, ejecutor, revisor y autoridad de excepción.
  3. Distingue diseño, implantación, operación y eficacia.
  4. Comprueba cambios, incidencias y excepciones, no solo el estado ideal.
  5. Cierra con una decisión y una acción verificable.
EXPEDIENTE DEL MÓDULO

Documentación y evidencia que debería existir

La documentación no debería ser una colección de archivos aislados. Debe permitir seguir una relación lógica entre criterio, decisión, actividad y resultado.

Cada evidencia necesita contexto: sistema o proceso al que pertenece, periodo cubierto, fuente, responsable y estado. Sin esos datos, una captura o un documento pueden ser auténticos pero insuficientes.

  • alcance del BCMS y procesos críticos
  • BIA, dependencias y objetivos de recuperación
  • estrategias y procedimientos de continuidad
  • resultados de ejercicios y pruebas técnicas
  • incidencias, lecciones aprendidas y acciones
CASO DE REVISIÓN

Aplicación de «Introducción a la Auditoría ISO 22301»

Escenario: un servicio crítico declara un RTO de cuatro horas, pero su recuperación depende de infraestructura y proveedores no probados. El objetivo no es memorizar una respuesta, sino reconstruir qué debería verificarse y con qué evidencia.

1 · Delimitar

Define el alcance y concreta criterio, evidencia, muestreo, independencia y comunicación de conclusiones.

2 · Corroborar

Contrasta entrevistas con documentos, registros y observación de la operación.

3 · Concluir

Separa hechos, criterio aplicable, impacto y acción necesaria.

ERRORES FRECUENTES

Dónde suele fallar la aplicación

  • auditar solo la existencia del plan
  • confundir tiempos deseados con capacidad demostrada
  • aceptar ejercicios de escritorio como única prueba
  • tratar una excepción permanente como si fuera temporal
  • cerrar acciones por actividad realizada, sin validar su eficacia
COMPROBACIÓN

Preguntas que deberías poder responder

  • ¿Qué decisión concreta cambia después de comprender «Introducción a la Auditoría ISO 22301»?
  • ¿Qué evidencia pedirías primero y qué necesitarías corroborar?
  • ¿Qué parte depende del diseño y cuál de la operación diaria?
  • ¿Qué excepción sería aceptable y quién tendría autoridad para aprobarla?
  • ¿Cómo comprobarías dentro de tres meses que sigue funcionando?
EJEMPLO GUIADO

Caso práctico: Introducción a la Auditoría ISO 22301

Una organización afirma disponer de un BCMS porque tiene un plan de continuidad de 80 páginas elaborado tras una auditoría de cliente.

CONTEXTO TÉCNICO

Plan documental, servicios críticos, sedes, TI, proveedores y equipo de crisis.

DECISIÓN

  • Comprobar si existe un sistema de gestión operativo y no solo un documento.
  • Asignar responsable y fecha de revisión.
  • Definir prueba de eficacia.

EVIDENCIA

  • Alcance, política, objetivos, BIA, estrategias, pruebas, revisión y mejora.
  • Corroborar con una segunda fuente.
  • Conservar periodo, población y propietario.

ERROR A EVITAR

  • Confundir plan de continuidad con BCMS.
  • Aceptar afirmaciones sin prueba.
  • Cerrar acciones sin verificación.
MINI EJERCICIO RESUELTO

¿Qué evidencia pedirías primero para verificar gobierno?

Respuesta orientativa: Alcance aprobado, roles, política y revisión por la dirección.

¿QUÉ CAMBIARÍA SI…?

el plan nunca se ha probado?

Revisa cómo cambian alcance, riesgo, responsabilidad, evidencia y decisión.

PÁRATE AQUÍNo sigas por inercia

Tienes una política aprobada y tres entrevistas coherentes. ¿Tienes evidencia suficiente para concluir que el control opera?

Distingue diseño, implantación y operación. Una explicación consistente orienta la muestra, pero no siempre cierra la conclusión.

No hay botón ni respuesta oculta. Explica tu criterio antes de continuar.
ANTES DE SEGUIR

Deberías poder explicar estas tres ideas sin volver arriba

Esto no desbloquea el módulo siguiente ni modifica tu progreso. Es una autocomprobación antes de pulsar Continuar.

  1. 01

    Qué es un Sistema de Gestión de Continuidad de Negocio (BCMS)

  2. 02

    Por qué necesitamos ISO 22301

  3. 03

    Tipos de auditoría aplicables al BCMS

El siguiente paso es entender
el contexto y alcance del BCMS
Siguiente módulo: Contexto y Alcance del BCMS (Cláusula 4)
← Anterior Continuar →