Un plan que no se ha probado no es un plan.
Es una hipótesis que no ha fallado aún.
Conecta este módulo con el anterior y busca qué evidencia cambiaría tu conclusión.
| 📋 | Contenido mínimo a verificar · Propósito, alcance y objetivos · Roles y responsabilidades (titulares y suplentes) · Procedimientos de activación y criterios · Listados de contactos actualizados · Dependencias internas y externas · Recursos necesarios y accesibilidad |
| ⚠️ | Error típico: Planes voluminosos y desconocidos por el personal. El auditor prioriza la practicidad y el conocimiento real del equipo. |
| 1 | Revisión de escritorio |
| 2 | Simulacro de mesa (Tabletop) |
| 3 | Simulacro funcional |
| 4 | Simulacro a gran escala / Full-scale |
| 🔍 | ¿Cuándo fue el último simulacro? ¿Qué tipo se realizó y quién participó? |
| 📉 | ¿Se lograron los RTO declarados? ¿Qué fallos se identificaron? |
| 🔄 | ¿Se implementaron acciones correctivas? ¿Se verificó su eficacia? |
| 📆 | ¿Se han repetido los mismos fallos en simulacros sucesivos? |
| 🖨️ | El auditor debe verificar: · Copias impresas en ubicaciones clave · Versiones offline (USB, disco externo) · Acceso remoto seguro · Conocimiento del personal sobre su ubicación |
| 👥 | Qué verificar: · Equipos (Dirección de crisis, Operativo, Comunicaciones, etc.) · Titulares y suplentes en cada rol · Procedimientos de activación · Evidencia de formación y entrenamiento |
| 1 | Planes solo en red interna (sin copias offline) |
| 2 | Último simulacro hace 3 años |
| 3 | Personal desconoce su rol en crisis |
| 4 | Contactos de emergencia obsoletos |
| 1 | Un plan sin probar no es un plan, es una hipótesis. |
| 2 | Los planes deben ser prácticos, conocidos y accesibles sin red. |
| 3 | El programa de ejercicios debe aumentar progresivamente en complejidad. |
| 4 | El auditor verifica no solo la realización de simulacros, sino las lecciones aprendidas y acciones implementadas. |
| 5 | La estructura de respuesta debe incluir titulares y suplentes. |
Este módulo debe utilizarse dentro de auditoría de continuidad de negocio, BIA, estrategias, planes, ejercicios y mejora. Su valor no está en repetir definiciones, sino en decidir qué debe ocurrir, quién participa y cómo se demuestra.
Para trabajar «Auditoría de Planes y Ejercicios», comienza delimitando criterio, evidencia, muestreo, independencia y comunicación de conclusiones. Después conecta el requisito o principio con los procesos, sistemas, terceros y decisiones que realmente existen en la organización.
Los actores habituales serán Dirección, Continuidad, Tecnología, Operaciones, Comunicación y propietarios de procesos. No todos ejecutan el control, pero cada uno puede aportar una parte del contexto, la evidencia o la decisión.
La documentación no debería ser una colección de archivos aislados. Debe permitir seguir una relación lógica entre criterio, decisión, actividad y resultado.
Cada evidencia necesita contexto: sistema o proceso al que pertenece, periodo cubierto, fuente, responsable y estado. Sin esos datos, una captura o un documento pueden ser auténticos pero insuficientes.
Escenario: un servicio crítico declara un RTO de cuatro horas, pero su recuperación depende de infraestructura y proveedores no probados. El objetivo no es memorizar una respuesta, sino reconstruir qué debería verificarse y con qué evidencia.
Define el alcance y concreta criterio, evidencia, muestreo, independencia y comunicación de conclusiones.
Contrasta entrevistas con documentos, registros y observación de la operación.
Separa hechos, criterio aplicable, impacto y acción necesaria.
Los ejercicios generan acciones, pero se cierran al actualizar documentos sin repetir la prueba.
Plan de acciones, tickets, responsables y evidencias.
¿Qué permite cerrar una acción?
Respuesta orientativa: Una prueba que confirme que la desviación se ha corregido.
la solución definitiva depende de un proyecto de dos años?
Revisa cómo cambian alcance, riesgo, responsabilidad, evidencia y decisión.
Distingue diseño, implantación y operación. Una explicación consistente orienta la muestra, pero no siempre cierra la conclusión.
Esto no desbloquea el módulo siguiente ni modifica tu progreso. Es una autocomprobación antes de pulsar Continuar.
La diferencia entre tener un plan y estar preparado
Auditoría de los planes de continuidad
Auditoría del programa de ejercicios y pruebas