GRCreal // expediente: academia curso: ISO 22301 Internal Auditor
CLÁUSULA 4 · CONTEXTO · PARTES INTERESADAS · ALCANCE
Módulo 2

Contexto y Alcance del BCMS

Un BCMS sin contexto real
es un sistema de papel, no de gestión.

MÓDULO 02 / 10ISO 22301 · Auditoría de continuidad
FOCOContexto y Alcance del BCMS

Conecta este módulo con el anterior y busca qué evidencia cambiaría tu conclusión.

Cláusula 4.1
Auditoría del contexto de la organización
La organización debe determinar las cuestiones externas e internas que son relevantes para su propósito y que afectan su capacidad para lograr los resultados deseados de su BCMS.
“Un contexto mal definido es la causa raíz de la mayoría de los planes de continuidad que fallan en la primera interrupción real.”
Principio de auditoría de BCMS
🌍Contexto externo · Requisitos legales y regulatorios (ej: leyes de protección civil, sector financiero), condiciones económicas, clima social, cambios tecnológicos, dependencias de infraestructura crítica.
🏢Contexto interno: Estructura organizacional, cultura, recursos disponibles, capacidades tecnológicas, dependencias internas, estrategia de negocio, apetito de riesgo.
Evidencias a solicitar: Documento de análisis de contexto (DAFO, PESTEL o similar), evidencia de revisión periódica, vinculación del contexto con el alcance del BCMS y con el análisis de impacto al negocio.
Cláusula 4.2
Partes interesadas y sus requisitos
La organización debe determinar las partes interesadas que son relevantes para el BCMS y los requisitos pertinentes de esas partes interesadas.
👥Ejemplos de partes interesadas en continuidad · Clientes (exigen tiempos de recuperación), reguladores (requisitos legales), accionistas (protección de inversión), empleados (seguridad laboral), proveedores críticos, comunidades afectadas.
📋Requisitos típicos: Contratos con clientes (RTO específicos), normas sectoriales (PCI-DSS, SOX), requisitos legales (Ley de Protección Civil, GDPR para continuidad de datos).
Pregunta clave del auditor: "¿Los requisitos de las partes interesadas se han traducido en objetivos de continuidad y en estrategias de recuperación?"
Cláusula 4.2.2
Requisitos legales y reglamentarios
La organización debe implementar y mantener un proceso para identificar, acceder y evaluar los requisitos legales y reglamentarios relacionados con la continuidad de sus productos, servicios, actividades y recursos.
“Desconocer la ley no exime de cumplirla. El auditor verifica que la organización sabe qué leyes aplican y cómo las cumple.”
Principio de auditoría
⚖️Qué verificar · ¿Existe un proceso de identificación de requisitos legales aplicables? ¿Se actualiza periódicamente? ¿Los requisitos se han incorporado al BCMS (BIA, estrategias, planes)?
📋Evidencias: Matriz de requisitos legales, registros de actualización, vinculación con objetivos de continuidad, referencias en planes de continuidad.
Cláusula 4.3
Determinación del alcance del BCMS
La organización debe determinar los límites y la aplicabilidad del BCMS para establecer su alcance. El alcance debe estar disponible como información documentada.
📍Qué debe incluir el alcance · Partes de la organización incluidas (sedes, departamentos, unidades de negocio), ubicaciones geográficas, productos y servicios cubiertos.
❌Exclusiones: Si se excluye alguna actividad, producto o servicio, debe explicarse la justificación. La exclusión no debe afectar la capacidad de la organización para proveer continuidad.
Cláusula 4.4
Sistema de Gestión de Continuidad del Negocio
La organización debe establecer, implementar, mantener y mejorar continuamente un BCMS, incluidos los procesos necesarios y sus interacciones, de acuerdo con los requisitos de ISO 22301.
“El BCMS no es un documento. Es un conjunto de procesos vivos que deben demostrar su eficacia.”
Enfoque auditor
📋Qué verificar · ¿Los procesos del BCMS están identificados? ¿Se han documentado sus interacciones? ¿Hay evidencia de que operan según lo planificado?
⚠️Error típico: El BCMS existe en documentos (políticas, planes, procedimientos) pero no se ha integrado en la operación diaria de la organización.
Caso auditor
Contexto y alcance deficientes
Escenario: Una empresa de servicios financieros está siendo auditada. Se detecta: - El análisis de contexto no considera la regulación financiera sobre tiempos máximos de interrupción (RTO regulatorio de 4 horas). - No se han identificado a los reguladores como partes interesadas relevantes. - El alcance del BCMS excluye el sistema transaccional core alegando que "es demasiado crítico y complejo". - No hay justificación documentada para esta exclusión.
“Excluir el sistema más crítico sin justificación no es una decisión de gestión. Es una evasión de responsabilidad.”
Conclusión del auditor
Clasificación: No Conformidad Mayor por alcance inadecuado (4.3) y análisis de contexto incompleto (4.1). Cláusulas afectadas: 4.1 (Contexto incompleto), 4.2 (Partes interesadas omitidas), 4.3 (Alcance con exclusión injustificada).
Resumen del módulo
Lo que debes llevarte de aquí
1El contexto (4.1) debe considerar factores externos (legales, económicos, tecnológicos) e internos (estructura, cultura, recursos).
2Las partes interesadas (4.2) incluyen clientes, reguladores, empleados, accionistas, proveedores. Sus requisitos deben traducirse al BCMS.
3Los requisitos legales (4.2.2) deben identificarse, actualizarse e incorporarse al BCMS. El auditor verifica cumplimiento documentado.
4El alcance (4.3) debe ser claro, justificado y verificable. Exclusiones sin justificación = no conformidad.
APLICACIÓN PRÁCTICA

Cómo llevar el contenido del módulo a una organización real

Este módulo debe utilizarse dentro de auditoría de continuidad de negocio, BIA, estrategias, planes, ejercicios y mejora. Su valor no está en repetir definiciones, sino en decidir qué debe ocurrir, quién participa y cómo se demuestra.

Para trabajar «Contexto y Alcance del BCMS», comienza delimitando límites, interfaces, exclusiones y dependencias que condicionan el sistema de gestión. Después conecta el requisito o principio con los procesos, sistemas, terceros y decisiones que realmente existen en la organización.

Los actores habituales serán Dirección, Continuidad, Tecnología, Operaciones, Comunicación y propietarios de procesos. No todos ejecutan el control, pero cada uno puede aportar una parte del contexto, la evidencia o la decisión.

  1. Define el objeto y el alcance antes de discutir controles.
  2. Identifica propietario, ejecutor, revisor y autoridad de excepción.
  3. Distingue diseño, implantación, operación y eficacia.
  4. Comprueba cambios, incidencias y excepciones, no solo el estado ideal.
  5. Cierra con una decisión y una acción verificable.
EXPEDIENTE DEL MÓDULO

Documentación y evidencia que debería existir

La documentación no debería ser una colección de archivos aislados. Debe permitir seguir una relación lógica entre criterio, decisión, actividad y resultado.

Cada evidencia necesita contexto: sistema o proceso al que pertenece, periodo cubierto, fuente, responsable y estado. Sin esos datos, una captura o un documento pueden ser auténticos pero insuficientes.

  • alcance del BCMS y procesos críticos
  • BIA, dependencias y objetivos de recuperación
  • estrategias y procedimientos de continuidad
  • resultados de ejercicios y pruebas técnicas
  • incidencias, lecciones aprendidas y acciones
CASO DE REVISIÓN

Aplicación de «Contexto y Alcance del BCMS»

Escenario: un servicio crítico declara un RTO de cuatro horas, pero su recuperación depende de infraestructura y proveedores no probados. El objetivo no es memorizar una respuesta, sino reconstruir qué debería verificarse y con qué evidencia.

1 · Delimitar

Define el alcance y concreta límites, interfaces, exclusiones y dependencias que condicionan el sistema de gestión.

2 · Corroborar

Contrasta entrevistas con documentos, registros y observación de la operación.

3 · Concluir

Separa hechos, criterio aplicable, impacto y acción necesaria.

ERRORES FRECUENTES

Dónde suele fallar la aplicación

  • auditar solo la existencia del plan
  • confundir tiempos deseados con capacidad demostrada
  • aceptar ejercicios de escritorio como única prueba
  • tratar una excepción permanente como si fuera temporal
  • cerrar acciones por actividad realizada, sin validar su eficacia
COMPROBACIÓN

Preguntas que deberías poder responder

  • ¿Qué decisión concreta cambia después de comprender «Contexto y Alcance del BCMS»?
  • ¿Qué evidencia pedirías primero y qué necesitarías corroborar?
  • ¿Qué parte depende del diseño y cuál de la operación diaria?
  • ¿Qué excepción sería aceptable y quién tendría autoridad para aprobarla?
  • ¿Cómo comprobarías dentro de tres meses que sigue funcionando?
EJEMPLO GUIADO

Caso práctico: Contexto y Alcance del BCMS

El alcance excluye una filial que presta soporte esencial al servicio principal y comparte identidad, red y proveedores.

CONTEXTO TÉCNICO

Dos sociedades, AD común, WAN, service desk y telecomunicaciones.

DECISIÓN

  • Revisar límites e interfaces y justificar la exclusión.
  • Asignar responsable y fecha de revisión.
  • Definir prueba de eficacia.

EVIDENCIA

  • Mapa organizativo, servicios, dependencias, partes interesadas y criterio de alcance.
  • Corroborar con una segunda fuente.
  • Conservar periodo, población y propietario.

ERROR A EVITAR

  • Definir alcance por organigrama y no por dependencia.
  • Aceptar afirmaciones sin prueba.
  • Cerrar acciones sin verificación.
MINI EJERCICIO RESUELTO

¿Qué debilita la exclusión?

Respuesta orientativa: La filial participa en recursos necesarios para el servicio incluido.

¿QUÉ CAMBIARÍA SI…?

la filial dispone de infraestructura totalmente independiente?

Revisa cómo cambian alcance, riesgo, responsabilidad, evidencia y decisión.

PÁRATE AQUÍNo sigas por inercia

Una unidad dice que «esto no nos aplica». ¿Qué comprobarías antes de aceptar esa afirmación?

Identifica entidad, actividad, sistema, rol y criterio que cambia el alcance.

No hay botón ni respuesta oculta. Explica tu criterio antes de continuar.
ANTES DE SEGUIR

Deberías poder explicar estas tres ideas sin volver arriba

Esto no desbloquea el módulo siguiente ni modifica tu progreso. Es una autocomprobación antes de pulsar Continuar.

  1. 01

    Auditoría del contexto de la organización

  2. 02

    Partes interesadas y sus requisitos

  3. 03

    Requisitos legales y reglamentarios

El siguiente paso es auditar
el liderazgo y la política de continuidad
Siguiente módulo: Liderazgo y Política de Continuidad (Cláusula 5)
← Anterior Continuar →