GRCreal // expediente: academia curso: ISO 22301 Internal Auditor
CLÁUSULA 5 · LIDERAZGO · POLÍTICA DE CONTINUIDAD · ROLES
Módulo 3

Liderazgo y Política de Continuidad

La continuidad del negocio no es un proyecto técnico.
Es una responsabilidad de la alta dirección.

MÓDULO 03 / 10ISO 22301 · Auditoría de continuidad
FOCOLiderazgo y Política de Continuidad

Conecta este módulo con el anterior y busca qué evidencia cambiaría tu conclusión.

Cláusula 5.1
Auditoría del liderazgo y compromiso
La alta dirección debe demostrar liderazgo y compromiso con el BCMS. No basta con declararlo: el auditor busca evidencia objetiva de acciones concretas.
“Delegar el BCMS en un área de operaciones sin supervisión de dirección no es liderazgo. Es negligencia.”
Principio de auditoría ISO 19011
📋Qué auditar · ¿La política de continuidad está aprobada por alta dirección? ¿Se asignan recursos (presupuesto, personal, tiempo para simulacros)? ¿La dirección revisa el desempeño del BCMS?
📄Evidencias típicas: Política firmada por dirección, actas de revisión por dirección, presupuesto asignado a actividades de continuidad (ejercicios, herramientas, personal), comunicación de la dirección sobre la importancia de la continuidad.
Pregunta clave del auditor: "¿Puede la dirección demostrar que tomó una decisión informada sobre la tolerancia a la interrupción (RTO) de un proceso crítico en los últimos 12 meses?"
Cláusula 5.2
La política de continuidad: requisitos auditables
La política de continuidad del negocio es el documento estratégico que establece las intenciones y dirección de la organización respecto a la continuidad. Debe ser apropiada al propósito, proporcionar un marco para los objetivos, incluir compromiso de cumplimiento y mejora continua.
📝Contenido mínimo · Propósito de la continuidad en la organización, compromiso con la mejora continua, cumplimiento de requisitos aplicables, marco para establecer objetivos de continuidad.
📢Comunicación: La política debe estar disponible como información documentada, comunicada dentro de la organización y disponible para partes interesadas según corresponda.
Conexión estratégica
Coherencia entre política, objetivos y BIA
El auditor debe verificar que existe trazabilidad entre lo que promete la política, los objetivos de continuidad y los resultados del análisis de impacto al negocio (BIA).
“Una política que declara 'recuperación en 4 horas' sin un BIA que lo respalde es una promesa sin fundamento.”
Hallazgo típico en auditorías de BCMS
🔗Trazabilidad esperada · Política de continuidad → Objetivos de continuidad (6.2) → Resultados del BIA (8.2.2) → Estrategias (8.3) → Planes (8.4) → Ejercicios (8.5)
❌Ruptura típica: La política menciona "recuperación rápida" pero los RTO definidos en el BIA son de 48 horas, o no hay estrategias que permitan cumplir con los plazos prometidos.
Cláusula 5.3
Roles, responsabilidades y autoridades
La alta dirección debe asegurar que las responsabilidades y autoridades para los roles relevantes se asignen y comuniquen dentro de la organización.
👤Responsabilidad del BCMS · Alguien debe tener la responsabilidad formal de asegurar que el BCMS cumple con ISO 22301 y reportar su desempeño a la alta dirección.
🔄Roles en crisis: Director de continuidad, equipo de respuesta a incidentes, coordinadores de área, comunicaciones, soporte técnico. Cada rol debe tener responsables titulares y suplentes.
📋Evidencias · Descripciones de puesto, organigrama de crisis, listados de equipos de respuesta, contratos de suplencia, autorizaciones documentadas.
Caso auditor
Liderazgo ausente
Escenario: Una empresa manufacturera está siendo auditada. Se detecta: - La política de continuidad fue aprobada hace 4 años y nunca se ha revisado. - No hay evidencia de que la dirección haya asignado presupuesto para simulacros en los últimos 2 años. - Los roles de respuesta en crisis están asignados a personas que ya no trabajan en la organización. - La dirección no ha recibido informes del desempeño del BCMS en el último año.
“El BCMS está abandonado por la dirección. No hay liderazgo, no hay recursos, no hay mejora.”
Conclusión del auditor
Clasificación: No Conformidad Mayor por falla sistémica de liderazgo. Cláusulas afectadas: 5.1 (Liderazgo sin evidencias), 5.2 (Política desactualizada), 5.3 (Roles no actualizados).
Resumen del módulo
Lo que debes llevarte de aquí
1El liderazgo (5.1) se demuestra con acciones: recursos, revisión, comunicación, no solo con declaraciones.
2La política de continuidad (5.2) debe estar aprobada por dirección, comunicada y ser coherente con los objetivos y el BIA.
3El auditor verifica trazabilidad: política → objetivos de continuidad → BIA → estrategias → planes → ejercicios.
4Los roles y responsabilidades (5.3) en crisis deben estar asignados, con titulares y suplentes, y actualizados periódicamente.
APLICACIÓN PRÁCTICA

Cómo llevar el contenido del módulo a una organización real

Este módulo debe utilizarse dentro de auditoría de continuidad de negocio, BIA, estrategias, planes, ejercicios y mejora. Su valor no está en repetir definiciones, sino en decidir qué debe ocurrir, quién participa y cómo se demuestra.

Para trabajar «Liderazgo y Política de Continuidad», comienza delimitando detección, escalado, respuesta, recuperación, comunicación y aprendizaje. Después conecta el requisito o principio con los procesos, sistemas, terceros y decisiones que realmente existen en la organización.

Los actores habituales serán Dirección, Continuidad, Tecnología, Operaciones, Comunicación y propietarios de procesos. No todos ejecutan el control, pero cada uno puede aportar una parte del contexto, la evidencia o la decisión.

  1. Define el objeto y el alcance antes de discutir controles.
  2. Identifica propietario, ejecutor, revisor y autoridad de excepción.
  3. Distingue diseño, implantación, operación y eficacia.
  4. Comprueba cambios, incidencias y excepciones, no solo el estado ideal.
  5. Cierra con una decisión y una acción verificable.
EXPEDIENTE DEL MÓDULO

Documentación y evidencia que debería existir

La documentación no debería ser una colección de archivos aislados. Debe permitir seguir una relación lógica entre criterio, decisión, actividad y resultado.

Cada evidencia necesita contexto: sistema o proceso al que pertenece, periodo cubierto, fuente, responsable y estado. Sin esos datos, una captura o un documento pueden ser auténticos pero insuficientes.

  • alcance del BCMS y procesos críticos
  • BIA, dependencias y objetivos de recuperación
  • estrategias y procedimientos de continuidad
  • resultados de ejercicios y pruebas técnicas
  • incidencias, lecciones aprendidas y acciones
CASO DE REVISIÓN

Aplicación de «Liderazgo y Política de Continuidad»

Escenario: un servicio crítico declara un RTO de cuatro horas, pero su recuperación depende de infraestructura y proveedores no probados. El objetivo no es memorizar una respuesta, sino reconstruir qué debería verificarse y con qué evidencia.

1 · Delimitar

Define el alcance y concreta detección, escalado, respuesta, recuperación, comunicación y aprendizaje.

2 · Corroborar

Contrasta entrevistas con documentos, registros y observación de la operación.

3 · Concluir

Separa hechos, criterio aplicable, impacto y acción necesaria.

ERRORES FRECUENTES

Dónde suele fallar la aplicación

  • auditar solo la existencia del plan
  • confundir tiempos deseados con capacidad demostrada
  • aceptar ejercicios de escritorio como única prueba
  • tratar una excepción permanente como si fuera temporal
  • cerrar acciones por actividad realizada, sin validar su eficacia
COMPROBACIÓN

Preguntas que deberías poder responder

  • ¿Qué decisión concreta cambia después de comprender «Liderazgo y Política de Continuidad»?
  • ¿Qué evidencia pedirías primero y qué necesitarías corroborar?
  • ¿Qué parte depende del diseño y cuál de la operación diaria?
  • ¿Qué excepción sería aceptable y quién tendría autoridad para aprobarla?
  • ¿Cómo comprobarías dentro de tres meses que sigue funcionando?
EJEMPLO GUIADO

Caso práctico: Liderazgo y Política de Continuidad

La dirección aprueba una política de continuidad, pero delega todas las decisiones en TI y no revisa resultados de pruebas.

CONTEXTO TÉCNICO

Comité de crisis, TI, negocio, comunicaciones y proveedores.

DECISIÓN

  • Verificar liderazgo, autoridad y participación real.
  • Asignar responsable y fecha de revisión.
  • Definir prueba de eficacia.

EVIDENCIA

  • Actas, decisiones, recursos, objetivos, revisiones y escalados.
  • Corroborar con una segunda fuente.
  • Conservar periodo, población y propietario.

ERROR A EVITAR

  • Considerar suficiente una política firmada.
  • Aceptar afirmaciones sin prueba.
  • Cerrar acciones sin verificación.
MINI EJERCICIO RESUELTO

¿Qué demuestra liderazgo efectivo?

Respuesta orientativa: Decisiones documentadas sobre prioridades, recursos y acciones.

¿QUÉ CAMBIARÍA SI…?

la dirección asiste a ejercicios pero no aprueba acciones?

Revisa cómo cambian alcance, riesgo, responsabilidad, evidencia y decisión.

PÁRATE AQUÍNo sigas por inercia

Existe un plan perfectamente documentado. Nunca se ha probado. ¿Qué puedes afirmar de su eficacia?

El documento demuestra diseño. La capacidad necesita ejercicios, resultados y aprendizaje.

No hay botón ni respuesta oculta. Explica tu criterio antes de continuar.
ANTES DE SEGUIR

Deberías poder explicar estas tres ideas sin volver arriba

Esto no desbloquea el módulo siguiente ni modifica tu progreso. Es una autocomprobación antes de pulsar Continuar.

  1. 01

    Auditoría del liderazgo y compromiso

  2. 02

    La política de continuidad: requisitos auditables

  3. 03

    Coherencia entre política, objetivos y BIA

El siguiente paso es planificar
los objetivos de continuidad y los riesgos
Siguiente módulo: Planificación (Cláusula 6)
← Anterior Continuar →