GRCreal // expediente: academia curso: ISO 22301 Internal Auditor
CLÁUSULA 6 · RIESGOS · OBJETIVOS · CAMBIOS
Módulo 4

Planificación del BCMS

Planificar no es rellenar formularios.
Es determinar qué puede salir mal y cómo evitarlo.

MÓDULO 04 / 10ISO 22301 · Auditoría de continuidad
FOCOPlanificación del BCMS

Conecta este módulo con el anterior y busca qué evidencia cambiaría tu conclusión.

Cláusula 6.1.1
Riesgos y oportunidades del sistema de gestión
La organización debe determinar los riesgos y oportunidades que afectan al BCMS, no los riesgos de incidentes disruptivos (esos van en 8.2). Esta cláusula se refiere a los riesgos del sistema de gestión mismo.
“Diferenciar los riesgos del BCMS (ej: falta de competencia) de los riesgos de incidentes (ej: incendio) es clave para una auditoría correcta.”
Aclaración ISO 22301
⚠️Riesgos del BCMS (Cláusula 6.1) · Falta de recursos para mantener el BCMS, pérdida de competencia del personal de continuidad, falta de compromiso de dirección, documentación desactualizada, planes no probados.
✅Oportunidades del BCMS: Integración con otros sistemas de gestión (ISO 27001, ISO 9001), automatización de ejercicios, mejora de la resiliencia general de la organización.
Error típico: Confundir esta cláusula con la evaluación de riesgos de incidentes disruptivos (8.2.3). Son dos requisitos diferentes.
Cláusula 6.1.2
Planificar acciones para abordar riesgos y oportunidades
La organización debe planificar acciones para abordar los riesgos y oportunidades identificados, integrarlas en los procesos del BCMS y evaluar su eficacia.
📋Qué debe incluir el plan · Acciones específicas, responsables, plazos, recursos, indicadores de eficacia.
🔍Ejemplo: Si el riesgo es "falta de competencia en el equipo de respuesta", la acción puede ser "formación anual en gestión de crisis con simulacro".
Cláusula 6.2
Objetivos de continuidad del negocio
La organización debe establecer objetivos de continuidad para funciones y niveles pertinentes. Deben ser coherentes con la política, medibles (si es posible), monitoreados y comunicados.
“Un objetivo de continuidad sin indicador es una intención, no un objetivo.”
Regla del auditor
📊Ejemplos de objetivos auditables · "Reducir el tiempo de recuperación (RTO) del sistema transaccional de 8 a 4 horas en 6 meses", "Realizar 2 simulacros anuales con una tasa de éxito superior al 90%".
📋Plan de objetivos: Qué se hará, recursos requeridos, responsable, plazo, cómo se evaluarán los resultados. Sin plan, el objetivo es declarativo.
Cláusula 6.3
Planificación de cambios del BCMS
Cuando la organización determine la necesidad de cambios en el BCMS (nuevas tecnologías, reestructuraciones, nuevos procesos críticos), estos cambios deben llevarse a cabo de manera planificada.
🔄Qué considerar · Propósito de los cambios y consecuencias potenciales, integridad del BCMS, disponibilidad de recursos, reasignación de responsabilidades.
📋Evidencias: Análisis de impacto del cambio, actualización del BIA y la evaluación de riesgos, revisión de la política y objetivos, comunicación del cambio, actualización de planes.
Caso auditor
Planificación deficiente
Escenario: Una empresa de logística está siendo auditada. Se detecta: - No se han identificado riesgos del BCMS (6.1), como la falta de personal formado en continuidad. - Los objetivos de continuidad no son medibles: "Mejorar la preparación ante incidentes". - La empresa migró su sistema de gestión de flotas a una nueva plataforma hace 3 meses, pero no se actualizó el BIA ni los planes de continuidad. - No hay evidencia de planificación de este cambio.
“El BCMS no ha evolucionado con la organización. La planificación es estática, no dinámica.”
Conclusión del auditor
Clasificación: No Conformidad Mayor por falta de planificación de cambios (6.3) y objetivos no conformes (6.2). Cláusulas afectadas: 6.1 (Riesgos no identificados), 6.2 (Objetivos no medibles), 6.3 (Cambios no planificados).
Resumen del módulo
Lo que debes llevarte de aquí
1Diferenciar riesgos del BCMS (6.1) de riesgos de incidentes disruptivos (8.2.3). Son requisitos distintos.
2Los objetivos de continuidad (6.2) deben ser medibles. Objetivos como "mejorar la preparación" sin indicadores son no conformidad.
3Los cambios significativos (nuevos sistemas, reestructuraciones, nuevos procesos) requieren planificación y actualización del BCMS (6.3).
4El auditor verifica que la organización evalúa la eficacia de las acciones para abordar riesgos y oportunidades (6.1.2).
APLICACIÓN PRÁCTICA

Cómo llevar el contenido del módulo a una organización real

Este módulo debe utilizarse dentro de auditoría de continuidad de negocio, BIA, estrategias, planes, ejercicios y mejora. Su valor no está en repetir definiciones, sino en decidir qué debe ocurrir, quién participa y cómo se demuestra.

Para trabajar «Planificación del BCMS», comienza delimitando alcance, criterio, responsables, operación, evidencias y mejora. Después conecta el requisito o principio con los procesos, sistemas, terceros y decisiones que realmente existen en la organización.

Los actores habituales serán Dirección, Continuidad, Tecnología, Operaciones, Comunicación y propietarios de procesos. No todos ejecutan el control, pero cada uno puede aportar una parte del contexto, la evidencia o la decisión.

  1. Define el objeto y el alcance antes de discutir controles.
  2. Identifica propietario, ejecutor, revisor y autoridad de excepción.
  3. Distingue diseño, implantación, operación y eficacia.
  4. Comprueba cambios, incidencias y excepciones, no solo el estado ideal.
  5. Cierra con una decisión y una acción verificable.
EXPEDIENTE DEL MÓDULO

Documentación y evidencia que debería existir

La documentación no debería ser una colección de archivos aislados. Debe permitir seguir una relación lógica entre criterio, decisión, actividad y resultado.

Cada evidencia necesita contexto: sistema o proceso al que pertenece, periodo cubierto, fuente, responsable y estado. Sin esos datos, una captura o un documento pueden ser auténticos pero insuficientes.

  • alcance del BCMS y procesos críticos
  • BIA, dependencias y objetivos de recuperación
  • estrategias y procedimientos de continuidad
  • resultados de ejercicios y pruebas técnicas
  • incidencias, lecciones aprendidas y acciones
CASO DE REVISIÓN

Aplicación de «Planificación del BCMS»

Escenario: un servicio crítico declara un RTO de cuatro horas, pero su recuperación depende de infraestructura y proveedores no probados. El objetivo no es memorizar una respuesta, sino reconstruir qué debería verificarse y con qué evidencia.

1 · Delimitar

Define el alcance y concreta alcance, criterio, responsables, operación, evidencias y mejora.

2 · Corroborar

Contrasta entrevistas con documentos, registros y observación de la operación.

3 · Concluir

Separa hechos, criterio aplicable, impacto y acción necesaria.

ERRORES FRECUENTES

Dónde suele fallar la aplicación

  • auditar solo la existencia del plan
  • confundir tiempos deseados con capacidad demostrada
  • aceptar ejercicios de escritorio como única prueba
  • tratar una excepción permanente como si fuera temporal
  • cerrar acciones por actividad realizada, sin validar su eficacia
COMPROBACIÓN

Preguntas que deberías poder responder

  • ¿Qué decisión concreta cambia después de comprender «Planificación del BCMS»?
  • ¿Qué evidencia pedirías primero y qué necesitarías corroborar?
  • ¿Qué parte depende del diseño y cuál de la operación diaria?
  • ¿Qué excepción sería aceptable y quién tendría autoridad para aprobarla?
  • ¿Cómo comprobarías dentro de tres meses que sigue funcionando?
EJEMPLO GUIADO

Caso práctico: Planificación del BCMS

Un BIA fija RTO de cuatro horas para el ERP, pero omite dependencias de AD, DNS y operador logístico.

CONTEXTO TÉCNICO

ERP, AD, DNS, base de datos, red, almacén y proveedor logístico.

DECISIÓN

  • Rehacer el análisis por servicio completo y dependencias.
  • Asignar responsable y fecha de revisión.
  • Definir prueba de eficacia.

EVIDENCIA

  • Procesos, impactos temporales, dependencias, recursos y objetivos.
  • Corroborar con una segunda fuente.
  • Conservar periodo, población y propietario.

ERROR A EVITAR

  • Analizar aplicaciones aisladas en lugar de servicios.
  • Aceptar afirmaciones sin prueba.
  • Cerrar acciones sin verificación.
MINI EJERCICIO RESUELTO

¿Por qué el RTO puede ser irreal?

Respuesta orientativa: Porque depende de componentes y terceros no considerados.

¿QUÉ CAMBIARÍA SI…?

existe un ERP alternativo con carga manual de datos?

Revisa cómo cambian alcance, riesgo, responsabilidad, evidencia y decisión.

PÁRATE AQUÍNo sigas por inercia

Existe un plan perfectamente documentado. Nunca se ha probado. ¿Qué puedes afirmar de su eficacia?

El documento demuestra diseño. La capacidad necesita ejercicios, resultados y aprendizaje.

No hay botón ni respuesta oculta. Explica tu criterio antes de continuar.
ANTES DE SEGUIR

Deberías poder explicar estas tres ideas sin volver arriba

Esto no desbloquea el módulo siguiente ni modifica tu progreso. Es una autocomprobación antes de pulsar Continuar.

  1. 01

    Riesgos y oportunidades del sistema de gestión

  2. 02

    Planificar acciones para abordar riesgos y oportunidades

  3. 03

    Objetivos de continuidad del negocio

El siguiente paso es auditar
el soporte del BCMS
Siguiente módulo: Soporte (Cláusula 7)
← Anterior Continuar →