MÓDULO 05 / 10ISO 22301 · Auditoría de continuidad
FOCOSoporte del BCMS
Conecta este módulo con el anterior y busca qué evidencia cambiaría tu conclusión.
Cláusula 7.1
Recursos para el BCMS
La organización debe determinar y proporcionar los recursos necesarios para el establecimiento, implementación, mantenimiento y mejora continua del BCMS.
“Un BCMS sin recursos es un documento, no un sistema de gestión.”
Principio auditor
| 💰 | Recursos financieros · Presupuesto asignado a actividades de continuidad: herramientas de BIA, planes de recuperación, formación, simulacros, personal dedicado. |
| 👥 | Recursos humanos: Personal con dedicación adecuada para gestionar el BCMS, equipos de respuesta a crisis identificados y con suplentes. |
| 🏢 | Recursos físicos · Sitios alternativos de recuperación, infraestructura crítica, equipos de respaldo, documentación de continuidad accesible. |
Cláusula 7.2
Competencia: el control preventivo del BCMS
La competencia no es un requisito administrativo. En continuidad, las personas que gestionan crisis, recuperan sistemas o toman decisiones deben tener conocimiento demostrable.
“Un plan perfecto ejecutado por personal no competente es un fracaso asegurado.”
ISO 22301 - Enfoque en competencia
| 📋 | Qué verificar · ¿Se ha determinado la competencia necesaria para cada rol de continuidad? ¿Las personas son competentes (formación, experiencia, simulacros)? ¿Hay evidencia documentada? |
| 🎓 | Competencias específicas en continuidad: Gestión de crisis, activación de planes, uso de herramientas de recuperación, comunicación en emergencias, conocimiento del BIA y los RTO. |
Evidencia no es solo certificados: El auditor busca evidencia de aplicación práctica: participación en simulacros, decisiones tomadas en incidentes reales, evaluación después de ejercicios.
Cláusula 7.3
Concienciación: que todos sepan qué hacer en una crisis
Las personas que realizan trabajos bajo el control de la organización deben ser conscientes de la política de continuidad, su contribución a la eficacia del BCMS, las implicaciones del incumplimiento y su propio rol antes, durante y después de incidentes disruptivos.
| 🧠 | Niveles de concienciación · Alta dirección: estrategia y recursos; Equipo de crisis: activación y decisiones; Empleados: qué hacer durante una evacuación, cómo reportar incidentes; Proveedores críticos: sus responsabilidades. |
| 📋 | Evidencias: Plan de concienciación, registros de formación, entrevistas para verificar comprensión real, comunicación interna sobre continuidad, cartelería en instalaciones. |
Cláusula 7.4
Comunicación interna y externa en continuidad
La organización debe determinar las comunicaciones internas y externas relevantes para el BCMS: qué comunicar, cuándo, a quién, cómo y quién comunica.
“En una crisis, la falta de comunicación es casi tan mala como la crisis misma.”
Lección de auditoría de continuidad
| 📢 | Comunicación externa crítica · Clientes (estado de servicios), reguladores (notificación de incidentes si aplica), proveedores críticos, empleados (instrucciones), medios de comunicación. |
| 📋 | Evidencias: Plan de comunicación de crisis, listados de contactos de emergencia, protocolos de activación, registros de comunicaciones en simulacros, canales alternativos de comunicación. |
Cláusula 7.5
Información documentada: la memoria del BCMS
La información documentada debe incluir la requerida por ISO 22301 y la que la organización determina como necesaria. Debe ser controlada, actualizada y accesible especialmente durante una crisis.
| 📄 | Documentos obligatorios mínimos · Alcance del BCMS, política de continuidad, objetivos de continuidad, BIA, evaluación de riesgos, estrategias, planes de continuidad, programa de ejercicios, resultados de simulacros. |
| 🔒 | Control de documentos: El auditor verifica identificación (título, fecha, versión, autor), aprobación, acceso controlado, cambios trazables, disponibilidad en ubicaciones alternativas. |
Caso auditor
Fallas en soporte que debilitan el BCMS
Escenario: Una organización financiera ha implementado un BCMS, pero en auditoría se detectan múltiples debilidades de soporte.
Hallazgos:
- El equipo de respuesta a crisis no ha recibido formación en gestión de incidentes en los últimos 2 años (competencia deficiente).
- Los empleados desconocen los puntos de reunión de emergencia (concienciación nula).
- No existe un plan de comunicación de crisis aprobado.
- Los planes de continuidad solo están en la red interna sin copia offline.
“El BCMS existe en documentos, pero no vive en la organización. En una crisis real, las personas no sabrían qué hacer.”
Conclusión del auditor
Clasificación: No Conformidad Mayor por falla sistémica en soporte.
Cláusulas afectadas: 7.2 (Competencia), 7.3 (Concienciación), 7.4 (Comunicación), 7.5 (Información documentada).
Resumen del módulo
Lo que debes llevarte de aquí
| 1 | La organización debe proporcionar recursos (financieros, humanos, físicos) para el BCMS.
|
| 2 | La competencia (7.2) en continuidad se demuestra en simulacros e incidentes reales, no solo con certificados.
|
| 3 |
La concienciación (7.3) se verifica con entrevistas y observación, no solo con registros de formación.
|
| 4 |
La comunicación (7.4) en crisis debe estar planificada: qué decir, a quién, cuándo y por qué medio.
|
| 5 |
La información documentada (7.5) debe estar accesible incluso cuando la red corporativa no está disponible.
|
APLICACIÓN PRÁCTICA
Cómo llevar el contenido del módulo a una organización real
Este módulo debe utilizarse dentro de auditoría de continuidad de negocio, BIA, estrategias, planes, ejercicios y mejora. Su valor no está en repetir definiciones, sino en decidir qué debe ocurrir, quién participa y cómo se demuestra.
Para trabajar «Soporte del BCMS», comienza delimitando alcance, criterio, responsables, operación, evidencias y mejora. Después conecta el requisito o principio con los procesos, sistemas, terceros y decisiones que realmente existen en la organización.
Los actores habituales serán Dirección, Continuidad, Tecnología, Operaciones, Comunicación y propietarios de procesos. No todos ejecutan el control, pero cada uno puede aportar una parte del contexto, la evidencia o la decisión.
- Define el objeto y el alcance antes de discutir controles.
- Identifica propietario, ejecutor, revisor y autoridad de excepción.
- Distingue diseño, implantación, operación y eficacia.
- Comprueba cambios, incidencias y excepciones, no solo el estado ideal.
- Cierra con una decisión y una acción verificable.
EXPEDIENTE DEL MÓDULO
Documentación y evidencia que debería existir
La documentación no debería ser una colección de archivos aislados. Debe permitir seguir una relación lógica entre criterio, decisión, actividad y resultado.
Cada evidencia necesita contexto: sistema o proceso al que pertenece, periodo cubierto, fuente, responsable y estado. Sin esos datos, una captura o un documento pueden ser auténticos pero insuficientes.
- alcance del BCMS y procesos críticos
- BIA, dependencias y objetivos de recuperación
- estrategias y procedimientos de continuidad
- resultados de ejercicios y pruebas técnicas
- incidencias, lecciones aprendidas y acciones
CASO DE REVISIÓN
Aplicación de «Soporte del BCMS»
Escenario: un servicio crítico declara un RTO de cuatro horas, pero su recuperación depende de infraestructura y proveedores no probados. El objetivo no es memorizar una respuesta, sino reconstruir qué debería verificarse y con qué evidencia.
1 · DelimitarDefine el alcance y concreta alcance, criterio, responsables, operación, evidencias y mejora.
2 · CorroborarContrasta entrevistas con documentos, registros y observación de la operación.
3 · ConcluirSepara hechos, criterio aplicable, impacto y acción necesaria.
ERRORES FRECUENTES
Dónde suele fallar la aplicación
- auditar solo la existencia del plan
- confundir tiempos deseados con capacidad demostrada
- aceptar ejercicios de escritorio como única prueba
- tratar una excepción permanente como si fuera temporal
- cerrar acciones por actividad realizada, sin validar su eficacia
COMPROBACIÓN
Preguntas que deberías poder responder
- ¿Qué decisión concreta cambia después de comprender «Soporte del BCMS»?
- ¿Qué evidencia pedirías primero y qué necesitarías corroborar?
- ¿Qué parte depende del diseño y cuál de la operación diaria?
- ¿Qué excepción sería aceptable y quién tendría autoridad para aprobarla?
- ¿Cómo comprobarías dentro de tres meses que sigue funcionando?
EJEMPLO GUIADO
Caso práctico: Soporte del BCMS
La estrategia declara trabajo remoto para todos, pero el 40 % utiliza aplicaciones no accesibles por VPN.
CONTEXTO TÉCNICOVPN, VDI, MFA, aplicaciones legacy y ancho de banda.
DECISIÓN
- Validar capacidad y cobertura antes de aprobar la estrategia.
- Asignar responsable y fecha de revisión.
- Definir prueba de eficacia.
EVIDENCIA
- Pruebas de acceso, capacidad, usuarios, licencias y tiempos.
- Corroborar con una segunda fuente.
- Conservar periodo, población y propietario.
ERROR A EVITAR
- Confundir opción teórica con capacidad demostrada.
- Aceptar afirmaciones sin prueba.
- Cerrar acciones sin verificación.
MINI EJERCICIO RESUELTO
¿Qué prueba sería concluyente?
Respuesta orientativa: Un ejercicio con usuarios reales y carga representativa.
¿QUÉ CAMBIARÍA SI…?la VPN soporta la carga pero el IdP no tiene redundancia?
Revisa cómo cambian alcance, riesgo, responsabilidad, evidencia y decisión.
PÁRATE AQUÍNo sigas por inercia
En una revisión de «Soporte del BCMS», te dicen que el proceso funciona desde hace años. ¿Cómo elegirías una muestra que no dependa de esa afirmación?
Define población y periodo. Selecciona tú parte de la evidencia y busca continuidad, excepciones y resultados.
No hay botón ni respuesta oculta. Explica tu criterio antes de continuar.
ANTES DE SEGUIR
Deberías poder explicar estas tres ideas sin volver arriba
Esto no desbloquea el módulo siguiente ni modifica tu progreso. Es una autocomprobación antes de pulsar Continuar.
- 01
Recursos para el BCMS
- 02
Competencia: el control preventivo del BCMS
- 03
Concienciación: que todos sepan qué hacer en una crisis
El siguiente paso es auditar
la operación del BCMS
Siguiente módulo: Operación (Cláusula 8)