El BIA no es un documento.
Es el corazón técnico que determina cuánto tiempo puede sobrevivir el negocio.
Conecta este módulo con el anterior y busca qué evidencia cambiaría tu conclusión.
| 📋 | Qué auditar · ¿Existen criterios claros para los procesos de continuidad? ¿Los procesos subcontratados (ej: proveedor de sitio alternativo) están controlados? ¿Hay registros de ejecución de los planes? |
| 🔄 | Gestión de cambios: ¿Los cambios en la organización (nuevos procesos, tecnologías, ubicaciones) han actualizado el BIA, las estrategias y los planes? |
| 📊 | El BIA responde a: ¿Qué pasa si esta actividad se interrumpe? ¿Cuánto tiempo podemos estar sin ella? ¿Cuándo se vuelve inaceptable el impacto? ¿Qué recursos necesita? |
| ⚠️ | La evaluación de riesgos (8.2.3) responde a: ¿Qué incidentes disruptivos pueden ocurrir (incendio, ciberataque, fallo de proveedor)? ¿Cuál es su probabilidad e impacto? ¿Qué tratamiento requieren? |
| 🎯 | Elementos clave del BIA · Identificación de actividades prioritarias, tipos de impacto (financiero, operacional, reputacional, legal, de seguridad), criterios de impacto definidos. |
| ⏰ | Plazos críticos: MTPD (Maximum Tolerable Period of Disruption) - tiempo máximo que la organización puede tolerar la interrupción. RTO (Recovery Time Objective) - tiempo objetivo para recuperar la actividad. |
| 📋 | Dependencias · El BIA debe identificar dependencias internas (otros departamentos) y externas (proveedores, servicios públicos, tecnología). |
| 🔥 | Ejemplos de incidentes a considerar · Desastres naturales (incendio, inundación, terremoto), fallos tecnológicos (caída de sistemas, corte eléctrico), ciberataques (ransomware), fallos de proveedores, crisis sanitarias, actos delictivos. |
| 📋 | Salidas esperadas: Riesgos identificados, nivel de riesgo (probabilidad x impacto), priorización, decisiones de tratamiento (evitar, reducir, compartir, retener). |
| 🏢 | Estrategias típicas · Sitio alternativo (hot site, warm site, cold site), trabajo remoto, copias de seguridad offline, redundancia de proveedores, acuerdos de mutualidad. |
| 📋 | Evidencias: Selección documentada de estrategias, análisis de viabilidad (técnica, financiera, organizacional), requisitos de recursos identificados, implementación de soluciones. |
| 📋 | Contenido mínimo de los planes · Propósito, alcance y objetivos, roles y responsabilidades del equipo, acciones a realizar, criterios de activación, interdependencias, recursos necesarios, procesos de recuperación. |
| 👥 | Estructura de respuesta: Equipos definidos (dirección de crisis, coordinadores de área, comunicaciones, soporte técnico), roles con titulares y suplentes, procedimientos de activación y coordinación. |
| 🎯 | Tipos de ejercicios · Revisión de escritorio, simulacro de mesa, simulacro funcional, simulacro a gran escala. La complejidad debe aumentar progresivamente. |
| 📋 | Evidencias: Programa de ejercicios planificado, escenarios definidos, informes post-ejercicio (hallazgos, lecciones aprendidas, acciones correctivas), acciones implementadas y verificadas. |
| 🔄 | Disparadores de evaluación · Intervalos planificados, después de un incidente real, después de un simulacro, cuando ocurren cambios significativos (nuevos procesos, tecnología, estructura). |
| 1 | El BIA (8.2.2) identifica actividades prioritarias, define MTPD y RTO, e identifica dependencias. Debe actualizarse periódicamente. |
| 2 | La evaluación de riesgos (8.2.3) identifica incidentes disruptivos, analiza probabilidad e impacto, y define tratamientos. |
| 3 | Las estrategias (8.3) deben ser viables técnica y financieramente. No sirven estrategias que no se pueden implementar. |
| 4 | Los planes (8.4) deben ser prácticos, accionables y conocidos por los equipos de respuesta. No sirven documentos de 200 páginas sin probar. |
| 5 | Los ejercicios (8.5) son obligatorios. Un plan no probado no es un plan. El auditor verifica resultados y acciones derivadas. |
Este módulo debe utilizarse dentro de auditoría de continuidad de negocio, BIA, estrategias, planes, ejercicios y mejora. Su valor no está en repetir definiciones, sino en decidir qué debe ocurrir, quién participa y cómo se demuestra.
Para trabajar «Operación del BCMS», comienza delimitando alcance, criterio, responsables, operación, evidencias y mejora. Después conecta el requisito o principio con los procesos, sistemas, terceros y decisiones que realmente existen en la organización.
Los actores habituales serán Dirección, Continuidad, Tecnología, Operaciones, Comunicación y propietarios de procesos. No todos ejecutan el control, pero cada uno puede aportar una parte del contexto, la evidencia o la decisión.
La documentación no debería ser una colección de archivos aislados. Debe permitir seguir una relación lógica entre criterio, decisión, actividad y resultado.
Cada evidencia necesita contexto: sistema o proceso al que pertenece, periodo cubierto, fuente, responsable y estado. Sin esos datos, una captura o un documento pueden ser auténticos pero insuficientes.
Escenario: un servicio crítico declara un RTO de cuatro horas, pero su recuperación depende de infraestructura y proveedores no probados. El objetivo no es memorizar una respuesta, sino reconstruir qué debería verificarse y con qué evidencia.
Define el alcance y concreta alcance, criterio, responsables, operación, evidencias y mejora.
Contrasta entrevistas con documentos, registros y observación de la operación.
Separa hechos, criterio aplicable, impacto y acción necesaria.
Los planes contienen árboles de llamada, pero varios teléfonos pertenecen a empleados que ya no trabajan en la empresa.
Telefonía, Teams, directorio y listas de distribución.
¿Qué demuestra que el plan es utilizable?
Respuesta orientativa: Una prueba reciente con contactos y tiempos reales.
el canal principal de comunicación también está caído?
Revisa cómo cambian alcance, riesgo, responsabilidad, evidencia y decisión.
Define población y periodo. Selecciona tú parte de la evidencia y busca continuidad, excepciones y resultados.
Esto no desbloquea el módulo siguiente ni modifica tu progreso. Es una autocomprobación antes de pulsar Continuar.
Planificación y control operacional
Análisis de impacto al negocio (BIA) y evaluación de riesgos
Auditoría del Análisis de Impacto al Negocio (BIA)