GRCreal // expediente: academia curso: ISO 22301 Internal Auditor
CLÁUSULA 9 · MONITOREO · AUDITORÍA INTERNA · REVISIÓN DIRECCIÓN
Módulo 7

Evaluación del Desempeño del BCMS

No basta con implementar el BCMS.
Hay que medir si funciona y decidir cómo mejorar.

MÓDULO 07 / 10ISO 22301 · Auditoría de continuidad
FOCOEvaluación del Desempeño del BCMS

Conecta este módulo con el anterior y busca qué evidencia cambiaría tu conclusión.

Cláusula 9.1
Monitoreo, medición, análisis y evaluación
La organización debe determinar qué necesita ser monitoreado y medido, los métodos para asegurar resultados válidos, y cuándo realizar el monitoreo y la medición.
“Medir lo fácil no es gestionar lo importante. El auditor verifica que se mide el riesgo real de discontinuidad, no solo lo medible.”
Criterio auditor
📊Qué debe medirse · Eficacia de los controles de continuidad, cumplimiento de RTO, resultados de ejercicios y simulacros, tiempos de respuesta reales, eficacia de las estrategias.
Métricas
Indicadores que el auditor debe verificar
La organización debe definir indicadores que permitan evaluar la eficacia del BCMS. El auditor verifica que existan y se utilicen.
⏱️Cumplimiento de RTO · Porcentaje de veces que se logra el tiempo de recuperación objetivo en simulacros o incidentes reales.
🎯Ejecución de ejercicios: Número de simulacros realizados vs planificados, tasa de éxito, lecciones aprendidas implementadas.
📋Estado de los planes · Porcentaje de planes actualizados, porcentaje de personal entrenado, cobertura del BIA.
🔄Mejora continua: Tiempo de cierre de acciones correctivas, reducción de brechas identificadas en auditorías.
Error típico: La organización mide "número de reuniones del comité de continuidad" (actividad) en lugar de "cumplimiento de RTO" (resultado). El auditor verifica que los indicadores miden eficacia, no solo actividad.
Cláusula 9.2
Auditoría interna del BCMS
La organización debe realizar auditorías internas a intervalos planificados para determinar si el BCMS cumple con los requisitos y está implementado eficazmente.
“La auditoría interna es el 'Check' del PDCA. Sin ella, el BCMS no aprende de sus propias debilidades.”
ISO 19011 aplicada a BCMS
📋Qué verificar · ¿Existe un programa de auditoría interna? ¿Se auditan los procesos críticos (BIA, estrategias, planes, ejercicios)? ¿Los auditores son independientes?
📄Evidencias: Programa de auditoría aprobado, informes de auditoría, hallazgos documentados, acciones correctivas, verificación de cierre.
⚠️Error típico · Auditorías internas que solo verifican documentos, no la capacidad real de respuesta. O auditores que auditan su propio trabajo.
Cláusula 9.3
Revisión por la dirección
La alta dirección debe revisar el BCMS a intervalos planificados para asegurar su conveniencia, adecuación y eficacia continuas.
📥Entradas obligatorias · Estado de acciones previas, cambios en contexto, resultados de monitoreo y medición, resultados de auditorías, retroalimentación de partes interesadas, desempeño de proveedores, actualización de BIA y riesgos, lecciones aprendidas de incidentes.
📤Salidas esperadas: Decisiones sobre mejora continua, cambios en el BCMS, asignación de recursos, actualización de BIA y estrategias, modificaciones de planes.
📋Evidencias · Acta de la reunión, análisis presentados, decisiones documentadas, seguimiento de acciones, recursos asignados.
Pregunta clave del auditor: "¿Puede la dirección demostrar que tomó una decisión informada basada en los resultados de un simulacro reciente?"
Caso auditor
Evaluación de desempeño deficiente
Escenario: Una organización tiene certificado ISO 22301. En auditoría se detecta:
- Los indicadores solo miden actividades (nº de reuniones, documentos actualizados), no resultados (cumplimiento de RTO, eficacia de estrategias).
- No se ha realizado auditoría interna en los últimos 18 meses.
- La revisión por dirección se hizo hace 1 año, no se revisaron los resultados de ejercicios, y no hay evidencia de seguimiento de decisiones.
- La dirección desconoce que el último simulacro reveló que el RTO de 4 horas no es alcanzable.
“El BCMS tiene la certificación, pero la dirección no lo gobierna. No hay 'Check', no hay mejora.”
Conclusión del auditor
Clasificación: No Conformidad Mayor por falta de auditoría interna (9.2) y revisión por dirección ineficaz (9.3).
Cláusulas afectadas: 9.1 (Indicadores deficientes), 9.2 (Auditoría no realizada), 9.3 (Revisión por dirección sin efectividad).
Resumen del módulo
Lo que debes llevarte de aquí
1La organización debe medir la eficacia del BCMS, no solo actividades. Indicadores como cumplimiento de RTO, resultados de ejercicios y cierre de acciones correctivas.
2Las auditorías internas (9.2) son obligatorias y deben realizarse a intervalos planificados. Deben auditar la capacidad real, no solo documentos.
3La revisión por dirección (9.3) debe analizar entradas críticas: resultados de ejercicios, auditorías, cambios de contexto, lecciones aprendidas de incidentes.
4Las salidas de la revisión por dirección deben ser decisiones accionables con responsables, plazos y verificación de eficacia.
5Sin evaluación del desempeño, el BCMS no mejora. El auditor verifica que el ciclo PDCA se complete: Planificar, Hacer, Verificar, Actuar.
APLICACIÓN PRÁCTICA

Cómo llevar el contenido del módulo a una organización real

Este módulo debe utilizarse dentro de auditoría de continuidad de negocio, BIA, estrategias, planes, ejercicios y mejora. Su valor no está en repetir definiciones, sino en decidir qué debe ocurrir, quién participa y cómo se demuestra.

Para trabajar «Evaluación del Desempeño del BCMS», comienza delimitando alcance, criterio, responsables, operación, evidencias y mejora. Después conecta el requisito o principio con los procesos, sistemas, terceros y decisiones que realmente existen en la organización.

Los actores habituales serán Dirección, Continuidad, Tecnología, Operaciones, Comunicación y propietarios de procesos. No todos ejecutan el control, pero cada uno puede aportar una parte del contexto, la evidencia o la decisión.

  1. Define el objeto y el alcance antes de discutir controles.
  2. Identifica propietario, ejecutor, revisor y autoridad de excepción.
  3. Distingue diseño, implantación, operación y eficacia.
  4. Comprueba cambios, incidencias y excepciones, no solo el estado ideal.
  5. Cierra con una decisión y una acción verificable.
EXPEDIENTE DEL MÓDULO

Documentación y evidencia que debería existir

La documentación no debería ser una colección de archivos aislados. Debe permitir seguir una relación lógica entre criterio, decisión, actividad y resultado.

Cada evidencia necesita contexto: sistema o proceso al que pertenece, periodo cubierto, fuente, responsable y estado. Sin esos datos, una captura o un documento pueden ser auténticos pero insuficientes.

  • alcance del BCMS y procesos críticos
  • BIA, dependencias y objetivos de recuperación
  • estrategias y procedimientos de continuidad
  • resultados de ejercicios y pruebas técnicas
  • incidencias, lecciones aprendidas y acciones
CASO DE REVISIÓN

Aplicación de «Evaluación del Desempeño del BCMS»

Escenario: un servicio crítico declara un RTO de cuatro horas, pero su recuperación depende de infraestructura y proveedores no probados. El objetivo no es memorizar una respuesta, sino reconstruir qué debería verificarse y con qué evidencia.

1 · Delimitar

Define el alcance y concreta alcance, criterio, responsables, operación, evidencias y mejora.

2 · Corroborar

Contrasta entrevistas con documentos, registros y observación de la operación.

3 · Concluir

Separa hechos, criterio aplicable, impacto y acción necesaria.

ERRORES FRECUENTES

Dónde suele fallar la aplicación

  • auditar solo la existencia del plan
  • confundir tiempos deseados con capacidad demostrada
  • aceptar ejercicios de escritorio como única prueba
  • tratar una excepción permanente como si fuera temporal
  • cerrar acciones por actividad realizada, sin validar su eficacia
COMPROBACIÓN

Preguntas que deberías poder responder

  • ¿Qué decisión concreta cambia después de comprender «Evaluación del Desempeño del BCMS»?
  • ¿Qué evidencia pedirías primero y qué necesitarías corroborar?
  • ¿Qué parte depende del diseño y cuál de la operación diaria?
  • ¿Qué excepción sería aceptable y quién tendría autoridad para aprobarla?
  • ¿Cómo comprobarías dentro de tres meses que sigue funcionando?
EJEMPLO GUIADO

Caso práctico: Evaluación del Desempeño del BCMS

El plan de comunicaciones contempla empleados y clientes, pero omite al regulador y al proveedor crítico.

CONTEXTO TÉCNICO

Web, correo, SMS, call center y canales alternativos.

DECISIÓN

  • Completar audiencias, mensajes, autoridad y canales.
  • Asignar responsable y fecha de revisión.
  • Definir prueba de eficacia.

EVIDENCIA

  • Matriz, plantillas, contactos, aprobaciones y pruebas.
  • Corroborar con una segunda fuente.
  • Conservar periodo, población y propietario.

ERROR A EVITAR

  • Tratar comunicación como actividad posterior.
  • Aceptar afirmaciones sin prueba.
  • Cerrar acciones sin verificación.
MINI EJERCICIO RESUELTO

¿Qué evita mensajes contradictorios?

Respuesta orientativa: Una autoridad definida para aprobar y publicar.

¿QUÉ CAMBIARÍA SI…?

las redes sociales difunden información antes del comunicado?

Revisa cómo cambian alcance, riesgo, responsabilidad, evidencia y decisión.

PÁRATE AQUÍNo sigas por inercia

En una revisión de «Evaluación del Desempeño del BCMS», te dicen que el proceso funciona desde hace años. ¿Cómo elegirías una muestra que no dependa de esa afirmación?

Define población y periodo. Selecciona tú parte de la evidencia y busca continuidad, excepciones y resultados.

No hay botón ni respuesta oculta. Explica tu criterio antes de continuar.
ANTES DE SEGUIR

Deberías poder explicar estas tres ideas sin volver arriba

Esto no desbloquea el módulo siguiente ni modifica tu progreso. Es una autocomprobación antes de pulsar Continuar.

  1. 01

    Monitoreo, medición, análisis y evaluación

  2. 02

    Indicadores que el auditor debe verificar

  3. 03

    Auditoría interna del BCMS

El siguiente paso es auditar
la mejora y las no conformidades
Siguiente módulo: Mejora y No Conformidades (Cláusula 10)
← AnteriorContinuar →