Una no conformidad no es un fracaso.
Es una oportunidad para aprender y mejorar la continuidad.
Conecta este módulo con el anterior y busca qué evidencia cambiaría tu conclusión.
| 📊 | Qué verificar · ¿La organización utiliza los resultados de auditorías, métricas, ejercicios y revisiones para mejorar? ¿Hay evidencia de cambios implementados? |
| 🔴 | NC Mayor · Afecta la capacidad del BCMS para lograr resultados previstos. Ausencia total o fallo grave de un requisito. Puede suspender la certificación. Ejemplo: No hay planes de continuidad para procesos críticos. |
| 🟡 | NC Menor: Fallo puntual o aislado. No afecta significativamente la eficacia del BCMS. Ejemplo: Un plan no se actualizó tras un cambio menor. |
| 📋 | Observación (OM) · Situación que no es NC pero que, si no se aborda, podría convertirse en una en el futuro. Ejemplo: El BIA tiene 18 meses y se acerca a la fecha límite de revisión. |
| 1️⃣ | Criterio · El requisito incumplido (cláusula de ISO 22301, política, procedimiento). |
| 2️⃣ | Condición: El hecho observado que evidencia el incumplimiento. Debe ser específico y verificable. |
| 3️⃣ | Evidencia · Dónde, cuándo y qué se observó o revisó (registros, entrevistas trianguladas, resultados de ejercicios). |
| 4️⃣ | Impacto: El riesgo o consecuencia del incumplimiento. Por qué es importante corregirlo (ej: incumplimiento de RTO contractual). |
| 5️⃣ | Conclusión · Declaración clara de que es una no conformidad (y su severidad). |
| 🩹 | Corrección · Solución inmediata para contener el problema. Ejemplo: Actualizar el plan de continuidad añadiendo el procedimiento cloud que faltaba. Esto NO previene recurrencia. |
| 🔧 | Acción correctiva: Elimina la causa raíz para prevenir recurrencia. Ejemplo: Revisar el proceso de gestión de cambios para exigir que cualquier cambio tecnológico dispare la actualización automática del plan de continuidad, con responsables y checklist. |
| ❓ |
5 Porqués (ejemplo) 1. ¿Por qué el plan de continuidad no se actualizó tras la migración a cloud? "Porque el procedimiento de gestión de cambios no lo exige." 2. ¿Por qué el procedimiento no lo exige? "Porque se creó antes de adoptar cloud." 3. ¿Por qué no se actualizó el procedimiento? "Porque no hay un proceso de revisión periódica de procedimientos." Causa raíz: Ausencia de un proceso sistemático de revisión y actualización de la documentación de continuidad ante cambios organizacionales. |
| ⚠️ | Causas superficiales no aceptables: "Falta de tiempo", "Error humano", "No lo sabíamos". Si la causa no explica el porqué, no es raíz. |
| 📋 | Elementos obligatorios · Acción específica, responsable, fecha de implementación, recursos asignados, evidencia esperada de implementación, KPI de eficacia. |
| ❌ | Plan deficiente: "Capacitaremos al equipo." (¿quién? ¿cuándo? ¿cómo se mide que funcionó?) |
| 📊 | Evidencia de eficacia · Nueva medición después de la implementación, nuevo muestreo que confirma que el problema no reaparece, auditoría de seguimiento. |
| ✅ | Criterio de cierre: Corrección implementada + causa raíz tratada + eficacia verificada + evidencias archivadas y trazables al hallazgo. |
| 1 | La mejora continua (10.1) debe evidenciarse con acciones reales, no solo intenciones. |
| 2 | Una NC se redacta con: Criterio + Condición + Evidencia + Impacto + Conclusión. |
| 3 | Corrección ≠ Acción correctiva. La corrección contiene; la acción correctiva previene recurrencia. |
| 4 | El auditor debe validar que el análisis de causa raíz sea profundo (no superficial). |
| 5 | Una NC solo se cierra cuando la eficacia de la acción correctiva está verificada con evidencia posterior. |
Este módulo debe utilizarse dentro de auditoría de continuidad de negocio, BIA, estrategias, planes, ejercicios y mejora. Su valor no está en repetir definiciones, sino en decidir qué debe ocurrir, quién participa y cómo se demuestra.
Para trabajar «Mejora y No Conformidades», comienza delimitando alcance, criterio, responsables, operación, evidencias y mejora. Después conecta el requisito o principio con los procesos, sistemas, terceros y decisiones que realmente existen en la organización.
Los actores habituales serán Dirección, Continuidad, Tecnología, Operaciones, Comunicación y propietarios de procesos. No todos ejecutan el control, pero cada uno puede aportar una parte del contexto, la evidencia o la decisión.
La documentación no debería ser una colección de archivos aislados. Debe permitir seguir una relación lógica entre criterio, decisión, actividad y resultado.
Cada evidencia necesita contexto: sistema o proceso al que pertenece, periodo cubierto, fuente, responsable y estado. Sin esos datos, una captura o un documento pueden ser auténticos pero insuficientes.
Escenario: un servicio crítico declara un RTO de cuatro horas, pero su recuperación depende de infraestructura y proveedores no probados. El objetivo no es memorizar una respuesta, sino reconstruir qué debería verificarse y con qué evidencia.
Define el alcance y concreta alcance, criterio, responsables, operación, evidencias y mejora.
Contrasta entrevistas con documentos, registros y observación de la operación.
Separa hechos, criterio aplicable, impacto y acción necesaria.
La organización realiza cada año el mismo ejercicio de escritorio con idénticos participantes y sin medir objetivos.
Sala de crisis, guion, inyección de eventos y registro de decisiones.
¿Qué haría útil el siguiente ejercicio?
Respuesta orientativa: Cambiar alcance, introducir dependencias y medir objetivos concretos.
durante el ejercicio aparece una incidencia real?
Revisa cómo cambian alcance, riesgo, responsabilidad, evidencia y decisión.
Confirma criterio, condición y suficiencia de la muestra. Una sospecha útil todavía no es una conclusión defendible.
Esto no desbloquea el módulo siguiente ni modifica tu progreso. Es una autocomprobación antes de pulsar Continuar.
Mejora continua del BCMS
Qué es una no conformidad en BCMS
Fórmula para redactar una NC defendible