¿Para qué me sirve esta actividad? 📚
Esta actividad te ayudará a identificar cuáles son los procesos vitales de tu organización y a evaluar objetivamente el daño operativo, financiero y reputacional que sufriría tu empresa si estos se interrumpieran.
El Análisis de Impacto en el Negocio (BIA) tiene como objetivo principal priorizar las operaciones del negocio y determinar qué recursos (personas, tecnología y proveedores) son estrictamente necesarios para mantener la empresa a flote durante una crisis.
Para el cumplimiento de normativas como la ISO 22301, el BIA es la piedra angular; es el documento que permite justificar ante los auditores por qué inviertes presupuesto en proteger ciertos sistemas y por qué has definido tiempos de recuperación específicos (como el RTO o el MTPD).
¿Cuándo debería realizarse?
Es ampliamente recomendable realizarlo antes de redactar cualquier Plan de Continuidad o Plan de Recuperación ante Desastres, y debe actualizarse anualmente, o cada vez que la empresa lance nuevos servicios, adquiera nueva tecnología crítica o cambie de proveedores esenciales.
Beneficios de documentarlo:
Puede ayudar a evitar o reducir el desperdicio de presupuesto al asegurar que las inversiones en seguridad y alta disponibilidad se destinen únicamente a los procesos que realmente lo justifican.
Puede ayudar a crear consenso real entre la Alta Dirección y el área de TI sobre cuánto tiempo puede sobrevivir el negocio con los sistemas caídos.
¿Qué tengo que hacer? 🚀
💡Este documento debe ser realista e involucrando a los líderes operativos de cada área (los dueños de los procesos). Nuestro template en formato de matriz concentra toda la información clave que necesitas relevar.
Al trabajar en el template, te recomendamos primero leerlo en su totalidad para así comprender la información que deberás documentar posteriormente. Y para completarlo de forma adecuada, te sugerimos este paso a paso:
Identificación y descripción del proceso.
Comienza listando tus procesos críticos. Describe qué hacen, quién es el responsable y en qué plataforma se ejecutan. Puedes también asignar un ID único para facilitar su identificación.
Registra cuidadosamente las entradas (qué necesita el proceso para funcionar) y las salidas (qué produce el proceso), así como qué otros procesos dependen de él o interfieren.
Mapeo de los recursos críticos. Para cada proceso analizado, debes listar qué es lo que necesita para su correcta ejecución, considerando los siguientes aspectos:
Personas: Roles indispensables (ej. Administrador de Sistemas).
Tecnología: Software y hardware necesario (ej. ERP SAP, Laptops con VPN).
Proveedores: Terceros sin los cuales la operación se detiene (ej. AWS, DHL, pasarela de pagos).
Infraestructura: Oficinas físicas o almacenes requeridos, o si el proceso puede ser 100% remoto.
Evaluación de impacto y tiempos críticos.
Describe cómo empeora el daño a medida que pasa el tiempo (ej. a las 4h hay quejas, a las 24h hay pérdida financiera, a la semana hay daño reputacional irreversible).
Define el MTPD (Máximo Periodo Tolerable). Este es tu punto de no retorno; el tiempo máximo absoluto que la empresa soporta antes de quebrar o sufrir daños fatales.
Aspectos clave adicionales sobre el MTPD |
|
💡 Error común de auditoría: Declarar un MTPD (tiempo de muerte del negocio) menor que el tiempo que te tomará recuperarlo. El límite de tolerancia siempre debe ser mayor a tus tiempos de recuperación operativos.
Estrategia de recuperación seleccionada y análisis costo-beneficio.
Detalla brevemente las soluciones técnicas para proteger el proceso considerando etapas de prevención, de respuesta y de recuperación.
Justifica financieramente tu decisión. Por ejemplo: "El costo de tener redundancia en AWS es justificable frente a la pérdida sostenida de ventas y el impacto reputacional tras 24h de inactividad".
Completa el versionado del documento.
Al finalizar el documento, completa la sección de versionado para identificar quién elaboró el documento, quién lo aprobó, la fecha y la clasificación de la información.
También ayuda a demostrar que el documento fue revisado, aprobado y comunicado formalmente dentro de la organización y a las partes interesadas.
Todos los puntos anteriores aportan al cumplimiento normativo, ya que permite tener una trazabilidad adecuada y un control de los cambios realizados al documento.
💡Los pasos a seguir para terminar la actividad dentro de la plataforma son los siguientes:
Una vez que nuestro equipo haya aprobado la actividad, debes subir el documento final en versión PDF (no editable).
Posteriormente, debes subir la evidencia de su aprobación.
Recomendamos que esta evidencia sea a través de una minuta de sesión de comité (en ese caso, debes subir el documento en PDF de la minuta), o con una captura de pantalla de la respuesta explícita de quién o quiénes lo aprobaron.
Esto debe realizarse por algún medio de comunicación interno de la empresa, como Slack, Teams o el correo electrónico organizacional.
Y por último, debes subir la evidencia de su comunicación.
Al igual que la aprobación, la comunicación del documento puede ser por cualquier medio formal interno de la empresa. Y para esto, debes subir una captura de pantalla donde se muestre que el documento fue comunicado a todos los colaboradores interesados.
Recomendaciones ✅
Si todo es crítico, nada es crítico: Un error frecuente es que los directores de área declaren que todos sus procesos son "críticos" y requieren recuperarse en 1 hora. Utiliza el Análisis Costo-Beneficio para entender mejor, e incluso demostrar si es necesario, que recuperar procesos secundarios en tan poco tiempo es financieramente inviable.
Asegúrate de incluir en tu análisis los procesos mencionados o relacionados con tu enunciado de alcance de tu sistema de gestión de continuidad del negocio.
¡Califica este artículo 👇, esto nos ayudará a mejorar nuestro contenido para ti! También puedes contactarnos por correo electrónico o a través de la plataforma, y te brindaremos la atención que necesites.