¿Para qué me sirve esta actividad? 📚
Esta actividad te ayudará a documentar formalmente el alcance, procesos, áreas, limitaciones y la aplicabilidad de tu Sistema de Gestión de Continuidad del Negocio (SGCN). Debe llevarse a cabo al inicio de la implementación de tu SGCN para acotarlo adecuadamente, y debe actualizarse siempre que haya cambios significativos en la operación, servicios o estructura de la empresa.
La definición del alcance es un paso estratégico cuyo objetivo principal es establecer con claridad qué es lo que el SGCN está buscando proteger ante una posible interrupción en las operaciones de la empresa.
La definición correcta de este alcance te permitirá optimizar mejor los recursos al enfocar los esfuerzos de continuidad únicamente en las operaciones verdaderamente críticas, y preparar a la organización para demostrar claridad y control operativo frente a las auditorías de certificación.
¿Qué tengo que hacer? 🚀
💡El enunciado final debe estar completamente alineado a las operaciones y necesidades reales de tu empresa, y a tu motivación para certificarte.
Recomendamos ampliamente ver los vídeos del siguiente artículo para complementar esta lectura: Definición del alcance del SGSI (aunque se hable de otra normativa, las recomendaciones y pasos a seguir aplican igual para un SGCN).
Entonces, para realizar esta actividad te recomendamos considerar los siguientes puntos:
Identifica qué buscas proteger.
Analiza y define qué productos y servicios son prioritarios para tu negocio, considerando siempre tus obligaciones con los clientes, los requisitos legales aplicables y las expectativas de las partes interesadas.
Puedes hacerlo también identificando el motivo de implementación, es decir por qué tu empresa busca implementar un Sistema de Gestión de Continuidad del Negocio y/o certificarse en la ISO 22301. Puede ser por exigencias de clientes, de autoridades / entidades reguladoras, por expansión de mercado, etcétera.
Define las áreas funcionales alcanzadas.
Identifica qué áreas participarán directamente en los procesos incluidos dentro del alcance.
Puedes considerar áreas como Tecnología, Operaciones, Atención al Cliente, Finanzas, Producto, Desarrollo u otras que participen en actividades críticas del negocio y/o aquellas que habilitan su continuidad.
Recuerda que no se certifica "toda la empresa", por lo que no es necesario incluir todas las áreas, pero sí aquellas que tengan una participación relevante en los procesos, productos o servicios definidos dentro del alcance.
Define los procesos, productos y servicios que deseas incluir.
Identifica los procesos, productos y/o servicios que serán objeto de implementación y certificación.
Prioriza aquellos que sean relevantes para el negocio, críticos para la operación o directamente aquellos solicitados por clientes o autoridades / entidades reguladoras.
Asegúrate de que cada proceso incluido esté documentado y que las personas involucradas conozcan cómo se ejecuta, qué información utiliza y qué resultados genera.
Evita definir procesos demasiado amplios o generales si luego no podrás demostrar cómo se gestionan en la práctica.
Revisa procesos relacionados, dependencias e interferencias.
Identifica los procesos que, aunque no estén incluidos de forma central dentro del alcance, interactúan con los procesos, productos o servicios que deseas certificar.
Estas dependencias pueden existir, por ejemplo, cuando un área presta soporte, aprueba pagos, administra accesos, entrega infraestructura, gestiona contratos o procesa información necesaria para el proceso alcanzado.
Documentar estas relaciones ayuda a comprender el contexto completo del SGCN, y evita que se omitan actividades relevantes durante la implementación.
Dentro de nuestra metodología, este análisis de procesos relacionados, dependencias e interferencias se realiza dentro de la Política de SGCN.
Identifica sistemas, infraestructura y proveedores involucrados.
Identifica qué sistemas, infraestructura, herramientas y componentes tecnológicos intervienen en los procesos incluidos dentro del alcance.
Considera sistemas desarrollados internamente, CRMs, ERPs, plataformas de soporte, herramientas de colaboración, servicios cloud, soluciones SaaS, IaaS o PaaS, proveedores de hosting, sistemas de nómina u otras aplicaciones utilizadas por la organización.
También revisa si existen proveedores o terceros que tengan acceso, almacenen información o participen en la operación de los procesos incluidos.
Toda esta información te ayuda a comprender y visualizar mejor todo el entorno en el cual se permeará la implementación de los controles normativos.
Redacta tu enunciado de alcance.
Utilizando las respuestas de los pasos anteriores, redacta un párrafo claro indicando las áreas funcionales y los procesos o servicios específicos alcanzados.
Utiliza el modelo del enunciado que te proponemos usar para redactar un párrafo claro, concreto y coherente.
💡Recomendación de auditoría: Es vital que durante una auditoría de certificación, los participantes de tu empresa cuenten con el conocimiento y la evidencia sobre todos los elementos alcanzados por el SGCN para que puedan explicarlo sin ningún problema.
Recuerda que esta definición de alcance es el comienzo de tu implementación, y esta primera actividad funge como un espacio de trabajo colaborativo entre el equipo que estará cargo para crear el enunciado final, el cual deberá copiarse textualmente en tu Política de SGCN y estar disponible como información documentada.
💡 Los pasos a seguir para terminar la actividad dentro de la plataforma son los siguientes:
Una vez que nuestro equipo haya aprobado la actividad, debes subir el documento final en versión PDF (no editable).
Recomendaciones ✅
Lleva los procesos declarados en este alcance a tu Análisis de Impacto en el Negocio (BIA).
Evita incluir activos o procesos "por si acaso"; incluye estrictamente lo necesario para garantizar la resiliencia de tus servicios prioritarios.
Conserva evidencia de las reuniones, análisis o decisiones que respaldaron la definición inicial del alcance, especialmente cuando existan exclusiones o límites relevantes.
Define un responsable para revisar el alcance de forma periódica y ante cambios importantes, como adquisiciones, reestructuraciones, lanzamiento de nuevos productos o incorporación de proveedores críticos.
Antes de una auditoría, asegúrate de que todos los participantes y responsables de los procesos incluidos conozcan este enunciado, sepan donde se encuentra documentado y puedan explicar qué actividades realizan, qué información tratan dichos procesos y cómo se relacionan con el SGCN.
Verifica que los nombres de áreas, procesos, productos, servicios y sistemas se utilicen de forma consistente en todos los documentos del sistema.
Mantén un registro de las versiones anteriores del alcance cuando se produzcan modificaciones relevantes, para demostrar trazabilidad y evolución del sistema.
¡Califica este artículo 👇, esto nos ayudará a mejorar nuestro contenido para ti! También puedes contactarnos por correo electrónico o a través de la plataforma, y te brindaremos la atención que necesites.