Nuestro template te sugiere ejemplos de un análisis PESTEL para el análisis del entorno externo (incluyendo factores políticos, económicos, tecnológicos) y un análisis FODA (Fortalezas, Oportunidades, Debilidades, Amenazas) para el análisis del entorno interno.

Asegúrate de que la información declarada corresponda a los retos reales que enfrenta tu modelo de negocio hoy en día.

Adapta la lista de partes interesadas internas y externas, como lo son clientes, proveedores, empleados, inversionistas, entidades reguladoras, autoridades, etcétera, así como sus requerimientos específicos y expectativas reales que tienen o podrían tener sobre tu empresa al implementar un SGCN.

Debes colocar el enunciado de alcance que trabajaste en la actividad Alcance del SGCN en el apartado correspondiente donde se solicita dentro del template de esta política.

Recuerda que en este enunciado se identificaron los productos o servicios de tu empresa que deseas proteger o que serán el objeto de certificación, así como las áreas involucradas en ellos.

También deberás analizar los procesos operativos relevantes, el área responsable de cada uno, y las interacciones o dependencias que existan entre ellos.

Define también la ubicación física o lógica donde se desarrollan los procesos alcanzados, incluyendo oficinas, países, servidores o proveedores de nube, cuando corresponda.

Verifica que la política establezca que la empresa implementa, mantiene y mejora continuamente el SGCN mediante los procesos necesarios.

Garantiza que las responsabilidades de la Alta Dirección, Comité de Continuidad del Negocio y/o rol encargado se encuentren correctamente asignadas.

Es muy importante que la Alta Dirección se comprometa a asignar recursos, aprobar documentos, apoyar la implementación del sistema de gestión y promover su mejora continua.

Confirma que las políticas y procedimientos relevantes serán comunicados al personal y, cuando corresponda, a las partes interesadas.

Explica que la empresa planifica la gestión de riesgos y oportunidades considerando el contexto de la organización y las necesidades de las partes interesadas.

Define cómo se integrarán las acciones de tratamiento de riesgos dentro de los procesos del SGCN, y verifica que se establezca cómo será medida la efectividad de dichas acciones.

Verifica que la empresa haya definido una metodología que incluya los criterios de aceptación y evaluación de riesgos. Dicha metodología debe permitir identificar, analizar y priorizar riesgos relacionados con la pérdida de la integridad y disponibilidad de la información o sistemas, interrupción de las operaciones, caídas de servicios y otros escenarios de emergencia que impactan la continuidad del negocio.

Cada riesgo deberá tener un responsable, una evaluación de probabilidad e impacto, y un nivel de prioridad.

Utiliza los resultados de la evaluación para seleccionar la opción de tratamiento aplicable o más adecuada para cada riesgo.

Documenta el plan de tratamiento, los responsables, las acciones previstas y los niveles de riesgo residual.

Se recomienda definir de 3 a 5 objetivos de continuidad del negocio que sean claros, alcanzables por la organización y medibles.

Un ejemplo sencillo y común de un objetivo de continuidad podría ser: Mantener la disponibilidad de la plataforma principal en un 99.9%.

Estos objetivos deben estar alineados también con los objetivos o metas propias del negocio, de manera que la privacidad se integre en las operaciones de la empresa.

Considera los resultados de la evaluación y los planes de tratamiento de riesgos al definir o actualizar los objetivos.

La Metodología de Indicadores de Continuidad del Negocio te ayuda a definir qué se medirá, con qué recursos, quién será responsable y cómo se evaluarán los resultados. Y los registros de las mediciones, sus resultados, fechas, acciones correctivas, etcétera quedan en el Listado de Métricas e Indicadores.

Te recomendamos también leer nuestro artículo Definición de objetivos y métricas para un sistema de gestión para ayudarte a completar esta parte de tu política.

Define que cualquier cambio relevante al SGCN debe realizarse de manera planificada.

Verifica que los cambios sean aprobados por la Alta Dirección y/o Comité de Continuidad del Negocio cuando corresponda, y comunicados a las áreas o partes interesadas afectadas.

Considera cambios como la incorporación de un nuevo servicio, proveedor, sistema, tratamiento de datos, requisito legal, proceso operativo o modificación relevante de la infraestructura tecnológica.

Confirma que la empresa cuente con recursos, presupuesto, competencias, capacitación y medios de comunicación suficientes para operar el SGCN.

Verifica que las personas con funciones relevantes reciban capacitación y conozcan su contribución al sistema y a la continuidad del negocio.

Revisa que las comunicaciones internas y externas se gestionen correctamente.

Asegúrate de que la información documentada del SGCN tenga responsables de elaboración, revisión y aprobación.

Verifica que los documentos cuenten con identificación, control de cambios, almacenamiento adecuado, acceso controlado, retención y disposición cuando corresponda.

Revisa que la empresa mida y evalúe periódicamente el desempeño y efectividad del SGPI.

Confirma que las actividades de medición estén vinculadas con la Metodología de Indicadores de Continuidad del Negocio y el Listado de Métricas e Indicadores, como ya se estableció previamente en la definición de los objetivos de continuidad.

Asegura que la Alta Dirección y/o el Comité de Continuidad del Negocio realicen revisiones periódicas del SGCN mediante sesiones de trabajo colaborativas, y se deje evidencia de ello (podría ser por medio de las minutas de comité). Esta revisión debe considerar los acuerdos de sesiones anteriores, cambios internos o externos relevantes, necesidades de las partes interesadas y resultados de auditorías.

Después de una primera auditoría o revisión formal del SGCN, se deben también revisar y dar seguimiento a no conformidades, acciones correctivas, cumplimiento de objetivos, retroalimentación de partes interesadas, riesgos nuevos y residuales, estado de los planes de tratamiento y oportunidades de mejora.

Ante una no conformidad, la empresa debe controlarla, corregirla, analizar sus causas, implementar acciones y verificar su efectividad.

El detalle de cada hallazgo, causa raíz, responsable y fecha de cierre debe registrarse en el Plan de Tratamiento de Acciones Correctivas y de Mejora.

Asegúrate de que las acciones correctivas sean proporcionales al incumplimiento detectado.

Al finalizar, completa la tabla de versionado indicando quién elaboró la política, quién la aprobó, la fecha de aprobación y la clasificación de la información.

Recomendamos que esta evidencia sea a través de una minuta de sesión de comité (en ese caso, debes subir el documento en PDF de la minuta), o con una captura de pantalla de la respuesta explícita de quién o quiénes lo aprobaron.

Esto debe realizarse por algún medio de comunicación interno de la empresa, como Slack, Teams o el correo electrónico organizacional.

O también puedes utilizar la funcionalidad de aprobación que tiene la plataforma Hackmetrix.

Al igual que la aprobación, la comunicación del documento puede ser por cualquier medio formal interno de la empresa. Y para esto, debes subir una captura de pantalla donde se muestre que el documento fue comunicado a todos los colaboradores interesados.

O también puedes utilizar la funcionalidad de comunicación que tiene la plataforma Hackmetrix.