¿Para qué me sirve esta actividad? 📚
Esta actividad te ayudará a registrar, planificar y remediar hallazgos y/o desviaciones detectadas por auditores internos, externos, colaboradores, clientes o tras realizar un simulacro fallido.
Además, ayuda a demostrar el cumplimiento de la cláusula de mejora continua de la normativa ISO 22301, probando que tu empresa no solo identifica sus errores, sino que investiga su causa y los corrige a corto, mediano y largo plazo.
Debe alimentarse inmediatamente después de recibir un informe de auditoría (interna o externa), tras identificar desviaciones en una revisión por la Alta Dirección y/o Comité de Continuidad, o cuando los resultados de un simulacro de continuidad no logren los objetivos (por ejemplo, si no se cumple el RTO).
¿Qué tengo que hacer? 🚀
💡Este documento debe reflejar el estado real de los hallazgos de tu empresa, especialmente los obtenidos durante auditorías (internas y externas), revisiones internas o actividades de mejora. El template editable contiene campos para documentar cada etapa, desde la identificación del hallazgo hasta la revisión de la eficacia de las acciones aplicadas.
Al trabajar en el template, te recomendamos primero leerlo en su totalidad para así comprender la información que deberás documentar posteriormente. Y para completarlo de forma adecuada, te recomendamos considerar lo siguiente:
Descripción y clasificación del hallazgo.
Redacta la descripción del hallazgo de la manera más clara y objetiva posible, evitando explicaciones ambiguas como “falta de cumplimiento” o “proceso incompleto”
Indica de qué fuente proviene (auditoría interna, auditoría externa, Prueba de Continuidad, etcétera).
Si el hallazgo proviene de una auditoría, mucha de la información solicitada en este template viene directamente en el reporte de resultados, por lo que solo debes trasladarla.
Indica si se trata de un evento recurrente. Esto permite detectar si una acción anterior fue insuficiente o si existe una causa estructural que todavía no fue resuelta.
Relaciona el hallazgo con el requisito aplicable y su evidencia.
Como bien decíamos en el punto anterior, si el hallazgo proviene de una auditoría, debes completar la información del requisito "afectado", colocando lo que venga en tu reporte de resultados.
Si es un hallazgo o desviación de otra fuente, también es muy recomendable indicar la cláusula contractual, obligación legal o procedimiento interno relacionado y/o "afectado".
Registra la evidencia que demuestra la situación detectada. Puede ser un reporte de auditoría, una captura de pantalla, un documento inexistente, un ticket, una configuración técnica, una entrevista o un registro operativo.
Causa raíz y evidencia.
Coloca un resumen de por qué sucedió el problema, e identifica correctamente la diferencia entre lo que corresponde a una evidencia (el síntoma) con la causa raíz (la enfermedad).
La causa raíz debe explicar qué originó realmente el hallazgo, no limitarse a repetir su descripción.
Definición de acciones.
Dependiendo el hallazgo o desviación identificado, puedes tomar dos tipos de acciones:
Correctivas: Lo que harás a corto plazo para apagar el fuego y arreglar el problema inmediato.
Preventivas: Lo que harás a mediano / largo plazo para que esto no vuelva a suceder.
Las acciones deben ser concretas, realistas y verificables. Evita expresiones generales como “mejorar el proceso” o “capacitar al equipo” sin detallar qué se realizará. Y cuando corresponda, vincula las acciones con otros documentos del SGCN para reforzar su correcta implementación.
Asignación de responsables y tiempos.
Asigna a un responsable con nombre y apellido, o pueedes asignar más de un responsable cuando la acción requiera participación de distintas áreas, pero procura que exista una persona principal encargada de coordinar el avance.
Registra la fecha de identificación del hallazgo, es decir, la fecha en la que fue comunicado, reportado o detectado.
Fija una fecha realista para el cierre del hallazgo o desviación, y una fecha de revisión. Pueden ser fechas estimadas pero es de suma importancia que se actualice luego con el dato real.
Establece un período de revisión para comprobar si las acciones fueron eficaces. Este período puede ser trimestral, semestral u otro plazo, según la complejidad del caso.
No cierres definitivamente una acción solo porque se implementó una medida. Debes verificar si esa medida corrigió realmente el problema y si podrá evitar que vuelva a producirse.
Completa el versionado.
Al finalizar, completa la tabla de versionado indicando quién elaboró el procedimiento, quién lo aprobó, la fecha de aprobación y la clasificación de la información.
Nuestro template está estructurado con campos para registrar el hallazgo, su causa raíz, acciones, responsables, fechas y revisión de eficacia, pero recuerda que debes ajustarlo al contexto real de tu empresa.
💡Los pasos a seguir para terminar la actividad dentro de la plataforma son los siguientes:
Una vez que nuestro equipo haya aprobado la actividad, debes subir el documento final en versión PDF (no editable).
Posteriormente, debes subir la evidencia de su aprobación.
Recomendamos que esta evidencia sea a través de una minuta de sesión de comité (en ese caso, debes subir el documento en PDF de la minuta), o con una captura de pantalla de la respuesta explícita de quién o quiénes lo aprobaron.
Esto debe realizarse por algún medio de comunicación interno de la empresa, como Slack, Teams o el correo electrónico organizacional.
O también puedes utilizar la funcionalidad de aprobación que tiene la plataforma Hackmetrix.
Y por último, debes subir la evidencia de su comunicación.
Al igual que la aprobación, la comunicación del documento puede ser por cualquier medio formal interno de la empresa. Y para esto, debes subir una captura de pantalla donde se muestre que el documento fue comunicado a todos los colaboradores interesados.
O también puedes utilizar la funcionalidad de comunicación que tiene la plataforma Hackmetrix.
Recomendaciones ✅
Este es un "documento vivo". En una auditoría de seguimiento, el auditor pedirá revisar este plan para verificar si arreglaste las no conformidades que te marcaron el año anterior.
Mantén los reportes de auditoría, evidencias técnicas y documentos que respaldan cada cierre de hallazgos en una ubicación centralizada y con acceso restringido.
Define internamente qué evidencia será necesaria para considerar eficaz cada acción, por ejemplo: una política aprobada, una capacitación realizada, una configuración implementada o un resultado de prueba satisfactorio.
No utilices este plan como sustituto del Procedimiento de Gestión de Incidentes. Si el hallazgo revela vulneraciones o posibles riesgos para la continuidad del negocio, debe activarse el procedimiento e implementarse correctamente, no solo realizar un registro en este plan.
Revisa el plan durante las sesiones del Comité de Continuidad, especialmente cuando existan no conformidades mayores, eventos recurrentes, riesgos altos o acciones vencidas.
Conserva trazabilidad cuando modifiques una fecha, responsable, acción o estado, para demostrar por qué se realizó el cambio y quién lo aprobó.
¡Califica este artículo 👇, esto nos ayudará a mejorar nuestro contenido para ti! También puedes contactarnos por correo electrónico o a través de la plataforma, y te brindaremos la atención que necesites.