¿Para qué me sirve esta actividad? 📚
Esta actividad te ayudará a establecer los pasos pertinentes y necesarios para resolver de raíz los hallazgos, problemas, desviaciones o fallas que se identifiquen en auditorías, revisiones, o que se presenten en las operaciones y estrategias de continuidad.
Su objetivo principal es estandarizar la forma en que se investigan las no conformidades y se planifican las soluciones para evitar que vuelvan a ocurrir, contribuyendo así de forma directa con la mejora continua del SGCN.
Este procedimiento se activa siempre que se reciba un reporte de auditoría (con no conformidades u observaciones), cuando un simulacro o prueba de continuidad falle, o tras un incidente real donde se detecten deficiencias en los planes.
¿Qué tengo que hacer? 🚀
💡Este documento debe reflejar cómo tu empresa gestiona realmente los incumplimientos, hallazgos y oportunidades de mejora.
Al trabajar en el template, te recomendamos primero leerlo en su totalidad para así comprender la información que deberás documentar posteriormente. Y para completarlo de forma adecuada, te recomendamos considerar lo siguiente:
Objetivo y alcance del procedimiento.
Verifica que el objetivo del documento se enfoque en gestionar acciones correctivas, preventivas y de mejora continua relacionadas con el aseguramiento de la continuidad del negocio.
Asegúrate de que el alcance cubra desde la identificación de una no conformidad o desviación hasta su implementación y monitoreo.
Revisión y clasificación.
Nuestro template contempla dos fuentes principales de identificación de hallazgos: resultados de auditorías (tanto internas como externas) y cualquier otra desviación o incumplimiento identificado por el personal. Puedes agregar otras, si lo consideras necesario.
Evita que los reportes queden únicamente en correos, mensajes o conversaciones informales sin un responsable asignado y un seguimiento oportuno.
Define quién será el responsable de recibir estos reportes, y quién debería clasificarlos según su gravedad. Si el hallazgo representa un riesgo inminente, el procedimiento debe exigir una acción de contención inmediata.
Analiza el impacto de cada situación sobre el SGCN y las operaciones de la empresa. Y posteriormente, prioriza la atención según su importancia, asegurando que las no conformidades mayores se gestionen primero.
Análisis de causa raíz.
No es suficiente solo con corregir o remediar el error, sino que es muy importante entender de dónde vino, cuál es su origen, qué lo provocó.
Utiliza el método de los 5 porqués u otra metodología que la empresa considere adecuada para identificar el origen real de la no conformidad o hallazgo. Sin importar el método, el análisis realizado para cada hallazgo debe quedar documentado ya que funge como evidencia de cumplimiento durante auditorías.
El objetivo es evitar soluciones superficiales y definir acciones que eliminen o reduzcan la causa real que produjo el problema. Y una vez identificada la causa raíz, evalúa qué acciones correctivas y/o preventivas resultan adecuadas.
Implementación de las acciones correctivas y/o preventivas.
El responsable asignado debe ejecutar las acciones dentro de las fechas definidas y solicitar apoyo a otras áreas cuando sea necesario.
El Business Continuity Manager (BCM) o rol equivalente dentro de tu empresa debe verificar el posible impacto de estas acciones para la continuidad del negocio y el propio SGCN.
Documentación y registro.
Verifica que el flujo indique claramente que el registro del hallazgo o desviación, su seguimiento y las soluciones aplicadas deben quedar plasmados en el Plan de Tratamiento de Acciones Correctivas, asignando responsables y fechas de cierre reales.
La información debe ser suficiente para que cualquier persona autorizada pueda comprender qué ocurrió, qué se decidió y/o qué falta por ejecutar.
Conserva evidencia que permita demostrar las acciones realizadas y el resultado obtenido, la cual puede incluir procedimientos actualizados, tickets, configuraciones, reportes de auditoría, capturas, registros de capacitación, aprobaciones internas, etcétera.
Verificación de eficacia de las acciones.
El responsable asignado debe volver a revisar si la acción realmente eliminó el problema de raíz. Si no fue eficaz, el procedimiento debería obligar a reabrir el caso.
También se recomienda verificar de manera periódica si las acciones implementadas solucionaron efectivamente la no conformidad o desviación. Y si el problema persiste o vuelve a ocurrir, analiza nuevamente la causa raíz e identifica las nuevas acciones correctivas pertinentes.
Informa al Comité de Continuidad y/o Alta Dirección sobre los resultados insatisfactorios de la implementación de dichas acciones.
Completa el versionado del documento.
Al finalizar, completa la tabla de versionado indicando quién elaboró el procedimiento, quién lo aprobó, la fecha de aprobación y la clasificación de la información.
Nuestro template está estructurado para guiar la revisión, clasificación, análisis, implementación y verificación de acciones correctivas y de mejora, pero recuerda que debes ajustarlo a la realidad operativa de tu empresa.
💡Los pasos a seguir para terminar la actividad dentro de la plataforma son los siguientes:
Una vez que nuestro equipo haya aprobado la actividad, debes subir el documento final en versión PDF (no editable).
Posteriormente, debes subir la evidencia de su aprobación.
Recomendamos que esta evidencia sea a través de una minuta de sesión de comité (en ese caso, debes subir el documento en PDF de la minuta), o con una captura de pantalla de la respuesta explícita de quién o quiénes lo aprobaron.
Esto debe realizarse por algún medio de comunicación interno de la empresa, como Slack, Teams o el correo electrónico organizacional.
O también puedes utilizar la funcionalidad de aprobación que tiene la plataforma Hackmetrix.
Y por último, debes subir la evidencia de su comunicación.
Al igual que la aprobación, la comunicación del documento puede ser por cualquier medio formal interno de la empresa. Y para esto, debes subir una captura de pantalla donde se muestre que el documento fue comunicado a todos los colaboradores interesados.
O también puedes utilizar la funcionalidad de comunicación que tiene la plataforma Hackmetrix.
Recomendaciones ✅
Define un canal único para reportar desviaciones o incumplimientos, como un correo, formulario o sistema de tickets, para evitar que los hallazgos se pierdan en comunicaciones informales.
Cuando una no conformidad evidencie un riesgo muy grave que podría comprometer la continuidad del negocio, activa en paralelo el Procedimiento de Gestión de Incidentes y evalúa las obligaciones de notificación a externos, si corresponde.
Establece alertas internas para detectar acciones próximas a vencer y elevar oportunamente los retrasos que requieran recursos o decisiones del Comité de Continuidad y/o la Alta Dirección.
Limita el acceso al Plan de Tratamiento de Acciones Correctivas y de Mejora, ya que puede contener información sensible sobre debilidades, riesgos o controles internos.
¡Califica este artículo 👇, esto nos ayudará a mejorar nuestro contenido para ti! También puedes contactarnos por correo electrónico o a través de la plataforma, y te brindaremos la atención que necesites.