Por: CP Iván Rodríguez. Colaborador de Auditool
Desde ya hace algún tiempo se ha entendido por continuidad del negocio (Business Continuity Management – BCM) al conjunto de planes, procedimientos y documentos destinados a garantizar que una organización pueda recuperarse después de una interrupción importante. En el entorno empresarial actual, las organizaciones operan en ecosistemas digitales altamente interconectados, donde conviven inteligencia artificial, servicios en la nube, cadenas globales de suministro, proveedores estratégicos, plataformas SaaS, trabajo distribuido y una creciente dependencia tecnológica, el BCM se ha vuelto más complejo puesto que una interrupción rara vez permanece confinada a un único proceso. Un incidente de ciberseguridad, la caída de un proveedor de servicios en la nube, una falla de un algoritmo de inteligencia artificial o un evento geopolítico pueden propagarse rápidamente a través de múltiples procesos críticos, generando efectos en cascada que los planes tradicionales de continuidad no siempre son capaces de contener o por lo menos, no con rapidez y facilidad.
El problema, la mayoría de las veces, no radica en la ausencia de planes sino en la fragmentación de la organización, la escasa comprensión de sus dependencias operativas y la falta de integración entre las funciones responsables de la resiliencia.
Surge entonces una preocupación para la alta dirección (y para la auditoría) y es por qué las organizaciones, a pesar de poseer programas maduros de continuidad del negocio continúan fallando cuando enfrentan una crisis real. La respuesta es contundente: el problema, la mayoría de las veces, no radica en la ausencia de planes sino en la fragmentación de la organización, la escasa comprensión de sus dependencias operativas y la falta de integración entre las funciones responsables de la resiliencia.
Brecha entre percepción y realidad
En un reciente informe "When Business Continuity Fails", elaborado por Optro (antes AuditBoard)[1], se muestra que hay una enorme diferencia entre la percepción de preparación y el desempeño efectivo durante una crisis. La mayoría de las organizaciones considera que sus programas de continuidad son maduros. Sin embargo, los datos reales muestran que menos de la mitad de las organizaciones logró cumplir sus tiempos objetivos de recuperación durante el incidente más significativo experimentado recientemente. Además, muchas sufrieron pérdidas económicas superiores al millón de dólares, afectaciones a clientes, interrupciones prolongadas de los servicios y disminución de la productividad del personal. Esta diferencia entre confianza y resultados evidencia que muchas empresas siguen evaluando su resiliencia mediante indicadores de cumplimiento documental, tales como la existencia de políticas, procedimientos o comités, en lugar de medir su verdadera capacidad para responder bajo condiciones reales de presión.
El informe identifica un concepto que está presente en todas sus conclusiones: la fragmentación. Esto ocurre pues las organizaciones suelen distribuir la gestión de riesgos entre múltiples áreas, por ejemplo:
Cada área trabaja correctamente dentro de su ámbito, pero pocas organizaciones integran toda esta información para construir una visión única de la resiliencia operacional. Cuando ocurre una crisis, esta separación genera múltiples problemas, decisiones lentas, información contradictoria, responsabilidades poco claras, duplicidad de esfuerzos e incapacidad para comprender el efecto dominó entre procesos. Entonces la resiliencia deja de depender de la calidad de un plan escrito y pasa a depender de la capacidad de coordinación entre personas, procesos, tecnologías y terceros. Adicionalmente, muchas organizaciones conocen cuáles son sus procesos críticos, pero desconocen completamente de qué dependen dichos procesos para funcionar.
🔗 El riesgo de terceros: la vulnerabilidad más subestimada
A esto hay que agregar que la mayoría de las organizaciones ha experimentado incidentes importantes relacionados con proveedores y terceros y que una proporción considerable de esas interrupciones produjo pérdidas económicas millonarias. Sin embargo, pocas empresas realizan ejercicios conjuntos de continuidad con sus proveedores estratégicos. Si bien muchas organizaciones conocen la documentación presentada por sus proveedores, nunca han comprobado cómo responderían ambas partes ante una interrupción simultánea.
La auditoría debe (cuando corresponda) superar la verificación de la existencia de planes, políticas y controles que garanticen la continuidad del negocio y ampliar significativamente su enfoque para evaluar aspectos tales como:
De esta manera, puede convertirse en un actor fundamental que contribuya a proporcionar aseguramiento independiente sobre la verdadera capacidad de la organización para enfrentar crisis complejas.
El éxito futuro no dependerá de quién posea el manual de continuidad más completo, sino de quién sea capaz de transformar la resiliencia en una competencia organizacional integrada, dinámica y basada en información confiable.
Como se aprecia, el desafío ya no consiste en elaborar más planes de continuidad, sino en superar la fragmentación que caracteriza a muchas organizaciones modernas. Las empresas cuentan con políticas, inversiones, tecnologías avanzadas y programas de continuidad teóricos; sin embargo, siguen experimentando fallas porque esas capacidades evolucionan de forma aislada y carecen de una visión integrada del riesgo. La resiliencia operacional exige comprender las interdependencias entre procesos, personas, tecnología, proveedores y decisiones de gobierno, coordinando a todas las funciones involucradas bajo un mismo marco de actuación. Es en este contexto, donde la auditoría adquiere un papel estratégico. Su misión ya no se limita a verificar el cumplimiento de procedimientos, sino a proporcionar aseguramiento sobre la capacidad real de la organización para resistir, adaptarse y recuperarse frente a eventos disruptivos. La evaluación de la resiliencia deberá abarcar entre otras áreas, el gobierno de la inteligencia artificial, la gestión de terceros, el mapeo de dependencias críticas, la integración entre funciones GRC y la eficacia de los mecanismos de respuesta. El éxito futuro no dependerá de quién posea el manual de continuidad más completo, sino de quién sea capaz de transformar la resiliencia en una competencia organizacional integrada, dinámica y basada en información confiable. Las organizaciones que logren construir esa visión compartida del riesgo estarán mejor preparadas para enfrentar un entorno caracterizado por la incertidumbre permanente y la aceleración constante del cambio.
[1] Ver: When business continuity fails
CP Iván Rodríguez - CIE AF
Colaborador de Auditool
Auditor y consultor, diplomado en Alta Gerencia de Seguros y Derecho de Seguros. Especialista en Dirección Financiera y Desarrollo Organizacional, diplomado en Gerencia de la Calidad. Contador público (CP) de la Pontificia Universidad Javeriana con 20 años de experiencia en diversas empresas. Tiene amplia experiencia en la elaboración y ejecución de auditorías y revisorías fiscales. Dirección y ejecución de asesorías, consultorías y capacitaciones. Colaborador de Auditool.
Y luego Agregar a la pantalla de inicio.
Escribir un comentario