ISO 22301:2019: La Lista Maestra de Documentación para tu SGCN
Documentar un Sistema de Gestión de Continuidad de Negocio (SGCN) bajo la norma ISO 22301:2019 no tiene por qué ser un laberinto de papel. Aunque la norma es flexible, existen pilares documentales que garantizan que, ante una crisis, tu organización no solo sobreviva, sino que se recupere con precisión.
Si la interrupción de tus actividades críticas no es una opción, el cumplimiento de los requisitos documentales es el primer paso hacia la resiliencia. A continuación, desglosamos la información documentada esencial que debes tener.
1. Fundamentos y Estrategia (El “Qué” y el “Por qué”)
Antes de actuar, el sistema debe estar definido. Estos documentos establecen el marco legal y operativo:
- Contexto de la Organización: Determinación de las cuestiones externas e internas.
- Alcance del SGCN: Documento que delimita qué partes del negocio están protegidas.
- Política de Continuidad de Negocio: Declaración de la Alta Dirección que sirve como marco de referencia.
- Objetivos de Continuidad: Metas medibles y coherentes con la política.
- Procedimiento de Requisitos Legales: Metodología para identificar y actualizar las regulaciones aplicables.
2. Análisis y Operación (El Corazón del SGCN)
Aquí es donde los datos se convierten en estrategia. No se puede proteger lo que no se entiende:
- Análisis de Impacto al Negocio (BIA): Identificación de actividades críticas y determinación de tiempos clave como RTO, RPO y MTPD.
- Evaluación de Riesgos (RA): Identificación de amenazas, vulnerabilidades y el apetito de riesgo.
- Estrategias y Soluciones: Documentación de las decisiones tomadas para mitigar riesgos.
3. Planes de Respuesta (El “Cómo”)
En el momento de la crisis, estos documentos son la guía de supervivencia del personal:
- Procedimientos de Respuesta a Incidentes: Estructura de respuesta, roles y protocolos de escalación.
- Planes de Continuidad de Negocio (PCN): Pasos detallados para recuperar las actividades críticas tras una disrupción.
- Procedimientos de Vuelta a la Normalidad: Pasos para restaurar la operación habitual de forma segura.
- Plan de Comunicación: Protocolo de “quién dice qué a quién” (autoridades, clientes y empleados).
4. Soporte, Evaluación y Mejora
Un SGCN debe probarse y refinarse constantemente. Es vital mantener registros de:
- Evidencia de Competencias y Capacitación: Registros que avalen que el personal es apto para su rol.
- Plan y Resultados de Pruebas: Registro de simulacros y lecciones aprendidas.
- Auditoría Interna y Revisión por la Dirección: Informes de cumplimiento y supervisión de líderes.
- No Conformidades y Acciones Correctivas: Registro de fallas detectadas y sus soluciones definitivas.
Conclusión: El equilibrio es la clave. No es obligatorio tener un archivo independiente por cada punto. El éxito radica en que la documentación sea lo suficientemente robusta para ser auditable, pero lo suficientemente simple y clara para ser ejecutada bajo presión.
