Solo el 26 % de los directivos empresariales cuenta con un plan de continuidad real, aunque el 94 % cree estar preparado para una interrupción. Esa diferencia no se debe a un fallo en la planificación. Se trata de un problema de medición: lo que la mayoría de las organizaciones denominan «plan» es, en el mejor de los casos, un documento que permanece sin leer en una unidad compartida. Cuando un ataque de ransomware bloquee sus sistemas a las 2 de la madrugada de un viernes, o un acontecimiento geopolítico paralice su cadena de suministro de la noche a la mañana, descubrirá muy rápidamente si su plan es real o teórico.
La continuidad del negocio no consiste en esperar lo peor. Se trata de garantizar que su organización pueda seguir tomando decisiones críticas —y atendiendo a sus partes interesadas— pase lo que pase. Esta guía aborda las estrategias, los marcos de trabajo y las consideraciones de gobernanza que diferencian a las organizaciones que sobreviven a las perturbaciones de aquellas que se ven abocadas a ellas.
Puntos clave
¿Qué es una estrategia de continuidad del negocio?
Una estrategia de continuidad del negocio (business continuity strategy) es un enfoque documentado y probado que permite a una organización mantener o reanudar rápidamente sus funciones críticas tras un incidente que interrumpa su actividad. Define qué hay que proteger, cómo se llevará a cabo la recuperación por fases, quién es responsable de cada decisión y qué recursos se necesitan para volver a la normalidad en un plazo aceptable.
Se trata de un sistema en el que se combinan el análisis de riesgos, los protocolos operativos, los canales de comunicación, la arquitectura tecnológica y las estructuras de gobernanza.
Estrategia de continuidad del negocio frente al plan de recuperación ante desastres
Estos dos términos se utilizan con frecuencia indistintamente. No debería ser así.
| Estrategia de continuidad del negocio (Business Continuity Strategy) | Plan de recuperación ante desastres (Disaster Recovery Plan) | |
|---|---|---|
| Ámbito de aplicación | La organización en su conjunto: personas, procesos y gobernanza | Principalmente sistemas informáticos y datos |
| Enfoque | Mantener las operaciones durante una interrupción | Recuperación de los sistemas tras una interrupción |
| Plazo | En tiempo real y de forma continua | Tras el incidente |
| Responsables | Dirección, Director Jurídico, Director de Operaciones, Riesgos | IT y director técnico |
| Activación | Cualquier acontecimiento que perturbe la actividad empresarial | Fallos técnicos o pérdida de datos |
Piense en la recuperación ante desastres como un subconjunto de la continuidad del negocio, el capítulo dedicado a las tecnologías de la información dentro de un manual de estrategias mucho más amplio.
Por qué la planificación de la continuidad del negocio no puede esperar
El panorama del riesgo organizativo ha cambiado de forma definitiva. El ransomware constituye ahora la principal causa de interrupción de la actividad empresarial a nivel mundial. Su tiempo medio de inactividad supera los 21 días por incidente. Las fallas en la cadena de suministro —aceleradas por las tensiones geopolíticas y la volatilidad comercial— afectan ahora a organizaciones que nunca se habían considerado expuestas a este riesgo. Los fenómenos meteorológicos extremos han pasado de ser casos aislados a formar parte de los supuestos de planificación.
La presión normativa sigue la misma trayectoria. La ley DORA (Ley de Resiliencia Operativa Digital de la UE) exige ahora que las entidades financieras que operan en Europa cuenten con marcos documentados de continuidad y recuperación.
¿Listo para DORA?
Vuelva a ver o descubra nuestro seminario web sobre DORA, en el que se abordan los principios de este nuevo marco normativo y se ofrecen consejos prácticos para prepararse para cumplir con la normativa DORA.
La NIS2 amplía estas obligaciones a un conjunto más amplio de sectores. Las organizaciones que han pospuesto la formalización de su gestión de la continuidad del negocio (BCM) no solo están expuestas a riesgos operativos, sino que, además, incumplen cada vez más la normativa.
El coste de no hacer nada ya no es algo abstracto. Una sola semana de parálisis operativa en una organización de tamaño medio suele suponer una cifra de siete dígitos si se tienen en cuenta la pérdida de ingresos, los costes de reparación, el daño a la reputación y el riesgo normativo. Definir la estrategia adecuada antes de que sea necesaria es, con diferencia, la opción más económica.
Los cinco pilares de una estrategia sólida de continuidad del negocio
Antes de poder elegir estrategias y establecer plazos de recuperación, es necesario sentar las bases analíticas. Si se salta este paso, su plan de continuidad del negocio se basará en suposiciones que no se mantendrán bajo presión.
1. Análisis del impacto en el negocio (Business Impact Analysis, BIA)
Un análisis de impacto en el negocio identifica qué funciones son fundamentales para la supervivencia de su organización. Y, además, cuantifica el coste que supondría su interrupción. Se plantea las siguientes preguntas: ¿qué pasaría si este proceso se detuviera durante una hora? ¿Y durante un día? ¿Y durante una semana?
El BIA compara cada función crítica con dos parámetros fundamentales: cuánto tiempo puede permanecer interrumpida antes de causar daños inaceptables (su «tiempo máximo de inactividad tolerable», o Maximum Tolerable Downtime, MTD) y qué recursos se necesitan para mantenerla en funcionamiento. Este es el documento en torno al cual debe diseñarse su estrategia de recuperación.
2. Evaluación de riesgos
Una vez que sabe qué es lo que está protegiendo, debe evaluar qué podría suponer una amenaza para ello. Una evaluación estructurada de riesgos abarca tanto las vulnerabilidades internas (puntos únicos de fallo, procesos no documentados, dependencia excesiva del personal clave) como las amenazas externas (ciberataques, fallos de los proveedores, cambios normativos, fenómenos naturales).
Establezca prioridades en función del impacto y la probabilidad. Los riesgos de alto impacto y alta probabilidad —por ejemplo, un ataque de ransomware contra su repositorio de documentos jurídicos— exigen planes de respuesta inmediatos y dotados de todos los recursos necesarios. Los riesgos de menor probabilidad requieren seguimiento, no movilización.
3. Identificación de funciones críticas
No todo se puede recuperar de una sola vez. Su estrategia debe definir qué funciones se restablecen en primer, segundo y tercer lugar. Y qué se considera «suficientemente bueno» en cada fase de la recuperación.
Para un equipo jurídico o de gobernanza, esto suele significar lo siguiente. En primer lugar, la toma de decisiones del consejo de administración. En segundo lugar, el seguimiento de las obligaciones contractuales. Y, en tercer lugar, la gestión de litigios. El orden depende de sus obligaciones contractuales, normativas y fiduciarias específicas.
4. Objetivos de tiempo de recuperación (Recovery Time Objectives, RTO) y objetivos de punto de recuperación (Recovery Point Objectives, RPO)
Estas dos métricas definen los límites de tu recuperación:
| Métrica | Definición | Ejemplo |
|---|---|---|
| RTO (Objetivo de tiempo de recuperación) | Tiempo máximo durante el cual una función puede permanecer fuera de servicio antes de que se produzcan daños irreversibles | Comunicaciones del consejo de administración: 4 horas |
| RPO (Objetivo de punto de recuperación) | Pérdida máxima de datos aceptable, medida en tiempo | Repositorio de contratos: 1 hora |
Los requisitos RTO y RPO son requisitos arquitectónicos vinculantes. Todas las decisiones tecnológicas y de procesos de su plan de continuidad del negocio deben diseñarse para cumplir con ellos.
5. Plan de comunicación
¿A quién se le avisa primero? ¿Quién se pone en contacto con las autoridades reguladoras? ¿Y quién se lo comunica a sus clientes? Una situación de continuidad del negocio es, al mismo tiempo, una situación de comunicación. Sin cadenas de escalación predefinidas, plantillas de notificación ni portavoces designados, tu respuesta será improvisada, y la comunicación de crisis improvisada resulta casi siempre perjudicial.
Su plan de comunicación debe abarcar a las partes interesadas internas (consejo de administración, directivos, departamento jurídico, RR. HH.), a las partes externas (clientes, proveedores, organismos reguladores) y a los medios de comunicación, con funciones bien definidas, mensajes previamente aprobados y canales alternativos en caso de que los sistemas principales dejen de funcionar.
7 estrategias fundamentales para la continuidad del negocio
Estos son los elementos tácticos básicos que utilizan las organizaciones para poner en práctica sus planes de continuidad. La mayoría de las organizaciones combinan varios de ellos, en lugar de optar por uno solo.
1. Redundancia geográfica (Geographic Redundancy)
La distribución de las operaciones, los centros de datos o el personal clave entre varias ubicaciones físicas garantiza que una interrupción localizada —como un incendio, una inundación o un corte de electricidad— no paralice a toda la organización.
Ejemplo: Un bufete de abogados internacional con oficinas en París, Londres y Chicago puede trasladar la gestión de documentos y las operaciones del consejo de administración a una región más alejada si se imposibilita el acceso a una de sus sedes.
2. Copia de seguridad y recuperación de datos
Las copias de seguridad periódicas, probadas y cifradas de los datos críticos —almacenadas fuera de las instalaciones o en la nube— constituyen la base de cualquier estrategia de continuidad. «Periódicas» significa, como mínimo, diarias; «probadas» significa que realmente se ha llevado a cabo una restauración a partir de ellas en una situación de presión.
Muchas organizaciones solo se dan cuenta de que sus copias de seguridad están incompletas o dañadas cuando las necesitan. La clave está en las pruebas, no en la programación.
3. Facilitación del teletrabajo
El paso al teletrabajo ha demostrado que la mayor parte del trabajo intelectual puede realizarse desde cualquier lugar, siempre que se cuente con las herramientas adecuadas. El acceso remoto seguro a los sistemas críticos, los repositorios de documentos nativos de la nube y las plataformas de colaboración digital ya no son medidas opcionales para garantizar la continuidad. Son requisitos imprescindibles.
En el caso concreto de los equipos de gobernanza y jurídicos, esto supone un acceso seguro a los materiales del consejo de administración, los registros de la entidad, los contratos y los documentos jurídicos desde cualquier dispositivo y en cualquier lugar, sin poner en riesgo la confidencialidad.
DiliTrust ofrece a los equipos jurídicos y de gobernanza precisamente eso: una plataforma segura y nativa de la nube a la que se puede acceder desde cualquier lugar. Véala en acción →
4. Diversificación de proveedores y de la cadena de suministro
La dependencia de un único proveedor constituye una vulnerabilidad para la organización. Una estrategia de continuidad que solo aborde riesgos internos y pase por alto la exposición a los proveedores es incompleta.
Analice sus relaciones con los proveedores clave. Identifique qué proveedores, si dejaran de prestar servicio mañana, paralizarían sus operaciones. Para cada uno de ellos, evalúe si existe una alternativa y cuáles son sus obligaciones contractuales en caso de que se produzcan interrupciones.
5. Sistema de respaldo para las comunicaciones
Si tus sistemas de comunicación principales dejan de funcionar —correo electrónico corporativo, intranet, telefonía—, necesita un canal alternativo independiente que permita contactar de inmediato con todas las partes interesadas. Puede tratarse de una plataforma de mensajería fuera de banda, un sistema de notificación de emergencias o protocolos de contacto personal acordados previamente para el personal clave.
Pruébelo antes de que lo necesite. Un sistema de respaldo sin probar tiene el mismo valor que la ausencia de dicho sistema.
6. Manuales de respuesta ante incidentes
Los planes de actuación documentados y ensayados para los escenarios de interrupción más probables —ataques de ransomware, incapacidad de un directivo clave, emergencias normativas, filtraciones de datos— eliminan la carga mental que supone tomar decisiones bajo presión. Su personal debe saber exactamente qué hacer y en qué orden, antes de que se produzca el incidente.
Los manuales de actuación más eficaces son breves. Una página por situación, como máximo. El objetivo es la claridad en situaciones de estrés, no la exhaustividad.
7. Formación transversal y transferencia de conocimientos
¿Qué ocurre cuando la única persona que conoce un proceso clave no está disponible? La formación transversal distribuye los conocimientos operativos entre varios miembros del equipo, esto elimina la dependencia de una sola persona.
Documente sus procesos clave. Determine quién puede llevarlos a cabo. Identifique las carencias y subsánelas antes de que una ausencia le obligue a plantearse la cuestión.
Cómo elaborar un plan de continuidad del negocio: paso a paso
Un Plan de Continuidad del Negocio (Business Continuity Plan, BCP) es el documento operativo que traduce tu estrategia en acciones concretas. A continuación le explicamos cómo elaborar uno que resista bajo presión.
Paso 1: Realice su análisis de impacto en el negocio (BIA). Empiece por el impacto, no por el riesgo. Averigue qué es lo que está protegiendo y por qué antes de empezar a planificar cómo hacerlo.
Paso 2: Evalúe y priorice sus riesgos. Utilice una matriz de riesgos estructurada. No caiga en la tentación de enumerar todas las amenazas imaginables. Céntrese en aquellas que sean a la vez relevantes y realistas.
Paso 3: Defina los RTO y los RPO para cada función crítica. Este paso obliga a debatir qué significa realmente «aceptable». Y pondrá de manifiesto los desacuerdos entre las partes interesadas, que es mejor resolver ahora.
Paso 4: Diseñe sus estrategias de respuesta. Para cada función crítica y sus respectivos escenarios de riesgo, defina las medidas concretas, los recursos y las personas responsables necesarios para mantener o restablecer las operaciones.
Paso 5: Elabore su plan de comunicación. a quién se avisa, en qué orden, a través de qué canales y con qué mensajes previamente aprobados. Hágalo antes de que lo necesite.
Paso 6: Documentación y distribución: Su plan de continuidad de negocio (BCP) debe ser accesible y estar almacenado en un lugar al que se pueda acceder incluso cuando los sistemas principales estén inoperativos. Lo habitual es utilizar repositorios basados en la nube con control de acceso.
Paso 7: Pruebe, actualice y vuelva a probar. un plan de continuidad del negocio (BCP) que no se haya probado es una hipótesis, no un plan. Realice simulacros, como mínimo, una vez al año. Simule situaciones realistas. Actualice el plan en función de lo que revelen los simulacros.
La brecha de gobernanza: lo que la mayoría de los planes de continuidad del negocio no cubren
La mayoría de los planes de continuidad del negocio (BCP) abordan la recuperación de los sistemas informáticos, los procesos operativos y la continuidad de la cadena de suministro. Muy pocos abordan lo que ocurre con la propia función de gobernanza. Es decir, quién toma las decisiones estratégicas durante una interrupción, si el consejo de administración puede reunirse a distancia o si el equipo jurídico puede acceder a los contratos y poderes necesarios para actuar.
La parálisis del liderazgo suele ser más perjudicial que el fallo técnico que la provocó. Consejos de administración que no pueden reunirse, directores jurídicos que no pueden acceder a sus documentos, secretarios corporativos que no pueden distribuir la documentación del consejo: no se trata de casos aislados. Son situaciones que ocurren.
La continuidad de la gobernanza requiere:
- Acceso remoto seguro a los documentos del consejo, el orden del día y las actas desde cualquier lugar
- Infraestructura digital para la toma de decisiones, resoluciones, votaciones y aprobaciones sin necesidad de reuniones presenciales
- Repositorios centralizados de documentos jurídicos que permanecen accesibles y listos para ser auditados durante las interrupciones del servicio
- Registros actualizados de la gestión de entidades para que los equipos jurídicos puedan verificar las delegaciones de autoridad y las estructuras de las filiales en tiempo real
Cómo la Suite Dilitrust puede ayudarle
La suite DiliTrust se ha diseñado precisamente para este contexto. Se trata de un único sistema nativo de la nube que permite a los consejos de administración tomar decisiones con rapidez, mantiene los contratos a la vista y garantiza que la documentación jurídica esté segura y sea accesible desde cualquier lugar. Cuando un auditor solicite las actas de una reunión del consejo de administración de hace dieciocho meses, su equipo debería responder en cuestión de minutos, no de días.
Así es como se traduce en la práctica la continuidad de la gobernanza
Para obtener más información sobre cómo pueden prepararse los consejos de administración ante situaciones de crisis, consulte: «Un plan de gestión de crisis para tu consejo de administración».
Marcos y normas clave para la gestión de la continuidad del negocio (BCM)
Si está creando o formalizando su programa de continuidad del negocio, estos marcos ofrecen una estructura reconocida en el sector:
Estrategia de continuidad del negocio: buenas prácticas
Si hay algo que deba recordar de esta guía, que sea esto: una estrategia de continuidad solo es tan buena como la última vez que la pusiste a prueba. A continuación, le presentamos la lista de comprobación que distingue los programas serios de las meras apariencias de cumplimiento:
- Documente todas las funciones críticas. Si solo están en la cabeza de alguien, se trata de un punto único de fallo.
- Defina los RTO y los RPO a nivel de función, no solo a nivel de infraestructura informática.
- Compruebe sus copias de seguridad, no se limite a programarlas
- Realice simulacros al menos una vez al año. E invite a los miembros del consejo y a los responsables del departamento jurídico, no solo al departamento de IT.
- Mantenga su plan de comunicación fuera de la red. No sirve de nada si solo está almacenado en los sistemas que están fuera de servicio.
- Asigne la responsabilidad de forma explícita: cada elemento de su plan de continuidad de negocio (BCP) debe tener una persona responsable designada y un suplente designado.
- Actualice tras cada prueba, cada incidente y cada cambio organizativo significativo
- Integre el riesgo de los proveedores: identifique las dependencias críticas y su situación en materia de continuidad
- Digitalice los procesos fundamentales para la gobernanza —reuniones del consejo de administración, acuerdos, acceso a contratos— antes de que una interrupción le obligue a improvisar.
- Revise anualmente los requisitos normativos: la DORA, la NIS2 y las normativas específicas de cada sector están evolucionando más rápido que la mayoría de los planes de continuidad de las actividades (BCP).
Preguntas frecuentes
¿Con qué frecuencia se debe probar un plan de continuidad del negocio?
Como mínimo, una vez al año. La mejor práctica consiste en realizar pruebas tras cada incidente significativo, cambio organizativo importante o variación relevante en el panorama de riesgos. Los ejercicios de simulación son el formato más eficaz para los equipos de gobernanza y jurídicos, ya que ponen de manifiesto las deficiencias en la toma de decisiones que las pruebas técnicas pasan por alto por completo.
¿Es obligatoria por ley la planificación de la continuidad del negocio?
Para muchas organizaciones de sectores regulados, sí. La DORA (Ley de Resiliencia Operativa Digital de la UE) exige marcos documentados de continuidad y recuperación de las TIC para las instituciones financieras en Europa. La NIS2 amplía obligaciones similares a un conjunto más amplio de sectores. Más allá de los mandatos formales, los clientes, las aseguradoras y los auditores esperan cada vez más que exista documentación sobre la continuidad del negocio como base de la diligencia debida de la organización, independientemente del sector.
¿Qué herramientas utilizan los equipos jurídicos y de cumplimiento normativo para la continuidad del negocio?
Los equipos jurídicos suelen recurrir a una combinación de gestión del ciclo de vida de los contratos basada en la nube, plataformas de gestión de entidades y portales seguros para el consejo de administración con el fin de mantener la continuidad. El requisito clave es que estas herramientas sigan siendo accesibles y estén preparadas para una auditoría durante una interrupción del servicio, no solo en una jornada laboral normal. La suite DiliTrust consolida los contratos, las entidades corporativas y la gobernanza del consejo de administración en una única plataforma nativa de la nube, de modo que los equipos jurídicos no tengan que lidiar con sistemas inconexos cuando el tiempo y el acceso son fundamentales.
Los equipos jurídicos necesitan las herramientas adecuadas para trabajar bien. Y su equipo también.
