Qué es un análisis de impacto en el negocio

El plan de continuidad tenía cuarenta páginas y una promesa repetida en varias de ellas: todo se recupera en veinticuatro horas. Nadie recordaba de dónde había salido esa cifra. Cuando un corte prolongado dejó fuera el sistema de facturación un miércoles, la operación descubrió tres cosas al mismo tiempo: que el área de cobranza podía esperar tres días sin daño real, que el portal de pedidos no aguantaba ni cuatro horas porque el cliente escalaba de inmediato, y que el respaldo del sistema de inventarios era de la noche anterior, con lo que ocho horas de movimientos se habían perdido. Las veinticuatro horas no eran un objetivo: eran una frase.

Qué es el análisis de impacto en el negocio

El análisis de impacto en el negocio es el estudio que determina qué actividades son prioritarias para la organización y cuánto daño causa su interrupción a lo largo del tiempo. No pregunta qué puede fallar, que es trabajo de la evaluación de riesgos, sino qué pasa si falla, sin importar la causa. Esa independencia de la causa es su rasgo más útil: la pérdida de un centro de datos duele igual si la originó un incendio, una inundación, un ataque o un error de configuración, y el plan de recuperación es el mismo.

El análisis se hace por actividad, no por departamento ni por sistema. Se listan las actividades que la organización ejecuta, se identifican los productos y servicios que sostienen y, para cada una, se estima cómo crece el impacto con el tiempo de interrupción: a la hora, a las cuatro horas, a las veinticuatro, a la semana. El impacto se evalúa en varias dimensiones, porque el dinero no siempre es la peor consecuencia: pérdida financiera directa, incumplimiento contractual y penalizaciones, incumplimiento legal o regulatorio, daño reputacional, afectación a la seguridad de las personas y afectación al cliente.

De ese perfil de impacto en el tiempo salen los parámetros que después gobiernan toda la inversión en continuidad. El tiempo objetivo de recuperación, o RTO, es el plazo máximo dentro del cual la actividad debe reanudarse para evitar un daño inaceptable. El punto objetivo de recuperación, o RPO, es la cantidad máxima de datos que la organización puede permitirse perder, medida en tiempo: un RPO de una hora significa que el respaldo o la réplica no puede tener más de una hora de atraso. Y el nivel mínimo de servicio define con qué capacidad basta al reanudar, porque casi nunca se necesita volver al cien por ciento de inmediato.

Cómo se hace y dónde se equivoca

El estudio empieza con el alcance: qué unidades, qué sitios y qué productos y servicios entran. Después se identifican las actividades con los dueños de proceso, mediante entrevistas o talleres, y se documenta para cada una qué entrega, a quién, con qué recursos y de qué otras actividades depende. Las dependencias son la parte que más valor aporta y la que más sorpresas trae: una actividad que parecía secundaria resulta ser el único punto por el que pasa la información que alimenta a tres actividades críticas, y una actividad que todos consideraban vital resulta tolerar dos días sin consecuencia.

Luego se estima el impacto en el tiempo con una escala común para toda la organización, porque si cada área usa su propio criterio, los resultados no se pueden comparar ni priorizar. Con esa escala se definen los plazos máximos tolerables de interrupción y, a partir de ellos y con un margen, los RTO. El orden importa: primero el impacto, después el plazo tolerable, después el objetivo de recuperación, y solo al final la solución técnica. Cuando se invierte el orden (elegir la tecnología y justificar después el RTO que esa tecnología permite) el análisis se convierte en una racionalización del gasto ya decidido.

Para cada actividad prioritaria se documentan los recursos mínimos necesarios para operar al nivel reducido acordado: personas con qué competencias, sistemas y datos, instalaciones, equipos, proveedores y servicios externos, e información. Ese inventario es el que después alimenta las estrategias de continuidad y hace visibles las dependencias de un solo proveedor, de una sola persona que sabe operar algo o de un archivo que vive en una computadora personal. El resultado del análisis es un informe con actividades priorizadas, RTO y RPO justificados, dependencias y recursos mínimos, revisado y aprobado por la dirección, y actualizado cuando la organización cambia.

Los errores típicos son tres. El primero es preguntarle a cada responsable qué tan crítico es su proceso, con lo que todo resulta crítico y nada se prioriza; se corrige forzando una escala común y una comparación entre áreas. El segundo es confundir el análisis de impacto con la evaluación de riesgos y terminar con una lista de amenazas en vez de una lista de plazos. El tercero es dejar el estudio en el área de sistemas, cuando quien conoce el daño real de una interrupción es el dueño del proceso de negocio, no quien administra el servidor.

Qué exige la ISO 9001

La ISO 9001 no obliga a tener un plan de continuidad ni menciona el análisis de impacto, pero apunta hacia él por varias vías. La planificación del sistema obliga a determinar los riesgos y oportunidades que es necesario abordar para asegurar que el sistema pueda lograr sus resultados previstos, prevenir o reducir efectos no deseados y lograr la mejora, y a planificar acciones para abordarlos. Una interrupción que impide entregar al cliente es exactamente un efecto no deseado, y abordarlo sin saber cuánto tiempo se tolera es planificar a ciegas.

A eso se suman otros requisitos que empujan en la misma dirección. El contexto y las necesidades de las partes interesadas obligan a considerar los requisitos del cliente y los legales, que muchas veces incluyen plazos de entrega o de servicio comprometidos. El control de los procesos suministrados externamente obliga a considerar el impacto potencial sobre la capacidad de cumplir de forma coherente, lo que abarca la dependencia de un proveedor único. Y la planificación de los cambios obliga a considerar la disponibilidad de recursos y la asignación de responsabilidades. En la práctica, muchas organizaciones llegan al análisis de impacto porque un cliente les exigió un plan de contingencia con tiempos comprometidos y descubrieron que no tenían con qué sustentarlos.

Qué agregan los sectores

La norma que desarrolla el tema es la de sistemas de gestión de la continuidad del negocio, que exige el análisis de impacto como requisito formal, con criterios de impacto definidos, plazos máximos tolerables, priorización de actividades y determinación de recursos, y lo liga con la evaluación de riesgos, las estrategias, los planes y los ejercicios de prueba. En seguridad de la información, la ISO 27001 incorpora la continuidad dentro de su conjunto de controles y exige tanto la continuidad de la seguridad ante una disrupción como la preparación de las instalaciones de procesamiento con redundancia suficiente para cumplir los requisitos de disponibilidad, que son justamente los que el análisis de impacto define.

En automotriz, la IATF 16949 exige planes de contingencia para interrupciones de suministro, fallas de equipo clave, eventos naturales, cortes de servicios y ciberataques, con notificación al cliente y pruebas periódicas de eficacia, lo que obliga a tener claro qué procesos no pueden parar y por cuánto tiempo. En servicios financieros y en tecnología, el análisis de impacto es además una exigencia de los clientes corporativos y de los reguladores, que piden ver los tiempos comprometidos y la evidencia de las pruebas. Y en alimentos y dispositivos médicos, la continuidad se cruza con la inocuidad y con la seguridad del paciente: hay actividades cuya interrupción no se mide en dinero sino en riesgo para las personas.

Errores frecuentes

• —Preguntar a cada área si su proceso es crítico y terminar con una lista donde todo lo es.
• —Confundir el análisis de impacto con la evaluación de riesgos y listar amenazas en vez de plazos.
• —Fijar un RTO uniforme para toda la organización sin justificarlo actividad por actividad.
• —Definir el RTO a partir de la tecnología ya contratada en vez de al revés.
• —Ignorar el RPO y descubrir en el incidente que el respaldo tiene un día de atraso.
• —Dejar el estudio en manos del área de sistemas, sin los dueños de los procesos de negocio.
• —Olvidar las dependencias de personas únicas y de proveedores sin alternativa.
• —No actualizar el análisis cuando cambia un proceso, un sistema o un proveedor clave.

Dónde se rompe en la operación

El análisis se cae casi siempre por la misma razón: se hace una vez, para responder un cuestionario de cliente o para cerrar un hallazgo, y queda congelado mientras la operación sigue cambiando. Se migra un sistema, se concentra un servicio en un solo proveedor, se va la única persona que sabía ejecutar el cierre mensual, y los tiempos del informe siguen diciendo lo mismo que hace tres años. En la Ciudad de México, donde las empresas de servicios financieros, las de tecnología y los proveedores de gobierno responden cuestionarios de continuidad y de seguridad como condición para firmar contrato, ese desfase se paga en contratos que se caen en la etapa de evaluación de proveedores. Ordenar eso (actividades priorizadas con escala común, RTO y RPO sustentados, dependencias visibles y revisión cuando algo cambia) es parte de lo que se estructura en la Consultoría ISO 9001 en Ciudad de México, donde la continuidad se trata como una capacidad demostrable y no como un documento que se adjunta al correo.

En resumen

El análisis de impacto en el negocio determina qué actividades son prioritarias y cuánto daño produce su interrupción conforme pasa el tiempo, sin importar la causa. De ese perfil salen el plazo máximo tolerable, el RTO, el RPO, el nivel mínimo de servicio y los recursos necesarios para sostenerlo, y de ahí en adelante se elige la estrategia y la tecnología, nunca al revés. Se hace por actividad, con los dueños de proceso, con una escala común que permita comparar, y se actualiza cuando la organización cambia. La ISO 9001 lo empuja por la vía de los riesgos, del contexto y del control de proveedores; la norma de continuidad del negocio lo exige de forma explícita.