Qué es la ISO 22301 y qué exige

La empresa de servicios financieros tenía un plan de continuidad de sesenta páginas, aprobado por la dirección y revisado cada año. Cuando sonó la alerta sísmica y el edificio se desalojó, el plan no se abrió. Nadie sabía quién tenía la autoridad para activar el sitio alterno, la lista de contactos tenía números de personas que ya no trabajaban ahí, y el área de sistemas descubrió que la réplica de la base de datos llevaba dos semanas sin sincronizar. El edificio no tuvo daños. La operación estuvo detenida un día y medio.

Qué es la ISO 22301

La ISO 22301 es la norma internacional que establece los requisitos de un sistema de gestión de la continuidad del negocio. Su objetivo es que una organización pueda seguir entregando sus productos y servicios en un nivel aceptable durante una interrupción, y recuperarse en tiempos definidos. La versión vigente es la de 2019 y es certificable por un organismo acreditado.

Tiene la misma estructura de alto nivel que la ISO 9001, la ISO 27001 o la ISO 14001: contexto, liderazgo, planificación, apoyo, operación, evaluación del desempeño y mejora. Eso permite integrarla con otros sistemas. Lo que la distingue está en la operación, donde se concentran los requisitos propios de la continuidad.

Qué exige

• —Análisis de impacto en el negocio: identificar las actividades que sostienen los productos y servicios prioritarios, el impacto de su interrupción en el tiempo y los recursos que necesitan.
• —Evaluación de riesgos de interrupción: identificar, analizar y evaluar los riesgos que pueden detener esas actividades prioritarias.
• —Estrategias y soluciones de continuidad: decidir cómo se protegen, se mantienen y se recuperan las actividades prioritarias, y qué recursos requiere cada opción.
• —Planes y procedimientos: una estructura de respuesta con roles y autoridad definidos, comunicación durante el incidente y planes documentados de respuesta y recuperación.
• —Programa de ejercicios y pruebas: validar periódicamente que las estrategias y los planes funcionan, con escenarios realistas y registro de resultados.
• —Evaluación de la documentación y de las capacidades: revisar si los planes siguen siendo adecuados después de ejercicios, incidentes y cambios en la organización.

Los términos que hay que dominar

• —Periodo máximo tolerable de interrupción: el tiempo después del cual el impacto de no reanudar una actividad se vuelve inaceptable.
• —Tiempo objetivo de recuperación, o RTO: el periodo en el que la actividad o el recurso debe reanudarse después de un incidente. Debe ser menor que el periodo máximo tolerable.
• —Punto objetivo de recuperación, o RPO: el punto en el tiempo al que la información debe poder restaurarse, es decir, cuánta información puede perderse.
• —Nivel mínimo de continuidad: el nivel de servicio o de producción aceptable para operar durante la interrupción.

Estos valores salen del análisis de impacto y no de la capacidad técnica actual. Si el análisis dice que una actividad no tolera más de cuatro horas detenida y los sistemas tardan doce en restaurarse, la brecha es el insumo para elegir la estrategia, no un dato que se ajusta para que coincida.

Cómo se relaciona con otras normas

La ISO 27001 pide mantener la seguridad de la información durante una interrupción y la disponibilidad de las instalaciones de procesamiento, y muchas organizaciones cumplen esos controles con apoyo de la ISO 22301. La ISO 9001 pide determinar los riesgos que pueden afectar la conformidad de los productos y servicios y planificar acciones para abordarlos. La ISO 22301 lleva ese pensamiento basado en riesgos al escenario de interrupción, con tiempos, recursos y pruebas definidos.

Errores frecuentes

• —Escribir el plan sin haber hecho el análisis de impacto en el negocio.
• —Confundir el plan de recuperación de sistemas con el plan de continuidad de toda la operación.
• —Fijar el tiempo objetivo de recuperación según lo que tarda hoy la tecnología y no según lo que tolera el negocio.
• —Tener listas de contactos y cadenas de mando sin actualizar.
• —No definir quién declara el incidente y activa los planes.
• —Hacer ejercicios solo de escritorio y nunca probar la recuperación real.
• —Depender de proveedores críticos sin conocer sus propios planes de continuidad.
• —No actualizar los planes después de un incidente o de un cambio de instalaciones.

Dónde se rompe en la operación

En las organizaciones de servicios, la continuidad suele quedar a cargo del área de sistemas, y el plan termina siendo un plan de respaldo y restauración. La operación, la atención al cliente, los proveedores críticos y la comunicación quedan fuera. En la Ciudad de México, donde se concentran corporativos, servicios financieros, centros de contacto y operadores logísticos, y donde el riesgo sísmico obliga a desalojar edificios varias veces al año entre alertas y simulacros, esa brecha aparece en cada evacuación. Integrar la continuidad al análisis de riesgos, a la gestión de proveedores y a la planificación de cambios es parte de lo que se estructura en la Consultoría ISO 9001 en Ciudad de México, donde la prestación del servicio se protege como un proceso más del sistema.

En resumen

La ISO 22301 es la norma certificable de sistemas de gestión de la continuidad del negocio. Exige un análisis de impacto en el negocio, una evaluación de riesgos de interrupción, estrategias de continuidad, planes con roles y autoridad definidos, y un programa de ejercicios que demuestre que funcionan. Sus conceptos centrales, como el periodo máximo tolerable de interrupción, el RTO y el RPO, se definen desde lo que el negocio tolera, y un plan solo es válido si se prueba y se actualiza.