Eduardo Di Monte
Es seguro que muy pocas personas se han preguntado qué pasaría si por algunos días el Palacio de la Moneda y sus alrededores se mantuvieran cercados por un grupo de terroristas. Probablemente el Gobierno se paralizaría y las oficinas centrales de las empresas más importantes ubicadas ahí detendrían sus operaciones, a costa de la inestabilidad social y de millonarias pérdidas. Sería la prueba indesmentible de la falta de una política de continuidad de negocios, una tendencia que recién comienza a escucharse en Chile y que en países de Europa -como Inglaterra- ya es prácticamente un estándar.
La continuidad del negocio, según Eduardo Di Monte, Jefe de Seguridad Lógica de Aguas Andinas y especialista en este tema, es la capacidad táctica y estratégica de una organización para planificar y responder a incidentes o interrupciones del negocio, a fin de continuar sus operaciones críticas a un nivel aceptable, previamente definido.
Es la estrategia necesaria para protegerse ante eventos imposibles de prever. Un seguro para contrarrestar la casuística Ley de Murphy, que es una representación cómica y mayoritariamente ficticia de los infortunios en todo tipo de ámbitos, que pueden ocurrir en cualquier momento y frente a los cuales hay que estar preparados.
Continuidad de negocios es también un freno al “efecto mariposa”, esa imagen literaria que hace referencia a que incluso algo tan insignificante y pequeño como el batir de alas de éstas podría llegar a ser el elemento gatillador de una catástrofe a gran escala. Porque no es posible, afirma el experto, “dejar nuestro negocio u organización -nuestra información- en manos del azar, esperando que variables exógenas se conjuguen y produzcan un efecto que no podamos controlar”.
Crisis bajo control
Plan de Continuidad del Negocio, o Business Continuity Plan (BCP) es el resultado de la aplicación de una metodología interdisciplinaria, usada para crear y validar planes logísticos para la práctica de cómo una organización debe recuperar y restaurar sus funciones críticas, dentro de un tiempo predeterminado después de una interrupción o situación de desastre.
“En un lenguaje más sencillo, es el cómo una organización se prepara para futuros incidentes que puedan ponerla en peligro y arriesgar su misión básica a largo plazo”, expresa Di Monte. Señala que dentro de la categoría de “incidentes” -que técnicamente llamamos amenazas- se debe considerar situaciones poco probables pero igualmente posibles: incendios, terremotos, tsunamis, inundaciones, huelgas, falla en las comunicaciones y corte del suministro de energía eléctrica o de los servicios básicos.
Pero hay más. Cuando se presentó la gripe aviar, los países y las empresas se dieron cuenta de que nadie había tenido en cuenta como amenaza aquéllas que afectan de forma directa a las personas. Es decir, podían construirse dos edificios para duplicar la información y la infraestructura en distintos puntos geográficos, pero nadie pensó qué pasaría si el 90% de los colaboradores que trabajan en una compañía no puede asistir a sus puestos de trabajo a causa de una pandemia. En ese momento hubo una actualización importante de los planes de continuidad en los países desarrollados, y aquéllos donde esta tendencia aún es ficción, comenzaron a entender que debían prestarle atención.
Chile, los primeros pasos
Esta disciplina lleva varias décadas de experiencia, y como en la mayoría de los casos, fueron los países del mundo desarrollado los que empezaron a trabajar en ella. Poco a poco se ha expandido al resto de países, donde cada vez son más las organizaciones que han tomado conciencia del riesgo y sus consecuencias asociadas.
En Chile estamos recién partiendo. Muy pocas empresas -salvo el sector bancario, que está regulado- tiene ejecutivos designados full time a abordar la continuidad operativa; todavía no existen compañías certificadas en continuidad de negocios, es decir, ninguna organización a nivel local cumple con la norma BS2599; y a nivel de organismos internacionales, en el país prácticamente no se conocen las entidades dedicadas a regular la continuidad operativa, como el DRI (Disaster Recovery Institute), en Estados Unidos; y el BCI (Business Continuity Institute), en Inglaterra.
La primera señal de avance en este sentido fue el evento realizado en el 2011 por Aguas Andinas. Su motivación estuvo dada por incentivar a las empresas de servicios críticos -como luz, agua, gas y las petroleras- a desarrollar conciencia sobre la importancia de generar planes de continuidad para asegurar la provisión de los servicios que entregan. En la oportunidad se entregaron cerca de 40 membresías gratis, para motivar la inclusión de los ejecutivos de las compañías, de manera que cada uno pueda difundir la importancia de este concepto al interior de sus organizaciones.
Otra señal importante, a juicio de Di Monte, es la que dio la Superintendencia de Servicios Sanitarios, que informó que los planes de emergencia -parte de los Planes de Continuidad de Negocios- deben estar estipulados en base a un estándar. Asimismo, el documento menciona al Business Continuity Institute y hace referencia a la norma BS2599.
¿Por dónde empezar?
La continuidad de negocios debería estar embebida en todos los procesos de la organización y gestionarse al igual que se hace con los distintos procesos de certificación ISO. Requiere tener recursos destinados y estar permanentemente revisando procedimientos, analizando distintos escenarios y ejecutando planes de contingencia. “Es un proceso que no termina, que es más bien infinito”, aclara Di Monte.
Pero no sólo tiene beneficios en términos de asegurar el negocio de las empresas. También beneficia al mercado en general y a los clientes en particular, porque hace posible estar preparados y listos para entregar respuestas frente a distintas eventualidades, sin grandes costos ni traumas. “Cuando las compañías se preparan y abordan la continuidad de negocios, pueden enfrentar las eventualidades más rápida y fácilmente, dando confianza y seriedad”, afirma.
Para comenzar con la implementación de un Plan de Continuidad de Negocios es fundamental contar con el apoyo de la alta dirección, a través del convencimiento de la importancia del tema, las ventajas que se obtendrán y el valor agregado que traerá consigo su puesta en marcha. Luego, es importante avanzar apoyándose en los marcos normativos existentes, comenzar por las áreas más críticas de la compañía y certificar en función de los intereses de la organización.
Para no tropezar en este camino es necesario abordar la continuidad de negocios de manera integral. Desde el punto de vista de los recursos TI, deben existir políticas y planes para acceder a la información y los sistemas, incluir variables como acceso físico al edificio, asegurar la adecuada provisión del suministro de energía y agua potable y, asimismo, garantizar la presencia de las personas gracias a adecuados planes de protección de su salud y bienestar al interior de la organización. Como indica Di Monte, “no hay que olvidar que los negocios se sustentan sobre varios pilares, donde los sistemas de información -por ejemplo- son sólo un bastión, por lo tanto, es necesario ampliar la visión e incorporar la tecnología tanto como las personas, los proveedores, los suministros y la infraestructura”.
