Plan de continuidad del negocio

La planificación de la continuidad del negocio (BCP) captura cómo una organización mantendrá o reanudará rápidamente las operaciones críticas durante y después de una interrupción. La evidencia de BCP incluye Planes de Continuidad de Negocios (procedimientos registrados para mantener operaciones, planes de comunicación, requisitos de recursos y prioridades de recuperación), Planes de Recuperación de Desastres (procedimientos de recuperación centrados en TI que cubren la restauración del sistema, recuperación de datos, operaciones de sitios alternativos y conmutación por error), Análisis de Impacto de Negocios (evaluaciones sistemáticas de posibles impactos de interrupción que identifican objetivos de tiempo de recuperación y objetivos de punto de recuperación) y registros de pruebas y ejercicios de BCP (ejercicios teóricos, pruebas de recorrido, simulaciones completas y planes de mejora). BCP es requerido por DORA, CSRD y regulaciones específicas del sector para servicios financieros, infraestructura crítica y atención médica.

Los reguladores exigen cada vez más que se registren capacidades de resiliencia, no sólo declaraciones de aspiraciones. DORA exige una gestión integral de riesgos de TIC, incluida la continuidad del negocio, para las entidades financieras. CSRD requiere la divulgación de procesos materiales de gestión de riesgos, incluidas las capacidades de continuidad del negocio. La Directiva de la UE sobre resiliencia de entidades críticas (CER) exige una planificación de la continuidad de los servicios esenciales. Los marcos de seguros exigen pruebas de la continuidad del negocio como condición de cobertura. Más allá del cumplimiento normativo, los compradores e inversores empresariales evalúan cada vez más la capacidad de continuidad del negocio como una medida de madurez organizacional. La evidencia registrada de BCP con registros de ejercicios regulares demuestra que la resiliencia no solo se registra sino que se prueba y valida.

Planes de continuidad del negocio (BCP) funciones críticas de activos, prioridades de recuperación, requisitos de recursos, protocolos de comunicación y procedimientos de escalamiento para mantener las operaciones durante las interrupciones. Los planes de recuperación ante desastres (DRP) se centran en la recuperación de tecnología y TI: procedimientos de restauración del sistema, respaldo y recuperación de datos, operaciones de sitios alternativos y procesos de conmutación por error de tecnología. Los análisis de impacto empresarial (BIA) evalúan sistemáticamente los posibles impactos de las interrupciones en las operaciones, los ingresos, el cumplimiento y la reputación, identificando objetivos de tiempo de recuperación (RTO), objetivos de punto de recuperación (RPO) y clasificaciones de criticidad para cada proceso empresarial. Los ejercicios y pruebas de BCP registran ejercicios teóricos de activos, recorridos, simulaciones completas y planes de mejora posteriores al ejercicio: evidencia de que los planes de continuidad se han validado y siguen siendo efectivos.

Los BCP, DRP, BIA y los registros de ejercicio se cargan en Sustalium y se vinculan a los marcos de cumplimiento pertinentes. La evidencia de resiliencia se conecta con los marcos de gestión de riesgos de TIC de DORA (requisitos de los artículos 11 a 13 para la gestión, pruebas y presentación de informes de riesgos de TIC), las divulgaciones de riesgos de CSRD (gobernancia y gestión de riesgos de ESRS G1) y los registros de cumplimiento de ISO 22301 (seguridad social y gestión de la continuidad del negocio). Sustalium rastrea las fechas de revisión de BCP, los cronogramas de ejercicios y las acciones de mejora a partir de informes posteriores al ejercicio. Para las organizaciones que gestionan la continuidad en múltiples entidades o jurisdicciones, Sustalium proporciona una visión consolidada de la capacidad de resiliencia en toda la organización.

DORA (Ley de Resiliencia Operacional Digital) exige que las entidades financieras mantengan políticas de continuidad del negocio, planes de respuesta y recuperación de TIC y programas de prueba registrados. La Directiva de la UE sobre resiliencia de entidades críticas (CER) requiere capacidad de continuidad del negocio para servicios esenciales, incluidos energía, transporte, banca, salud e infraestructura digital. Los estándares de informes de sostenibilidad de CSRD (ESRS G1) requieren la divulgación de procesos materiales de gestión de riesgos, incluida la continuidad del negocio. ISO 22301 (seguridad social y gestión de la continuidad del negocio) requiere BCP, BIA y programas de ejercicio registrados. Los principios de resiliencia operativa del Comité de Basilea exigen que las instituciones financieras mantengan la capacidad de continuidad del negocio. La Ley de IA de la UE exige gestión de riesgos y planificación de contingencias para los proveedores de sistemas de IA de alto riesgo. Las regulaciones sectoriales específicas para la atención médica, los servicios financieros y la infraestructura nacional crítica imponen requisitos adicionales de continuidad del negocio.