Contenido de la Norma ISO 22301

El Objetivo de este capítulo es Definir el Alcane alcance del SGCN (sistema de Gestión de la continuidad del negocio) para ello se debe:

1.- Identificar los factores internos y externos que puedan ser afectados por una posible interrupción:

• Actividades de la Orgacización
  
• Productos
• Funciones
  
• Servicios
• Cadenas de suministro
  
• Obligaciones Legales
  
• Relaciones con Terceros
• Otras …

2.- Vincular y alinear Estrategicamente:

• Políticas de la Organización
  
• Valores
• Objetivos Estratégicos
  
• Obligaciones Contractuales
• Políticas de Gestión re Riesgos Laborales
• Inclinacion al riesgo en la Organización.

En este capítulo se definen los requisitos de la direccion de la empresa en cuanto a que debe asumir el liderazgo en las acciones de mantener, vigilar y dotar de recursos necesarios a la organizacion para garantizar el proceso de mejora continua.

Las principales tareas de la dirección entre otras serán:

• El SGCN debe formar parte de la Dirección estratégica
  
• Garantizar los recursos necesarios para el SGCN
• Comunicacioón a toda la empresa sobre la importancia del SGCN
  
• Velar por el alcance de los resultados esperados
• Apoyar el proceso de mejora continua
  
• Establecer y comunicar la política de continuidad del negocio
  
• Asegurar que se establecen los objetivos y planes del SGCN
  
• Asegurar que se asignen las responsabilidades sobre el SGCN

En este capítulo se definen los Objetivos Estratégicos del SGCN como una expresión del propósito de la organizacion en el tratamiento de los riesgos identificados y el cumplimiento de los objetivos de la organización.

Los principales objetivos del SGCN deben ser:

• Estar alineados con la política de continuidad del negocio
  
• Establecer el mínimo de productos y servicios con los que la organización alcanza sus objetivos.
  
• Los objetivos deben ser medibles.
  
• Los objetivos consideran requisitos aplicables
  
• Deben ser controlados y revisados de forma periódica.
  

Los Recursos necesarios para la Gestión de la continuidad del negocio están contemplados en este capítulo.

Estos recursos deben contemplar:

• Personal competente (en base a la formación específica recibida)
• Servicios de Soporte
• Recusros de formación y toma de conciencia de la organización
• Comunicaciones internas y externas (Su contenido, lugar, forma y oportunidad)
  
• Requisitos para la creacion, actualización y control de la documentación

Aquí es donde ponemos en funcionamiento el SGCN teniendo en cuenta lo planificado.

Los puntos fundamentales son:

1.- Realizar el Analisis de impacto en el negocio (Business Impact Analisis – BIA):

Identificar los aspectos que soportan los productos y servicios claves para la organización:

• Identificar los procesos críticos
• Interdependencias de todos los procesos
• Recusros necesarios para el nivel mínimo
  

2.- Evaluación de Riesgos:

Para la evaluación de riesgos se propone la Norma ISO 31000. En todo caso se deben cumplir los siguientes requisitos:

• Implantar y mantener un proceso formal de valoración de riesgos
• El proceso debe ser documentado.
  
• Los Riesgos:

• Deben ser Identificados,
  
• Analizados
• Evaluados sistematicamente
  
• En cuanto pueden causar incidentes que generan interupciones en la organización.

3.- Estrategia de Continuidad del Negocio:

El análisis de riesgos realizado junto su impacto en el Negocio nos permiten ahora desarrollar las estrategias que permitar realizar la proteccion y recuperación de las actividades críticas conjugando:

• La Tolerancia de la organizacion al riesgo
  
• Objetivos de tiempo de recuperación.
  

4.- Procedimiento de Continuidad del Negocio:

Aqui se definen los requisitos de los procedimientos y su documentación, de nuestro sistema de Continuidad del negocio para garantizar que estos procedimientos sean efectivos.

Los procedimientos deben cumplir:

• Establecer un adecuado protocolo de comunicaciones internas y externas.
  
• Especificar convenientemente los pasos intermedios a dar frente a una interrupción.
• Deben contempar flexibilidad para responder a la amenazas no previstas.
• Enfoque en los eventos con potencialidad de causar interrupciones.
• Deben basarse en los análisis realizados y las estrategias definidas y habiendo realizado un estudio de interdependencia de los procesos.
• Se deben implantar estrategias de mitigación adecuadas para minimizar las consecuencias de los incidentes potenciales.
  

La norma ISO 22301 establece la necesidad de una permanente revisión y seguimiento del sistema para mejorar su operación.

• ¿En que medida se cumplen los objetivos y metas establecidas en el SGCN?
• ¿Cuál es el desempeño de los procesos enfocados a proteger las actividades críticas?
• ¿Cual es el grado de conformidad con la Norma y los requisitos de la continuidad del Negocio?
  
• Guardar el seguimiento histórico de los puntos anteriores
• Realizar Auditorias internas y planificadas
• Realizacion de revisiones por la direccion de todos los puntos anteriores

La mejora continua cumple el objetivo de aumentar permanentemente la eficacia del sistema de continuidad del negocio y de todas la Organizacion contribuyendo a una permanente:

• Mejora de la eficiencia: Costo/Beneficio.
• Cumplimiento de Objetivos.