2021
132
09112020
13032021
Universidad Santo Tomás, Colombia
Universidad Santo Tomás, Colombia
USTA-Icontec, Colombia
Universidad Santo Tomás, Colombia
Resumen: El sistema de gestión de la continuidad del negocio (BCMS) es una herramienta que permite a las organizaciones prepararse para escenarios que afecten el normal funcionamiento de las mismas. En este proceso, se requiere una evaluación de impacto y valoración de riesgos, de tal manera que se identifiquen, establezcan y evalúen los planes de continuidad del negocio (BCP) para asegurar la disponibilidad de recursos y personal necesario. Este artículo analiza la evolución, los modelos de implementación de BCM y las estrategias para la gestión de riesgos asociados. Se realiza un estudio de 37 artículos relacionados con BCM, los cuales se analizan y se concluye que la evolución de la BCM ha permitido a las organizaciones acceder a modelos que facilitan la implementación de este sistema, acorde a las necesidades, disponibilidad de recursos, competencia del personal y con un enfoque PHVA (planear, hacer, verificar y actuar).
Palabras clave:continuidad del negociocontinuidad del negocio,sistema de gestión de continuidad del negociosistema de gestión de continuidad del negocio,ISO 22301ISO 22301,modelos de gestiónmodelos de gestión.
Abstract: The business continuity management system (BCMS) is a tool that allows organizations to prepare for scenarios affecting their normal functioning. In this process, an impact assessment and risk assessment is required, identifying, establishing and evaluating business continuity plans (BCP) to ensure resources and necessary personnel availability. In this article the evolution, BCM implementation models, and associated risk management strategies are addressed. Thirty-seven (37) articles related to BCM are analized concluding that BCM evolution has allowed organizations to access models that facilitate the system implementation, according to the needs, availability of resources, personnel competence and with a PHVA approach (plan, do, check and act).
Keywords: business continuity, business continuity management system, ISO 22301, management models.
Resumo: O sistema de gerenciamento de continuidade de negócios (BCMS) é uma ferramenta que permite às organizações se prepar para cenários que afetam seu funcionamento normal. Nesse processo, é necessária uma avaliação de impacto e de risco, de modo a identificar, estabelecer e avaliar planos de continuidade de negócios (BCP), para garantir a disponibilidade dos recursos e pessoal necessários. Nesse artigo são analisados a evolução, os modelos de implementação de BCM e as estratégias de gerenciamento de risco associados. Trinta e sete (37) artigos relacionados ao BCM são analizados concluindo que a evolução do BCM permitiu às organizações acessar modelos que facilitam a implementação do sistema, de acordo com as necessidades, disponibilidade de recursos, competência de pessoal e com uma abordagem PHVA (planejar, fazer, verificar e agir).
Palavras-chave: continuidade do negócio, sistema de gestão da continuidade do negócio, ISO 22301, modelos de gestão.
Artículos de Revisión
Evolución y modelos de implementación de sistemas de gestión de continuidad del negocio*
Evolution and implementation models of business continuity management systems
Evolução e modelos de implementação de sistemas de gestão da continuidade do negócio
Recepción: 09 Noviembre 2020
Revisado: 25 Enero 2021
Aprobación: 13 Marzo 2021
La continuidad del negocio (BCM) permite a las organizaciones identificar eventos potenciales que amenazan su normal funcionamiento y provee un marco para desarrollar la capacidad de recuperación y de responder ante estas situaciones de manera efectiva (Speight, 2011). Esta respuesta debe proteger las partes interesadas y sus necesidades, así como la marca, el reconocimiento y las actividades que hacen parte de la cadena de valor en la organización y se basa en la puesta en marcha de un plan de recuperación frente a catástrofes cuando estas acaecen (ISO, 2017).
Desde la década de 1970, el BCM ha evolucionado como una forma de gestión de crisis en respuesta a los riesgos técnicos y operativos que amenazan la recuperación de una organización frente a peligros e interrupciones (Nieto, 2012). Esta evolución ha sido impulsada por la generación de legislación, regulación y las normas comerciales nacionales e internacionales que a su vez han surgido en respuesta a y después de eventos históricos importantes causados por tormentas, terremotos, incendios, inundaciones, fallas de servicios públicos, terrorismo, brotes de enfermedades, pérdida de instalaciones, fallas de sistemas, e interrupciones de la cadena de suministro (Herbane, 2010).
El objetivo del BCM es evitar interrupciones graves que se pueden generar si no se recupera la normalidad en un periodo razonable (Bakar et ál., 2015); por esto, se deben plantear dos preguntas claves: ¿qué actividades son críticas e importantes y qué deberían mantenerse sin interrupción? y ¿cuánto tiempo se considera razonable una interrupción? (Hinson, 2012). La gestión de riesgos se transforma en una necesidad para las organizaciones, teniendo en cuenta que estas tienden a centralizarse en amenazas y oportunidades puntuales, que permite definir un plan de recuperación para utilizar en cualquier situación de crisis que pueda generar la interrupción del negocio (ISO, 2017).
La evaluación de riesgos es crítica para que una organización gestione la capacidad de recuperación de sus operaciones. Una dificultad involucrada en el análisis es determinar la probabilidad de eventos que puedan tener un impacto potencial (Strelicz y Bognár, 2020). Una serie de eventos de riesgo proporciona un paradigma para la transición de amenaza a crisis a disrupción e impacto (Filipović et ál., 2018). Las estrategias de riesgo se utilizan para gestionar el riesgo, en particular, aquellos riesgos que son potencialmente muy perjudiciales para una organización. Las decisiones de la estrategia de riesgo se dificultan por las incertidumbres que involucran costos, así como también aquellas que involucran la determinación de probabilidades (Engemann y Miller, 2015).
La ISO (International Organization for Standardization) ha creado el comité técnico ISO/ TC 292; el cual se estableció el 1 de enero de 2015 y participan más de 50 países. Tiene como misión producir estándares de alta calidad para apoyar a las naciones, sociedades, industria, organizaciones y personas en general. El propósito de estos estándares es mejorar y mantener un estado libre de peligro o amenaza y sentirse seguro, estable y libre de miedo o ansiedad; por esto, ha publicado la norma ISO 22301 que proporciona requisitos para los BCMS asociados con seguridad y resiliencia (Tzenev et ál., 2015), (ISO, 2020a) e (ISO, 2020b).
La mejor ventaja de BCM es construir la resiliencia de las organizaciones. La resiliencia es una manera de mejorar la capacidad de la organización para resistir el impacto de un desastre (Blos et ál., 2015), disminuye el tiempo para recuperar un nivel de funcionalidad aceptable, mejora la capacidad de la organización para monitorear amenazas, sustituir la parte dañada y responder con precisión (Bruneau et ál., 2003). Construir la resiliencia de las organizaciones es uno de los conceptos más nuevos que ayudan a organizar los procesos más rápidamente y el BCM es una herramienta para aumentar el nivel de resiliencia para cada organización (Rabbani et ál., 2016).
La norma ISO 22301:2019 describe las disposiciones para implementar y mejorar un sistema de gestión para protegerse, disminuir la probabilidad de ocurrencia, de prepararse, atender y sobreponerse de las interrupciones cuando estas se presenten. Los requisitos que se especifican en esta norma son genéricos e incluye la participación de las partes interesadas (Järveläinen, 2020) y están definidos para ser desarrollados en todas las organizaciones, o partes de ellas, sin tener en cuenta su tipo, dimensión o naturaleza. El nivel de implementación de estos lineamientos depende del entorno operacional y la complejidad de los procesos de la organización (Icontec, 2019).
Esta norma define algunos conceptos claves, como el plan de continuidad del negocio, el cual hace referencia a la información documentada que orienta a una organización para responder una interrupción y reanudar, recuperar y restaurar la oferta de productos y servicios de acuerdo con sus propósitos de continuidad de negocio; otro concepto es el de análisis de impacto al negocio, el cual hace referencia el proceso en el que se analiza el impacto de una interrupción conforme avanza el tiempo en la organización; y, por último, el concepto de impacto, que hace referencia al resultado de una interrupción que afecta los objetivos (Icontec, 2019).
En Colombia, el BCM se ha convertido en un enfoque clave para las organizaciones debido a la situación que se viene presentando por la pandemia, generada a raíz de la COVID-19. Este virus es denominado SARS-CoV-2, se generó en Wuhan, capital de la provincia de Hubei, en China, es el séptimo coronavirus que infecta a los seres humanos (Andersen et ál., 2020) y afecta la continuidad operativa de los negocios, la protección de los empleados y la preservación del mercado. Por esto, los negocios en los diferentes países deben analizar cómo pueden trabajar ante las catástrofes naturales y los ciclos de infección (Arias et ál., 2020).
Las contribuciones de este artículo se relacionan con la propuesta de un conjunto de técnicas analíticas para facilitar la realización de la evaluación y gestión de riesgos en el ámbito de los BCMS, teniendo en cuenta los siguientes pasos: 1) identificar riesgos potenciales de la organización; 2) analizar los riesgos en los que se cuantifican y analizan los factores asociados a los mismos; 3) evaluar los riesgos que necesitan tratamiento; y, 4) planificar la respuesta al riesgo en la que se desarrollen los planes adecuados (Torabi et ál., 2016).
El objetivo de este artículo es realizar un recorrido por la evolución de los sistemas de gestión de la continuidad del negocio, los cuales se han convertido en una estrategia clave en las organizaciones para asegurar la sostenibilidad del mismo; así mismo, la descripción general de modelos han permitido a diferentes organizaciones en el mundo la implementación del mismo para asegurar la existencia de los planes correspondientes que permitan estar preparados ante cualquier situación que impacte el normal funcionamiento de las actividades.
Este artículo corresponde a una revisión sistemática exploratoria cualitativa para encontrar, ordenar y analizar la documentación existente, relacionada o que pueda contribuir con el artículo de investigación frente a la evolución y descripción de modelos de BCM. Para la búsqueda se definieron como descriptores los siguientes términos gestión de la continuidad del negocio, business continuity management e ISO 22301. La búsqueda se hizo en español e inglés.
La mayoría de los artículos consultados están en inglés; en español hay escasa información, por lo tanto, se efectúa la búsqueda con el descriptor business continuity management en los siguientes motores de búsqueda: ScienceDirect, Taylor & Francis Group, Scopus, Academic Search Premier y Google Scholar. En la tabla 1 se relacionan los motores de búsqueda y los descriptores.
De la información obtenida en cada motor de búsqueda se alimentó una matriz; en la cual se incluye la información relevante a tener en cuenta para el desarrollo de las temáticas planteadas.
Se incorporaron artículos que están relacionados directamente con la continuidad del negocio, cuyas publicaciones se hicieron entre los años 2004 y 2020, solamente ocho artículos se incluyeron en idioma español; se excluyeron los artículos que están relacionados con temas como hidrología y aeronáutica, se incluyeron los relacionados con cualquier otro tipo de organización que haya implementado BCM y gestión de riesgos.
Los artículos seleccionados pasan a través de dos filtros. En el primero, los que tienen que ver con el tema; en el segundo, los que se ajusten más a lo que se requiere; y, por último, se escogen los artículos más relacionados a los temas específicos de consulta. Los artículos seleccionados se importaron a Zotero para la gestión de referencias y eliminación de repetidos. En la tabla 2 se presenta el desarrollo de la selección de documentos para estudio:
En la figura 1 se presenta el diagrama de flujo para la selección de los artículos para estudio, teniendo en cuenta los motores de búsqueda utilizados, y las etapas de identificación, selección, elegibles e incluidos.
Los 37 artículos seleccionados se analizaron considerando variables bibliométricas como el año de publicación y su autor, además, se describe cualitativamente las siguientes variables técnicas: sector, tamaño de la organización, evolución conceptual, modelos, estrategias de implementación, identificación, análisis y evaluación de riesgos, y planificación de la respuesta al riesgo.
En este apartado se presentan los resultados derivados del análisis de 37 artículos. Cabe mencionar que el 16 % fueron publicados en el año 2019.
La BCM se ha convertido en una base para tomar decisiones por parte de la alta gerencia de las organizaciones, frente eventos que pueden afectar las actividades (Rodríguez, 2019). A continuación, se describe su proceso de evolución:
La evolución de la gestión de BC inició en los años setenta con la necesidad de las organizaciones para proteger sus bienes materiales, humanos y la recuperación después de un desastre o riesgo de cualquier naturaleza. Se puede analizar que en su proceso evolutivo se han implementado diferentes parámetros y normas, adecuándolas a las necesidades organizacionales, hasta la generación de la norma internacional NTC ISO 22301:2019, la cual incorpora el ciclo PHVA y se genera como resultado de la consolidación de diferentes referentes emitidos a través del tiempo, para ser implementada por las organizaciones independiente del tamaño o tipo de actividad que se realice.
Desde al año 2012, se han generado una serie de propuestas frente a modelos de BCM con el fin de ayudar a las organizaciones a prepararse frente a situaciones que podrían afectar el desarrollo continuo de las actividades. En la tabla 4 se presentan algunos modelos que han sido referentes en este proceso de evolución del concepto BCM. Para definir cuál de estos es el más adecuado y conveniente, las organizaciones deben tener en cuenta variables tales como el tamaño, la competencia del personal, la disponibilidad de recursos, el nivel de madurez y el tiempo.
A continuación, se presentan las estrategias que pueden ayudar a ejecutar la BCM (ver tabla 5):
Existen diferentes estrategias para implementar sistemas de gestión de continuidad del negocio; sin embargo, las más representativas están asociadas con la gestión de activos y enfoque incremental. Estas involucran la identificación de las amenazas clave de la organización, incluye la participación de los trabajadores y tienen un enfoque hacia el cumplimento de los objetivos estratégicos, convirtiéndolas en una opción interesante para las organizaciones.
El análisis de impacto empresarial (BIA) (Jafar y Taneja, 2017) y la evaluación de riesgos (RA) (Motevali Haghighi y Torabi, 2019) son procesos que deben realizarse al diseñar e implementar un BCMS: BIA y RA describen los productos clave de la organización; identifican, analizan, evalúan y tratan aquellos riesgos (Rezaei Soufi et ál., 2019) y las interrupciones que amenazan la entrega a tiempo de productos clave (Hinson, 2012). Por lo tanto, los BCP deben definirse de tal manera que mitiguen el impacto de las interrupciones identificadas en los productos clave (Gaspar Martínez, 2010).
La gestión de riesgos proporciona un mecanismo para salvaguardar la reputación y los valores de marca de muchas organizaciones (International Labour Organization, 2012). La gestión de riesgos representa la conciencia organizacional de las amenazas potenciales que pueden afectar la estabilidad de una organización. Al identificar los riesgos reales o potenciales, una organización puede proteger sistemáticamente sus recursos, ingresos y reputación (Speight, 2011).
A continuación, se describen algunas metodologías identificadas para gestionar los riesgos (ver tabla 6):
Las metodologías para la gestión de riesgos identificadas proporcionan una visión general de las opciones que tienen las organizaciones para realizar una gestión que le permita garantizar una identificación y control de los riesgos claves que pueden afectar el normal funcionamiento. La selección de la metodología debe tener en cuenta aspectos como el tamaño de la organización, características de los productos y servicios, y el nivel de complejidad de las operaciones.
La empresa debe identificar las amenazas y los riesgos que se producen de forma natural, los que son resultado de eventos provocados por el hombre, y cualquier evaluación y estrategia de mitigación asociada a ellos. Esto ayuda a garantizar la coherencia del enfoque en todos los proyectos, así como a ahorrar tiempo y esfuerzo para llegar a sus mediciones (Gibb y Buchanan, 2006).
Este es el proceso de identificar eventos, determinar las causas, estimar las probabilidades y el impacto, mientras que la evaluación de riesgo es el proceso de comparar el nivel de riesgo con los criterios definidos (Păunescu y Argatu, 2020). El propósito es priorizar la planificación mediante la evaluación de la probabilidad de eventos y su impacto potencial en las funciones críticas (Heng, 2015).
La evaluación de riesgos es fundamental para identificar la vulnerabilidad (Kato y Charoenrat, 2018) y es una base para la asignación de recursos y la mitigación de la exposición. La gestión de riesgos comprende los procesos de evaluación, comunicación y su tratamiento (Engemann y Miller, 2015).
El tratamiento del riesgo se puede abordar por categorías, etapas y tipos de controles o una combinación de ellas (ver figura 2):
Incluye la identificación y evaluación de las opciones para hacer frente a los riesgos identificados. Estos enfoques se pueden dividir en dos clases: las que se ocupan proactivamente del riesgo transfiriendo, minimizando, gestionando y las que reaccionan a los eventos de riesgo a través de planes de recuperación (Aziz y Jambari, 2019). Se debe realizar una evaluación de la opción para evaluar el impacto de la solución y el valor que generará en ahorros de costos o ingresos protegidos (Gibb y Buchanan, 2006).
La evolución de la gestión de BC tiene origen en los años setenta con un enfoque hacia la prevención, toma de decisiones y con una visión de los sistemas sociotécnicos de la época dirigida hacia el manejo de crisis. Esta evolución se vio influenciada por hitos claves que comenzaron con la revolución tecnológica presentada en los setenta en donde aparecieron modelos como el IBM 360 y 370, los cuales fueron pioneros en manejo de la información de las organizaciones y generaron la necesidad de protección de los datos.
En 1988 se presentó un incendio en la oficina central de Illionis Bell Hinsdale; en 1990, 1992 y 1993 los eventos terroristas presentados en la bolsa de valores de Londres, en el distrito financiero de la misma ciudad, y en el World Trade Center sirvieron como referente de la vulnerabilidad de los sistemas informáticos de las organizaciones y generaron la necesidad de un enfoque hacia la planificación de la gestión para la atención de crisis y respaldar la planeación de la recuperación de desastres en las funciones claves de la organización. Esto conllevó la aparición de normas para diferentes sectores económicos tales como la NFPA 1600, COBIT 4.0, AS/NZ436 y la BS 7799.
El ataque terrorista ocurrido en Washington y New York en septiembre de 2001 tuvo un impacto alto para diferentes organizaciones y generó la necesidad de revisar y reevaluar la continuidad del negocio en las organizaciones, incluyendo aspectos asociados con la protección de la vida, servicios financieros, telecomunicaciones, servicios públicos, acceso a instalaciones y clientes. Países como Australia, Pakistán, Reino Unido, India, Sudáfrica y Estados Unidos generaron diferentes directrices frente a la continuidad del negocio y también la necesidad de crear un organismo internacional de normalización que emite la norma ISO 22301:2012. El cual recopile los aspectos claves para la BCM con un enfoque en el ciclo PHVA que incluya la gestión de riesgos, evaluación de impacto y establecimiento de las estrategias para actuar en caso de crisis, eventos catastróficos y otros que puedan afectar el normal funcionamiento de las organizaciones.
De los quince modelos de BCM identificados y analizados1, se concluye que, desde el año 2012, el enfoque basado en el ciclo PHVA se convirtió en una herramienta para asegurar una gestión que permita preparar a las organizaciones para eventos que puedan interrumpir el normal funcionamiento de las mismas.
La implementación del modelo depende de la capacidad, nivel de madurez, tamaño y la suficiencia recursos necesarios para la planificación y el desarrollo del mismo. Las organizaciones pueden implementar diferentes modelos de manera complementaria acorde a sus necesidades, teniendo en cuenta diferentes enfoques a nivel de desastres naturales, activos de la compañía, seguridad de la información, madurez del programa de BCM, ciclo de vida, implementación de áreas de gestión de BC, entre otros referentes.
Citar como: Becerra Acevedo, R., Benavides Muñoz, J. R., Camacho Camacho, H. y Obando, C. J. (2021). Evolución y modelos de implementación de sistemas de gestión de continuidad del negocio. Signos, Investigación en Sistemas de Gestión, 13(2). https://doi.org/10.15332/24631140.6669
