Según las estadísticas, el 75% de las organizaciones que sufren un desastre natural y no tienen planes de continuidad de negocio cierran en menos de tres años ¿Sería su empresa capaz de sobrevivir a un terremoto?
Existe la percepción generalizada de que un plan de Continuidad de Negocio (CN) solo aborda eventos de gran impacto y poca probabilidad, como incendios, inundaciones o terremotos. Sin embargo, es importante tener presente que incidentes de menor calibre, como cortes en el suministro de energía o la pérdida de datos corporativos por un error humano o un ciberataque también pueden provocar un parón en la actividad de una empresa.
Según el Informe Horizon Scan 2015 del Business Continuity Institute, el 79% de las organizaciones han experimentado al menos un incidente de fallo de cadena de suministro el último año, reportando unas pérdidas de un millón de euros. Por otro lado, las principales amenazas que importan a las empresas son ciberataques, fallo de TI y telecomunicaciones y fuga de información.
La CN proporciona el marco para entender cómo se crea y se mantiene el valor dentro de una organización, a la vez que establece una relación directa con las dependencias y vulnerabilidades inherentes a la entrega de ese valor a los clientes. Así, se asegura la resiliencia organizacional, protegiendo la empresa de incidentes que provoquen una interrupción en la actividad, reduciendo la probabilidad de que se produzcan y garantizando su recuperación.
Y es que las organizaciones resilientes miran hacia el futuro y son capaces de adaptarse a las circunstancias cambiantes que pueden tener efectos dañinos en su capacidad de supervivencia. Estos efectos incluyen aspectos tales como cambios en el mercado en el cual opera la organización, competidores, leyes o tecnología, y en general, todo tipo de incidentes que pueden alterar la capacidad de ofrecer los productos y servicios.
Además de esa capacidad de adaptación ante una posible crisis, la CN aporta a la empresa una ventaja competitiva, la protección de la marca y la reputación, la identificación de riesgos, la mejora operacional, la captura de conocimiento, el incremento de la robustez y el ahorro de costes.
La norma ISO 22301 proporciona un conjunto de principios y una terminología para la disciplina de la CN. Además ofrece especificaciones técnicas probadas por un órgano de normalización reconocido por la aplicación continua o repetida de un proceso contra el cual se puede medir una organización.
El profesional de CN debe demostrar una sólida capacidad de análisis, habilidades para la gestión de proyectos, sólidos fundamentos técnicos, comunicación efectiva y capacidad de influencia, así como entendimiento de las técnicas de valoración de inversiones.
Dicho esto, y en el caso que sea un CEO que no tenga claro si necesita, o no, un Plan de Continuidad de Negocio, es interesante que se plantee las siguientes preguntas:
• ¿Estamos sujetos a las obligaciones legales, normativas o contractuales relacionadas con la continuidad del negocio?
• ¿Qué esperan nuestros clientes en caso de que experimentemos un incidente disruptivo?
• ¿Qué están haciendo nuestros competidores cuando se trata de la planificación de la continuidad del negocio?
• Si no hiciéramos nada, ¿qué podríamos esperar en términos de tiempo de inactividad del producto / servicio si experimentáramos un incidente que impactara en la disponibilidad de cualquiera de nuestros recursos clave?
• ¿Estamos preparados para comunicarnos tanto interna como externamente en situación de crisis?
• ¿Están nuestros empleados listos para responder ante un incidente disruptivo y recuperarse?
• ¿Cuál es nuestro peor de los casos?
• ¿Cuáles son nuestras tres principales oportunidades de mejora continua?
Llegados a este punto, y por si todavía quedan dudas acerca de la respuesta a la pregunta inicial, cabe decir que la gestión de crisis y la comunicación en situación de crisis son estratégicas para cualquier empresa, independientemente de su tamaño.
Y para terminar, un último apunte: la Continuidad de Negocio mejora significativamente la capacidad de respuesta ante ciberataques como el que recibieron Target o HBGary, por los cuales tuvieron que dimitir los respectivos CEO.
