El business impact analysis

Toda empresa debe pro­te­ge­r­se de los efectos de si­tua­cio­nes críticas para mantener su capacidad de operar en caso de una in­te­rru­p­ción del negocio. In­ci­de­n­tes como las ca­tá­s­tro­fes naturales, los ci­ber­ata­ques o los robos suelen ocurrir de forma ine­s­pe­ra­da, por lo que es aún más im­po­r­ta­n­te ide­n­ti­fi­car los riesgos y las es­tra­te­gias de co­n­ti­n­ge­n­cia más eficaces con an­te­la­ción. En este contexto, el business impact analysis (BIA) o análisis de impacto de negocio desempeña un papel fu­n­da­me­n­tal: en un informe BIA se registran los efectos de una crisis en la empresa. Los re­qui­si­tos im­pre­s­ci­n­di­bles para que una gestión de riesgos tenga éxito incluyen reconocer las co­ne­xio­nes y las de­pe­n­de­n­cias mutuas dentro de una empresa u or­ga­ni­za­ción.

Un análisis BIA es un proceso si­s­te­má­ti­co formado por un co­m­po­ne­n­te ex­plo­ra­to­rio y otro de pla­ni­fi­ca­ción. El co­m­po­ne­n­te ex­plo­ra­to­rio abarca la ide­n­ti­fi­ca­ción de los posibles riesgos a los que se enfrenta una empresa en caso de in­te­rru­p­ción de los negocios. Este indaga pri­n­ci­pa­l­me­n­te en los efectos concretos que de­te­r­mi­na­das si­tua­cio­nes podrían tener en la or­ga­ni­za­ción y en ámbitos como las finanzas, la seguridad, el marketing o la garantía de calidad.

El co­m­po­ne­n­te de pla­ni­fi­ca­ción consiste en la ela­bo­ra­ción de es­tra­te­gias de­s­ti­na­das a reducir al mínimo los riesgos. El resultado de este análisis es un informe BIA, una parte im­po­r­ta­n­te de la pla­ni­fi­ca­ción de co­n­ti­n­ge­n­cia, además de un plan de gestión de crisis. En este artículo te mostramos el pro­ce­di­mie­n­to y el contenido de un business impact analysis.

El formato y el contenido exacto de un análisis de impacto de negocio varían de una empresa a otra. Sin embargo, su apli­ca­ción suele basarse siempre en los si­guie­n­tes pasos:

1. Re­co­pi­la­ción de in­fo­r­ma­ción
2. Eva­lua­ción de la in­fo­r­ma­ción
3. Resumen de los re­su­l­ta­dos
4. Pre­se­n­ta­ción al equipo de dirección

Un análisis BIA puede crearse de forma interna o con la ayuda de recursos externos. Sin embargo, la coope­ra­ción con los propios empleados suele ser esencial, ya que pueden aportar valiosos co­no­ci­mie­n­tos para el primer paso de este proceso. En esta etapa, de hecho, es necesario ide­n­ti­fi­car todos los procesos em­pre­sa­ria­les exi­s­te­n­tes y las re­la­cio­nes entre las di­fe­re­n­tes funciones y áreas.

Esta re­co­pi­la­ción de in­fo­r­ma­ción suele fa­ci­li­tar­se mediante en­tre­vi­s­tas pe­r­so­na­les o encuestas au­to­ma­ti­za­das. Esto permite la cla­si­fi­ca­ción de las funciones co­me­r­cia­les según su im­po­r­ta­n­cia y la eva­lua­ción de los efectos fi­na­n­cie­ros y no fi­na­n­cie­ros en caso de errores. Al reunir los datos para el análisis BIA, es útil tener en cuenta las si­guie­n­tes preguntas:

• ¿En qué medida los distintos de­pa­r­ta­me­n­tos dependen de de­te­r­mi­na­dos sistemas y procesos co­me­r­cia­les?
• ¿Qué tipo de riesgos implican las vu­l­ne­ra­bi­li­da­des ide­n­ti­fi­ca­das?
• ¿Quién es re­s­po­n­sa­ble de los acuerdos de nivel de servicios (service-level agree­me­nts)?
• ¿Cuáles y cuántos son los empleados ne­ce­sa­rios en un lugar de re­cu­pe­ra­ción?
• ¿Qué tipo de recursos/equipos son ne­ce­sa­rios en caso de una in­te­rru­p­ción?
• ¿Cómo se deben manejar la gestión del efectivo y la liquidez durante la fase de re­cu­pe­ra­ción?

Una vez en­co­n­tra­da la respuesta a estas preguntas, se podrá de­te­r­mi­nar más rá­pi­da­me­n­te el tipo de datos ne­ce­sa­rios para el business impact analysis. En la mayoría de los casos, se deberá tener en cuenta la siguiente in­fo­r­ma­ción:

• Nombre de los procesos y de­s­cri­p­ción exacta
• De­pa­r­ta­me­n­to re­s­po­n­sa­ble y ubicación
• Recursos humanos y técnicos que pa­r­ti­ci­pan en el proceso
• Lista de las co­n­tri­bu­cio­nes y los re­su­l­ta­dos del proceso
• Lista de todos los de­pa­r­ta­me­n­tos que dependen de los re­su­l­ta­dos
• Máximo tiempo de inac­ti­vi­dad sin impacto notable
• Efectos ope­ra­cio­na­les y fi­na­n­cie­ros en caso de fallo
• Efectos externos/legales de la in­te­rru­p­ción (por ejemplo, clientes, au­to­ri­da­des, etc.)
• De­s­cri­p­ción de las in­te­rru­p­cio­nes an­te­rio­res y sus co­n­se­cue­n­cias
• De­s­cri­p­ción del pro­ce­di­mie­n­to de re­cu­pe­ra­ción o de­s­pla­za­mie­n­to de trabajo

En un segundo momento, se valida toda la in­fo­r­ma­ción re­co­pi­la­da en la fase uno con la ayuda de auditores, para a co­n­ti­nua­ción proceder a ana­li­zar­la. Durante el proceso de análisis de los datos, manual o a través de un ordenador, es im­po­r­ta­n­te prestar atención a las funciones, los sistemas, los empleados y los recursos ne­ce­sa­rios para la co­n­ti­nui­dad de la empresa. Este proceso también revela el plazo de tiempo dentro del cual las funciones fallidas deben ser re­s­tau­ra­das para poder evitar, en la medida de lo posible, efectos como el pago tardío de salarios, daños en la imagen, pe­na­li­za­cio­nes o la in­sa­ti­s­fa­c­ción del cliente.

Los dos pasos si­guie­n­tes consisten en resumir cla­ra­me­n­te los re­su­l­ta­dos y presentar un informe BIA al equipo directivo. El informe puede incluir cuadros y gráficos para ilustrar las posibles pérdidas, así como re­co­me­n­da­cio­nes para la re­cu­pe­ra­ción. A fin de apoyar las co­n­clu­sio­nes de la mejor manera, se debe añadir la in­fo­r­ma­ción sobre el pro­ce­di­mie­n­to y los re­su­l­ta­dos de­ta­lla­dos del estudio en el apéndice. Uti­li­za­n­do las si­guie­n­tes in­s­tru­c­cio­nes, puedes crear tu propia plantilla de análisis de impacto en la empresa y adaptarla según sea necesario.

La plantilla de business impact analysis que te mostramos a co­n­ti­nua­ción presenta cuatro cuadros que deben re­lle­nar­se con la mayor precisión posible. Cuanto mejor se describan los procesos, sus re­la­cio­nes e im­pli­ca­cio­nes, mejor fu­n­cio­na­rá el plan de co­n­ti­n­ge­n­cia.

• Columna A: área de negocio.
• Columna B: número de empleados - número de empleados a tiempo completo dentro de cada área de negocio.
• Columna C: proceso padre (PP) - de­s­cri­p­ción de la función principal de cada una de las áreas de negocio.
• Columna D: cla­si­fi­ca­ción de prio­ri­da­des - cla­si­fi­ca­ción de la función o funciones según su im­po­r­ta­n­cia para los procesos de la re­s­pe­c­ti­va área de negocio.
• Columna E: RTO o tiempo objetivo de re­cu­pe­ra­ción - tiempo requerido para restaurar el proceso padre después de la in­te­rru­p­ción.
• Columna F: RPO o punto objetivo de re­cu­pe­ra­ción - momento exacto en que el proceso padre debe ser re­s­tau­ra­do.
• Columna G: proceso padre de­pe­n­die­n­te de - nombre de la or­ga­ni­za­ción/procesos de los que depende el proceso padre.
• Columna H: proceso padre requerido por - nombre de la or­ga­ni­za­ción/procesos de­pe­n­die­n­tes de los procesos padre.

• Columna A: su­b­pro­ce­so - de­s­cri­p­ción de las funciones de apoyo de las que es re­s­po­n­sa­ble la re­s­pe­c­ti­va área de negocio.
• Columna B: cla­si­fi­ca­ción de prio­ri­da­des - cla­si­fi­ca­ción de la función o funciones según su im­po­r­ta­n­cia para los procesos de la re­s­pe­c­ti­va área de negocio.
• Columna C: objetivo de tiempo de re­cu­pe­ra­ción - tiempo necesario para restaurar el su­b­pro­ce­so después de una in­te­rru­p­ción.
• Columna D: objetivo de punto de re­cu­pe­ra­ción - momento exacto en el que el su­b­pro­ce­so debe ser re­s­tau­ra­do.
• Columna E: su­b­pro­ce­so de­pe­n­die­n­te de - nombre de la or­ga­ni­za­ción/proceso que depende de los su­b­pro­ce­sos.
• Columna F: su­b­pro­ce­so requerido por - nombre de la or­ga­ni­za­ción/proceso que depende de los su­b­pro­ce­sos.
• Columna G: efectos cua­n­ti­ta­ti­vos - co­n­se­cue­n­cias fi­na­n­cie­ras re­la­cio­na­das con el su­b­pro­ce­so, por ejemplo, el volumen de negocios anual.

• Columna A: efectos cua­li­ta­ti­vos - efectos no fi­na­n­cie­ros, por ejemplo, el daño a la imagen.
• Columnas B-G: tiempo requerido para la re­cu­pe­ra­ción del personal. Muestra cuánto tiempo se necesita hasta que el personal pueda volver a una situación de “negocio casi estándar” (Business almost as usual).

• Columna A: es­tra­te­gia de re­cu­pe­ra­ción. Describe las medidas que cada área de negocio debe actuar para recuperar un flujo de trabajo normal (por ejemplo, te­le­tra­ba­jo, espacio de oficina pro­vi­sio­nal, etc.).
• Columnas B-G: tiempo necesario para recuperar te­c­no­lo­gías y servicios. Lista de servicios de red o sistemas in­fo­r­má­ti­cos ne­ce­sa­rios que deben pro­po­r­cio­nar­se durante un período de tiempo definido.

El business impact analysis no debe de co­n­fu­n­di­r­se con la eva­lua­ción de riesgos. Ambos son co­m­po­ne­n­tes im­po­r­ta­n­tes de un plan de co­n­ti­n­ge­n­cia que también incluye la co­mu­ni­ca­ción de crisis. Sin embargo, un business impact analysis se crea antes de una eva­lua­ción de riesgos. Este sirve como punto de partida para que la dirección pueda idear es­tra­te­gias para la co­n­ti­nui­dad del negocio basadas en los re­su­l­ta­dos del informe de un análisis BIA.

Por lo tanto, un business impact analysis se centra en los efectos que los in­ci­de­n­tes tienen en los procesos co­me­r­cia­les y cua­n­ti­fi­ca los costos mo­ne­ta­rios y no mo­ne­ta­rios. La eva­lua­ción de riesgos, en cambio, trata de ide­n­ti­fi­car peligros es­pe­cí­fi­cos en los que pueden incurrir los negocios, como incendios, te­rre­mo­tos u otros desastres naturales. Esta práctica evalúa en qué medida los empleados, los bienes inmuebles o la cadena de su­mi­ni­s­tro de una empresa corren el riesgo de sufrir de las crisis me­n­cio­na­das.