Poner en funcionamiento un sistema de Gestión Documental de Continuidad de Negocio ha sido objeto de varios posts en esta página. Hoy vamos a ver una forma sencilla y gráfica de determinar el Análisis de Impacto o BIA (Business Impact Analysis).

Veremos una sugerencia de presentación de los datos y de operación, con todas las implicaciones (buenas) de elegir un método gráfico en función del tiempo. Damos por supuesto que hemos elegido cada uno de los procesos básicos de la entidad y que ya tenemos definido para cada uno un flujo de funcionamiento del proceso, mediante un diagrama y una secuencia lógica de operaciones o actividades y sus relaciones con otros procesos, datos que tenemos registrados, por comodidad, en formato de hoja Excel.

La parte de la hoja que muestro, no es donde registro los datos del proceso sino que es solo la zona donde he puesto la escala temporal para determinación del impacto, en cuatro ‘dimensiones de impacto‘ elegidas, para cada proceso, que son: legal (IL), contractual (IC), reputacional (IR) y operativo (IO). Cada entidad puede elegir sus dimensiones de impacto, que pueden ser distintas, incluso más o menos en número.

La escala temporal empleada va desde minutos a meses. La idea es recoger todos los posibles periodos de interrupción del funcionamiento normal o aceptable, para que el mismo modelo de formulario sirva para todos los procesos, breves y largos. Para cada nivel en la escala de tiempo figuran las unidades (1 minuto, 1 hora, 1 día, 1 semana, 1 mes). Hay valores intermedios sin embargo en el formulario que no están detallados, para que se puedan añadir si es necesario. Esta escala hace ‘el efecto’ de una ‘escala logarítmica‘, que en la práctica resulta muy comprensible y facilita el manejo de unidades de tiempo.

Estamos considerando (definiendo) solo tres niveles de impacto: bajo (B), medio (M) y alto (A). El bajo es irrelevante, no produce efectos que no tengamos en cierto modo previstos, como por ejemplo el resultado de un tiempo de subactividad o un pequeño extra-coste de producción. El medio supone un incumplimiento o que se ha superado un umbral inaceptable, desde luego no presupuestado, bien sea relativo a un incumplimiento de la legislación o de las normas (IL); del periodo de entrega del contrato (IC); del momento en que pueden haber repercusiones reputacionales (IR); del momento en que causaríamos un problema en procesos posteriores (IO). El nivel alto supone una situación en que incluso está en serio peligro la continuidad del proceso porque una interrupción tan larga puede hacer, por ejemplo, que los clientes pueden perder la confianza en nuestra entidad y ya no nos pasen más pedidos. El tipo de representación que se formará no es el de una curva continua, sino que es de alguna manera ‘cuántico’, en el que un incumplimiento provoca un ‘cambio de fase’ o de nivel de gravedad (o sea, el gráfico resultante será ‘escalonado’).

En la parte gráfica solo hay que ir poniendo «x» en las casillas correspondientes. Las casillas de la tabla están formateadas con la función ‘Formato condicional’ de forma que si pongo la «x» en una casilla en la fila (marcada en su cabecera con B) que representa un impacto bajo se pintará la celda de verde; si lo hago en la fila (marcada con M) de impacto medio se pondrá de color amarillo; y si la pongo en la fila (marcada con A) de impacto alto, la casilla se pintará de color rojo, colores que he definido antes en el formato y que concuerdan intuitivamente con un ‘mapa de calor’.

Prueba a cambiar de imagen pulsando la flecha de la derecha para avanzar y la de la izquierda para retroceder en el proceso de rellenar la tabla en la galería de imágenes siguiente:

Así que vamos rellenando las casillas con «x» en la parte de la escala de tiempo que es relevante en este ejemplo. Empezamos con 1 día y vamos subiendo en el tiempo de interrupción (o de ‘disrupción’, para ser más exactos), no planificada. Aquí en ‘observaciones‘ (columna de la derecha de la tabla) se detallan las razones que hacen que las «x» tengan que cambiar de fila a distintos tiempos. Al principio una interrupción no provoca ningún impacto o produce un impacto ‘bajo’. Conforme pasa el tiempo llega un momento en que el impacto producido es ‘medio’ porque se produce un incumplimiento. Generalmente los incumplimientos cuestan dinero (una multa, una penalización, el coste de una campaña de imagen, pérdidas no presupuestadas en otros procesos). Puede llegar más tarde un momento en que la interrupción provoca una reacción insoportable y crítica, consistente en que el cliente ya no va a renovar su contrato, aunque haya cobrado la penalización. El impacto será ‘alto’.

Cuando hemos terminado de rellenar los ‘impactos’ estimados en cada dimensión a distintos tiempos, en alguna de las dimensiones de impacto, se habrá producido el ‘cambio de fase’ o de gravedad primero a un nivel inaceptable, antes que en otros (puede coincidir en varias dimensiones, IL, IC, IR, IO, a la vez). Ese tiempo es el Máximo Periodo Tolerable de Disrupción o MTPD, que es una medida de la debilidad del sistema. Como lo que ha ocurrido es que a ese tiempo se ha superado un nivel tolerable de parada o de mal funcionamiento, que consideramos inaceptable, debemos considerar cuál será la forma de recuperar el funcionamiento normal del proceso en un tiempo más corto, fijando un Tiempo Objetivo de Recuperación o RTO menor o igual al MTPD.

En este ejemplo vemos que el primer impacto que se produce es el ‘reputacional’, a los 2 días. Ese tiempo del primer impacto ‘medio’ lo asimilaremos al Máximo Periodo de Disrupción Permisible o MTPD. Por tanto el MTPD será de 2 días. Como lo que pretendemos es no llegar a ese tiempo MTPD, diremos que vamos a tomar como objetivo, restituir el funcionamiento normal del proceso en 1 día. Eso significa que el Objetivo de Tiempo de Recuperación o RTO será de 1 día.

Los siguientes pasos del Análisis de Impacto o BIA consisten en determinar qué puestos y qué recursos son necesarios para cumplir con el RTO fijado. Necesitaremos un número de personas cualificadas para cumplir el RTO. Estas personas necesitarán unos recursos, bien sea maquinaria, ordenadores, programas, unos ciertos conocimientos y, por supuesto, unos procedimientos para fijar los métodos de trabajo y unos registros para hacer trazable su actividad.

Este análisis BIA hay que realizarlo para cada proceso básico de la entidad. En una fase de madurez se extenderá a todos los procesos, incluidos los auxiliares, de la compañía.

De esta manera, el Análisis de Impacto en el Negocio o BIA es la actividad que nos abre la puerta para determinar objetivos de recuperación y continuidad de los procesos y nos da un esquema de todo lo que será necesario para llevarlos a cabo. O como indica la norma ISO 22301 (punto 8.2.2), determinar las prioridades y requisitos. Y más adelante optar por la certificación del sistema, cuando se hayan puesto en vigor todas las prescripciones de la norma.