Las acciones de defensa suelen basarse en proteger nuestras debilidades, estableciendo mecanismos de vigilancia o control, definiendo umbrales de cambio de situación de ‘normal‘ a distintos niveles de ‘incidente o crisis‘, movilizando eficazmente nuestros recursos clave, estableciendo medidas efectivas para disipar o amortiguar los daños del incidente y fomentar la diversificación y transmisión del conocimiento.

La mejor defensa se puede lograr con una organización en capas, que una amenaza tendría que superar antes de llegar a afectar de verdad a nuestros procesos. Vamos a ver qué podemos hacer en cada una de esas capas, de ‘fuera’ a ‘dentro’ de nuestros procesos, siguiendo una secuencia lógica:

• Establecer mecanismos de vigilancia: para los distintos activos se trata de mecanismos distintos, por ejemplo, hacer un seguimiento como se indica a continuación:
  • Para personas, análisis de salud y del estado de la prevención de riesgos laborales, seguimiento de si están establecidas y se respetan las carreras profesionales, fomento de la formación y transmisión de conocimiento –> Con ello se mejora la salud y la satisfacción laboral, se mejora la capacitación y se reduce el absentismo.
  • Para los locales, controles de acceso y de presencia, de forma que solo puedan acceder a los locales de trabajo las personas autorizadas y durante el tiempo establecido; sensores de temperatura, detección de humos, cámaras de vigilancia. –> Con ello evitamos incendios, inundaciones, nos informamos de averías y evitamos que haya intrusiones o que personas ajenas puedan conocer detalles privados de nuestra organización.
  • Para las máquinas informáticas, control de acceso a sistemas y aseguramiento de buenas prácticas de uso, detección de tráfico anormal y niveles anormales de actividad de los ordenadores, detección de malware e intentos de intrusión, estado de las actualizaciones y backups. –> Evitamos ciberataques y pérdida de datos.
  • Para los suministros, niveles de almacenamiento, regularidad de los suministros, solvencia de los proveedores. –> Evitamos paradas por rotura de stocks.
• Definir umbrales de situaciones ‘normal’, ‘incidente’, ‘crisis’ para los distintos activos vigilados:
  • Normal: todo funciona correctamente
  • Incidente: hay algún problema, interrupción o avería, pero se tiene claro que su gravedad es baja y no afectará a la facturación ni a los costes presupuestados.
  • Crisis: El incidente se agrava y afectará a la facturación, a los costes y a los plazos de entrega o finalización que serán por encima de lo comprometido, produciendo uno o más incumplimientos.
  • Catástrofe: Se trata de una crisis en que además se han producido daños en el personal o en las las instalaciones que requerirán tiempo importante para resolverse y una cantidad económica importante.
• Definir cómo movilizar recursos clave: en caso de que se superen los umbrales establecidos y se llegue a un incidente grave tenemos que estar en disposición de convocar y emplear eficazmente todos aquellos recursos que pueden contribuir a que los tiempos de interrupción y los costes globales del incidente estén contenidos. Ya veremos de ampliar este punto más adelante en PCN 2.1.1. Alarmas: guardias y mecanismos de contacto.
• Establecer medidas para actuar en la gestión de la crisis y para recuperar los procesos tras un incidente, según su estado: Trataremos en detalle este punto en PCN 2.1.4. Gestión de crisis y recuperación. Estas medidas no serán nunca ‘milagrosas’ ya que no se pueden prever todas las circunstancias que pueden darse en una crisis, pero servirán para poder improvisar con más soltura y mejores resultados, que solo la práctica y la experiencia podrá facilitarnos.
• Fomentar la diversificación y la transmisión del conocimiento, con lo aprendido por la experiencia: Estas medidas ‘pasivas’ llevadas a cabo como lecciones aprendidas, son un clásico de la gestión. Muchas empresas se han podido salvar si los clientes han perdido el interés por alguno de sus productos cuando han sido capaces de suministrar algo distinto que ha seguido teniendo acogida. A veces esto solo se visualiza tras una crisis. También pasa con los productos que se introducen como consecuencia de un hallazgo inesperado o serendipia, de la que ya hemos hablado antes. En cuanto al conocimiento, despreciar en aras de la modernidad los conocimientos de los empleados más experimentados, que hayan sido capaces de salvar la entidad en situaciones comprometidas, es una especie de suicidio a cámara lenta.

Para implantar las acciones de defensa que estimemos oportunas de forma sistemática, lo mejor es emplear un método de gestión de proyectos, con su planificación en el tiempo, designación de responsables, presupuestos y asignación de recursos, diario de las acciones que se van acometiendo, de tal forma que quede perfectamente documentado el proceso.

Este punto es complementario de todo lo que vimos en la primera parte del libro, dedicada a Debilidades. Clasificábamos las debilidades en cuatro tipos principales:

• Talones de Aquiles
• Dependencias
• Personal clave
• Recursos necesarios

Tras haber fijado nuestras líneas de defensa, hagamos todavía como segunda vuelta, basándonos en nuestro registro, inventario o mapa de procesos (Ver estructura de dicho inventario en PCN 1.1.4 Recursos necesarios), haciendo un balance mental de si lo dispuesto para prepararnos ante un incidente que afecte a alguna de nuestras debilidades fuera aún insuficiente. Si eso es así, deberíamos añadir nuevas acciones a nuestra gestión de proyectos para abordar las vulnerabilidades aun no cubiertas, de forma que se puedan llegar a corregir, antes de que sea tarde. No nos tiene que importar ser reiterativos, si con ello minimizamos los peligros para la entidad.

Índice

Ver el índice completo de la obra (y su estado de realización) en el siguiente enlace: PCN 0. La Continuidad de Negocio: propuesta de estudio

Este es el mapa general del libro:

—————

DISCLAIMER.- Los enlaces a otras web o páginas de empresas, entidades o particulares, se incluyen exclusivamente para facilitar la búsqueda y comprensión de conceptos importantes del texto, sin que exista ninguna relación de dependencia o suponga una aprobación de dichas fuentes.