Casi todas las empresas medianas y grandes que auditamos tienen, en algún servidor o carpeta compartida, un archivo llamado "Plan de Continuidad de Negocio". Tiene portada, tabla de contenidos, un organigrama de crisis y una lista de contactos de emergencia. El problema es que, cuando preguntamos cuándo fue la última vez que se probó, la respuesta habitual es "nunca" o "no me acuerdo".
Ese documento no es un plan de continuidad. Es un ejercicio de cumplimiento que quedó archivado el día que se terminó de escribir.
La diferencia entre tener un documento y tener una capacidad real de continuidad es, exactamente, la diferencia entre sobrevivir a un incidente y descubrir en medio de la crisis que el plan no sirve.
Un plan de continuidad bien escrito puede responder, en el papel, casi cualquier pregunta. Una capacidad real de continuidad solo se demuestra respondiendo estas tres preguntas con hechos, no con intenciones.
¿Los respaldos realmente se pueden restaurar, y en cuánto tiempo? No basta con que el respaldo se ejecute cada noche sin errores en el log. Hay que saber, con un número concreto, cuánto tiempo toma restaurar el sistema crítico desde ese respaldo, y si ese tiempo es compatible con lo que el negocio puede tolerar sin operar. Muchas empresas descubren la respuesta real durante el incidente, no antes.
¿La lista de contactos y roles de crisis sigue siendo la de hoy? Es común encontrar planes donde el "responsable de comunicaciones de crisis" dejó la empresa hace ocho meses, o donde el número de teléfono de emergencia del proveedor de conectividad ya no existe. Un plan que no se actualiza cada vez que cambia el organigrama, deja de ser un plan operativo y se convierte en un documento histórico.
¿El equipo sabe, sin leer el manual, qué hacer en los primeros treinta minutos? En una crisis real no hay tiempo para leer cuarenta páginas y encontrar el procedimiento correcto. Si el equipo no ha practicado al menos una vez cómo se activa el plan, quién decide qué, y cómo se comunica hacia adentro y hacia afuera, la primera media hora del incidente se pierde en confusión, que es exactamente el tiempo que más cuenta.
Convertir un plan de papel en una capacidad real no requiere reescribirlo desde cero. Requiere tres prácticas que la mayoría de las empresas simplemente no tiene calendarizadas.
La primera es probar los respaldos y los sistemas de recuperación con una periodicidad definida, no solo confirmar que el proceso automático corrió sin errores, sino ejecutar una restauración real y medir el tiempo que toma.
La segunda es ejercitar el plan con simulacros de escritorio (tabletop exercises): reunir al equipo de crisis, plantear un escenario realista —una falla del proveedor de nube principal, un secuestro de datos, la caída del centro de datos— y recorrer, sin avisos previos, cómo respondería la organización. Estos ejercicios, de dos o tres horas, revelan más brechas reales que cualquier revisión documental.
La tercera es mantener el plan vivo: revisarlo cada vez que cambia un proceso crítico, un proveedor clave o una persona en un rol de crisis, en lugar de esperar a la próxima auditoría o certificación para actualizarlo.
La continuidad operativa no es solo un tema de infraestructura o de negocio. La LOPDP exige garantizar la disponibilidad e integridad de los datos personales que la empresa trata, y un incidente sin capacidad real de recuperación puede convertirse, además de en una crisis operativa, en una brecha de datos que hay que notificar a la autoridad. Un plan de continuidad que solo existe en el papel expone a la empresa en ambos frentes al mismo tiempo.
Cuando auditamos la continuidad de un cliente, no revisamos si el documento está bien redactado. Revisamos si la organización puede demostrar, con evidencia, que sabe restaurar sus sistemas dentro de los tiempos que el negocio necesita, que su equipo de crisis sabe actuar sin manual en mano, y que el plan refleja la operación de hoy y no la de hace dos años.
Si no está seguro de si su plan de continuidad es un documento o una capacidad, la forma más rápida de averiguarlo es ponerlo a prueba. Conversemos sobre un simulacro de continuidad para su organización.
Conversemos sobre un simulacro de continuidad para su organización y averigüe la respuesta con evidencia, no con intenciones.