8.
OPERACIÓN
8.1 PLANIFICACIÓN Y CONTROL OPERACIONAL
La organización debe planificar, implementar y controlar los procesos necesarios para lograr
los requisitos, y para implementar las acciones determinadas en el numeral 6.1, mediante:
La organización debe controlar los cambios planificados y revisar las consecuencias de los
cambios no intencionados, tomando acciones para mitigar los efectos adversos, si es
necesario.
La organización debe asegurar que los procesos subcontratados y la cadena de abastecimiento
sean controlados.
8.2 ANÁLISIS DE IMPACTO AL NEGOCIO Y EVALUACIÓN DE RIESGOS
8.2.1 Generalidades
La organización debe:
8.2.2 Análisis de Impacto al negocio (BIA, por sus siglas en inglés)
La organización debe usar procesos para analizar el impacto empresarial para determinar los
requisitos y prioridades de la continuidad de negocio. El proceso debe:
8.2.3 Evaluación de riesgos
La organización debe implementar y mantener un proceso de evaluación de riesgos.
La organización debe:
8.3 ESTRATEGIAS PARA LA CONTINUIDAD DE NEGOCIO Y SOLUCIONES
8.3.1 Generalidades
La organización debe identificar y seleccionar las estrategias para la continuidad de negocio
que considere opciones para antes, durante y después de una interrupción, basados en los
resultados del análisis de impacto al negocio y la evaluación de riesgos. Las estrategias para la
continuidad de negocio deben componerse de una o más soluciones.
8.3.2 Identificación de estrategias y soluciones
La identificación de las estrategias y soluciones debe basarse en la medida que estas:
8.3.3 Selección de estrategias y soluciones
La selección debe basarse en la medida que las estrategias y soluciones:
8.3.4 Requisitos de recursos
La organización debe determinar los requisitos de los recursos para implementar las soluciones
para la continuidad de negocio seleccionada. Los tipos de recursos a considerar deben incluir,
pero no limitarse a:
8.3.5 Implementación de soluciones
La organización debe implementar y mantener las soluciones para la continuidad de negocio
seleccionadas para que puedan activarse cuando sea necesario.
8.4 PLANES Y PROCEDIMIENTOS PARA LA CONTINUIDAD DE NEGOCIO
8.4.1 Generalidades
La organización debe implementar y mantener esquemas de respuesta que permitan una
advertencia oportuna y la comunicación a las partes interesadas relevantes. Debe brindar
planes y procedimientos para gestionar la organización durante una interrupción. Los planes y
procedimientos deben usarse cuando se requieren activar las soluciones para la continuidad
de negocio.
La organización debe identificar y documentar los planes y procedimientos para la continuidad
de negocio basados en el resultado de las estrategias y soluciones seleccionadas.
Los procedimientos deben:
8.4.2 Esquemas de respuesta
[Link] La organización debe implementar y mantener un esquema, identificando uno o más
equipos responsables, para responder durante las interrupciones.
[Link] Las funciones y las responsabilidades de cada equipo y las relaciones entre ellos deben
establecerse claramente.
[Link] En conjunto, los equipos deben ser competentes para:
[Link] Para cada equipo debe haber:
8.4.3 Advertencia y comunicación
[Link] La organización debe documentar y mantener procedimientos para:
[Link] Cuando sea necesario, debe considerarse e implementarse lo siguiente:
8.4.4 Planes para la continuidad del negocio
[Link] La organización debe documentar y mantener planes y procedimientos para la
continuidad de negocio. Los planes para la continuidad de negocio deben brindar orientación e
información para ayudar a los equipos a responder en una interrupción y ayudar a la
organización en la respuesta y recuperación.
[Link] En conjunto, los planes para la continuidad de negocio deben contener:
[Link] Cada plan debe incluir:
Cada plan debe ser utilizable y estar disponible en el momento y lugar en el que se requiera.
8.4.5 Recuperación
La organización debe tener procesos documentados para restaurar y volver a las actividades
empresariales a partir de las medidas temporales adoptadas durante y después de la
interrupción.
8.5 PROGRAMA DE EJERCICIOS
La organización debe implementar y mantener un programa de ejercicios y pruebas para
validar a lo largo del tiempo la eficacia de sus soluciones y estrategias para la continuidad de
negocio.
La organización debe conducir ejercicios y pruebas que:
8.6 EVALUACIÓN DE LA DOCUMENTACIÓN Y CAPACIDAD DE CONTINUIDAD DEL NEGOCIO
La organización debe:
Estas evaluaciones deben realizarse en intervalos determinados, después de un incidente o
activación y cuando se presenten cambios significativos.
9. EVALUACIÓN DE DESEMPEÑO
9.1 MONITOREO, MEDICIÓN, ANÁLISIS Y EVALUACIÓN
La organización debe determinar:
La organización debe evaluar el desempeño y la eficacia del SGCN.
9.2 AUDITORÍA INTERNA
9.2.1 Generalidades
La organización debe llevar a cabo auditorías internas en intervalos planificados para
proporcionar la información de si el SGCN:
9.2.2 Programa(s) de auditoría
La organización debe:
9.3 REVISIÓN POR LA DIRECCIÓN
9.3.1 Generalidades
La organización debe llevar a cabo auditorías internas en intervalos planificados, para asegurar
su continua pertinencia, idoneidad y eficacia.
9.3.2 Consideraciones de la revisión por la dirección
La revisión por la dirección debe considerar:
9.3.3 Resultados de la revisión por la dirección
[Link] Los resultados de la revisión por la dirección deben incluir decisiones relacionadas con
las oportunidades de mejoramiento continuo y cualquier necesidad de cambio en el SGCN para
mejorar la eficiencia y eficacia, incluyendo lo siguiente:
[Link] La organización debe conservar la información documentada como evidencia de los
resultados de la revisión por la dirección. Debe: