ISO 22301 (Sistema de Gestión de la continuidad de negocios)
Fue publicada por la Organización Internacional de Normalización (ISO) en mayo de 2012 y
es la sucesora de la norma BS 25999-2, que fue desarrollada por el British Standards
Institution (BSI) en 2007. En la actualidad la versión vigente de la norma es la ISO
22301:2019.
Define los requisitos que deben cumplir los sistemas de gestión de la continuidad del
negocio (SGCN) para asegurar que una organización pueda continuar operando durante y
después de situaciones de crisis, como desastres naturales, ciberataques, pandemias,
conflictos armados o cualquier otra situación que pueda interrumpir sus actividades.
Aplica a cualquier tipo de organización, independientemente de su tamaño o sector. Los
sistemas de gestión de la continuidad del negocio pueden ser implementados por
empresas públicas o privadas, organizaciones sin fines de lucro, instituciones
gubernamentales, entre otros.
Estructura de la norma ISO 22301
Se compone de 10 secciones, que establecen los requisitos para los Sistemas de Gestión
de la Continuidad del Negocio (SGCN) de las organizaciones, se detallan a continuación:
1. Objeto Aquí se define el alcance de la organización, especificando los procesos,
actividades y áreas que se incluyen en el sistema.
2. Referencias normativas: En este apartado se incluye una norma adicional y
documentos relacionados que son aplicables.
3. Términos y definiciones: Se desglosan los términos y definiciones utilizados en la
norma ISO 22301, lo que garantiza que todas las partes involucradas en el SGCN
utilicen el mismo lenguaje y comprendan los mismos conceptos.
4. Contexto de la organización: En esta sección se establece los requisitos para que la
organización comprenda el contexto en el que opera el SGCN, incluyendo los
requisitos legales, regulatorios y contractuales, las partes interesadas y el alcance
del SGCN.
5. Liderazgo: Aquí se listan los requisitos para que la alta dirección de la organización
asuma la responsabilidad de la implementación y mantenimiento del SGCN, y se
comprometa a proporcionar los recursos necesarios considerando la política de
continuidad y los roles y responsabilidades asociados
6. Planificación: Esta sección establece los requisitos para la planificación del SGCN,
incluyendo la identificación de los riesgos y oportunidades del SGCN y la definición
de objetivos.
7. Soporte: En este apartado de la norma se exponen los requisitos para el soporte
del SGCN, incluyendo la provisión de recursos, la comunicación, la documentación,
el conocimiento y la competencia.
8. Operación: Aquí se desarrollan los requerimientos para la implementación y
operación del SGCN, incluyendo la realización del Business Impact Analysis (BIA),
análisis de riesgos, medidas de mitigación, gestión de crisis y planes y pruebas.
9. Evaluación del desempeño: Este apartado indica los requisitos para la evaluación
del desempeño del SGCN, incluyendo la medición, el análisis y la evaluación de la
eficacia del sistema y, por último, la realización de auditoría interna y revisión del
sistema por dirección.
10. Mejora: Por último, aquí se listan los pasos a seguir para la mejora continua del
SGCN, incluyendo la toma de acciones para abordar las no conformidades, la
evaluación de la eficacia de las medidas tomadas y la actualización del SGCN.
Beneficios de la implantación de ISO 22301 en las compañías
La implementación de un sistema de gestión de la continuidad del negocio basado en la
norma ISO 22301 ofrece varios beneficios para las compañías, entre los que se incluyen:
Identificación y evaluación de riesgos: La norma proporciona un marco para la
identificación y evaluación de los riesgos que pueden afectar la continuidad del
negocio de una organización. Esto incluye riesgos físicos, como terremotos o
incendios, así como riesgos cibernéticos o riesgos relacionados con la cadena de
suministro.
Planificación de la respuesta ante situaciones de crisis: Podrás establecer los
requisitos para desarrollar planes de respuesta ante situaciones de crisis que
permitan a la organización responder de manera rápida y efectiva en caso de
emergencias.
Implementación de medidas de mitigación: Derivado de la realización del Análisis
de riesgos del primer punto. Se implementarán medidas de mitigación para
minimizar el impacto de las situaciones de crisis y mejorar su capacidad de
recuperación.
Mantenimiento de la continuidad del negocio: La norma ISO 22301 establece los
requisitos para mantener la continuidad del negocio durante y después de
situaciones de crisis. Esto incluye la implementación de sistemas de respaldo y
planes de recuperación para asegurar que las operaciones de la organización
puedan continuar en un entorno degradado.
Pruebas periódicas: Una de las claves cuando tienes el Sistema de Gestión
Continuidad de Negocio implantado son los planes de pruebas planificados para
comprobar que todos los planes de continuidad funcionan correctamente en los
tiempos esperados.
Mejora continua: La norma ISO 22301 también establece los requisitos para
evaluar y mejorar continuamente el sistema de gestión de la continuidad del negocio. Esto
ayuda a las organizaciones a adaptarse a los cambios en su entorno y a mejorar su
capacidad de recuperación.