Cuando algo sale mal en una organización, la primera pregunta casi siempre es cómo proteger a las personas. Está bien que así sea. Pero hay una segunda pregunta que muy pocas instituciones se hacen antes del evento, y que termina definiendo cuánto dura el daño: ¿qué tenemos que seguir haciendo mientras todo lo demás está detenido, y cuánto tiempo aguantamos sin hacerlo?
Esa segunda pregunta es la continuidad operacional.
Qué es la continuidad operacional
La continuidad operacional (también llamada continuidad operativa, continuidad de operaciones o continuidad de negocio) es la capacidad de una organización para seguir entregando sus servicios o productos críticos, en un nivel aceptable, durante y después de una interrupción. Esa interrupción puede ser un sismo, un incendio, una inundación, un corte prolongado de energía o de agua, la caída de un proveedor clave o un ciberataque.
El concepto viene de la gestión de riesgos empresariales y está normado internacionalmente en la ISO 22301, que en Chile el Instituto Nacional de Normalización adoptó como NCh-ISO 22301:2020. Pero no es un asunto solo de grandes empresas. Un hospital, un municipio, una planta de agua potable o una pyme que abastece a una cadena de supermercados enfrentan la misma pregunta, con consecuencias distintas.
Continuidad operacional y plan de emergencia no son lo mismo
Es la confusión más frecuente, y tiene costo. Un plan de emergencia protege a las personas: evacuación, zonas de seguridad, primeros auxilios, roles durante el evento. Un plan de continuidad protege la capacidad de la organización de seguir funcionando una vez que las personas están a salvo.
Se necesitan los dos. Una empresa puede evacuar impecablemente su edificio en tres minutos y, aun así, quedar tres semanas sin facturar porque nadie sabía dónde estaban los respaldos, quién podía autorizar compras de emergencia o qué clientes había que atender primero. El simulacro salió bien. La organización no.
Qué contiene un plan de continuidad de operaciones
No existe un formato único, pero todo plan serio responde a un conjunto de preguntas en un orden que importa.
1. Qué procesos no pueden detenerse
El punto de partida es el análisis de impacto en el negocio (BIA, por su sigla en inglés). Se revisan los procesos de la organización y se identifica cuáles son críticos, qué pasa si se interrumpen y cómo crece el daño con el paso de las horas. Casi siempre aparecen sorpresas: procesos que la gerencia consideraba secundarios y que en realidad sostienen todo lo demás, como la nómina de remuneraciones o el acceso a un sistema de un tercero.
2. Cuánto tiempo resiste cada proceso
Para cada proceso crítico se definen dos números. El período máximo tolerable de interrupción, que es el tiempo después del cual el daño se vuelve inaceptable, y el tiempo objetivo de recuperación, que es el plazo en que la organización se compromete a restablecerlo. Si el segundo es mayor que el primero, el plan no sirve, por bien redactado que esté.
3. De qué depende
Personas, instalaciones, tecnología, información, proveedores. Un proceso que depende de una sola persona, de un solo servidor o de un único proveedor tiene un punto débil que conviene conocer antes del evento y no durante.
4. Cómo se recupera
Aquí entran las estrategias concretas: sitios alternos, trabajo remoto, acuerdos con proveedores de respaldo, stock mínimo, respaldos de información fuera del lugar, procedimientos manuales cuando falla el sistema. Cada estrategia tiene un costo, y la decisión de cuánto invertir se toma con los números del paso 2 a la vista.
5. Quién decide y cómo
Un plan que no dice quién activa la continuidad, con qué criterio y con qué atribuciones para gastar, se queda en el papel. La experiencia en emergencias reales muestra que la parálisis rara vez viene de la falta de recursos. Viene de que nadie sabe si está autorizado a usarlos.
6. Cómo se prueba
Un plan de continuidad que nunca se ha ejercitado es una hipótesis. Los ejercicios de escritorio y las pruebas de recuperación son los que revelan que el sitio alterno no tenía las licencias instaladas o que el número de contacto del proveedor ya no existe.
Lo que exige la ley en Chile
Para buena parte de las organizaciones la continuidad sigue siendo una buena práctica voluntaria. Para otras ya es una obligación legal. La Ley 21.663, Ley Marco de Ciberseguridad, publicada el 8 de abril de 2024, establece en su artículo 8, letra c), que los operadores de importancia vital deben «elaborar e implementar planes de continuidad operacional y ciberseguridad», que deben certificarse y revisarse con una frecuencia mínima de dos años.
Esa obligación alcanza a sectores como energía, telecomunicaciones, agua, transporte, salud y banca, entre otros, según la calificación que haga la Agencia Nacional de Ciberseguridad. Y aunque la ley nace desde la ciberseguridad, un plan de continuidad que solo mira el riesgo informático queda corto en un país donde un terremoto, un incendio forestal o un sistema frontal pueden dejar sin operar a una instalación completa durante días.
Para quién es
Para cualquier organización cuya interrupción tenga consecuencias que no se pueden absorber con paciencia: servicios públicos y municipios que deben seguir atendiendo a la población en plena emergencia, empresas que abastecen a otras, operadores de servicios básicos y organizaciones sujetas a la Ley Marco de Ciberseguridad.
En Resiliencia Chile diseñamos planes de continuidad operacional desde la experiencia de haber conducido emergencias reales, donde se ve con claridad qué funciona y qué no.
Preguntas frecuentes
¿Qué es la continuidad operacional?
Es la capacidad de una organización para seguir entregando sus servicios o productos críticos, en un nivel aceptable, durante y después de una interrupción como un desastre, un corte de suministro o un ciberataque.
¿Es lo mismo continuidad operativa que continuidad de negocio?
En la práctica sí. Son nombres distintos para el mismo concepto. En el sector privado se usa más «continuidad de negocio» y en el sector público y en la Ley 21.663 se habla de «continuidad operacional».
¿En qué se diferencia de un plan de emergencia?
El plan de emergencia protege a las personas durante el evento. El plan de continuidad protege la capacidad de la organización de seguir funcionando. Se complementan y no se reemplazan.
¿Quién está obligado a tener un plan de continuidad operacional en Chile?
La Ley 21.663 obliga a los operadores de importancia vital a elaborar, implementar y certificar planes de continuidad operacional y ciberseguridad, revisándolos al menos cada dos años. Para el resto de las organizaciones es una buena práctica, recogida en la norma NCh-ISO 22301.
¿Cada cuánto se debe revisar un plan de continuidad?
La Ley 21.663 fija una revisión mínima cada dos años para los operadores de importancia vital. En la práctica conviene revisarlo también después de cada ejercicio, de cada incidente real y de cualquier cambio relevante en procesos, proveedores o instalaciones.
Al final, la continuidad operacional no se mide el día que se aprueba el plan. Se mide el día después del evento, cuando la organización descubre si lo que escribió coincide con lo que es capaz de hacer.
