BIA y Continuidad del Negocio: cuándo no forzarlo

En los últimos años me tocó acompañar a organizaciones en momentos críticos, con un incidente ya en curso y decisiones urgentes por tomar. Después de ese tipo de situaciones suele aparecer una reflexión recurrente: la idea de que todo habría sido más ordenado, o menos caótico, si hubiese existido un BCP. Esa reflexión suele ser el punto de partida para hablar de BIA y continuidad del negocio, incluso en organizaciones que nunca lo habían priorizado.

El problema es que, fuera del contexto del incidente, hablar de BCP suele percibirse de forma diferente. Para muchas organizaciones, la continuidad del negocio aparece más como una obligación que como una herramienta: algo que hay que hacer porque lo pide un regulador, un auditor o un tercero.

Esa diferencia de percepción no es menor. En medio de un incidente, la continuidad se entiende desde la experiencia: el impacto, el desorden, las decisiones tomadas con información incompleta. Pero cuando la urgencia desaparece —o cuando nunca hubo un incidente— la conversación cambia. La continuidad empieza a verse como un tema abstracto, lejano, que compite con otras prioridades más visibles y, a veces, más urgentes en el día a día.

Dicho esto, hay algo interesante cuando la continuidad comienza a trabajarse a partir de un incidente reciente. La experiencia todavía está fresca y, con ella, también lo están las decisiones que hubo que tomar bajo presión. Qué sistemas se intentaron recuperar primero, qué usuarios quedaron esperando, qué procesos generaron más impacto. En ese contexto, los equipos ya no hablan en abstracto. La noción de criticidad deja de ser teórica, porque algo ya se rompió y hubo que priorizar.

Ese escenario, paradójicamente, elimina uno de los principales problemas de los BIAs tempranos: la falta de referencias reales.

La idea no es “no hacer un BIA“

Llegados a este punto, conviene aclararlo explícitamente. La idea no es “no hacer un BIA”. El BIA es una herramienta central dentro de la continuidad del negocio y, bien utilizado, aporta muchísimo valor.

Mi mirada no está construida desde la especialización normativa ni desde la continuidad “de escritorio”. Surge de la práctica, de ver cómo estas herramientas funcionan —o dejan de funcionar— cuando se las necesita para decidir, no solo para documentar.

El problema aparece cuando se lo fuerza demasiado temprano, en organizaciones que todavía no tienen las condiciones mínimas para que el ejercicio sea útil. En esos casos, el BIA se convierte en un fin en sí mismo, en lugar de ser un medio para tomar decisiones.

Qué suele pasar cuando el BIA llega demasiado temprano

En organizaciones de baja madurez, el BIA suele vivirse como una serie de entrevistas incómodas. Alguien tiene que responder preguntas para las que no tiene elementos claros, y el ejercicio se transforma rápidamente en una negociación implícita.

Los resultados son conocidos:

• Los RTO y RPO se definen más por presión que por análisis.
• Los procesos terminan siendo “todos críticos”.
• Los dueños de proceso responden desde la intuición o desde el temor a quedar expuestos.
• El documento final se entrega, se archiva y rara vez vuelve a usarse.

Formalmente, el BIA existe. Operativamente, no habilita decisiones ni prioridades. Eso, claramente, no es continuidad. Es teatro documental.

El BIA como herramienta de decisión en la continuidad del negocio

Un BIA, dentro de un enfoque de continuidad del negocio, no sirve para “cumplir”. Sirve para decidir. Para ordenar prioridades cuando los recursos son limitados y no todo puede protegerse al mismo nivel.

Para que eso funcione, tienen que darse algunas condiciones básicas:

• Los procesos, productos o servicios críticos tienen que estar identificados. En otras palabras, tiene que haber algo concreto que priorizar.
• Los responsables de esos procesos tienen que estar claramente definidos.
• Las dependencias clave, al menos a alto nivel (personas, tecnología, proveedores), tienen que ser visibles.
• Tiene que existir una capacidad mínima de ejecutar lo que surja del análisis.
• La Alta Dirección tiene que estar dispuesta a aceptar trade-offs reales.

Cuando estas condiciones no existen, el BIA pierde sentido. No porque la herramienta sea mala, sino porque se la está utilizando fuera de contexto.

El enfoque de activación: hacer el BIA cuando hay un disparador real

En lugar de preguntarnos si “ya hicimos el BIA”, conviene cambiar el foco y hacerse una pregunta distinta: ¿para qué lo necesitamos ahora?

Hay momentos en los que el BIA aparece de forma natural, porque hay un disparador concreto detrás

• Un incidente reciente que expuso dependencias y prioridades.
• Un cambio relevante en sistemas o procesos críticos.
• Una exigencia regulatoria específica y contextualizada.
• Una decisión explícita de la Alta Dirección de ordenar riesgos e inversiones.

En esos escenarios, el BIA deja de ser un ejercicio teórico. Responde a una pregunta real y habilita decisiones reales.

Postergar el BIA no es inacción

Ahora bien, decidir no forzar un BIA no significa quedarse quieto. Al contrario, hay mucho trabajo previo, que en mi opinión, suele ser aún más valioso que un BIA temprano y mal hecho. Por ejemplo:

• Identificar procesos potencialmente críticos.
• Nombrar dueños de proceso.
• Mapear dependencias a alto nivel.
• Socializar conceptos como impacto, MTD, RTO, RPO.

Estoy convencido que ese trabajo sin dudas construye entendimiento común y prepara a la organización para que, cuando el BIA se haga, tenga profundidad y sentido.

El dilema profesional

En definitiva, como profesionales, muchas veces podemos empujar un BIA, cumplir formalmente y cerrar el punto. De hecho, es difícil que alguien lo cuestione: el documento existe, el requisito parece cubierto y el tema se da por cerrado.

La pregunta no es si se puede. La pregunta es otra:

¿Queremos un BIA que exista, o un BIA que sirva?

Forzar el segundo escenario no siempre es la opción más cómoda. A veces implica decir “todavía no”, explicar por qué y trabajar primero en madurez antes que en documentos. Sin embargo, cuando la continuidad del negocio se pone a prueba, suele quedar claro que ese camino es el que permite que las decisiones sean más simples, más rápidas y menos improvisadas cuando realmente importa.

Cuando la continuidad del negocio se reduce a documentos que existen pero no se usan para decidir, conviene asumir la responsabilidad y comunicarlo con claridad: eso no es continuidad. Es teatro documental.