Plan de continuidad del negocio: pasos, ejemplo y plantilla

Un plan de continuidad del negocio explica cómo sostener los servicios esenciales durante una interrupción y cómo recuperarlos en un orden acordado. No es una lista de teléfonos guardada para una emergencia ni una copia de seguridad sin responsables. Conecta procesos, personas, instalaciones, proveedores, información, tecnología, comunicación y tesorería.

El Instituto Nacional de Ciberseguridad sitúa entre sus finalidades mantener el servicio dentro de límites predefinidos, recuperar la situación y analizar lo ocurrido. Aunque parte de sus materiales se centra en ciberseguridad, la continuidad debe contemplar también fallos de suministro, indisponibilidad de instalaciones o personal clave, proveedores críticos y otras causas relevantes para la empresa.

Ámbito y vigencia: guía general para organizaciones en España. El ejemplo es ficticio y no sustituye obligaciones sectoriales, de prevención, protección de datos, seguridad, contratación o comunicación que correspondan a cada actividad.

Respuesta breve: el plan en ocho resultados

Un plan aplicable deja preparados ocho resultados:

1. alcance, gobierno y criterio para activarlo;
2. inventario de productos y procesos prioritarios;
3. análisis de impacto con tiempos y mínimos aceptables;
4. dependencias y recursos de recuperación;
5. estrategias alternativas previamente comprobadas;
6. procedimientos de respuesta, continuidad y retorno;
7. comunicación interna y externa con mensajes aprobables;
8. pruebas, formación, mantenimiento y aprendizaje.

El plan de negocio decide cómo quiere operar y crecer la empresa. El de continuidad parte de esa operación y pregunta qué no puede detenerse, durante cuánto tiempo y con qué alternativa. Tampoco es lo mismo que un procedimiento operativo ordinario: los procedimientos de emergencia describen cómo actuar bajo condiciones degradadas y quién puede autorizar excepciones.

1. Define alcance, autoridad y activación

Comienza por los productos, sedes, canales y procesos cubiertos. Un alcance como «toda la empresa» no ayuda a priorizar; uno como «recepción, preparación, expedición y atención de pedidos nacionales del canal digital» sí permite identificar dependencias.

Designa al menos:

• responsable del plan y persona suplente;
• equipo que evaluará el incidente;
• autoridad para activar y desactivar el plan;
• responsables de operaciones, tecnología, personas, proveedores y comunicación;
• vía alternativa para coordinarse si el canal habitual falla;
• registro de decisiones, horas y evidencias.

La condición de activación debe ser observable. Puede combinar duración estimada, alcance, riesgo para personas o datos, incumplimiento contractual, daño operativo y pérdida de control. No conviene esperar a conocer la causa definitiva si el impacto ya exige actuar.

Una ficha inicial puede indicar: «Activación total cuando un proceso prioritario no pueda prestar su nivel mínimo dentro de su tiempo máximo tolerable; activación parcial cuando exista una alternativa controlada y el impacto permanezca dentro de los límites acordados». Esos límites deben surgir del análisis, no de una frase genérica.

2. Haz el análisis de impacto antes de elegir soluciones

El análisis de impacto en el negocio —BIA, por sus siglas en inglés— identifica qué consecuencias crecen con el tiempo cuando un proceso se interrumpe. INCIBE recomienda determinar el alcance, identificar activos imprescindibles, definir responsables y obtener necesidades de recuperación mediante este análisis.

Para cada producto o proceso, reúne a quienes lo ejecutan y a quienes reciben su resultado. Registra:

• resultado que entrega y clientes internos o externos;
• periodos especialmente sensibles;
• impacto sobre seguridad, legalidad, contratos, finanzas y reputación;
• volumen mínimo aceptable durante la incidencia;
• tiempo máximo tolerable sin ese resultado;
• orden de recuperación respecto a otros procesos;
• dependencias humanas, físicas, digitales y externas;
• acumulación de trabajo y esfuerzo para ponerse al día.

Evita asignar «crítico» a todo. Si dos procesos necesitan el mismo recurso alternativo al mismo tiempo, el plan debe decidir cuál va primero.

3. Usa tiempos de recuperación con una definición local

Dos términos ayudan a conversar, siempre que el plan explique cómo los utiliza:

• RTO (objetivo de tiempo de recuperación): plazo objetivo para restablecer un proceso o recurso a un nivel definido.
• RPO (objetivo de punto de recuperación): antigüedad máxima de los datos que la estrategia pretende recuperar; por ejemplo, restaurar hasta una copia de hace cuatro horas implicaría poder perder hasta ese intervalo de cambios.

No son promesas automáticas ni sustituyen el tiempo máximo tolerable del negocio. El RTO debe dejar margen para detectar, decidir y validar antes de alcanzar ese límite. El RPO solo se aplica de forma directa a información recuperable; no explica cómo reponer material físico, capacidad humana o pedidos no registrados.

Una tabla de trabajo podría ser:

Las cifras pertenecen al ejemplo didáctico. En un plan real deben derivarse del impacto, de compromisos revisados y de pruebas de capacidad.

4. Mapea dependencias y puntos únicos de fallo

Un nombre de aplicación no describe una dependencia completa. Registra propietario, ubicación, acceso, capacidad, respaldo, proveedor, contrato, contacto, alternativas y tiempo necesario para habilitarlas.

Revisa seis grupos:

1. Personas: conocimientos, turnos, sustitución y acceso seguro.
2. Instalaciones: electricidad, agua, climatización, seguridad y ubicación alternativa.
3. Tecnología e información: aplicaciones, identidades, dispositivos, conectividad, datos y copias.
4. Proveedores: servicio, subcontratación, concentración, plazos y escalado.
5. Materiales y equipos: existencias, repuestos, transporte y calibración.
6. Finanzas y comunicación: liquidez, seguros, bancos, clientes, autoridades y canales.

La estrategia no puede depender de que la misma persona, sede o cuenta afectada ejecute la recuperación. Comprueba también que los contactos y documentos sean accesibles sin el sistema habitual, con protección adecuada y control de versiones.

5. Selecciona estrategias que mantengan un mínimo realista

Para cada proceso prioritario, compara alternativas: trabajo manual temporal, segunda ubicación, proveedor alternativo, capacidad compartida, inventario de seguridad, restauración tecnológica o reducción controlada del servicio. Evalúa tiempo, capacidad, coste, requisitos, riesgos secundarios y condiciones para volver a la normalidad.

Una copia no es una estrategia hasta que se sabe quién la restaura, dónde, en cuánto tiempo, con qué credenciales y cómo se valida. Del mismo modo, «teletrabajar» no resuelve una interrupción si faltan dispositivos, conectividad, autorización, información o un proceso compatible.

Elige la alternativa con una matriz:

Todos los datos son del caso ficticio. La estrategia elegida debe cuadrar con el nivel mínimo y el objetivo temporal, no solo parecer razonable en papel.

6. Redacta procedimientos por fase

Un procedimiento de continuidad debe poder seguirse bajo presión. Usa verbos, responsables, criterios y evidencias. Separa cuatro fases:

Detección y evaluación

Protege primero a las personas, contiene daños cuando sea seguro, verifica el alcance y abre el registro. No atribuyas la causa sin evidencia. Indica qué incidentes se escalan y por qué canal.

Activación y respuesta

La autoridad declara el nivel, convoca al equipo, asigna responsables, establece una cadencia y aprueba el primer mensaje. Cada decisión anota hora, información disponible y consecuencia.

Continuidad y recuperación

Activa procesos alternativos en el orden del BIA, valida resultados y controla trabajo pendiente. Si se recupera un sistema, comprueba integridad, permisos, conectividad y operación antes de anunciar normalidad.

Retorno y cierre

Planifica cómo reconciliar registros manuales, retirar alternativas, atender atrasos y confirmar que el riesgo está controlado. El cierre operativo no elimina la revisión posterior ni las notificaciones que procedan.

Cada proceso puede enlazar a su procedimiento operativo estándar, pero el plan conservará una vista transversal de prioridades y dependencias. El análisis DAFO puede haber detectado una amenaza general; aquí se concreta cómo afecta a procesos prioritarios y qué alternativa se activará.

7. Prepara la comunicación sin inventar certezas

Define audiencias, responsables, aprobaciones, canales y frecuencia. Prepara plantillas con campos, no mensajes que afirmen de antemano una causa, un plazo o la ausencia de impacto.

Una primera comunicación responsable puede contener:

• qué servicio está afectado y desde cuándo;
• qué se sabe y qué sigue investigándose;
• alternativa disponible y acción solicitada;
• próxima hora de actualización;
• canal de contacto;
• compromisos de protección y notificación aplicables, revisados por quien corresponda.

No ocultes incertidumbre ni difundas detalles que agraven el incidente. Conserva un registro de versiones y destinatarios. Las obligaciones de notificación dependen del evento, el sector, los datos y los contratos; deben revisarse de forma específica.

8. Comprueba la tesorería de la interrupción

Una incidencia puede reducir cobros, provocar devoluciones y generar gastos extraordinarios a la vez. Incorpora al plan el acceso a pagos autorizados, límites de firma, seguros, reservas y contactos financieros. El plan de tesorería debería incluir un escenario de interrupción con fechas, no solo una provisión genérica.

En el caso didáctico, si se aplazan 12.000 euros de cobros y aparecen 4.000 euros de logística alternativa, la necesidad temporal aumenta en 16.000 euros antes de considerar recuperaciones, indemnizaciones o ahorros. Esa suma no afirma cuál será la pérdida final: indica qué caja podría necesitarse durante el desfase.

Ejemplo resumido: Pedido Claro

Pedido Claro es una distribuidora ficticia que recibe pedidos B2B en línea. Su prioridad es registrar solicitudes urgentes, expedir una capacidad mínima y mantener informados a los clientes. No representa una empresa real.

Escenario de prueba: el sistema de pedidos no está disponible durante una jornada.

1. Soporte confirma el fallo por dos vías y abre el registro.
2. La responsable activa el nivel parcial a los 30 minutos.
3. Ventas dirige pedidos urgentes a un formulario alternativo numerado.
4. Almacén recibe cortes horarios validados, no correos individuales.
5. Comunicación avisa de la incidencia sin atribuir causa y fija actualización.
6. Tecnología recupera en un entorno controlado y valida accesos y registros.
7. Operaciones reconcilia identificadores antes de reabrir el canal principal.
8. El equipo revisa diferencias, retrasos y decisiones en las siguientes 48 horas.

La prueba debe medir tiempos reales, capacidad, errores y decisiones. «Se completó el simulacro» no es un resultado suficiente.

Plantilla operativa

El documento maestro puede organizarse así:

1. propósito, alcance, versión y distribución;
2. gobierno, contactos, suplencias y activación;
3. productos y procesos prioritarios;
4. análisis de impacto y objetivos definidos;
5. recursos, dependencias y puntos únicos de fallo;
6. estrategias por proceso y criterios de selección;
7. procedimientos por fases y listas de comprobación;
8. comunicación, requisitos de notificación y registro;
9. retorno, reconciliación y trabajo acumulado;
10. calendario de ejercicios, mantenimiento y formación;
11. anexos protegidos con inventarios, contratos y datos necesarios.

Lista de control para probar y mantener

• La activación tiene autoridad titular, suplencia y criterio observable.
• Cada proceso crítico tiene un nivel mínimo, prioridad y tiempo justificado.
• Las estrategias comparten recursos sin conflictos no resueltos.
• Contactos, accesos y documentos funcionan fuera del canal habitual.
• Las copias se restauran y validan, no solo se generan.
• Los mensajes distinguen hechos, incertidumbre y próxima actualización.
• La caja y las autorizaciones permiten financiar la respuesta temporal.
• Los procedimientos indican cómo reconciliar y volver a la normalidad.
• Cada prueba produce métricas, incidencias, responsable y fecha de corrección.
• El plan se revisa tras cambios relevantes, incidentes y ejercicios.

INCIBE señala la formación, la verificación y la actualización periódica como partes relevantes del plan. Alterna ejercicios de mesa, pruebas técnicas y simulaciones operativas acotadas; no pongas en riesgo producción para demostrar preparación. El objetivo no es que el documento parezca completo, sino que la empresa pueda decidir, comunicarse y entregar su mínimo prioritario cuando las condiciones habituales dejan de existir.