Aspectos Generales

La norma ISO 22301-2012 Seguridad de la Sociedad: Sistemas de Continuidad del Negocio - Requisitos define la “Continuidad de Negocio” como la capacidad de la organización de continuar entre gando productos y servicios a niveles aceptables predefinidos después de ocurrir un evento alterador.

Por su lado, el Estado Peruano define, en el documento Lineamientos para la Gestión de Continuidad Operativa de la Entidades Públicas en los Tres Niveles de Gobierno, aprobado mediante Resolución Minis terial N° 028-2015-PCM, el “Gestión de Continuidad Operativa del Estado” como el proceso continuo que debe formar parte de las operaciones habituales de la Entidad Pública y tiene como objetivo garantizar que siga cumpliendo con su misión, mediante la implementación de mecanismos adecuados, con el fin de salvaguardar los intereses de la Nación, ante la ocurrencia de un desastre de gran magnitud o cualquier evento que interrumpa o produzca inestabi lidad en sus operaciones.

Belaunde¹ analiza la aplicación de los términos “continuidad de negocio” y “continuidad operativa”, belaunde señala que, en general, se utiliza el término “continuidad del negocio” en el mundo empre sarial; pero en el caso de las entidades estatales (cuyo objeto no es hacer negocios), se usan los términos “continuidad de las operaciones” (o “continuidad operativa”), y “continuidad del Gobierno” (o del Estado). Aunque en algunos organismos se sigue usando la expresión “business continuity” (es decir, continuidad del negocio) para entidades estatales.

La organización Atalait² señala que toda empresa debería saber cómo resolver cualquier tipo de crisis o de interrupción de los procesos que resultan críticos para una organización. Se estima que un 60% de la inversión realizada en un plan de continuidad operativa tendrá un impacto directo sobre los activos humanos de la empresa. Los recursos humanos son quienes se encargarán de que el ROI llegue de la mejor manera, en tiempo y forma. Para lograrlo es necesario contar con un plan sólido y probado que brinde un retorno de inver sión, y asegure la eficiencia financiera.

Diferencias entre gestión de riesgos de desastres y gestión de la continuidad operativa

La Ley N° 29664 - Ley del Sistema Nacional de Gestión de Riesgo de Desastre define la “Gestión del Riesgo de Desastres” como un proceso social cuyo fin último es la prevención, la reducción y el control permanente de los factores de riesgo de desastre en la sociedad, así como la adecuada preparación y respuesta ante situa ciones de desastre, considerando las políticas nacionales con espe cial énfasis en aquellas relativas a materia económica, ambiental, de seguridad, defensa nacional y territorial de manera sostenible. Además, contempla los siguientes procesos:

Estimación del riesgo,

Prevención y Reducción del Riesgo,

Preparación, Respuesta y Rehabilitación², y

Reconstrucción.

El Reglamento de la Ley N° 29664 - Ley del Sistema Nacional de Gestión de Riesgo de Desastre, aprobado mediante Decreto Supremo N° 048-2011-PCM, determina la necesidad de desarrollar planes específicos por los procesos mencionados anteriormente, tales como:

Planes de prevención y reducción de riesgo de desastres,

Planes de preparación,

Planes de operaciones de emergencia,

Planes de educación comunitaria,

Planes de rehabilitación, y

Planes de contingencia.

Belaunde¹ propone que hay un tema de intersección entre la Continuidad Operativa y la Gestión de Riesgos de Desastres, que es los “eventos de desastres”. En el Perú, lo que más puede provocar eventos de interrupción serios, son los desastres naturales; sin embargo, la propia historia peruana permite ampliar el alcance del término desastres debido a que se han tenido también épocas de disturbios violentos y de terrorismo. Así también, los procesos de gestión del riesgo de desastres pueden ser imposibles de llevar a cabo si no se tiene una buena gestión de la continuidad operativa, es decir una buena gestión de riesgo de desastre es imposible sin una buena gestión de la continuidad operativa.

También se debe tener en cuenta que, según lo indicado por el Dr. Belaunde, en el marco de la gestión de la continuidad operativa, se desarrollan planes de continuidad, y estos tienen que articularse con los planes de operaciones de emergencia que tengan la orga nización, porque, entre otros aspectos, puede haber personal involucrado en ambos temas al mismo tiempo.

Es importante para el desarrollo de la presente investigación adoptar el término de Continuidad Operativa, cuando nos referimos a conti nuidad del negocio, esto alineándose con el marco normativo peruano correspondiente.

Diferencias entre Plan de Operaciones de Emergencia, Plan de Continuidad Operativa y Plan de Contingencia

Es necesario establecer las diferencias entre los siguientes términos que permitirán aclarar y acotar la investigación, debido a que usualmente estos términos se usan en forma indistinta pero que en el ámbito de la continuidad operativa y de la gestión de riesgos de desastres, tienen acepciones distintas:

Plan de Operaciones de Emergencia,

Plan de Continuidad Operativa, y

Plan de Contingencia.

El Plan de Operaciones de Emergencia, conocido comúnmente como Plan de Emergencia, es definido por el Servicio Nacional de Aprendizaje - SENA, 2013³ como el conjunto de normas y proce dimientos generales destinados a prevenir y a controlar en forma oportuna y adecuada, las situaciones de riesgo de una empresa, y que se basa en el análisis de vulnerabilidad, y su fin primordial es definir las acciones a seguir en cualquier situación de emergencia o de desastre.

En el marco del desaparecido Sistema Nacional de Defensa Civil - SINADECI³, regulado por el Decreto Ley N° 19338 y reglamen tado por el Decreto Supremo N° 005-88-SGMD, se definía al Plan de Operaciones de Emergencia como un plan operativo que orga niza la preparación y la respuesta a la emergencia, considerando los riesgos del área bajo su responsabilidad y los medios disponi bles en el momento. Este plan es evaluado periódicamente mediante simulaciones y simulacros.

La norma ISO 22301 define el “plan de continuidad de negocio” (plan de continuidad operativa) como los procedimientos docu mentados que guían a la organización a responder, recuperar, reanudar y restablecer a niveles predefinidos después de una alte ración.

En el documento Lineamientos para la Gestión de Continuidad Operativa de la Entidades Públicas en los Tres Niveles de Gobierno se define el “Plan de Continuidad Operativa” como el instrumento que debe formar parte de las operaciones habituales de la Entidad, que incluye la identificación de las actividades y servicios críticos que requieran ser ejecutados y prestados de manera ininterrum pida, la determinación de las medidas y acciones que permitan que la entidad de manera eficiente y eficaz siga cumpliendo con su objetivos, así como la relación del personal que se encontrará a cargo de la ejecución de las mencionadas actividades. Incluye protocolos, la realización de pruebas y ensayos, entre otros elementos señalados en dicho documento.

Por su lado, De la Torre⁴ define al Plan de Continuidad Operativa como el documento que está enfocado a asegurar la continuidad del negocio, cuando de repente ocurre un incidente inesperado; este plan lo que intenta es no detener la productividad de la empresa, e intentar que la situación que ha sucedido en ese momento nos afecte lo menos posible.

La organización RedInfo⁵ señala que el objetivo del Plan de Continuidad Operativa es establecer los procedimientos y recursos necesarios para la administración de procesos críticos en situación de contingencia. Además, define el personal y los cargos claves que deben asumir en la toma de decisiones en caso de contingencias.

Se define, en el Reglamento de la Ley N° 29664 - Ley del Sistema Nacional de Gestión de Riesgo de Desastre y en el documento Lineamientos para la Formulación y Aprobación de Planes de Contingencia, aprobado mediante Resolución Ministerial N° 188-2015-PCM, al Plan de Contingencia como los procedi mientos específicos preestablecidos de coordinación, alerta, movi lización y respuesta ante una ocurrencia o inminencia de un evento particular para el cual se tiene escenarios definidos.

De la Torre⁴ indica que un Plan de Contingencia consiste en restar el impacto financiero que puede causar un “incidente” inesperado en la compañía dentro del marco de los procedimientos habituales de la empresa, este plan trabaja para recuperar a la compañía de los imprevistos especiales que se puedan dar, y que por su causa interrumpen el sistema de producción.

Según lo señala Borghello⁶, un plan de continuidad incluye un plan de contingencias debido que este último es aplicado única mente cuando se produjo un desastre mientras que el plan de continuidad aparte de tener medidas en caso de desastre también contempla el análisis de las vulnerabilidades y desarrolla contra medidas para mitigar dichas vulnerabilidades. Por tanto, el plan de continuidad no solo es correctivo como el plan de contingencias, sino que también es preventivo.

Sin embargo, hay que considerar también que el Servicio Nacional de Aprendizaje - SENA³, establece que los planes de contingencia son planes de emergencia específicos, destinados a la prevención y control de amenazas particulares identificadas por áreas de trabajo o por empresa.

Por lo expuesto, se plantea las siguientes definiciones a ser tomada en cuenta al desarrollo de la investigación:

El Plan de Emergencia tiene un enfoque de prevención y control de las potenciales situaciones de emergencia que pudieran acontecer a una organización.⁴

El Plan de Continuidad Operativa tiene un enfoque preventivo que establece acciones para hacer frente a la ocurrencia de un evento inesperado con el objetivo de evitar la paralización de las operaciones, además contempla las acciones de contin gencia de respuesta inmediata para emergencias externas de bajo riesgo.

El Plan de Contingencia tiene un enfoque reactivo que establece acciones para hacer frente a la ocurrencia de un evento ines perado que provocaron la paralización de las operaciones.

El presente estudio se planteó el objetivo de establecer la estructura del Plan de Continuidad Operativa para una Empresa de Saneamiento de Agua, a partir de los resultados del diagnóstico documentarlo sobre los lineamientos y prácticas de la Gestión de Continuidad Operativa. Para ello se plantearon las siguientes acciones:

Desarrollar un diagnóstico documentarlo sobre los lineamientos y prácticas de la Gestión de Continuidad Operativa a través de la búsqueda de normas técnicas, investigaciones y artículos especializados que aborden el tema de la Gestión de la Continuidad Operativa asociada a la Gestión de Riesgos de Desastres.

Consolidar y procesar la información técnica para la definición de términos, identificación de buenas prácticas y determina ción de lineamientos para la formulación del Plan de Continuidad Operativa.

Definir los elementos de la estructura del Plan de Continuidad Operativa.

Empresa de Estudio

La investigación tomó como objeto de estudio a una empresa pública de servicio de saneamiento de agua cuyos roles y competencias están establecidos en el Decreto Legislativo N° 1280 (promulgado en diciembre de 2016), mediante el cual se aprobó la Ley Marco de Gestión y Prestación de Servicios de Saneamiento.

Para agosto 2017, se calculaba que la población atendida por esta empresa era de 11,18 millones de habitantes asentados en 50 distritos.

Tabla 2 Normas Internacionales relacionadas a la Continuidad Operativa. 

En ese sentido para junio de 2016, la empresa alcanzó una cobertura de 93,4% en el servicio de agua potable y, 90,3% en el servicio de alcantarillado.

Revisión de Documentación relacionada a la Continuidad Operativa

Para la revisión de la documentación normativa, se tomó en consi deración lo desarrollado por Alexander, UrbiCAD y Sáez^7,8,9, para la identificación de las normas técnicas internacionales que guardan relación con la gestión de la continuidad operativa. Cabe precisar que la totalidad de las normas consultadas están vinculadas a la gestión de la continuidad operativa, pero desde la perspectiva de la tecno logía de la información, a excepción de la norma NFPA 1600 - Programas de Manejo de Desastres/Emergencias y Continuidad de Negocios cuya orientación se da en la respuesta a incidentes que puedan afectar a las personas, propiedad y medio ambiente.

Para la revisión de la documentación técnica se identificó y consolidó las publicaciones obtenidas de investigaciones, revistas técnicas y foros especializados; sin embargo, como se mencionó en lo corres pondiente a la documentación normativa, estas publicaciones han sido desarrolladas en el ámbito de las tecnologías de la información. Con la revisión de documentos benchmark (documentos modelo de diversas organizaciones), se buscó establecer los lineamientos y elementos comunes para la determinación de la estructura del Plan de Continuidad Operativa.

Estructura del Plan de Continuidad Operativa

A partir de los resultados de la revisión de la documentación, se estableció la estructura del Plan de Continuidad Operativa bajo la premisa que este le permita responder ante una amenaza que pueda paralizar sus operaciones. En la siguiente tabla se presenta la descripción de cada uno de los elementos de la estructura del Plan de Continuidad Operativa.

Estado Situacional de la Empresa en Estudio

En la empresa de estudio se efectuó un Análisis de Impacto de Negocio (BIA) - Estratégico que comprendió un universo de trece (13) macro procesos (Nivel 0), conformados por 169 procesos de Nivel 1, determinándose seis (6) macroprocesos con 92 procesos de Nivel 1 con prioridad de recuperación “Urgente” tomando en cuenta el criterio MTPD⁵ <= 2 meses.

Además, se efectuó un BIA - Operativo a los 6 macroprocesos, identificándose 43 procesos de Nivel 1 que deberían ser priorizados tomando como base el mismo criterio de selección que se usó para evaluar los macroprocesos: MTPD tuviera un valor menor o igual a dos (02) meses.

Como parte del Análisis de Impacto en el Negocio, se concluyó que los macroprocesos relacionados con la “Producción y Distribución de Agua Potable” y “Recolección y Tratamiento de Aguas Residuales” son los más críticos (MTPD <= 1 semana) debido a que ante una interrupción de los mismos se afectaría directamente a la población atendida por la empresa en estudio.

Por tanto, si bien en el BIA Operativo se identificó 25 procesos de Nivel 1⁶; se propone priorizar 17 procesos que corresponden a los macroprocesos críticos Producción y Distribución de Agua Potable y Recolección y Tratamiento de Aguas Residuales, en términos de MTPD, RTO⁷ y RPO⁸

Tabla 3 Publicaciones relacionadas a la Continuidad Operativa. 

Tabla 4 Documentos Modelos relacionados a Continuidad Operativa. 

Elaboración del Plan de Continuidad Operativa

Se identificaron las amenazas con riesgos de tipo operativos en las diferentes actividades las cuales son ejecutados por los dife rentes equipos de trabajos para brindar un adecuado servicio de agua potable y alcantarillado. En la siguiente tabla, se presenta las amenazas del Macroproceso “Producción y Distribución de Agua Potable” - Proceso “Producción de agua superficial”.

Tabla 5 Estructura del Plan de Continuidad Operativa. 

A partir de esto, se procede a la determinación de las acciones para la continuidad operativa para cada proceso:

Tabla 6 

El Plan de Continuidad Operativa contempla un programa de difusión e implementación que incluye una serie de actividades necesarias; algunas de ellas son:

Acciones de divulgación del plan, en todos los niveles de la organización.

Desarrollo de ejercicios de simulación y simulacros, periódica mente.

Adquisición de recursos y elementos complementarios.

Elaboración de la base de datos y actualización periódica de la misma.

Definir el Plan de capacitación.

Actividades de seguimiento, evaluación y ajustes del plan.

Además, para la evaluación del desempeño del Plan de Continuidad Operativa debe considerarse, entre otras, las siguientes prácticas:

Simulacros: practica y prueba la efectividad de tu plan.

Reiniciar operaciones: practica cómo sería el reinicio de acti vidades.

Es recomendable que se realice los ejercicios que se consideren necesarios y realistas. Se puede incrementar los niveles de complejidad de los ejercicios de prueba y adaptarse a los dife rentes escenarios para mejorar las capacidades de continuidad operativa.