Este término relativamente nuevo, «resiliencia operativa», hace que muchos se pregunten: «¿Es lo mismo que la recuperación empresarial?», o «¿en qué se diferencian?». Aunque hay similitudes, permítanme explicar las diferencias. Hay similitudes, pero voy a intentar mostrar en qué se diferencian.
La resiliencia operativa supone una evolución con respecto a la recuperación empresarial tradicional (también denominada «continuidad del negocio» o «recuperación ante desastres informáticos»): en lugar de centrarse únicamente en la capacidad de recuperar el negocio cuando se produce una interrupción, se trata de dotarlo de resiliencia para minimizar los efectos de dicha interrupción y que la organización pueda seguir funcionando incluso cuando se produzcan. Teniendo en cuenta que una empresa media puede perder hasta un 10 % de su valor al sufrir una interrupción, la resiliencia operativa se centra en medidas preventivas para reducir esos posibles efectos.
Continuidad operativa tradicional
Desde hace décadas, las organizaciones de todo el mundo cuentan con funciones de continuidad del negocio para ayudar a la empresa a recuperarse tras una interrupción. Esto implica documentar y poner a prueba planes de recuperación centrados en los procesos empresariales internos, las instalaciones, el personal y los sistemas informáticos. Los análisis de impacto en el negocio (BIA) identifican qué procesos empresariales internos o sistemas informáticos son más críticos para la empresa. Quiero destacar que este enfoque es reactivo (recuperación) y se centra en el ámbito interno (procesos empresariales internos, sistemas informáticos, etc.).
Resiliencia operativa
Este concepto tiene su origen en los organismos reguladores del sector de los servicios financieros, principalmente en el Reino Unido. Recientemente se han puesto en marcha normativas que están teniendo repercusiones en todo el mundo, a medida que otros organismos reguladores internacionales siguen su ejemplo. A diferencia de la continuidad del negocio, la resiliencia operativa resulta más eficaz a la hora de preparar a las organizaciones ante las perturbaciones derivadas de pandemias, la escasez en la cadena de suministro, las perturbaciones geopolíticas y los ciberataques.
Los componentes principales de la resiliencia operativa están implícitos en el propio término. Operativa (la forma en que opera la empresa) Resiliencia (la incorporación de medidas para reducir el impacto de las interrupciones). Se trata de un enfoque proactivo frente a uno reactivo.
Otra diferencia radica en el enfoque. La resiliencia operativa comienza por identificar los productos y servicios más importantes que la empresa ofrece a sus clientes. Se trata de un enfoque orientado al exterior. Debido a ello, las prioridades y los indicadores pueden ser muy diferentes. El indicador más importante es la «tolerancia al impacto», es decir, hasta qué punto un cliente o la propia empresa pueden verse afectados antes de que la interrupción se considere intolerable. Por ejemplo, si nuestro portal de banca online está fuera de servicio y los clientes no pueden acceder a su dinero, ¿cuánto tiempo resultará tolerable para un cliente? O si la empresa está perdiendo ingresos porque la banca online no funciona, ¿cuántos ingresos puede permitirse perder? Las métricas se basan en el impacto real: dólares y céntimos, en este ejemplo. Este análisis impulsa un enfoque diferente al de limitarse a disponer de planes de recuperación cuando la banca online no funciona. La empresa va a ser mucho más proactiva en sus medidas para garantizar que la banca en línea no sufra ninguna interrupción.
He mencionado algunos ejemplos de la diferencia entre la recuperación empresarial y la resiliencia operativa. A continuación, se muestra una tabla en la que se destacan algunas de esas diferencias.
| | Recuperación empresarial y de sistemas de información | Resiliencia operativa |
|---|---|---|
| Objetivos | Centrados en la recuperación de lo que se ha visto afectado | Centrados en fomentar la resiliencia en toda la organización |
| Análisis del impacto en el negocio | Centrado en determinar la importancia crítica de los procesos empresariales internos | Centrado en identificar los productos y servicios más importantes que se ofrecen a los clientes |
| Métricas | Objetivo de tiempo de recuperación y objetivo de punto de recuperación | Tolerancias al impacto, tales como: : qué pueden soportar los clientes si se producen interrupciones en nuestros productos y servicios. : cuántos ingresos podemos permitirnos perder si se producen interrupciones en nuestros productos y servicios. |
| Gestión de riesgos | El equipo de BCM realiza un análisis de riesgos superficial | La coordinación con la función de gestión de riesgos es fundamental para que exista un enfoque único en materia de riesgos en toda la empresa. A menudo se denomina «gestión integrada de riesgos». |
| Pruebas | Normalmente consiste en revisar los planes de recuperación para comprobar si son razonables. | Realización de pruebas exhaustivas de distintos escenarios para determinar qué podría salir mal y cómo reaccionaríamos. ¿Qué medidas operativas tenemos o necesitamos poner en marcha? |
| Dependencias | Céntrate en un proceso empresarial, un sistema informático o una instalación. A veces, hay que tener en cuenta las interdependencias | Partiendo del producto o servicio que se ofrece al cliente, identifica los procesos empresariales, los sistemas, las personas, los datos, las instalaciones y los terceros que intervienen en la prestación de dicho producto o servicio; a continuación, incorpora la resiliencia en toda esta «cadena de valor». |
| Terceros | Asegúrate de que cuenten con sus propios planes de recuperación | Los niveles de tolerancia al impacto de los terceros deben coincidir con los nuestros. Forman parte de la cadena de valor mencionada anteriormente, y debemos asegurarnos de que sean tan resilientes como lo es nuestra empresa. |
Puede que haya quien diga que no hay mucha diferencia, pero, tras haber dedicado los últimos 30 años de mi carrera a este campo, puedo afirmar que se trata de una evolución. Aunque, por ahora, sea un tema derivado de la normativa, se trata de una buena práctica que todas las organizaciones deberían adoptar.
Para obtener más información, consulta los recursos publicados en Archer Operational Resilience. Ponte en contacto con nosotros para hablar con un experto de Archer.
