BIA, RTO/RPO i pla de continuïtat en 3 segons.

ISO 22301:2019 és la norma internacional per a Sistemes de Gestió de Continuïtat de Negoci (SGCN). Estableix els requisits per planificar, implementar, mantenir i millorar la capacitat d'una organització per continuar operant durant interrupcions crítiques. A diferència d'ISO 9001 (qualitat) o ISO 14001 (medi ambient), ISO 22301 es centra en la resiliència operacional: què fa l'empresa quan fallen els seus sistemes crítics, quan un proveïdor deixa de subministrar o quan una catàstrofe impedeix l'accés a les instal·lacions. La norma exigeix una Anàlisi d'Impacte en Negoci (BIA), definir RTO/RPO per procés crític, elaborar Plans de Continuïtat de Negoci (BCP) i provar-los amb exercicis i simulacres periòdics.

RTO (Recovery Time Objective) i RPO (Recovery Point Objective) són els dos paràmetres fonamentals de continuïtat de negoci. El RTO defineix el temps màxim acceptable per recuperar un procés o sistema després d'una interrupció: si el RTO del sistema ERP és de 4 hores, l'organització ha de ser capaç de tenir-lo operatiu en menys de 4 hores. El RPO defineix la quantitat màxima acceptable de dades que es poden perdre, expressada en temps: si el RPO de la base de dades de comandes és d'1 hora, les còpies de seguretat s'han de realitzar com a mínim cada hora. ISO 22301 (clàusula 8.2.2) exigeix que el BIA determini el RTO i RPO de cada procés crític, i que les estratègies de continuïtat els satisfacin.

El Business Impact Analysis (BIA) és el procés central d'ISO 22301. Identifica i prioritza els processos i activitats crítiques de l'organització, avalua l'impacte de la seva interrupció en el temps (financer, reputacional, regulatori, operacional) i determina els RTO i RPO mínims per a cadascun. El BIA respon: quins processos són més crítics? quant temps pot l'empresa sobreviure sense ells? quins recursos (persones, tecnologia, proveïdors) són imprescindibles? La clàusula 8.2.2 d'ISO 22301 descriu els requisits del BIA. Sense un BIA actualitzat i aprovat per la direcció, és impossible definir estratègies de continuïtat proporcionals ni superar una auditoria de certificació.

ISO 22301 (clàusula 8.5) exigeix que l'organització programi i realitzi exercicis i proves del BCP a intervals planificats per verificar que els plans funcionen a la pràctica. La norma no prescriu una freqüència mínima exacta, però els organismes de certificació esperen almenys un exercici complet (simulacre) l'any, a més de proves parcials (tabletop exercises, proves tècniques de failover, proves de comunicacions) amb major freqüència. Els resultats dels exercicis han de documentar-se, i les desviacions detectades han de generar accions de millora. Una de les NC més freqüents en auditories ISO 22301 és tenir un BCP escrit però mai provat, o amb una darrera prova realitzada fa més de 24 mesos.

ISO 22301 és una norma voluntària a nivell global: cap llei obliga a certificar-s'hi. No obstant això, certs sectors l'exigeixen contractualment: entitats financeres (regulació DORA a Europa des del 2025 imposa requisits de resiliència operacional equivalents), infraestructures crítiques, operadors de telecomunicacions i grans grups industrials inclouen sovint ISO 22301 com a requisit en els seus contractes amb proveïdors crítics. A més, algunes asseguradores redueixen primes de pòlisses d'interrupció de negoci quan l'empresa pot demostrar un SGCN certificat o almenys un BCP testejat. Per a pimes, la certificació formal no sempre és necessària: implementar els requisits de la norma (BIA, BCP, simulacres) sense certificar-se formalment ja aporta valor significatiu.

Una implementació completa d'ISO 22301 des de zero fins a certificació requereix habitualment entre 6 i 18 mesos, depenent de la mida de l'organització, la complexitat dels seus processos i els recursos dedicats. Les fases principals són: anàlisi de context i bretxa (1-2 mesos), BIA i avaluació de riscos (2-3 mesos), disseny d'estratègies i redacció del BCP (2-4 mesos), formació i conscienciació (1 mes), realització d'exercici/simulacre (1 mes) i auditoria de certificació (1-2 mesos). IgeraIndustria accelera aquest procés responent consultes sobre què requereix cada clàusula, quina documentació és obligatòria i quins errors evitar en cada fase, reduint el temps dedicat a recerca documental fins a un 70%.