BIA, RTO/RPO y plan de continuidad en 3 segundos.

ISO 22301:2019 es la norma internacional para Sistemas de Gestión de Continuidad de Negocio (SGCN). Establece los requisitos para planificar, implementar, mantener y mejorar la capacidad de una organización para continuar operando durante interrupciones críticas. A diferencia de ISO 9001 (calidad) o ISO 14001 (medio ambiente), ISO 22301 se centra en la resiliencia operacional: qué hace la empresa cuando fallan sus sistemas críticos, cuando un proveedor deja de suministrar o cuando una catástrofe impide el acceso a las instalaciones. La norma exige un Análisis de Impacto en Negocio (BIA), definir RTO/RPO por proceso crítico, elaborar Planes de Continuidad de Negocio (BCP) y probarlos con ejercicios y simulacros periódicos.

RTO (Recovery Time Objective) y RPO (Recovery Point Objective) son los dos parámetros fundamentales de continuidad de negocio. El RTO define el tiempo máximo aceptable para recuperar un proceso o sistema después de una interrupción: si el RTO del sistema ERP es de 4 horas, la organización debe ser capaz de tenerlo operativo en menos de 4 horas. El RPO define la cantidad máxima aceptable de datos que se pueden perder, expresada en tiempo: si el RPO de la base de datos de pedidos es de 1 hora, los backups deben realizarse al menos cada hora. ISO 22301 (cláusula 8.2.2) exige que el BIA determine el RTO y RPO de cada proceso crítico, y que las estrategias de continuidad los satisfagan. Un error frecuente es confundir RTO con el tiempo real de recuperación del departamento de IT, que habitualmente es mayor.

El Business Impact Analysis (BIA) es el proceso central de ISO 22301. Identifica y prioriza los procesos y actividades críticas de la organización, evalúa el impacto de su interrupción en el tiempo (financiero, reputacional, regulatorio, operacional) y determina los RTO y RPO mínimos para cada uno. El BIA responde: ¿qué procesos son más críticos? ¿cuánto tiempo puede la empresa sobrevivir sin ellos? ¿qué recursos (personas, tecnología, proveedores) son imprescindibles? La cláusula 8.2.2 de ISO 22301 describe los requisitos del BIA. Sin un BIA actualizado y aprobado por la dirección, es imposible definir estrategias de continuidad proporcionales ni superar una auditoría de certificación. IgeraIndustria resuelve consultas sobre metodología BIA, criterios de impacto, periodicidad de revisión y formato de informe.

ISO 22301 (cláusula 8.5) exige que la organización programe y realice ejercicios y pruebas del BCP a intervalos planificados para verificar que los planes funcionan en la práctica. La norma no prescribe una frecuencia mínima exacta, pero los organismos de certificación esperan al menos un ejercicio completo (simulacro) al año, además de pruebas parciales (tabletop exercises, pruebas técnicas de failover, pruebas de comunicaciones) con mayor frecuencia. Los resultados de los ejercicios deben documentarse, y las desviaciones detectadas deben generar acciones de mejora. Una de las NCs más frecuentes en auditorías ISO 22301 es tener un BCP escrito pero nunca probado, o con una última prueba realizada hace más de 24 meses.

ISO 22301 es una norma voluntaria a nivel global: ninguna ley obliga a certificarse en ella. Sin embargo, ciertos sectores la exigen contractualmente: entidades financieras (regulación DORA en Europa desde 2025 impone requisitos de resiliencia operacional equivalentes), infraestructuras críticas, operadores de telecomunicaciones y grandes grupos industriales frecuentemente incluyen ISO 22301 como requisito en sus contratos con proveedores críticos. Además, algunas aseguradoras reducen primas de pólizas de interrupción de negocio cuando la empresa puede demostrar un SGCN certificado o al menos un BCP testado. Para pymes, la certificación formal no siempre es necesaria: implementar los requisitos de la norma (BIA, BCP, simulacros) sin certificarse formalmente ya aporta valor significativo.

Una implementación completa de ISO 22301 desde cero hasta certificación requiere habitualmente entre 6 y 18 meses, dependiendo del tamaño de la organización, la complejidad de sus procesos y los recursos dedicados. Las fases principales son: análisis de contexto y brecha (1-2 meses), BIA y evaluación de riesgos (2-3 meses), diseño de estrategias y redacción del BCP (2-4 meses), formación y concienciación (1 mes), realización de ejercicio/simulacro (1 mes) y auditoría de certificación (1-2 meses). IgeraIndustria acelera este proceso respondiendo consultas sobre qué requiere cada cláusula, qué documentación es obligatoria y qué errores evitar en cada fase, reduciendo el tiempo dedicado a investigación documental hasta un 70%.