¿Qué es la fase de aprendizaje y mejora continua?

En esta fase, los objetivos pretendidos pasan por definir un conjunto de pruebas destinadas a verificar que los planes son adecuados para asegurar la continuidad de los servicios y procesos críticos identificados, instruir a todo el personal y definir los procedimientos necesarios para mantener actualizada tanto la documentación como los procedimientos.

Plan de Pruebas

Un Plan de Pruebas, como su propio nombre indica, es un conjunto de comprobaciones selectivas que deben verificar que el Sistema de Gestión de Continuidad de Negocio es adecuado para asegurar la continuidad de los servicios y procesos críticos que se llevan a cabo en la organización.

La realización de pruebas periódicas ayudará a identificar debilidades, inconsistencias o aspectos a mejorar en el Sistema de Gestión de Continuidad de Negocio de la organización.

En la fase, se debe definir qué es lo que se quiere probar y en qué profundidad realizarlo. Para ello, será necesario enunciar los objetivos perseguidos con cada prueba a realizar.

Objetivos que deberán estar encaminados a:

1. Confirmar la eficacia del proceso de recuperación.
2. Confirmar el tiempo estimado para la recuperación de los procesos.
3. Verificar que el conjunto de procesos “recuperados” se sigue realizando a un nivel de servicio aceptable.
4. Verificar que el Sistema de Gestión de Continuidad de Negocio está completo en todas sus partes.

Cuanto más precisa sea la definición de los objetivos a conseguir, mayor será la utilidad resultante de las pruebas a realizar. En lo que respecta al alcance, las pruebas pueden afectar a un único proceso crítico del Plan de Recuperación, o bien pueden basarse en un escenario que afecte a numerosos procesos críticos.

La decisión sobre el alcance de las pruebas a realizar viene condicionada por los recursos necesarios para llevarlas a cabo, lo que, sin duda, incide en el coste de preparación y puesta en práctica. Cada prueba ha de tener unos criterios de evaluación propios.

Estos criterios van más allá de la mera comprobación de que los procesos se recuperaron adecuadamente, de tal manera que se debe tender hacia indicadores que proporcionen una medida sobre la eficiencia del plan, por ejemplo, considerar el tiempo de recuperación de sistemas y procesos.

A partir de los resultados obtenidos con los criterios de evaluación definidos anteriormente, habrá que establecer un procedimiento de información y reporting hacia el Comité de Continuidad.

Plan de Formación

El Plan de Formación deberá tener como objetivo instruir a todo el personal de la organización, y en especial a aquellas personas involucradas en el Sistema de Gestión de Continuidad de Negocio que se haya definido, sobre la importancia de la continuidad de negocio para la organización y sobre las acciones a llevar a cabo.

Todo el personal de la organización debe conocer tanto el objetivo y la importancia del Sistema de Gestión de Continuidad de Negocio como una visión de alto nivel de las acciones a llevar a cabo durante los procesos de gestión de crisis y de recuperación.

Es importante resaltar que resultaría de gran utilidad que la formación dirigida a las personas directamente involucradas en acciones contenidas en el plan se completase mediante los diferentes procedimientos de prueba que se lleven a cabo, lo que permitiría que cada una de estas personas tenga un conocimiento preciso de cuáles son sus tareas y responsabilidades en el caso de desastre.

Las tareas mínimas de las que debe disponer el Plan de Formación serían:

1. Designar al instructor o formador.
2. Identificar al personal al que dirigir la formación. Esta identificación deberá ser realizada construyendo grupos homogéneos, por ejemplo, por área, Dirección o Subdirección... Los grupos resultantes serán divididos en personal que está directamente relacionado con la continuidad y personal no involucrado.
3. Preparar el contenido y material de la formación. Este contenido deberá resaltar la importancia que la continuidad de negocio tiene para la organización, dar a conocer los diferentes procedimientos, proponer ejemplos y dar a conocer casos reales, lecturas de interés, etc.
4. Realizar la formación al instructor o instructores designados.
5. Establecer un calendario de formación.
6. Disponer de un Plan de Actualización del Plan de Formación, tanto de contenidos como de acciones formativas.

Por último, señalar que debe ser valorado que la formación pueda ser tanto presencial como no presencial.

Plan de Actualización y Mantenimiento

Cualquier Sistema de Gestión, incluido uno sobre Continuidad de Negocio, necesita estar permanentemente actualizado. Cualquier organización está sometida a permanentes cambios: organizativos, de ubicación, procedimentales, nuevos servicios a incluir en el plan, etc.

Todos estos cambios afectan, inevitablemente, al sistema diseñado, y de no ser revisado y modificado, según corresponda, puede devenir ineficaz. Al menos, tras la realización de la primera prueba del Plan de Continuidad de Negocio, será cuando deba chequearse si lo que está escrito se ha cumplido o, por el contrario, hay desviaciones que deban ser subsanadas.

Por lo tanto, tras la realización de las pruebas y detectados aquellos aspectos susceptibles de mejora o corrección, se procederá a:

1. Modificar todos los documentos y/o procedimientos que se hayan manifestado inadecuados o insuficientes tras la realización de las pruebas.
2. Someter los borradores de la documentación modificada a la revisión y aprobación del Comité de Continuidad de Negocio o el órgano creado al efecto.
3. Distribución de la documentación definitiva.

La documentación aplicable deber ser gestionada de modo que permita realizar las siguientes acciones:

1. Su correcta identificación: título, versión, autor.
2. Mantenimiento de histórico de versiones.
3. Someterla al flujo de aprobación que corresponda.
4. Una correcta distribución, por ejemplo, si la documentación ha de ser distribuida a toda la organización, a un determinado número de personas, etc.

Al menos una vez al año (tras la realización de la Prueba del PCN), se debe testear que la documentación responde a la realidad de la situación; de no mantenerse actualizada, la organización podría encontrarse en una situación complicada, porque ante una eventualidad en la que fuera necesario invocar la activación del PCN, este no respondería con eficacia a las necesidades reales.

Por último, conviene destacar que existen diferentes herramientas o software de carácter comercial que pueden resultar útiles en la gestión del sistema. Si bien, será la propia organización la que deberá valorar si el coste en que incurre al incorporar estos programas es menor que el beneficio que le proporciona.