ADB

Plan de continuidad del negocio

Ir a la navegaciónIr a la búsqueda

Un plan de continuidad del negocio (o sus siglas en inglés BCP, por Business Continuity Plan) es un plan logístico para la práctica de cómo una organización debe recuperar y restaurar sus funciones críticas parcial o totalmente interrumpidas dentro de un tiempo predeterminado después de una interrupción no deseada o desastre. En los Estados Unidos, las entidades gubernamentales se refieren al proceso como planificación de continuación de operaciones (en inglés Continuity Of Operations Planning, o sus siglas COOP).^{[cita requerida]}

En lenguaje sencillo, BCP es el cómo una organización se prepara para futuros incidentes que puedan poner en peligro a ésta y a su misión básica a largo plazo. Las situaciones posibles incluyen desde incidentes locales (como incendios, terremotos, inundaciones, tsunamis etc.), incidentes de carácter regional, nacional o internacional hasta incidentes como pandemias, etc.

Inicialmente las actividades de planificación y prevención estaban dirigidas hacia las operaciones informáticas, que en la mayoría de los casos estaban centralizadas en el Departamento de Informática e incluso en un lugar físico concreto. Sin embargo, con el paso del tiempo y la aparición de la informática distribuida, soportada en medios informáticos y telemáticos extendidos en todas las áreas de la organización, esa actividad varió su alcance y se llamó Business Continuity Planning, lo que podría traducirse como planificación de la continuidad del negocio.​

La continuidad del negocio es un concepto que pertenece a una disciplina superior denominada "Administración de continuidad de negocios (BCM por sus siglas en inglés) y que abarca tanto el plan para la recuperación de desastres (DRP), de naturaleza típicamente tecnológica, como el plan para el restablecimiento del negocio, que normalmente se enfoca en los procesos críticos del mismo. Además, los planes de "Manejo de Crisis" y de "administración de incidentes" suelen formar parte de la disciplina completa de BCM. Recuperación de desastres es la capacidad para responder a una interrupción de los servicios tecnológicos mediante la implementación de un plan para restablecer las funciones críticas de la organización. Ambos se diferencian de la planeación de prevención de pérdidas, la cual implica la calendarización de actividades como respaldo de sistemas, autenticación y autorización (seguridad), revisión de virus y monitoreo de la utilización de sistemas (principalmente para verificaciones de capacidad). En esta ocasión hablaremos sobre la importancia de contar con la capacidad para restablecer la infraestructura tecnológica de la organización en caso de una disrupción severa, es decir, un plan de recuperación de desastres (DRP).

Este plan es la respuesta prevista por la empresa ante aquellas situaciones de riesgo que le pueden afectar de forma crítica, es decir, impidiendo la operación tecnológica que soporta los procesos de negocio más importantes. No importa el tamaño de la empresa o el coste de las medidas de seguridad implantadas, toda organización necesita un Plan de recuperación de desastres o uno de continuidad de negocio, ya que tarde o temprano se encontrara con una incidencia de seguridad o algún evento que detenga súbitamente la operación de una empresa.

Lo primero que se debe realizar es un análisis del impacto al negocio (BIA). Éste es básicamente un informe que nos muestra el coste ocasionado por la interrupción de los procesos críticos de negocio.

Una vez obtenido este informe, la compañía tiene la capacidad de clasificar los procesos de negocio en función de su criticidad y lo que es más importante: establecer la prioridad de recuperación (o su orden secuencial).

En el BIA se identifican los componentes claves requeridos para continuar con las Operaciones de Negocio luego de un incidente, dentro de estos componentes se encuentran:

• Personal requerido
• Áreas de trabajo
• Registros vitales- Backups de información
• Aplicativos críticos
• Dependencias de otras áreas
• Dependencias de terceras partes
• Criticidad de los recursos de información
• Participación del personal de seguridad informática y los usuarios finales
• Análisis de todos los tipos de recursos de información

Tres aspectos claves para el análisis:

• Criticidad de los recursos de información relacionados con los procesos críticos del negocio
• Período de recuperación crítico antes de incurrir en pérdidas significativas
• Sistema de clasificación de riesgos

Una estrategia de Recuperación es una combinación de medidas preventivas, detectivas y correctivas para:

• Eliminar la amenaza completamente
• Minimizar la probabilidad de que ocurra
• Minimizar el efecto

Las interrupciones más prolongadas y más costosas, en particular los desastres que afectan a las instalaciones, requieren recuperación (offsite).

Riesgo operativo

Ir a la navegaciónIr a la búsqueda

El riesgo operativo es la posibilidad de ocurrencia de pérdidas financieras, originadas por fallas o insuficiencias de procesos, personas, sistemas internos, tecnología, y en la presencia de eventos externos imprevistos.

Esta definición incluye el riesgo legal, pero excluye los riesgos sistemáticos y de reputación, así también no se toma en cuenta las pérdidas ocasionadas por cambios en el entorno político, económico y social. Las pérdidas asociadas a este tipo de riesgo pueden originarse en fallas de los procesos, en la tecnología, en la actuación de la gente, y también, debido a la ocurrencia de eventos extremos externos.​

Mediciones del Riesgo Operativo

Suelen distinguirse tres metodologías para el cálculo del Riesgo Operacional:

• Método del Indicador Básico
• Método Estándar
• Métodos de Medición Avanzada

Método del Indicador Básico

Para el caso del método del indicador básico, el cálculo de la exigencia de capital se basa en una proporción fijada por Basilea (factor alfa = 15%) del promedio de los últimos tres años de los ingresos brutos anuales positivos (lo que permite estimar el volumen de operaciones).

KBIA = [Σ(GI1…n x α)]/n

Donde:

KBIA = la exigencia de capital en el Método del Indicador Básico

GI = ingresos brutos anuales medios, cuando sean positivos, de los tres últimos años

N = número de años (entre los tres últimos) en los que los ingresos brutos fueron positivos

Método Estándar

Bajo la metodología estándar, las actividades de los bancos se dividen en líneas de negocio. Se calculan los ingresos brutos de cada línea de negocio y a cada uno de estos se los multiplica por un factor (beta) que estima la exposición que tiene cada línea de negocio y permite calcular la provisión de capital para cada línea de negocio (finanzas corporativas: 18%; negociación y ventas: 18%; banca minorista: 12%, banca comercial: 12%; pagos y liquidación: 18%; servicios de agencia: 15%; administración de activos: 12%; intermediación minorista: 12%). Al final el requerimiento total de capital es la suma de los requerimientos de cada línea.

Métodos de medición avanzada

Finalmente, con el enfoque de medición avanzado (EMA), a través de mecanismos que utilizan en especial la estimación de funciones de distribución de probabilidad, se logra una medición del capital requerido mucho más ajustado a la situación particular de cada entidad.