Un incendio en el almacén, la caída de la región de nube donde corre tu ERP, un ataque de ransomware, una inundación que corta el acceso a la planta o la quiebra súbita de un proveedor único: ninguna de estas disrupciones avisa. La diferencia entre una organización que se recupera en horas y otra que pierde contratos está en si preparó, probó y mantiene su capacidad de continuidad. ISO 22301, el estándar de continuidad del negocio y resiliencia empresarial, define cómo construir esa capacidad como un sistema de gestión auditable y no como un documento que se archiva.
Esta guía está escrita para directores de operaciones, responsables de TI, gerentes de riesgos y coordinadores de sistemas de gestión en México. Al terminarla sabrás cómo se estructura un Sistema de Gestión de Continuidad del Negocio (SGCN) conforme a ISO 22301:2019, cómo ejecutar un análisis de impacto al negocio (BIA) que el auditor considere sólido, cómo fijar MTPD, RTO y RPO con criterio técnico, y cuáles son los hallazgos que más se repiten en auditorías de certificación.
Qué es ISO 22301 y por qué la continuidad del negocio es un sistema, no un plan
Muchas organizaciones creen tener continuidad porque cuentan con un "plan de recuperación ante desastres" elaborado por TI hace años. ISO 22301 parte de una premisa distinta: la continuidad es la capacidad de la organización para seguir entregando productos y servicios en niveles aceptables y predefinidos durante una disrupción. Esa capacidad depende de personas, instalaciones, proveedores, información y tecnología, por lo que no puede quedar solo en manos del área de sistemas.
ISO 22301:2019 sigue la Estructura de Alto Nivel común a las normas de sistemas de gestión (cláusulas 4 a 10), lo que permite integrarla con ISO/IEC 27001, ISO 9001 o ISO 45001. El núcleo técnico está en la cláusula 8, que exige un ciclo completo: análisis de impacto y evaluación de riesgos, estrategias y soluciones, planes y procedimientos, programa de ejercicios y evaluación de la documentación y capacidades.
Plan de recuperación aislado
Lo redacta TI, cubre servidores y aplicaciones, rara vez se prueba completo, no tiene dueño en el negocio y no se revisa cuando cambian procesos, proveedores o productos.
SGCN conforme a ISO 22301
Parte de los productos y servicios prioritarios, fija tiempos aprobados por la dirección, asigna recursos, se ejercita con un programa y se mejora con auditorías internas y revisión por la dirección.
La edición vigente es ISO 22301:2019, que sustituyó a la de 2012 con una redacción más compacta y menos prescriptiva. En 2024 se publicó la Enmienda 1:2024, que añade a las cláusulas 4.1 y 4.2 la consideración del cambio climático como posible cuestión pertinente y como requisito de partes interesadas. Para continuidad, esto tiene un efecto muy concreto: eventos hidrometeorológicos extremos, olas de calor que afectan la disponibilidad de energía o la escasez de agua deben valorarse como escenarios de disrupción.
Marco normativo de la continuidad del negocio
ISO 22301 es la única norma certificable de la familia, pero se apoya en documentos de orientación que el auditor espera que conozcas, al menos en lo que respecta a métodos. La siguiente tabla resume el ecosistema:
| Referencia | Qué aporta | Uso práctico |
|---|---|---|
| ISO 22301:2019 + Amd 1:2024 | Requisitos certificables del SGCN | Base de la auditoría de certificación |
| ISO 22313:2020 | Orientación para aplicar los requisitos de ISO 22301 | Interpretación de cada cláusula con ejemplos |
| ISO/TS 22317:2021 | Directrices para el análisis de impacto al negocio | Método del BIA, criterios de impacto y priorización |
| ISO/TS 22318:2021 | Continuidad en la cadena de suministro | Evaluación de proveedores críticos y dependencias |
| ISO 22300:2021 | Vocabulario de seguridad y resiliencia | Definiciones de MTPD, RTO, RPO, MBCO |
| ISO 22316:2017 | Principios de resiliencia organizacional | Visión estratégica más allá de la continuidad operativa |
| ISO 31000:2018 | Gestión del riesgo | Metodología de evaluación de riesgos de disrupción |
| ISO/IEC 27001:2022, controles 5.29 y 5.30 | Seguridad de la información durante la disrupción y preparación de las TIC para la continuidad | Integración con el SGSI |
En México no existe una obligación general de certificarse en ISO 22301, pero varias regulaciones exigen capacidades equivalentes. Las instituciones financieras supervisadas deben contar con planes de continuidad conforme a las disposiciones de sus reguladores; las empresas con inmuebles abiertos al público o con trabajadores están sujetas a la legislación de protección civil federal y estatal, que pide programas internos de protección civil; y la NOM-002-STPS-2010 exige planes de atención a emergencias de incendio. Un SGCN maduro integra estos requisitos legales (§4.2.2) en lugar de gestionarlos por separado.
Protección civil no es continuidad del negocio
El programa interno de protección civil protege la vida y organiza la evacuación y la respuesta inmediata. La continuidad del negocio empieza donde termina la emergencia: cómo sigues facturando, produciendo o atendiendo clientes mientras el sitio está inaccesible. Ambos deben estar coordinados en la estructura de respuesta a incidentes (§8.4.2), pero no son lo mismo.
Requisitos clave de ISO 22301 y evidencia que pide el auditor
El organismo certificador acreditado conduce la auditoría conforme a ISO/IEC 17021-1 y a los requisitos específicos para SGCN. En la etapa 1 revisa diseño y preparación; en la etapa 2, implementación y eficacia. Esta es la evidencia que normalmente solicita:
| Requisito | Qué verifica el auditor | Evidencia aceptable |
|---|---|---|
| §4.1 / §4.2 Contexto, partes interesadas y requisitos legales | Que conozcas tus obligaciones de continuidad con clientes, reguladores y autoridades | Análisis de contexto; registro de requisitos contractuales (SLA, cláusulas de continuidad) y legales |
| §4.3 Alcance | Productos, servicios y ubicaciones cubiertos; exclusiones justificadas | Enunciado de alcance coherente con lo que el cliente compra |
| §5.2 Política de continuidad | Compromiso de la dirección y marco para objetivos | Política aprobada, comunicada y disponible |
| §6.2 Objetivos | Objetivos medibles con plan para lograrlos | Objetivos con indicador, responsable y fecha |
| §8.2.2 Análisis de impacto al negocio | Método documentado, criterios de impacto, prioridades y tiempos | Metodología del BIA, entrevistas o cuestionarios, MTPD y RTO aprobados, recursos requeridos |
| §8.2.3 Evaluación de riesgos | Riesgos de disrupción a actividades prioritarias y su tratamiento | Matriz de riesgos ligada a recursos críticos del BIA |
| §8.3 Estrategias y soluciones | Opciones evaluadas y seleccionadas para cumplir RTO y RPO | Análisis de opciones, costo y decisión; contratos con sitios alternos o proveedores |
| §8.4 Planes y procedimientos | Estructura de respuesta, comunicación, planes de continuidad y recuperación | Plan de gestión de incidentes, árbol de llamadas, planes por proceso, procedimientos de retorno |
| §8.5 Programa de ejercicios | Ejercicios planificados, variados y con informe | Programa anual, guiones, informes con hallazgos y acciones |
| §8.6 Evaluación de documentación y capacidades | Revisión periódica y tras incidentes o cambios | Registros de revisión, lecciones aprendidas, actualización de planes |
| §9.2 / §9.3 Auditoría interna y revisión por la dirección | Ciclo completo antes de la certificación | Programa, informes, acta de revisión con decisiones |
Requisito normativo: el BIA debe definir prioridades y tiempos
ISO 22301:2019 §8.2.2 pide un proceso documentado de análisis de impacto que establezca los tipos y criterios de impacto, identifique las actividades que soportan los productos y servicios, evalúe los impactos a lo largo del tiempo, fije el plazo en que el impacto de no reanudar se vuelve inaceptable, defina tiempos priorizados de reanudación y determine los recursos necesarios, incluidas las dependencias con socios y proveedores. Un BIA sin estos elementos no cumple, aunque esté muy bien redactado.
MTPD, RTO, RPO y MBCO: cómo definirlos sin adivinar
Los tiempos de continuidad son el punto donde más se improvisa. Es común encontrar un RTO de "4 horas" para todo, sin justificación, o un RPO que el área de TI no puede cumplir con su esquema de respaldos. Antes de fijar valores, alinea las definiciones con ISO 22300:2021 e ISO/TS 22317:2021:
| Parámetro | Significado | Quién lo define | Error frecuente |
|---|---|---|---|
| MTPD — periodo máximo tolerable de disrupción | Tiempo a partir del cual el impacto de no entregar un producto o servicio se vuelve inaceptable | Dueño del proceso con aprobación de la dirección | Fijarlo por intuición sin escala de impactos |
| RTO — objetivo de tiempo de recuperación | Plazo en que debe reanudarse la actividad o recuperarse el recurso; siempre menor que el MTPD | Dueño del proceso; TI y operaciones validan factibilidad | RTO igual al MTPD, sin margen para escalamiento |
| RPO — objetivo de punto de recuperación | Punto en el tiempo al que debe poder restaurarse la información; define la pérdida de datos tolerable | Dueño de la información con TI | RPO que no corresponde a la frecuencia real de respaldo o réplica |
| MBCO — objetivo mínimo de continuidad | Nivel mínimo aceptable de servicio o producción durante la disrupción | Dirección comercial y operaciones | Asumir que se opera al 100 % durante la contingencia |
La lógica es secuencial: primero se determina, con una escala de impactos aprobada, a partir de qué momento la disrupción es intolerable (MTPD). Después se fija un RTO con margen suficiente para detectar el incidente, escalarlo, activar el plan y ejecutar la recuperación. Por último, se verifica que la estrategia seleccionada en §8.3 realmente alcance ese RTO y ese RPO; si no lo hace, la dirección debe decidir entre invertir en una solución más robusta o aceptar el riesgo de forma documentada.
Cómo ejecutar el análisis de impacto al negocio paso a paso
El BIA es la columna vertebral del SGCN. Todo lo demás (estrategias, planes, ejercicios) depende de que sus resultados sean confiables. Esta es la secuencia que aplicamos, alineada con ISO/TS 22317:2021:
- Define los productos y servicios dentro del alcance. Parte de lo que entregas al cliente, no del organigrama. Un distribuidor puede tener tres servicios críticos: surtido de pedidos, facturación y atención de garantías.
- Establece los tipos y criterios de impacto. Acuerda con la dirección una escala de 1 a 5 para impactos financieros, contractuales, legales y regulatorios, reputacionales, de seguridad de las personas y ambientales. Cada nivel debe tener descriptores verificables (por ejemplo, "penalización contractual activada" o "incumplimiento de una obligación ante autoridad").
- Identifica las actividades que soportan cada producto. Mapea procesos y subprocesos con sus dueños. Este es el momento de detectar actividades ocultas, como la validación manual que solo una persona sabe hacer.
- Evalúa el impacto en el tiempo. Para cada actividad, pregunta qué pasa a las 4 horas, 1 día, 3 días, 1 semana y 2 semanas sin operar. La curva de impacto es más útil que un valor único.
- Determina MTPD, RTO y MBCO. El MTPD es el primer intervalo donde algún tipo de impacto alcanza el nivel definido como inaceptable. El RTO se fija con margen y el MBCO expresa la capacidad mínima aceptable.
- Identifica recursos y dependencias. Personas y competencias, instalaciones, equipos, aplicaciones, datos (con su RPO), proveedores y servicios externos. ISO/TS 22318:2021 ayuda a evaluar a los proveedores críticos.
- Valida y aprueba. Consolida resultados, resuelve inconsistencias entre áreas (si ventas dice que facturación es crítica a las 4 horas pero finanzas dice 3 días, hay que resolverlo) y obtén la aprobación formal de la dirección.
- Revisa periódicamente. Actualiza el BIA al menos una vez al año y cada vez que cambien productos, procesos, proveedores críticos o la estructura organizacional (§8.6).
Consejo de auditor
Conserva las entrevistas o cuestionarios del BIA firmados por los dueños de proceso. Cuando el auditor pregunte por qué el RTO de compras es de 48 horas, la respuesta no puede ser "así lo decidimos": debe poder rastrearse a una curva de impacto aprobada.
Evaluación de riesgos, estrategias y soluciones de continuidad
Después del BIA, §8.2.3 pide evaluar los riesgos de disrupción sobre las actividades prioritarias y sus recursos. La metodología puede basarse en ISO 31000:2018 y debe enfocarse en escenarios realistas: pérdida de sitio, pérdida de personal clave, falla tecnológica, ciberataque, falla de proveedor crítico, interrupción de servicios públicos y eventos naturales. En México, sismos, huracanes, inundaciones y cortes de energía deben valorarse según la ubicación geográfica de cada instalación.
Con riesgos y prioridades claros, §8.3 exige identificar, seleccionar y documentar estrategias y soluciones. ISO 22301 las organiza en torno a la protección de actividades prioritarias, su estabilización, continuación, reanudación y recuperación, así como a la mitigación de impactos. En la práctica, las opciones más comunes son:
- Personas: polivalencia y entrenamiento cruzado, sucesores identificados para roles clave, acuerdos de trabajo remoto.
- Instalaciones: sitio alterno propio, acuerdos de reciprocidad con otra planta del grupo, espacios de trabajo contratados.
- Tecnología e información: réplica en región secundaria, respaldos inmutables fuera de línea, procedimientos manuales de contingencia.
- Proveedores: fuentes alternas calificadas, inventario de seguridad para insumos de proveedor único, cláusulas de continuidad en contratos.
- Finanzas: seguros con cobertura de interrupción de negocio, líneas de crédito de contingencia.
Cada estrategia debe vincularse con los RTO y RPO del BIA y con su costo. La selección es una decisión de la dirección: si una solución no alcanza el RTO pero el costo de la alternativa es desproporcionado, la aceptación del riesgo debe quedar registrada.
El respaldo no es una estrategia si nunca se ha restaurado
Tener respaldos diarios no garantiza un RPO de 24 horas ni un RTO de 8. Lo que el auditor busca es evidencia de restauraciones probadas dentro del tiempo comprometido. Ante el ransomware, además, verifica que al menos una copia esté aislada o sea inmutable; un respaldo accesible desde la misma red comprometida puede cifrarse junto con la producción.
Planes, estructura de respuesta y programa de ejercicios
La cláusula §8.4 pide una estructura de respuesta a incidentes con roles, autoridad y competencia definidos (§8.4.2), procedimientos de alerta y comunicación interna y externa (§8.4.3), planes de continuidad del negocio documentados (§8.4.4) y procesos de recuperación para volver a la operación normal (§8.4.5). Un plan útil cabe en pocas páginas por proceso, se entiende bajo presión y responde quién decide, qué se hace primero, con qué recursos y cómo se comunica.
La comunicación merece atención especial. Define con antelación quién habla con clientes, autoridades, medios y familiares del personal; prepara mensajes base y canales alternos si el correo corporativo no está disponible. Una mala comunicación durante una disrupción puede causar más daño reputacional que la disrupción misma.
El programa de ejercicios (§8.5) debe ser coherente con el alcance, realizarse a intervalos planificados y cuando haya cambios importantes, y producir informes formales con resultados y acciones. Conviene progresar en complejidad:
| Tipo | Descripción | Qué valida |
|---|---|---|
| Revisión documental | Lectura guiada del plan con sus responsables | Datos de contacto, roles, coherencia con el BIA |
| Ejercicio de escritorio | El equipo de crisis responde a un escenario narrado con inyecciones de eventos | Toma de decisiones, escalamiento, comunicación |
| Prueba técnica | Restauración de respaldos o conmutación a sitio alterno | Cumplimiento real de RTO y RPO |
| Simulacro funcional | Operar un proceso crítico desde el sitio o modo alterno | Capacidad mínima (MBCO), logística, proveedores |
| Ejercicio integral | Combinación de escenarios con participación de varias áreas y externos | Coordinación de todo el SGCN |
Ejemplo resuelto: BIA de un distribuidor farmacéutico
Ejemplo aplicado: "Distribuidora Médica del Norte", 180 personas, Monterrey
Contexto. Empresa ficticia que distribuye medicamentos a hospitales privados con contratos que incluyen entregas en un plazo máximo de 24 horas y penalizaciones por incumplimiento. Opera un centro de distribución, un ERP en la nube y un sistema de gestión de almacén local.
Escala de impacto aprobada. 1 = insignificante; 3 = penalización contractual activada; 4 = pérdida probable de un cliente clave o incumplimiento ante autoridad sanitaria; 5 = riesgo a la salud de pacientes o pérdida de varios contratos. La dirección definió como inaceptable cualquier nivel ≥ 4.
| Actividad | 4 h | 1 día | 3 días | 1 semana | MTPD | RTO | RPO |
|---|---|---|---|---|---|---|---|
| Surtido y despacho de pedidos urgentes | 2 | 4 | 5 | 5 | 1 día | 8 h | 1 h |
| Control de temperatura de cadena fría | 4 | 5 | 5 | 5 | 4 h | 1 h | 15 min |
| Facturación electrónica | 1 | 2 | 3 | 4 | 1 semana | 3 días | 4 h |
| Compras a laboratorios | 1 | 1 | 2 | 4 | 1 semana | 3 días | 24 h |
Hallazgo del análisis. El sistema de almacén local se respaldaba una vez al día, lo que implicaba un RPO real de 24 horas frente al de 1 hora requerido para surtido. Además, la cadena fría dependía de un solo técnico capaz de recalibrar los registradores de temperatura.
Decisiones. Réplica cada 15 minutos hacia la nube; generador con transferencia automática para cámaras frías; registradores con alarma remota; segundo técnico formado; acuerdo con un operador logístico para despacho de emergencia desde su almacén. Primer ejercicio técnico: restauración del sistema de almacén en 5 h 40 min, dentro del RTO de 8 h.
Las cifras son ilustrativas; tus escalas y tiempos dependerán de tus contratos, tu regulación y tu apetito de riesgo.
Observa que el valor del BIA no estuvo en la tabla, sino en las brechas que reveló: un RPO incumplible y una dependencia de persona clave. Eso es exactamente lo que el auditor quiere ver: un análisis que produce decisiones.
Indicadores de desempeño del SGCN
La cláusula §9.1 pide determinar qué se mide, cómo y cuándo se analizan los resultados. Estos indicadores son útiles; los umbrales deben fijarlos tu dirección y tus compromisos contractuales:
| Indicador | Fórmula | Criterio sugerido (ajústalo) | Cláusula |
|---|---|---|---|
| Cumplimiento del programa de ejercicios | Ejercicios ejecutados ÷ programados | 100 % anual | §8.5 |
| RTO alcanzado en pruebas | Pruebas dentro del RTO ÷ pruebas técnicas realizadas | 100 % | §8.3, §8.5 |
| Vigencia del BIA | Procesos con BIA revisado en los últimos 12 meses ÷ procesos en alcance | 100 % | §8.2.2, §8.6 |
| Proveedores críticos evaluados | Proveedores críticos con evaluación de continuidad ÷ total críticos | 100 % | §8.2.2, §8.3 |
| Cierre de acciones de ejercicios | Acciones cerradas en plazo ÷ acciones derivadas de ejercicios | ≥ 90 % | §10.1 |
| Personal clave capacitado | Integrantes de equipos de respuesta capacitados ÷ total | 100 % | §7.2 |
Hallazgos típicos de auditoría ISO 22301
Estos son los hallazgos que más encontramos en auditorías internas y de certificación de sistemas de continuidad del negocio:
| Hallazgo | Cláusula | Corrección y acción correctiva |
|---|---|---|
| RTO idéntico para todos los procesos, sin curva de impacto que lo justifique | §8.2.2 | Rehacer el BIA con escala de impactos aprobada y evaluación por intervalos de tiempo |
| RPO declarado de 1 hora con respaldos diarios | §8.3 | Ajustar la solución técnica o el RPO con aceptación formal del riesgo |
| Planes con contactos desactualizados o personal que ya no labora | §8.4.4, §8.6 | Revisión trimestral de directorios; ligar bajas de RR. HH. a la actualización del plan |
| Ejercicios sin informe, sin hallazgos ni acciones | §8.5 | Formato de informe con objetivos, resultados, desviaciones y acciones con responsable |
| Proveedor único de un insumo crítico sin evaluación de su continuidad | §8.2.2, §8.3 | Evaluar al proveedor conforme a ISO/TS 22318; definir fuente alterna o inventario de seguridad |
| Riesgos de disrupción genéricos, sin relación con los recursos críticos del BIA | §8.2.3 | Vincular cada riesgo a recursos identificados en el BIA y definir tratamiento |
| Requisitos legales y contractuales de continuidad no identificados | §4.2.2 | Registro de requisitos con revisión periódica de contratos y regulación |
| Revisión por la dirección sin resultados de ejercicios ni cambios en el contexto | §9.3 | Agenda que cubra todas las entradas requeridas y decisiones con seguimiento |
Para profundizar en el tratamiento de hallazgos con análisis de causa raíz, consulta la guía de gestión de no conformidades; el método aplica igual a la cláusula §10.1 de ISO 22301.
Checklist de preparación para la certificación ISO 22301
- Contexto, partes interesadas y requisitos legales y contractuales de continuidad documentados, incluido el cambio climático como posible cuestión pertinente (§4.1, §4.2).
- Alcance definido desde productos y servicios, con ubicaciones y exclusiones justificadas (§4.3).
- Política de continuidad aprobada y objetivos medibles con responsable (§5.2, §6.2).
- Metodología del BIA documentada con escala de impactos aprobada por la dirección (§8.2.2).
- MTPD, RTO, RPO y MBCO definidos por actividad prioritaria y aprobados formalmente.
- Evaluación de riesgos de disrupción ligada a recursos críticos (§8.2.3).
- Estrategias seleccionadas con evidencia de que alcanzan los RTO y RPO (§8.3).
- Estructura de respuesta, protocolo de comunicación y planes de continuidad y recuperación (§8.4).
- Programa de ejercicios ejecutado con al menos una prueba técnica de recuperación e informes formales (§8.5).
- Proveedores críticos evaluados y cláusulas de continuidad en contratos.
- Coordinación documentada con el programa interno de protección civil y la NOM-002-STPS-2010.
- Al menos un ciclo completo de auditoría interna y revisión por la dirección (§9.2, §9.3).
Si tu organización ya cuenta con un SGSI, la integración es natural: los controles 5.29 y 5.30 de ISO/IEC 27001:2022 conectan directamente con el SGCN. Revisa la guía de ISO 27001 para empresas, la de seguridad en la cadena de suministro con ISO 28000 y la de sistemas de gestión integrados. Más información en la página de ISO 22301 y en la de tecnología, SaaS y Fintech.
Cómo lo abordamos en Quality College
Iniciamos con un diagnóstico de brechas contra ISO 22301:2019 que revisa tus contratos, tu infraestructura y tus dependencias críticas, no solo tus documentos. Facilitamos el BIA con los dueños de proceso hasta obtener tiempos aprobados por la dirección, acompañamos la selección de estrategias, redactamos planes que se pueden usar bajo presión, diseñamos y conducimos los ejercicios, formamos auditores internos y te acompañamos en las etapas 1 y 2 frente al organismo certificador acreditado que elijas. Los proyectos típicos van de 8 a 16 semanas según alcance y madurez.
Para acelerar la documentación usamos Qualitix Bot®, nuestra IA que genera borradores de BIA, planes y procedimientos a partir de tu información real, siempre revisados por un consultor; e ISO Track®, nuestro SaaS para gestionar riesgos, ejercicios, acciones e indicadores del SGCN. Hemos acompañado a más de 150 organizaciones en su certificación desde 2018 y ofrecemos garantía contractual de certificación.