¿Digitalización sin plan de continuidad de la actividad? ¡Olvídalo!
La continuidad del negocio juega un papel cada vez más importante en un mundo VUCA
La digitalización de los procesos empresariales debería conducir a que éstos ofrezcan una mejor experiencia y sean más eficientes. Sin embargo, estas ventajas también suelen llevar a los interesados a depender cada vez más de los sistemas informáticos utilizados. Por ello, en este artículo destaco el tema de la continuidad de la actividad, cada vez más importante, pero también a menudo olvidado o sólo abordado técnicamente.
Más alto, más lejos, más rápido: este es el credo de muchas iniciativas de digitalización que se están poniendo en marcha actualmente en muchos niveles de nuestra sociedad. Los sistemas informáticos desempeñan un papel cada vez más importante, ya sea pagando de forma independiente en la caja del supermercado, reservando un viaje de vacaciones, yendo al médico (que a veces ya no es necesario) o incluso eligiendo un nuevo gobierno. Así, los usuarios de estos sistemas informáticos confían cada vez más en su correcto funcionamiento, a veces incluso demasiado. Abordar la cuestión de la continuidad de la actividad (Business Continuity) contribuye, entre otras cosas, a responder a esta expectativa.
Índice
La digitalización suele aumentar la complejidad del sistema global
Sin embargo, a pesar de todas las ventajas de gestionar los procesos de creación de valor (potencialmente críticos) a través de los sistemas informáticos, existe una desventaja importante: la complejidad adicional que se deriva del uso de las pilas de software y/o hardware necesarias. Esto significa que los procesos empresariales digitalizados pueden verse perturbados o incluso interrumpidos con mayor facilidad. El principio de la esperanza no debe aplicarse aquí: Es sólo cuestión de tiempo que los sistemas informáticos fallen o que las «trampas» cambien de forma brusca y potencialmente disruptiva, afectando a su funcionamiento, desgraciadamente a menudo no para mejor.
Un buen ejemplo es la interrupción que se produjo en Meta (antes Facebook) este año: no solo dejaron de ser accesibles los servicios ampliamente utilizados WhatsApp, Facebook e Instagram, sino que los empleados de Meta ni siquiera pudieron entrar en determinados edificios y salas de conferencias de la empresa o enviar correos electrónicos externos. Un «golpe completo», por así decirlo.
¿Cómo se resolvió finalmente el problema? Se rumorea que hubo que enviar un equipo de técnicos a un centro de datos de California para reiniciar manualmente los servidores afectados. Un ejemplo deslumbrante, pues, de un fallo abrupto del sistema (que, como se vio, se debió a un cambio de configuración) que tuvo profundas implicaciones globales y cuyo abordaje y eventual resolución se gestionó mediante procesos que tuvieron que establecerse en parte de forma ad hoc. Un buen ejemplo de continuidad empresarial.
¿Qué es la continuidad del negocio («Business Continuity»)?
El término continuidad del negocio («Business Continuity») describe la capacidad de una empresa u organización para continuar con la entrega de productos o servicios en una medida predeterminada si se produce un evento perturbador.
En la mayoría de los casos, un acontecimiento perturbador no es un simple fallo de un sistema informático (por ejemplo, el fallo del sistema de acceso a una sede de la empresa no tiene por qué considerarse como tal, aunque también es potencialmente perturbador), sino un acontecimiento que provoca el deterioro brusco de cadenas de valor enteras. Un ejemplo es la variante «Omicron» del SARS-CoV-2, actualmente en auge, que provocó la cancelación de miles de vuelos en todo el mundo durante las vacaciones de Navidad porque el personal de vuelo infectado tuvo que entrar en cuarentena.
Identificar y priorizar los riesgos
«Primero, piensas mejor y segundo, las cosas salen de otra manera». Esta variante del dicho popular pretende señalar que suele ser conveniente tomar precauciones ante los acontecimientos perturbadores. Aunque el acontecimiento difiera en la teoría gris y en la realidad «colorida», al menos se ha sensibilizado a los empleados sobre su ocurrencia y, si es necesario, incluso se han procurado los recursos necesarios que no serían fácilmente accesibles en caso de catástrofe. El ejemplo de las máscaras protectoras al principio de la pandemia mencionada es sin duda conocido por todos, pero ¿qué pasa, por ejemplo, con la adquisición de generadores de energía de emergencia para poder seguir operando los sistemas centrales en caso de cortes de energía o apagones?
En consecuencia, la base más importante para la continuidad de la actividad es que los acontecimientos perturbadores se reconozcan, analicen y gestionen en toda la empresa. En el caso más sencillo, se mantiene una lista actualizada de posibles sucesos, sus efectos y las medidas adecuadas para limitarlos en caso de emergencia. La mejor manera de elaborar esta lista es consultar tanto las fuentes oficiales y generales como los análisis específicos del sector y completarlos con los eventos de riesgo que se hayan identificado a nivel de la organización. Clasificar los eventos, por ejemplo en categorías como «social», «política» o «técnica», facilita su mantenimiento y comunicación.
Reconozcámoslo: dado que prepararse para sucesos hipotéticos no está en la naturaleza de los seres humanos y, en consecuencia, tampoco en la de los grupos humanos, vale la pena, a la hora de aplicar medidas, planificarlas en función de una priorización de los riesgos asociados. De este modo, los recursos pueden concentrarse y el esfuerzo necesario para aplicar las medidas puede ser reducido, lo que hace más probable que se disponga de los fondos adecuados.
Por ejemplo, una estimación simple de la criticidad para un solo evento puede hacerse como sigue:
Evento de criticidad = probabilidad de ocurrencia del evento (por ejemplo, por año) x impacto del evento (por ejemplo, financiero o como métrica alternativa).
Así, para una lista de eventos, se puede estimar individualmente su criticidad y priorizar la aplicación de las medidas que afectan a los eventos más críticos. Por ejemplo: una evaluación global de los eventos perturbadores para una empresa ficticia mostró que los riesgos «escasez de energía» y «problemas de entrega de componentes de semiconductores» deben clasificarse como los más críticos.
Las medidas derivadas «compra de generadores de energía de emergencia» y «acumulación de existencias de componentes de semiconductores» deben aplicarse de forma prioritaria y lanzarse los proyectos correspondientes. Las medidas para otros eventos perturbadores se tomarán más tarde o, si su criticidad ha sido mejorada, se adelantarán en el tiempo (véase más adelante).
Derivar y aplicar las medidas como un proceso continuo
Ahora, por supuesto, se plantea la cuestión de qué medidas se pueden tomar para garantizar una continuidad empresarial suficiente cuando se produzca el evento correspondiente. Como se mencionó al principio, esto requiere varias medidas que describan en qué medida los procesos de creación de valor afectados siguen proporcionando productos o servicios.
Los enfoques posibles en este caso son la definición de parámetros de calidad que se relacionan con la calidad del producto o servicio, y la definición de períodos de tiempo en los que el proceso de creación de valor restringido debe ser restaurado. Para estos últimos, son especialmente conocidos los denominados Objetivo de Tiempo de Recuperación (RTO) y Objetivo de Punto de Recuperación (RPO), pero no hay que rehuir la creación de métricas propias.
¿Qué tipo de medidas se pueden tomar? Las medidas para garantizar la continuidad de la actividad pueden adoptarse a varios niveles, por ejemplo a los siguientes
- nivel organizativo
- organización del proceso o nivel de proceso
- nivel técnico
- nivel legal
aunque también son totalmente posibles otro tipo de medidas, por ejemplo a nivel de comunicación corporativa.
Las organizaciones del sector de las TIC, en particular, suelen centrarse en las medidas técnicas y descuidar otros aspectos. En este contexto, es extremadamente importante que los planes de continuidad de la actividad (BCP) se elaboren y apliquen de la forma más holística posible, ya que de lo contrario no es posible garantizar el mantenimiento de la plena creación de valor.
Déjenme darles un ejemplo: La integración de los pedidos en línea en la aplicación móvil de su tienda online ficticia ha hecho que una gran parte de los usuarios la utilicen para realizar pedidos. Un mal viernes por la tarde, su línea de atención al cliente recibe de repente montones de llamadas de personas que se quejan de que ya no pueden hacer pedidos en la aplicación móvil.
Después de algunas idas y venidas, resulta que su plataforma de pedidos, que está alojada en un proveedor de la nube, se vio afectada por una interrupción en la misma. La situación sólo se alivia en el transcurso de la tarde del sábado, cuando el proveedor anuncia que se han resuelto las interrupciones en la Zona de Disponibilidad (AZ) donde está alojada su plataforma de pedidos. Por supuesto, a estas alturas ya se han producido numerosas quejas (también de carácter «no publicitario» en las redes sociales) y muchos clientes han decidido hacer sus pedidos en otro lugar. El daño financiero es considerable.
¿Qué medidas podría haber tomado de antemano para hacer frente a este riesgo en términos de continuidad de la actividad? Desde el punto de vista técnico, habría sido sin duda ventajoso que su organización operativa hubiera sido informada de la interrupción en el proveedor de la nube en una fase temprana (por ejemplo, mediante las correspondientes notificaciones) y, además, que su plataforma de pedidos se hubiera alojado en diferentes AZ.
Además, si hubiera existido el proceso correspondiente, el servicio de asistencia podría haber sido informado de la interrupción existente para poder proporcionar información directamente a los clientes que llamaban y, posiblemente, ofrecerles una opción de pedido alternativa (por ejemplo, a través de un formulario web).
Por último, pero no por ello menos importante, podría haber -suponemos que se trata de una solución COTS- asegurado en el contrato de mantenimiento de su plataforma de pedidos que cualquier fallo del servicio sea compensado económicamente. En este punto, tú y yo pensaríamos sin duda en otras medidas. Pero también hay que tener en cuenta esto: No todas las medidas tienen el mismo efecto, por lo que también hay que priorizarlas.
Derivar y aplicar las medidas como un proceso continuo
Habrá observado que la elaboración y aplicación de medidas de continuidad de la actividad no es un asunto trivial, sino que lleva cierto tiempo. Pero hay más: como la naturaleza de los acontecimientos que amenazan la creación de valor de una organización cambia continuamente, no basta con derivar y aplicar medidas una sola vez. Es mejor considerar la continuidad de la actividad y su aseguramiento mediante medidas como un proceso continuo que adopta la forma de un ciclo Deming.
En consecuencia, debe seguir el sencillo patrón Planificar – Hacer – Comprobar – Actuar y comprobar periódicamente la pertinencia y eficacia de sus medidas y corregirlas si es necesario. Soy consciente de que no es una empresa fácil y que en algunos casos simplemente no es posible. Sin embargo, incluso los ejercicios de emergencia aislados -en el caso anterior, por ejemplo, un mantenimiento de la plataforma de pedidos que no se dio a conocer a la organización de apoyo- ya pueden ayudar a comprobar la calidad de la aplicación de una medida. En pocas palabras: manténgase en sintonía.
La continuidad del negocio es cada vez más importante en un mundo VUCA
El acrónimo «VUCA«, que significa «Volatilidad, Incertidumbre, Complejidad, Ambigüedad», se utiliza a menudo para describir el estado actual de nuestro mundo. No hay que ser necesariamente pesimista para atribuir algo de verdad a esta caracterización. Es precisamente este entorno dinámico y cada vez más imprevisible, junto con el aumento de la complejidad técnica que va de la mano de la digitalización, lo que hace que el tema de la continuidad del negocio sea cada vez más importante para las organizaciones de todos los tamaños. Así que manténgase en sintonía: incluso los pequeños pasos cuentan.
Los comentarios están cerrados.