Upload
others
View
1
Download
0
Embed Size (px)
Citation preview
LA AUDITORÍA
INTERNA Y EL
PLAN DE
CONTINUIDAD
DEL NEGOCIO
C. P. Gabriel Sánchez Curiel¤
C. P. Mario Enrique Mota Sevchovicius£
L. C. C. Fernando Pérez Mendoza£
¤Presidente de la Comisión Sector Empresa Auditoría Interna del
Colegio de Contadores Públicos de México.
£Integrantes de la Comisión Sector Empresa Auditoría Interna del
Colegio de Contadores Públicos de México.
Introducción
A lo largo de la historia han ocurrido aconte-
cimientos naturales de toda índole, con con-
secuencias adversas sobre las estructuras
de la sociedad. Fenómenos naturales como
terremotos, inundaciones, huracanes, incen-
dios, o calamidades causadas por los seres
humanos, como guerras, terrorismo, mani-
pulaciones dolosas de la economía, huel-
gas injustificadas, pandemias, entre muchas
otras, afectan a las personas y las operacio-
nes de las empresas.
La globalización de los mercados también
incrementa la necesidad de prepararse para
enfrentar con éxito eventos adversos, los
cuales, se presentan en forma de fluctuacio-
nes cambiarias, inflación galopante, escasez
de insumos, regulaciones gubernamentales
unilaterales y violencia sociopolítica genera-
lizada, por citar algunos ejemplos.
Frente a dicho entorno, los encargados del
gobierno de la empresa deben prepararse
de manera oportuna y permanente, a fin de
mitigar los impactos negativos sobre la es-
tabilidad de la empresa, en caso de ocurrir
algún desastre. Al respecto, una respuesta
concreta es el “Plan de Continuidad del Ne-
gocio” o “Bussines Continuity Plan” (BCP),
cuyos componentes, incluso han sido adop-
tados por autoridades regulatorias como una
obligación para determinadas empresas.
Por lo amplio y complejo que puede llegar a
ser un BCP, en este documento se tratan los
aspectos más significativos sobre su estruc-
tura, las principales estrategias para su de-
finición, así como la participación que en su
contexto debe tener la “Auditoría interna”.
Los detalles y otras implicaciones sobre el
BCP, serán motivo de boletines posteriores.
Estructura del Plan de Continuidad del Negocio (BCP)
Es importante destacar que los
principales interesados en im-
plantar un BCP son, tanto el due-
ño de la empresa, como el go-
bierno corporativo; sin el apoyo
de ambas partes, el BCP no po-
dría desarrollarse con éxito.
Una vez reconocida la importan-
cia y beneficios de tener un BCP,
el área de “Auditoría interna”
debe involucrase activamente,
sin comprometer sus facultades,
en la implantación, cumplimiento
y actualización.
La estructura del BCP debe tener
un enfoque integral para el mane-
jo de emergencias y desastres, lo
que implica dotarlo de elemen-
tos básicos en materia de preven-
ción, preparación, respuesta, y
recuperación. A continuación, los
explicamos brevemente:
Prevención: Acciones realizadas
para reducir la probabilidad de
ocurrencia de un incidente. Este
elemento está cubierto en gran
medida por la “Planeación de
Gestión de Riesgos”.
El BCP debe ser implantado en
todas las áreas de la empresa,
sin importar el giro de esta, prin-
cipalmente en aquellas entida-
des donde la integridad de la
información es el activo princi-
pal. Tampoco es una restricción
el tamaño, pues el BCP puede
aplicarse a empresas grandes,
medianas, pequeñas, incluso, a
microempresas.
CORPORATIVO 71
COFI
Preparación: Acciones realizadas
antes de la ocurrencia de un in-
cidente, para garantizar una res-
puesta efectiva. Este elemento
está contemplado por la “Eva-
luación del Impacto al Negocio”
o “Business Impact Assesment”
(BIA).
Respuesta: Acciones realizadas
ante la ocurrencia de un inciden-
te, en términos de contención,
control y mitigación de sus im-
pactos. Este elemento está con-
tenido en el “Plan de Respuesta
a Emergencias” o “Emergency
Respond Plan” (ERP).
Recuperación: Acciones reali-
zadas para superar con éxito un
incidente, buscando reducir el
tiempo de interrupción de los
procesos. Este elemento está
ampliamente cubierto, tanto por
el “Plan de Recuperación del Ne-
gocio” o “Business Resumption
Plan” (BRP), como por el “Plan de
Recuperación de Desastres” o Di-
saster Recovery Plan (DRP).
Asentado lo anterior, se debe
entender el BCP como una estra-
tegia institucional aplicada por
la empresa, después de sufrir un
evento adverso de crisis o de-
sastre, a fin de recuperar total o
parcialmente las operaciones en
el menor tiempo posible, con én-
fasis sobre los procesos identifi-
cados como vitales y críticos.
De acuerdo con lo anterior, es recomendable que la estructura del
BCP incluya tres componentes principales para lograr sus objetivos:
Componentes del BCP
Plan de respuesta aemergencias (ERP)
El principal objetivo es salvaguardar a todas las personas que se en-
cuentran en las instalaciones de una empresa; en él se desarrollan
los protocolos de respuesta inmediata a las situaciones adversas. Se
inicia con la identificación de las posibles amenazas que enfrenta una
empresa por su ubicación geográfica; también se diseñan las acciones
para responder a dichas adversidades.
Plan de repuesta a emergencias (Emergency
Response Planning), o ERP.
Plan de recuperación del negocio (Business
Resumption Planning), o BRP.
Plan de continuidad del servicio (Services
Continuity Management), o SCM; Plan de
recuperación después del desastre (Services
Continuity Management), o SCM; (Disaster
Recovery Planning), o DRP.
1
2
3
CORPORATIVO72
COFI
El ERP debe ser tan amplio y estructurado como
la propia entidad, es decir, si la entidad tiene
una oficina central en un área geográfica de alta
probabilidad de terremoto, se debe desarrollar
un protocolo específico para responder a esta
amenaza; por otro lado, si en los procesos de
la empresa se utilizan materiales inflamables, se
tendrá que desarrollar un protocolo exclusivo
para responder a un evento de esta naturaleza.
Los protocolos del ERP pueden ser más comple-
jos: si la empresa tiene oficina central y sucursa-
les ubicadas en diferentes áreas geográficas, se
tendrán que identificar y definir los protocolos
de seguridad específicos para cada localidad y
para cada situación de desastre. Generalmente
el encargado y responsable del ERP es el “Di-
rector de seguridad”, quien coadyuvará para la
conformación de brigadas por cada localidad.
1
2
3
Plan de recuperación del negocio (BRP)
Su objetivo es identificar los procesos clave del negocio
para restablecerlos en el menor tiempo posible; para ello
se definen el cómo, dónde, cuándo, quién es responsable,
y qué debe hacerse cuando ocurra un evento adverso.
Esta identificación de los procesos clave implica asumir la
postura de “comenzar desde cero” cuando ocurra algún
incidente, incluyendo la pérdida de la operación -sea tem-
poral, o de largo plazo-, así como el acceso a su ubicación
principal.
El BRP debe desarrollarse en conjunto y simultáneamente
con el “Plan de Recuperación ante Desastres” (DRP). Am-
bos planes son mutuamente dependientes, pues están
correlacionados; con ello, el éxito del BCP estará asegu-
rado y la empresa se encontrará en la ruta correcta para
reanudar operaciones en el menor tiempo posible.
El BRP implica los siguientes factores básicos:
Identificar y evaluar los procesos vitales, críticos, importan-
tes, y de bajo riesgo del negocio, para establecer priorida-
des en la reanudación de operaciones, en el menor tiempo
posible.
Garantizar la disponibilidad de los recursos necesarios, in-
cluidos el personal, la información, los equipos, la liquidez
financiera, los servicios de reparaciones y adaptaciones que
se requieran.
Mantener activa la operación ante una interrupción no pla-
neada, asegurando la satisfacción de las necesidades esen-
ciales de clientes y proveedores, hasta lograr la reanudación
integral de las operaciones.
CORPORATIVO 73
COFI
Una parte clave del BRP es el “Análisis del Impacto al Ne-
gocio” o “Business Impact Analysis” (BIA). Es una herra-
mienta utilizada para evaluar los procesos del negocio y
definir la prioridad de su continuidad durante un desastre.
El BIA ayuda a predecir las consecuencias de la interrupción
de una función o algún proceso del negocio; recopila la in-
formación necesaria para desarrollar estrategias de recupe-
ración, o para invertir en estrategias de prevención y mitiga-
ción. El BIA incluye un componente exploratorio para revelar
cualquier vulnerabilidad y un componente de planificación
para desarrollar estrategias que minimizan el riesgo. El resul-
Son varios los elementos que conformar un BRP con perfil institucional. Mencionamos los más representativos:
Establecer un “Comité BRP”.
Evaluar la capacidad de reacción frente a un desastre: “Si ocurriera una
interrupción hoy, ¿con qué rapidez y capacidad podrían reanudarse las
operaciones?”
Definir un sitio alterno para continuar las operaciones durante el desastre.
Realizar un análisis de evaluación y gestión de riesgos.
Clasificar los procesos del negocio en vitales, críticos, importantes y de
bajo riesgo, para facilitar su identificación y evaluación.
Identificar al personal responsable de la continuidad de los procesos vitales
y críticos.
Desarrollar conjuntamente el DRP, analizar y definir necesidades de hard-
ware y software.
Diseñar y documentar el BRP para ejecutar la recuperación.
Capacitar al personal involucrado en el BRP.
Efectuar simulacros para conocer la capacidad de respuesta del BRP.
Evaluar el BRP con la participación de “Auditoría interna”.
Actualizar permanentemente el BRP.
1
2
3
4
5
6
7
8
9
10
11
12
tado es un “Informe de Análisis de Impacto Em-
presarial”, que describe los riesgos potenciales
específicos de la entidad.
Una de las suposiciones básicas que implica
el BIA es que cada componente de la empre-
sa depende del funcionamiento continuo de
todos los demás, aunque algunos sean más
cruciales que otros y requieran de una mayor
asignación de fondos en caso de un desastre.
CORPORATIVO74
COFI
a)
b)
c)
d)
Para identificar procesos significativos del negocio, en el
BIA se define el “Tiempo objetivo de recuperación” (RTO),
como el período permitido para reiniciar una función a un
nivel aceptable después del desastre; también es nece-
sario definir como el “Punto objetivo de recuperación”
(RPO), el cual, describe la antigüedad máxima de los da-
tos para su restauración, con base en los requisitos del
negocio.
Se sugieren 4 categorías para priorizar los procesos del
negocio a restablecer:
Es práctica generalizada que la responsabilidad del BRP
se asuma sinergéticamente por las áreas de “Finanzas” y
“Administración de riesgos”, desde luego, con la partici-
pación permanente de “Auditoría interna”.
Plan de continuidad delservicio (DRP)
El “El plan de continuidad del servicio” (DRP), siempre
debe estar alineado con el “Plan de Recuperación del Ne-
gocio” (BRP), y con el “Análisis del Impacto al Negocio”
(BIA).
Aquí se definen las capacidades necesarias
para responder a una interrupción de los ser-
vicios tecnológicos, mediante la implementa-
ción de un plan para restablecer las funciones
críticas de la organización.
Dichas capacidades implican calendarizar
actividades como el respaldo de archivos,
autenticación de facultades y niveles de se-
guridad, detección de virus y monitoreo de la
utilización de sistemas -principalmente para
verificaciones de capacidad-, y, de manera
destacada, la capacidad de restablecer la in-
fraestructura tecnológica necesaria para con-
tinuar con los procesos vitales y críticos del
negocio -identificados en el BIA-.
También es importante subrayar que en el
DRP se definen, principalmente, los objetivos
de recuperación para los sistemas de cómpu-
to que soportan los procesos del negocio.
vital: menor a 24 horas.
crítico: menor a 72 horas.
importante: menor a una semana.
riesgo bajo: mayor a 2 semanas.
CORPORATIVO 75
COFI
Auditoría interna en el BCP
La “Comisión Sector Empresa
Auditoría Interna del Colegio de
Contadores Públicos de México”
ha declarado en otros boletines,
que la prevención de riesgos es
una de las principales responsa-
bilidades de “Auditoría interna”.
Ahora bien, si el plan de continui-
dad del negocio es parte indis-
pensable de dicha prevención,
todos sus componentes e impli-
caciones, deben incluirse en el
“Plan Anual de Auditoría”.
Prevención, preparación, res-
puesta y recuperación son los
elementos básicos del BCP; la
responsabilidad respecto a ellos
es de la empresa. A “Auditoría
interna”, le corresponde incluir
todos los componentes básicos
de cada elemento en su progra-
ma de trabajo, y, sin comprome-
ter sus propias funciones, suge-
rir ajustes en puntos críticos del
BCP, como mecanismos adicio-
nales de seguridad en la plata-
forma de cómputo, cambios en
las prioridades establecidas por
personal que no tiene conoci-
miento de la estructura global de
la empresa, alcance, frecuencia y
aleatoriedad de los simulacros,
entre otros puntos similares.
El trabajo de “Auditoria interna”
durante un desastre será, dar
soporte al gobierno corporativo
sobre la activación, ejecución y
monitoreo del BCP, cerciorándo-
se de su eficacia y actuando en
forma preventiva sin bloquear las
actividades que se realizan.
Conclusiones
Considerando los riegos y amenazas que se enfrentan en un mundo globa-
lizado, el BCP debe formar parte del “Plan estratégico” de la empresa. Su
eficacia recae en el liderazgo del gobierno corporativo, y el involucramiento
de todo el personal de la empresa para su preparación, cumplimiento y ac-
tualización permanente.
La vida de la empresa puede quedar comprometida en el caso de un desastre
si carece de los procedimientos necesarios para enfrentarlo, superarlo y conti-
nuar sus operaciones; en algunos casos esto puede ocurrir durante sólo unos
minutos sin que haya posibilidad de recuperación. La alternativa es un BCP a
la medida de la empresa.
De acuerdo con sus responsabilidades en materia de prevención de riesgos
y promoción de la eficiencia operativa, “Auditoría interna” debe involucrarse
en todos los procesos que se identifican con el desarrollo y mantenimiento
del BCP, e incluir en su “Plan anual”, el tiempo y los recursos necesarios para
llevar a cabo su trabajo excediendo las expectativas de la empresa y de sus
accionistas.
CORPORATIVO76
COFI