Los ejercicios de continuidad del negocio y respuesta a crisis representan un área sorprendentemente débil en muchas organizaciones, dice Robin Bucknall MA MSc MBCI. Aquí analiza por qué este es el caso y cómo mejorarse en esta área.
«La planificación para [contingencias] no puede considerarse confiable hasta que se ejerza y haya demostrado ser viable, especialmente porque se puede depositar una falsa confianza en la integridad de un plan escrito». Gobierno del Reino Unido (1)
¿Cuál es el problema?
Los beneficios de que las organizaciones ejerzan sus planes de continuidad del negocio y respuesta a crisis están bien documentados, sin embargo, los ejercicios siguen siendo un área sorprendentemente incomprendida. Para muchas organizaciones, se consideran una tarea para marcar casillas en lugar de algo que se lleva a cabo de manera proactiva para probar y mejorar las capacidades de gestión de crisis; y en otros son acogidos con entusiasmo con poca comprensión de lo que se puede lograr de manera realista con el tiempo y los recursos asignados a ello.
Este artículo argumentará que los beneficios para una organización superan significativamente las desventajas, pero la mayoría de las organizaciones tendrán tiempo, presupuesto y recursos limitados disponibles para hacer ejercicio. Para optimizar el éxito, los facilitadores y la alta dirección deben establecer objetivos realistas y tener claro qué tan bien el tipo de ejercicio que seleccionen los preparará para una interrupción de la vida real.
¿Arte imitando la vida?
Inevitablemente, dentro de una organización habrá diferentes expectativas para los resultados del ejercicio y los intereses creados en juego que buscarán expandir o restringir los objetivos del ejercicio. En algunos casos, esto puede resultar en objetivos poco ambiciosos que resultan en un ejercicio aburrido y en otros objetivos de ejercicio demasiado ambiciosos crean presiones poco realistas sobre los participantes del ejercicio que pueden terminar sintiéndose sobrecargados y expuestos. Un desincentivo para la participación futura.
Cualquiera que sea el método de ejercicio elegido (2), es imposible anticipar o reproducir todas las posibles permutaciones de eventos que podrían desarrollarse durante una interrupción. Los incidentes de la vida real requieren días o semanas para resolverse, pero la mayoría de las organizaciones pueden dedicar menos de un día a un ejercicio. Esto crea una asimetría en términos de la escala de tiempo en la que se debe administrar la información y coordinar los procesos comerciales para entregar la multiplicidad de acciones correctivas requeridas, mientras que aún entregan productos básicos.
Los ejercicios basados en la discusión y los escenarios se pueden utilizar para promover el aprendizaje experiencial y la planificación colaborativa para identificar brechas en las responsabilidades, duplicaciones de esfuerzos, suposiciones erróneas y permitir que grupos de partes interesadas más amplios discutan la respuesta al incidente. Los ejercicios que comprenden múltiples escenarios y conjuntos de problemas pueden ser una herramienta de promoción útil para socializar diferentes perfiles de riesgo con el liderazgo superior, desarrollar y verificar la importancia de los riesgos y examinar y refinar los planes existentes. Del mismo modo, los ejercicios de simulación, en vivo y de prueba pueden replicar la interacción entre los equipos de respuesta a incidentes y presentar las demandas e intereses de las partes interesadas externas. Estos ejercicios pueden condicionar a los individuos a algunas de las presiones de un incidente, pero rara vez a la degradación y fatiga acumuladas de una crisis de larga duración.
El equilibrio clave que debe lograrse para determinar el tipo de ejercicio necesario para satisfacer las necesidades de la organización es la complejidad probable del ejercicio y el tiempo de preparación correspondiente necesario para investigar y desarrollar un escenario plausible. Axiomáticamente, cuanto más complicado y ambicioso es el ejercicio, mayor es el requisito de preparación.
¿Problema? ¿Qué problema?
Para algunas organizaciones, la elección del escenario puede ser problemática, ya que las amenazas desagradables o las vulnerabilidades para la organización que se entienden bien a nivel operativo pueden filtrarse por los intereses de la gerencia de línea y nunca llegar al nivel ejecutivo. También puede haber una tentación de creer que un ejercicio más detallado significa un mejor ejercicio y que más datos deben resultar en una decisión de mejor calidad por parte de los equipos de respuesta a incidentes. Irónicamente, este puede no ser el caso. Después de un año en la planificación y un ejercicio en vivo de ciberransomware de una semana de duración, la junta directiva de una compañía global de productos básicos todavía estaba dividida en su opinión de si pagar el rescate: un tercio de la junta creía que no pagaría bajo ninguna circunstancia, un tercio estaba dispuesto a pagar y el último tercio quería más datos. Podría decirse que esta posición podría haberse logrado igualmente después de un ejercicio estratégico de escenario de mesa de tres horas.
Mejores reflejos
El beneficio del ejercicio no es llevar a cabo un ensayo general elaborado para la interrupción que podría ocurrir, sino desarrollar las sinapsis institucionales y la memoria muscular de cómo responder a cualquier incidente. En su mayor parte, no importa qué causa una interrupción, muchos de los impactos, como la gestión de la reputación, las comunicaciones, la participación de las partes interesadas y la necesidad de restaurar la producción operativa, siguen siendo los mismos. Al entrenar y hacer ejercicio regularmente a través de un programa de ejercicios progresivos, las organizaciones pueden desarrollar formas adaptativas de pensar y resolver problemas, desarrollar confianza individual y de equipo, desarrollar competencias y confirmar delegaciones y autoridades. Al utilizar una variedad de escenarios, los equipos de liderazgo pueden familiarizarse con los tipos de problemas y sus impactos asociados que pueden encontrar y acordar los enfoques recomendados de antemano.
Uno de los resultados más valiosos de un ejercicio es desarrollar una comprensión por parte de los equipos de liderazgo de qué decisiones deben tomarse para cuándo y determinar cuál es el nivel más bajo posible que se puede delegar en una decisión. El tiempo en una interrupción es a menudo el factor crítico y a través del ejercicio, los equipos de liderazgo pueden asegurarse de que los niveles táctico y operativo tienen las autoridades necesarias para afectar una acción inmediata con confianza.
Conclusiones
Los ejercicios mal hechos con escenarios poco realistas o inverosímiles pueden percibirse como una pérdida de tiempo y sin la aceptación de los participantes, las organizaciones rara vez obtendrán algún beneficio. Por el contrario, los ejercicios bien hechos pueden ser divertidos, aumentar la confianza, eventos de formación de equipos que rompen las barreras entre las divisiones de estufas, promueven una comprensión holística de la organización y permiten una toma de decisiones mejor y más informada.
Ningún ejercicio puede replicar realmente la complejidad de una interrupción de la vida real, pero los beneficios para una organización al ensayar sus tendones de toma de decisiones superan significativamente las desventajas en términos de costo y tiempo del personal. Sin embargo, al diseñar un ejercicio, las organizaciones deben tener claro qué es lo que están tratando de lograr y dónde encaja el ejercicio seleccionado en un programa progresivo.
Cuanto más grande y complejo sea un ejercicio, más tiempo y recursos requerirá en la preparación, pero fundamental para la creación de un ejercicio exitoso es un conjunto claro de objetivos, un escenario realista y la preparación de material de apoyo adecuado. La clave es dar tiempo suficiente para la investigación in situ y aprovechar el conocimiento detallado del personal a nivel operativo para capturar los matices de los problemas y cualquier posible efecto de segundo y tercer orden.
El autor
Robin Bucknall MA, MSc, MBCI.
Referencias
(1) UK Government Guidance: Emergency planning and preparedness: exercises and training, consultado el 25 de julio de 2022. (2) Ejercicios basados en discusión, ejercicios de escenarios, ejercicios de simulación, ejercicios en vivo o ejercicios de prueba. BCI Good Practice Guidelines 2018 p90.
FUENTE: www.continuitycentral.com