Continuidad del negocio en un entorno de riesgos convergentes, un análisis desde las normas ISO 22301 e ISO/IEC 27001
Por: Julio César
Resumen
La continuidad del negocio ya no es una disciplina enfocada exclusivamente en responder a incidentes aislados; hoy en día, funciona como un modelo completo de resistencia empresarial que soporta amenazas múltiples al mismo tiempo. Desde la aceleración del cambio climático y la creciente sofisticación de las amenazas cibernéticas, hasta la fragilidad de las cadenas globales de suministro y la incertidumbre geopolítica; la suma de estos factores está modificando la manera en que las organizaciones gestionan sus riesgos.
En entrevista con Gaceta Imperio, Jesús Leonardo García Rojas, Instructor de BSI México, aborda la necesidad de abandonar los enfoques tradicionales de continuidad basados en escenarios predeterminados y adoptar estrategias orientadas a fortalecer la respuesta empresarial ante eventos disruptivos. Esta perspectiva evidencia cómo la resiliencia se convirtió en un factor de competitividad empresarial para fortalecer la continuidad de las organizaciones.
Palabras clave
normas; continuidad
del negocio; resiliencia organizacional; ISO 22301; ISO/IEC 27001; riesgos
convergentes; cambio climático; gestión del riesgo
Parte 1. Resiliencia empresarial frente a riesgos convergentes: de la continuidad del negocio a la adaptación dinámica
Introducción
Durante
décadas, la gestión empresarial del riesgo se desarrolló bajo una óptica
centrada en amenazas específicas. Las organizaciones identificaban posibles
incidentes y diseñaban procedimientos particulares para responder ante cada uno
de ellos. Así surgieron planes independientes para enfrentar incendios,
terremotos, fallas eléctricas, pandemias o interrupciones tecnológicas, bajo la
premisa de que cada evento tenía un origen y una consecuencia delimitada.
Este modelo
funcionó mientras los sistemas productivos mantenían estructuras relativamente
independientes. No obstante, la transformación de los mercados, la
digitalización y la integración global de las cadenas de suministro modificaron
la naturaleza de las interrupciones. Actualmente, una falla localizada puede
extenderse hacia diferentes áreas de la empresa y vulnerar procesos operativos,
financieros, logísticos o reputacionales.
Ante esta nueva
realidad, disciplinas como la continuidad del negocio, la gestión de crisis y
la resiliencia organizacional evolucionaron hacia modelos más integrales,
respaldados por estándares internacionales como ISO 22301, enfocado en
los Sistemas de Gestión de Continuidad del Negocio, e ISO/IEC 27001,
referente para la gestión de la seguridad de la información.
Para Jesús
Leonardo García Rojas, Instructor de BSI México, comprender esta
transformación resulta necesario para que las organizaciones pasen de una
lógica reactiva a una capacidad permanente de adaptación frente a
interrupciones que forman parte del entorno empresarial actual.
Del riesgo aislado al riesgo convergente
Uno de los
cambios más relevantes en la continuidad del negocio es la manera en que las
organizaciones interpretan los riesgos. Las amenazas dejaron de analizarse exclusivamente
por su origen para comprenderse desde los efectos que producen sobre la
operación.
“Hoy los
riesgos ya no pueden analizarse de manera independiente, porque las crisis
tienden a conectarse entre sí. Un evento ambiental puede afectar la cadena de
suministro y desencadenar impactos financieros, reputacionales u operativos que
comprometen la continuidad de la organización”, explica Jesús García.
Esta relación
entre fuerzas modifica la forma de evaluar una interrupción. Un fenómeno
climático extremo, por ejemplo, no sólo implica daños físicos en una
instalación; puede impactar la disponibilidad de materias primas, retrasar
entregas, incrementar costos logísticos y alterar compromisos comerciales con
clientes.
La misma
situación ocurre con los incidentes cibernéticos. Un ataque informático daña
sistemas de producción, plataformas financieras o información estratégica,
convirtiéndose en un problema que trasciende al área tecnológica. Bajo este
escenario, la capacidad de respuesta depende de qué tan preparada esté la
organización para mantener sus funciones prioritarias y recuperar la operación.
El error más común en la continuidad del negocio
A pesar de los
cambios en el ámbito empresarial, algunas organizaciones persisten en diseñar
sus planes de continuidad a partir de amenazas específicas. Para Jesús García,
esta práctica limita la capacidad de respuesta porque no considera la relación
entre distintos aspectos de riesgo.
“Muchas
empresas todavía organizan sus manuales en función de amenazas particulares,
con planes separados para incendios, ciberataques o terremotos. Ante la
interconexión actual de los riesgos, este modelo deja de ser suficiente para
responder eficazmente”.
El especialista
afirma que la continuidad del negocio debe enfocarse en analizar los procesos
esenciales de la organización y prever qué ocurriría si alguno de ellos dejara
de funcionar durante un periodo determinado.
Este cambio de planteamiento
desplaza la atención desde el evento que origina la interrupción hacia las
consecuencias que puede generar. La prioridad consiste en identificar las
capacidades que sostienen la operación y establecer mecanismos para
conservarlas incluso bajo condiciones adversas.
Sectores bajo mayor presión
Aunque todos
los sectores productivos están expuestos a interrupciones, algunas actividades
presentan una sensibilidad marcada debido a su dependencia de infraestructura
crítica, recursos naturales y redes altamente conectadas.
Entre ellas destacan:
- Agricultura.
- Energía y servicios públicos.
- Logística y transporte.
En estos terrenos,
una alteración en el suministro energético, una falla tecnológica o una
interrupción en la cadena logística extiende sus efectos hacia múltiples
participantes. Por esta razón, la gestión de continuidad adquiere un papel protagónico
para reducir vulnerabilidades y fortalecer la capacidad de recuperación.
Cambio climático: un problema operativo
Durante años,
el cambio climático fue analizado principalmente desde la óptica ambiental y de
sostenibilidad. En la actualidad, sus efectos comienzan a evaluarse también como
variables capaces de modificar la continuidad operativa de las empresas.
“Sus efectos dejaron
de percibirse como amenazas futuras o abstractas para manifestarse en daños
físicos a la infraestructura, interrupciones en las cadenas de suministro y
pérdidas financieras inmediatas”, señala Jesús García.
El impacto
climático puede presentarse mediante diferentes vías: temperaturas extremas que
modifican las condiciones laborales, escasez de agua que limita procesos
industriales, inundaciones que dañan instalaciones o fenómenos meteorológicos
que interrumpen rutas logísticas.
Desde este
punto de vista, el clima deja de ser un asunto ambiental y se convierte en una
variable que debe integrarse dentro de la planeación operativa y estratégica.
Incorporar el clima dentro de ISO 22301
Uno de los
retos actuales consiste en modificar la percepción de los eventos climáticos
como situaciones imprevisibles o excepcionales. Su comportamiento imperante
demanda evaluaciones periódicas sobre cómo pueden repercutir la capacidad de
una organización para garantizar sus actividades.
De acuerdo con Jesús García, los Sistemas de Gestión de Continuidad del Negocio deben incorporar criterios climáticos mediante análisis sobre cinco dimensiones:
- Infraestructura.
- Proveedores.
- Recursos humanos.
- Disponibilidad energética.
- Abastecimiento de agua.
Esta visión
favorece una identificación temprana de vulnerabilidades y ayuda a implantar
medidas preventivas antes de que una interrupción comprometa los procesos
críticos.
¿Qué tan preparadas están las empresas mexicanas?
El nivel de
preparación de las empresas mexicanas revela diferencias importantes. Las
grandes organizaciones han avanzado en esquemas de continuidad impulsadas por
requerimientos internacionales, cadenas globales de suministro y expectativas
de inversionistas.
No obstante,
una parte significativa del sector empresarial todavía opera bajo esquemas
reactivos, donde la respuesta comienza después de que la interrupción ya
ocurrió. Esta condición dificulta anticipar repercusiones, reducir pérdidas y
recuperar actividades vitales en menor tiempo.
El reto
consiste en que la resiliencia forme parte de la política empresarial desde la
planificación cotidiana, en lugar de activarse únicamente cuando ocurre una
interrupción.
ISO 22301: mucho más que un manual de emergencia
ISO 22301 brinda
un marco de gestión orientado a fortalecer la capacidad de una organización
para proteger sus operaciones ante eventos disruptivos.
A diferencia de
un plan de emergencia, cuyo objetivo central es proteger a las personas y los
activos durante un incidente, un Sistema de Gestión de Continuidad del Negocio
contempla procesos, prácticas y recursos alternativos para sostener las
funciones críticas mientras se recupera la operación habitual.
La norma no
plantea eliminar completamente los riesgos, ya que ninguna organización puede
garantizar la ausencia total de interrupciones. Su propósito es desarrollar
capacidades que ayuden a responder, adaptarse y reducir las secuelas derivadas
de una crisis.
A juicio de
Jesús García, esta concepción configura la continuidad del negocio en un componente
clave para las empresas: “No se trata únicamente de evitar el desastre; se
trata de ser resilientes cuando el evento disruptivo finalmente se materializa”,
apunta el directivo.
Parte 2. Resiliencia empresarial frente a riesgos convergentes: de la continuidad del negocio a la adaptación dinámica
ISO/IEC 27001: cuando la ciberseguridad deja de ser un asunto exclusivo de TI
La
transformación digital modificó la forma en que operan las empresas. Hoy por
hoy, procesos financieros, líneas de producción, cadenas logísticas, atención
al cliente y gestión interna dependen de plataformas tecnológicas
interconectadas. Esta dependencia incrementó la eficiencia operacional, pero de
la misma manera amplió la superficie de exposición ante fallas tecnológicas y
amenazas digitales.
En este
contexto, una interrupción informática trasciende los límites del área
tecnológica y perjudica directamente la continuidad del negocio. Como refiere
Jesús García, “"las amenazas cibernéticas dejaron de ser incidentes
tecnológicos aislados para convertirse en crisis sistémicas que ponen en riesgo
la continuidad operativa”.
Los ataques de
ransomware, las fallas en servicios digitales, las vulnerabilidades de
proveedores tecnológicos y la pérdida de integridad de los datos han demostrado
que la seguridad de la información forma parte del funcionamiento integral de
cualquier organización. La protección digital ya no depende tan solo de preservar
sistemas disponibles, más bien de garantizar que la empresa pueda continuar
operando cuando enfrenta una interrupción.
La integración entre ISO 22301 e ISO/IEC 27001
A lo largo de
los años, la continuidad del negocio y la seguridad de la información se
gestionaron como disciplinas separadas. Mientras una se enfocaba en continuar
la operación ante interrupciones, la otra concentraba sus esfuerzos en proteger
los activos digitales.
En el presente,
esta separación es limitada. La dependencia tecnológica ha generado una
relación directa entre disponibilidad de la información y capacidad operativa,
por lo que ambos ángulos deben trabajar bajo una misma estrategia.
A decir de
Jesús García, ISO 22301 e ISO/IEC 27001 tienen objetivos
complementarios: mientras ISO/IEC 27001 establece controles para
proteger la confidencialidad, integridad y disponibilidad de la información, ISO
22301 proporciona el marco para asegurar el funcionamiento de los procesos
críticos cuando ocurre una disrupción.
Esta
integración fortalece la respuesta empresarial frente a incidentes donde una
falla tecnológica puede convertirse rápidamente en una afectación operativa,
financiera o reputacional.
A este respecto, la ciberseguridad amplía su alcance hacia cuatro objetivos:
- mantener la capacidad de entregar productos y servicios;
- conservar la atención a clientes;
- sostener procesos financieros;
- cumplir obligaciones regulatorias.
La coordinación fija la supervivencia
Durante una
crisis tecnológica, la velocidad y calidad de las decisiones definen el
resultado para una organización. Un incidente cibernético exige coordinación
entre departamentos que tradicionalmente actuaban con responsabilidades
separadas: tecnología, operaciones, comunicación y dirección estratégica.
Como menciona Jesús
García: “La coordinación en tiempo real entre operaciones, tecnología y
dirección determina si la empresa sobrevive financieramente o quiebra”.
Las
organizaciones que carecen de mecanismos de coordinación suelen enfrentar
retrasos, duplicidad de esfuerzos y decisiones contradictorias durante los
primeros momentos de una crisis. Por el contrario, aquellas que cuentan con
estructuras previamente definidas responden con mayor orden, asignar
responsabilidades y reducir los tiempos de recuperación.
La continuidad
del negocio gana valor precisamente en esos momentos, cuando la organización
necesita actuar bajo presión y con información incompleta.
Cuando no existe un plan de continuidad
Las implicaciones
de un incidente de seguridad de la información no se limitan a la pérdida o
exposición de datos. Una interrupción prolongada detiene procesos productivos, incide
relaciones comerciales, genera sanciones regulatorias y deteriora la confianza
del mercado.
Desde la
perspectiva de Jesús García, la ausencia de preparación convierte un incidente
controlable en una amenaza para la permanencia del negocio. Esta realidad demuestra
por qué los modelos actuales de gestión integran seguridad de la información,
continuidad operativa y análisis de riesgos dentro de una misma iniciativa.
La cadena de suministro como extensión del negocio
Las crisis
recientes demostraron que ninguna empresa funciona de manera completamente
independiente. La operación actual depende de proveedores de materias primas,
servicios tecnológicos, operadores logísticos, infraestructura energética y
múltiples aliados externos.
Bajo la
dinámica actual de los mercados, la resiliencia empresarial debe extenderse más
allá de los límites físicos de la organización. Según Jesús García, evaluar
proveedores únicamente por costo, calidad o capacidad de entrega se torna
insuficiente.
Un proveedor
con baja capacidad de recuperación deviene en un punto vulnerable para toda la
cadena de suministro. Derivado de esta necesidad, las empresas comienzan a
incorporar criterios de resiliencia dentro de sus procesos de selección y
evaluación de socios estratégicos.
El papel del Business Impact Analysis
Para evaluar
qué elementos externos representan una amenaza considerable, Jesús García aconseja
utilizar el Business Impact Analysis (BIA) o Análisis de Impacto al Negocio.
Esta
metodología ayuda a localizar cuáles procesos generan consecuencias críticas
cuando permanecen detenidos durante un periodo definido. A partir de esta
evaluación, las organizaciones establecen prioridades, definen tiempos máximos
aceptables de interrupción y desarrollan alternativas operativas.
Dentro de ISO
22301, el BIA constituye una herramienta imprescindible porque transforma
la percepción del riesgo en información útil para la toma de decisiones
empresariales.
Probar antes de que ocurra la crisis
Un plan
documentado no garantiza por sí mismo la continuidad operativa. Su efectividad
depende de que haya sido probado, actualizado y validado bajo condiciones
similares a las que podría enfrentar la organización.
A partir de
estos hallazgos, Jesús García recomienda realizar ejercicios periódicos que
permitan reconocer fallas, ajustar procedimientos y verificar la coordinación
entre responsables internos.
En empresas con
alta dependencia tecnológica o con operaciones reguladas, estas pruebas deben
involucrar igualmente a socios comerciales. La continuidad del negocio
trasciende los límites internos de la empresa, ya que su efectividad depende de
la preparación coordinada de todos los actores relacionados con la operación.
La resiliencia como cultura organizacional
Uno de los
principales cambios en la gestión moderna de continuidad es comprender que la
resiliencia no pertenece exclusivamente a un departamento específico. No es una
responsabilidad limitada a tecnología, auditoría o gestión de riesgos.
Cada área
participa en la capacidad de respuesta de la organización. Las decisiones de la
alta dirección, los procedimientos operativos y la preparación del personal
influyen directamente en la forma en que una empresa enfrenta una interrupción.
Desde este
enfoque, Jesús García propone cambiar la percepción de la continuidad del
negocio como un requisito documental: “La continuidad del negocio debe dejar de
verse como un manual de cumplimiento y transformarse en un hábito diario”.
Esta postura conlleva
incorporar capacitación, prevención, aprendizaje y mejora continua como parte
de la operación cotidiana.
El liderazgo frente a la incertidumbre
La preparación
empresarial no depende únicamente de contar con herramientas o procedimientos; además,
requiere líderes capaces de tomar decisiones bajo condiciones complejas.
En palabras de Jesús García, las organizaciones resilientes necesitan fortalecer capacidades como:
- pensamiento sistémico;
- toma de decisiones bajo incertidumbre;
- liderazgo empático;
- adaptación estratégica;
- visión integral del riesgo.
Estas
competencias cobran relevancia en entornos donde diferentes circunstancias
evolucionan simultáneamente y donde las respuestas tradicionales son
insuficientes.
Inteligencia artificial y continuidad del negocio
Durante los
próximos años, la inteligencia artificial tendrá un papel creciente en la
gestión de riesgos. Su capacidad para analizar grandes volúmenes de información
modifica la manera en que las empresas identifican señales tempranas de
interrupción.
La IA integra
datos provenientes de infraestructura tecnológica, cadenas de suministro,
sensores industriales, variables climáticas y mercados financieros para
detectar patrones que anticipen posibles afectaciones.
No obstante,
esta evolución suscita nuevos desafíos relacionados con gobernanza tecnológica,
calidad de datos y seguridad de los sistemas utilizados para tomar decisiones.
Aprendizajes desde la experiencia
A partir de su
experiencia como instructor y auditor en BSI, Jesús García ha presenciado casos
donde una adecuada gestión de continuidad evitó consecuencias de gran escala.
En
organizaciones dedicadas al desarrollo de plataformas digitales, por ejemplo,
los controles de calidad y continuidad aplicados durante actualizaciones de
software ayudaron a prevenir interrupciones que habrían afectado servicios
utilizados por sectores prioritarios como hospitales, aeropuertos y bancos.
En contraste,
también ha observado casos donde empresas con sistemas robustos de respaldo
tecnológico descubrieron limitaciones durante una contingencia real. Estas
experiencias muestran que disponer de infraestructura redundante no garantiza
por sí mismo la resiliencia; es imperativo comprender cómo interactúan todos
los recursos críticos del negocio.
Tres recomendaciones para la alta dirección
Al finalizar la
entrevista, Jesús García resume tres líneas de acción para los directivos
empresariales:
1. Cambiar el enfoque de planeación.
Abandonar
modelos construidos únicamente alrededor de amenazas específicas y avanzar
hacia análisis basados en la repercusión que una interrupción genera sobre
procesos críticos.
2. Fortalecer mecanismos alternativos.
Implementar
respaldos independientes y rutas operativas que reduzcan la dependencia de una
sola infraestructura.
3. Integrar la continuidad en la estrategia empresarial.
Convertir la
resiliencia en un indicador relacionado con objetivos financieros y
corporativos, no sólo en un requisito operativo.
La pregunta que toda empresa debería responder
Jesús García formula
una pregunta que resume el propósito de la continuidad del negocio: “Si el
sistema o recurso operativo más crítico de la empresa se ve interrumpido,
¿cuánto tiempo exacto tardará la organización en seguir facturando y atendiendo
clientes sin utilizar ese recurso?”
La respuesta
permite precisar el nivel real de preparación de una organización. Más allá de
los documentos existentes, la verdadera resiliencia se refleja en la capacidad
de mantener funciones indispensables, tomar decisiones oportunas y recuperar la
operación cuando los recursos principales dejan de estar disponibles.
Conclusión general
La continuidad
del negocio atraviesa una transformación impulsada por un panorama donde las
interrupciones son cada vez más complejas y difíciles de separar por
categorías. Los cambios tecnológicos, climáticos, económicos y geopolíticos modificaron
la forma en que las empresas deben analizar sus vulnerabilidades y construir
capacidades de respuesta.
El nuevo modelo
abandona la preparación basada exclusivamente en eventos específicos y dirige
la atención hacia la consecuencia que una interrupción puede generar sobre los
procesos críticos. Esta mirada facilita priorizar recursos, mejorar la toma de
decisiones y fortalecer la capacidad organizacional frente a situaciones
inciertas.
En respuesta a
esta dinámica, ISO 22301 e ISO/IEC 27001 funcionan como herramientas
complementarias para integrar continuidad operativa y seguridad de la
información. No obstante, su efectividad depende de que la resiliencia forme
parte de la cultura empresarial y cuente con el respaldo activo de la
dirección.
La inteligencia
artificial, la evaluación de cadenas de suministro y el desarrollo de nuevas
capacidades de liderazgo serán motores trascendentales en los próximos años.
Aun así, la tecnología por sí sola no sustituirá la necesidad de construir
organizaciones capaces de aprender, adaptarse y evolucionar.
La resiliencia
empresarial debe entenderse como la capacidad de una organización para absorber
impactos, ajustar su operación y conservar sus capacidades esenciales frente a
situaciones disruptivas. Aquellas organizaciones que incorporen esta mentalidad
enfrentarán la incertidumbre con mayor preparación y convertirán la continuidad
del negocio en un elemento diferenciador de competitividad y confianza.
Editor-in-Chief: Julio César. Periodista con más de 15 años de
experiencia en la investigación y desarrollo de contenidos especializados para
medios impresos y digitales en México y Latinoamérica.
IG: @imjucesar // LinkedIn: @imjucesar
Referencias (4)
International Organization for Standardization (ISO).
(2019). ISO 22301:2019. Security and resilience — Business continuity
management systems — Requirements. Geneva, Switzerland: ISO.
International Organization for Standardization (ISO)
& International Electrotechnical Commission (IEC). (2022). ISO/IEC
27001:2022. Information security, cybersecurity and privacy protection —
Information security management systems — Requirements. Geneva, Switzerland: ISO.
García Rojas,
J. L. (2026). Entrevista personal sobre continuidad del negocio, resiliencia
empresarial y las normas ISO 22301 e ISO/IEC 27001. Instructor-Auditor de
BSI México. Entrevista realizada por Julio César para Gaceta Imperio,
julio de 2026.
BSI. (s. f.). BSI
Group. LinkedIn. Recuperado el 27 de julio de 2026, de https://www.linkedin.com/company/bsi/
También lee:
- Pérdidas invisibles en la transformación de plásticos: una aproximación sistemática a la gestión de los costos ocultos
- Biomateriales de origen agroindustrial: innovación universitaria para acelerar la transición hacia materiales de menor impacto ambiental
¿Te pareció interesante?
Hazlo llegar a alguien más
¿Tienes una marca, proyecto o servicio que merece estar en esta conversación?
En Gaceta Imperio trabajamos con marcas, instituciones, organismos, colectivos y personas que quieren algo más que publicidad: historias con contexto, mensajes claros y contenidos relevantes.
📩 Escríbenos a ventas.gacetaimperio@gmail.com y te contamos cómo aparecer aquí.
Comentarios
Publicar un comentario