BIA

Una vez se tiene el anlisis de riesgos, este se convierte en el punto de partida del Anlisis de
Impacto de Negocios y/o Business Impact Analysis (BIA). Este BIA se constituye as en el
pilar sobre el que se va construir el Plan de Recuperacin de Negocios. El BIA ser la gua que
determine que necesita ser recuperado y el tiempo que tarde dicha recuperacin, actividades
que en el Plan de Continuidad de Negocios se convierte quizs en las ms difciles y crticas
por realizar adecuadamente. El apoyo del BIA es invaluable para identificar que est en riesgo
una vez se presente un riesgo permitiendo as justificar los gastos que se requieran en
proteccin y capacidad de recuperacin. Usualmente se habla de "critico" o "esencial" cuando
se listan las actividades desarrolladas en una Organizacin.


Al hacer un BIA quizs resulte ms til hablar de "tiempos inactivos", puesto que ninguna
organizacin contrata un empleado para que realice labores "no esenciales", cada labor tiene
un propsito, pero hay unas labores que son ms exigentes en su tiempo de ejecucin que
otras cuando hay lmites de recursos o tiempos apretados de entrega para su realizacin.
Vemoslo de este modo: Un banco que haya sufrido un percance por un pequeo incendio en
la bodega puede detener su campaa publicitaria pero no podr detener los procesos de retiros
y depsitos de sus clientes. La campaa publicitaria del banco es esencial para su crecimiento
a largo plazo, pero cuando se presenta una emergencia o desastre puede ser aplazada no por
su criticidad sino porque su "tiempo de inactividad" puede ser mucho mayor y no afectar la
operacin del banco. La organizacin debe revisar cada una de las tareas que se realizan con
el mismo patrn de referencia. Por cunto tiempo puede dejar de realizarse esta actividad sin
que ello cause prdidas financieras, quejas de los clientes, y/o penalizaciones legales o
contractuales? Cuando se trata el tema de continuidad, todo gira alrededor del impacto. Es
acerca de sostener la operacin bsica de la Organizacin mientras que lo dems se puede
dejar en espera. Es centrarse en las operaciones que le permiten sobrevivir a la
Organizacin. Todos los procesos de la Organizacin, as como los recursos tecnolgicos en
los que se soportan tales procesos deben ser clasificados de acuerdo a su prioridad de
recuperacin. Los tiempos de recuperacin de los procesos para una organizacin estn
medidos por las consecuencias de no poder ejecutarlos.

De qu consecuencias estamos hablando? Demandas en contra de la Organizacin por el
incumplimiento de una entrega en una fecha determinada, perdida de reputacin, etc.
Generalizando, los impactos de un desastre pueden ser financieros, legales, o de
retencin/prdida de clientes.

Ahora, como realizar el anlisis de impacto de negocios (BIA)? Se inicia identificando los
procesos que se realizan en la organizacin, y asignndoles un lder; siendo ideal que ya exista
un Sistema de Gestin en el que ya se haya hecho esta actividad. Con los lderes de proceso
se puede conformar un "equipo de planeacin" que har la evaluacin del proceso que tengan
asignado. Una vez identificados procesos y sus lderes, se debe listar cada una de las
actividades que se realiza para cada uno de los procesos para entender cul es el propsito de
los mismos, y aqu se debe analizar cada actividad que se ejecute en tres aspectos: riesgo
financiero de no ejecutar tal actividad, riesgo regulatorio o legal de no ejecutar tal actividad, y el
riesgo reputaciones o con el cliente de no ejecutar tal actividad. Aclaremos cada uno de los
riesgos:

Financiero: incluye prdida de ingresos, prdida de intereses con entidades bancarias,
costos de pedir dinero prestado para hacer caja, prdida de ingresos por ventas no
realizadas, penalizaciones por no cumplir compromisos contractuales o niveles de
servicio, y oportunidades perdidas durante el tiempo inoperante.

Regulatorio: incluye perdidas por no presentar reportes financieros o de impuestos en
las fechas indicadas, demandas o penalizaciones por incumplir requerimientos
obligatorios en las actividades de la Organizacin (por ejemplo ambientales), o la
obligacin de tener que retirar productos en venta por falta o in suficiencia en la
realizacin de pruebas del producto antes de ponerlo a disposicin del consumidor
final.
Reputaciones o con el cliente: incluye la prdida de confianza por parte de los clientes
y del mercado, reclamaciones de responsabilidad, clientes insatisfechos por el servicio,
apariciones en las noticias por quejas de los clientes, perdida de reputacin, y perdidas
de ventajas competitivas.

Una vez que el Equipo de Planeacin tienen una lista de todas las actividades y sabe qu pasa
si no se realizan, la siguiente respuesta a obtener es que tan pronto veremos el impacto? Ser
tan pronto se deje de hacer una actividad? Un calcetar que sea evacuado por un posible
incendio deja de funcionar inmediatamente. A menos que haya un calcetar alterno donde se
pueda operar para seguir recibiendo llamadas, el impacto a los clientes es inmediato. Que tan
significativo sea dicho impacto depende enteramente del negocio o actividades que maneje
una Organizacin: cuantas llamadas se reciben y que servicio busca cada una de ellas.

A manera de ejemplo, un calcetar en promedio puede recibir 1.200 llamadas en promedio por
hora, 72% de ellas finalizan con una venta de U$57 dlares, as que haciendo cuentas 1200 x
0.72 x $57 = $49,248 cuesta cada hora de servicio que el callcenter este fuera de operacin. Si
los clientes o potenciales consumidores encuentran lo que desean comprar en una pgina de
internet, realizan la orden y el sitio deja de funcionar, hay un impacto inmediato. El impacto
depende estrictamente de la actividad que realice una Organizacin, de cuantas ordenes de
trabajo se reciben, que cuesta cada orden, y saber si el cliente est dispuesto a esperar a
realizar su pedido hasta que se restablezca el servicio o ira a solicitarlo a otro proveedor
(siempre pueden ir con la competencia!!!).

Cuando el equipo de planeacin tiene la lista de actividades, una idea de que ocurre cuando
dejan de ejecutarse, y en qu tiempo empezaran a ver el impacto, es hora de cuantificar el
impacto. Se pueden utilizar medidas cuantitativas como dlares por minuto, hora o da de
inactividad, o medidas cualitativas que permitan predecir resultados basados en el
conocimiento o experiencia de los miembros del equipo de planeacin o compaeros de
trabajo. Una vez se completa esta actividad ya tenemos una vista general de todo lo que
realiza la compaa, que impacto tiene para la organizacin que no se ejecute un proceso o
una actividad, que tan rpido se sentir ese impacto y que tan fuerte impactara a la
organizacin. Esta informacin ser el punto de partida para desarrollar estrategias de
recuperacin para cualquier organizacin.


Ya con esta informacin recopilada, se hace necesario determinar en una escala los tiempos
de recuperacin ptimos. A manera de ejemplo, se puede determinar que estas son las
categoras a emplear:


Categora 1: Procesos Misionales y/o Crticos (0 a 12 horas)

Funciones que pueden realizarse slo si las capacidades se reemplazan por otras
idnticas.
No pueden reemplazarse por mtodos manuales.
Muy baja tolerancia a interrupciones.

Categora 2: Vitales (13 a 24 horas)


Pueden realizarse manualmente por un periodo breve.
Costo de interrupcin un poco ms bajos, slo si son restaurados dentro de un tiempo
determinado (5 o menos das, por ejemplo).


Categora 3: Importantes (1 a 3 das)


Funciones que pueden realizarse manualmente por un periodo prolongado a un costo
tolerable.
El proceso manual puede ser complicado y requerira de personal adicional.

Categora 4: Menores (ms de 3 das)
Funciones que pueden interrumpirse por tiempos prolongados a un costo pequeo o nulo.

En este momento es que empezamos a hablar de los tiempos de recuperacin, y entran en
escena varios de ellos: RTO, RPO, MTD y WRT. Vamos con cada uno de ellos:

Los RTO y RPO, son parmetros especficos que estn ntimamente relacionados con la
Recuperacin de Desastres y tienen que ser tomados en consideracin para que un plan
de este tipo pueda ser implementado. El RTO (Recovery Time Objective) es el Tiempo
objetivo de recuperacin, en otras palabras cuanto puede permanecer la Organizacin sin
ejecutar una actividad, el uso de una aplicacin (hardware y/o software) o informacin
relevante. Frecuentemente es asociado con el tiempo mximo de inactividad. El RTO se
utiliza para decidir cada cuanto se deben realizar respaldos de informacin o backups;
tambin es til para decidir que infraestructura es requerida para reiniciar operaciones, por
ejemplo un centro de cmputo alterno de similares especificaciones al existente en la
Organizacin, o un callcenter paralelo en una ubicacin diferente a la que se utiliza de
manera permanente. Si en su organizacin hay un RTO con valor CERO (no puede ser
inferior a esta cifra), inevitablemente su Organizacin tendr que contar con una
infraestructura redundante con respaldos de informacin en sitios alternos y as
sucesivamente. Ahora, si se tiene un RTO de 48 o 72 horas entonces un respaldo de
informacin en cinta ser suficiente para esa aplicacin en particular.

El RPO es ligeramente diferente. Este parmetro nos dice que cantidad de informacin
puede la Organizacin perder. En otras palabras, si su organizacin realiza respaldos
nocturnos de informacin todos los das a las 7:00 PM y el sistema colapsa al da siguiente
a las 4:00 PM, toda actualizacin que se realice desde su ltimo respaldo se perder. El
RPO para este contexto ser el respaldo de informacin que haya realizado en el da
anterior. Ahora, si estamos hablando de un banco que hace transacciones en Internet, el
RPO debe ser prcticamente igual a cero, incluyendo la ltima transaccin y el ltimo bit de
informacin que se haya manejado. As las cosas, el RPO nos dice que clase de proteccin
se requiere para la informacin que se maneja en su Organizacin.


As las cosas, el RTO y el RPO influyen por completo en la infraestructura de soporte y
respaldo que vaya a utilizar en su organizacin. Entre ms se reduzca e RTO y el RPO,
ms dinero debe invertirse en seguridad.


Maximum Tolerable Downtime (MTD) o Maximum Tolerable Outage (MTO) Tal como
suena, es el tiempo mximo de inactividad que la organizacin puede tolerar la ausencia o
no disponibilidad de una funcin o proceso. Diferentes procesos o tareas dentro de la
organizacin pueden tener diferentes MTD. Si una funcin de la Organizacin esta
categorizada dentro de la Categora 1, obviamente tiene el MTD mas corto. Hay una
correlacin entre la criticidad de las funciones o procesos de la organizacin y su tiempo
mximo de inactividad. A mayor criticidad, menor tiempo de espera a que se reinicie la
operacin en ese proceso o funcin. El tiempo de cada o de inoperancia se constituye por
dos elementos: el tiempo de recuperacin del sistema y el tiempo de trabajo en
recuperacin o WRT. As las cosas, MTD = RTO + WRT.


Work Recovery Time (WRT) Tiempo de trabajo en Recuperacin. Este segmento
comprende el mximo tiempo de inactividad posible o MTD. Si su MTD es de 3 das,
probablemente el da 1 sea el RTO y los dias 2 y 3 pueden ser los WRT. Como es de
esperar, toma tiempo hacer que las funciones criticas de la Organizacin estn
nuevamente operando (hardware, software, configuraciones necesarias, etc), y este es un
tema que usualmente se ignora en las etapas de planeacin, especialmente por Sistemas o
IT. Si los sistemas estn nuevamente funcionando, eso es todo desde la perspectiva de
sistemas o IT. Pero que ocurre desde una perspectiva de negocios? Hay pasos adicionales
a tenerse en cuenta antes de que los sistemas estn operando como conseguir una
ubicacin alterna, conseguir los equipos, conexin a banda ancha, etc, etc y que tienen que
ser obligatoriamente contemplados en la definicin del MTD; y si no se tiene en cuenta se
est poniendo en riesgo a la organizacin al no haber tomado tales tiempos en
consideracin.

Veamos cmo interactan estos tiempos:




Punto 1: RPO La mxima cantidad de informacin que se puede perder de acuerdo al
cronograma de realizacin de copias de respaldo y/o necesidades de informacin que se
presenten.

Punto 2: RTO Tiempo requerido para que los sistemas crticos de la Organizacin estn
nuevamente. Operando.

Punto 3: WRT Tiempo requerido para recuperar la informacin perdida (Basado en el
RPO), as como de ingresar al sistema todos los datos que se generaron durante la cada
del sistema.

Punto 2 y 3: MTD La duracin del RTO mas el WRT
Punto 4: Pruebas, verificacin e inicio normal de operaciones


Durante la ejecucin normal de operaciones, usualmente hay una diferencia entre el ltimo
respaldo de informacin realizado y el estado actual de la informacin. En algunos casos,
este lapso puede ser de minutos u horas, pero en la mayora de casos siempre ser de
horas o das. Este marco de tiempo es el punto objetivo de recuperacin. En muchas
organizaciones este es precisamente el lapso de tiempo que existe entre cada una de las
copias de respaldo que realizan. Observando el circulo con el nmero 1 se aprecia la
diferencia existente entre la realizacin de la ltima copia de respaldo y el estado actual de
la informacin, justo antes de la cada del sistema. Ese es el momento en el cual uno o
ms de los sistemas crticos dejan de estar disponible y se inicia el Plan de Continuidad y/o
de Recuperacin de Desastres. La primera fase del MTD (tiempo mximo de inactividad
que la organizacin puede tolerar la ausencia o no disponibilidad de una funcin o proceso)
es el objetivo a cumplir. En este marco de tiempo los sistemas se evalan, reparan,
reemplazan y reconfiguran. El RTO finaliza cuando los sistemas nuevamente estn en
lnea y la informacin es recuperada hasta el ltimo respaldo de informacin disponible.
Justo all es cuando empieza la segunda fase del MTD.


Es en esta fase cuando la informacin es recuperada atravs de procesos automatizados
y/o manuales. Hay dos elementos en la recuperacin de informacin, el primero es la
restauracin de la informacin perdida, y la segunda es la carga de la informacin
recopilada de manera "artesanal" por que no haba manera de ingresarla al sistema. La
mayora de empresas realizan las dos fases mencionadas en ese mismo orden, pero habr
casos en los que el Plan de Recuperacin pueda dictar lo contrario. Aqu la clave es
entender que hay un retraso entre el momento en que los sistemas vuelven a estar
completamente operativos y el momento en el que se pueden reasumir las operaciones
normales. Durante los periodos indicados con los crculos con los nmeros 2 y 3, se har el
trabajo con mecanismos alternos y/o manuales. Estos procesos se reactivaran
posteriormente de acuerdo a lo que se defina en el Plan de continuidad. Por ejemplo, si
una base de datos financiera esta inaccesible, como se podrn registrar los pagos, las
ventas, y todas las actividades relacionadas por todo el equipo de trabajo? Es necesario
definir eso en el proceso de planeacin. El Circulo con el Numero 4 indica la transicin
entre recuperacin de desastre y continuidad del negocio de nuevo hasta la operacin
normal. Es probable encontrar que sea necesario realizar procesos manuales que deberan
ser automatizados, pudiendo planear el regreso a la normalidad por quizs departamentos
de la organizacin o zonas geogrficas.


Para finalizar, los dejo con un diagrama que explica las entradas y las salidas de un BIA: