Software para ISO 22301
ISO 22301 es la norma de sistemas de gestión de la continuidad del negocio y su exigencia propia es demostrar que los planes funcionan: análisis de impacto con tiempos objetivo de recuperación, estrategias elegidas contra esos tiempos y ejercicios que los prueben. Vigenta guarda el análisis con su fecha, los planes con su versión vigente y el informe de cada ejercicio con lo que salió de él.
Publicado · Última revisión
La norma, en una tabla
| Nombre completo | Gestión de la continuidad del negocio |
|---|---|
| Edición vigente | 2019 |
| Organismo que la publica | ISO · Organización Internacional de Normalización |
| ¿Estructura de alto nivel? | Sí |
| A quién aplica | Organizaciones cuya interrupción tiene coste alto o consecuencias regulatorias, y las que se lo exige un cliente crítico. |
| Con qué normas se integra | Complementa a ISO 27001 en el control de disponibilidad y comparte estructura con ISO 9001 e ISO 14001. |
Qué exige, capítulo por capítulo
| Capítulo | Qué exige esta norma en concreto | Dónde se opera en Vigenta |
|---|---|---|
| 4 Contexto de la organización |
Sin exigencia propia
|
Operación de inocuidad |
| 5 Liderazgo |
Sin exigencia propia
|
Operación de inocuidad |
| 6 Planificación |
Sin exigencia propia
|
Riesgos y requisitos legales |
| 7 Apoyo |
Sin exigencia propia
|
Documentos vigentes |
| 8 Operación |
|
Registros firmados |
| 9 Evaluación del desempeño |
Sin exigencia propia
|
Indicadores |
| 10 Mejora |
Sin exigencia propia
|
Auditorías y no conformidades |
Los capítulos y sus cláusulas salen del catálogo normativo del producto. Vigenta describe qué exige cada uno; no reproduce el texto de la norma, que es del organismo que la publica.
Los capítulos marcados «Sin exigencia propia» no añaden nada sobre los capítulos comunes del anexo SL: se operan con las cláusulas comunes que aparecen debajo, y la columna de la derecha dice dónde.
Información documentada obligatoria
Los documentos y actas que esta norma pide mantener, cláusula por cláusula, tal como están modelados en el catálogo.
La información documentada común a todas las normas de sistema —política, alcance, objetivos, evidencia de competencia, programa de auditoría interna y acta de revisión por la dirección— tiene una sola página dueña y no se repite aquí. Ver cómo se opera
- 8.2.2 · Determinar los recursos que cada actividad priorizada necesita para reanudarse
- 8.3 · Seleccionar y documentar las estrategias de continuidad y justificar la elegida por actividad
- 8.4 · Mantener los planes de continuidad con roles, activación, comunicación e interdependencias
- 8.4.3 · Definir la estructura de respuesta ante incidentes con umbrales de activación y suplencias
Módulo e industria
Vigenta opera hoy para ISO 22301 los capítulos 4 a 10 del HLS, el control documental, las auditorías y las acciones correctivas. Las herramientas específicas del sector no forman parte de la versión disponible.
Errores frecuentes en auditoría
Hallazgos redactados como los levanta un auditor, no como los describiría un vendedor.
- El análisis de impacto declara tiempos objetivo de recuperación que la estrategia elegida no puede cumplir, y nadie lo ha contrastado.
- Los planes de continuidad están escritos y nunca se han ejercitado con las personas que tendrían que ejecutarlos.
- La lista de contactos de crisis lleva dieciocho meses sin revisar y contiene personal que ya no está.
- Las dependencias de proveedores críticos no están evaluadas, así que el plan supone una disponibilidad que no está contratada.
Cumplir la norma es de la organización. Vigenta ayuda a evidenciarlo: guarda la información documentada, deja rastro de cada verificación y calcula qué parte del sistema está lista para auditoría.
Preguntas frecuentes
¿Qué diferencia hay entre el tiempo objetivo de recuperación y el punto objetivo?
El tiempo objetivo es cuánto puede tardar en volver la actividad; el punto objetivo es cuánto dato se puede perder. Son dos decisiones distintas y sostienen estrategias distintas, así que se registran por separado.
¿Qué evidencia deja un ejercicio de continuidad?
El guion del ejercicio, quién participó, qué se probó, qué falló, los tiempos medidos y las acciones que salieron con su dueño. Un ejercicio sin informe no acredita capacidad, sólo intención.
¿Cada cuánto hay que revisar el análisis de impacto?
En los intervalos planificados y tras cualquier cambio en actividades, dependencias o sitios. Es el documento que envejece más rápido y el que más rápido invalida los planes que cuelgan de él.
¿Los proveedores críticos entran en el alcance del sistema?
Entran como dependencias evaluadas: qué actividad sostienen, con qué tiempo comprometido y qué alternativa hay. No se audita al proveedor, se audita que su indisponibilidad esté prevista.
Pruébalo con tu propio sistema
Sin tarjeta y sin hablar con nadie. Al terminar la prueba la cuenta pasa a sólo lectura y no se cobra nada.
Empieza gratis, 14 días Demo de 30 min