Cómo hacer un simulacro de continuidad de negocio: el ejercicio de mesa paso a paso, con un guion de ejemplo

La respuesta corta: un simulacro de continuidad es un ensayo del plan con las personas que lo tendrían que ejecutar, sobre un escenario realista y con el reloj corriendo. El más útil para empezar es el ejercicio de mesa: dos o tres horas en una sala, un moderador que cuenta el incidente por partes y un equipo que decide qué haría en cada momento, con el plan delante. No se aprueba ni se suspende. Un buen simulacro es el que encuentra fallos, y su resultado es una lista de acciones de mejora con responsable y fecha, no un certificado de que todo funcionó.

El resto del artículo es el método completo en siete pasos, el guion del simulacro que hizo ACME con lo que encontró, los errores que más veo y una plantilla para preparar el tuyo.

Qué tipo de ejercicio elegir

No todos los simulacros son iguales, y no hace falta empezar por el más caro. De menos a más:

Un ejercicio de mesa no prueba que tu copia se restaure en cuatro horas, y una prueba técnica no prueba que alguien sepa quién declara la crisis. Necesitas los dos. Este artículo se centra en el de mesa, porque es el que más fallos encuentra por hora invertida y el que casi nadie hace bien.

Paso 1. Fija un objetivo concreto

«Probar el plan de continuidad» no es un objetivo: no hay forma de saber al final si se ha cumplido. Un objetivo útil se puede comprobar con un sí o un no:

• ¿El equipo de crisis se convoca y decide activar el plan en menos de una hora?
• ¿Alguien sabe a qué clientes hay que avisar, con qué mensaje y quién lo firma?
• ¿El procedimiento alternativo de pedidos permite seguir vendiendo mientras el ERP está caído?

Dos o tres objetivos por ejercicio. Si intentas probarlo todo, no probarás nada a fondo.

Paso 2. Elige un escenario que duela

El escenario sale del análisis de impacto, no de la imaginación. Coge un proceso crítico, mira de qué depende y rompe esa dependencia en el peor momento razonable: el cierre de mes, la campaña, el día de la nómina.

Un buen escenario cumple tres condiciones:

• Es plausible. Un ransomware, la caída de un proveedor de nube o un incendio en el almacén. Un meteorito, no.
• Obliga a decidir. Si la respuesta es obvia, el ejercicio no enseña nada. El escenario tiene que poner al equipo ante dilemas: pagar o no, avisar ya o esperar a saber más.
• Toca los límites del plan. Si el plan dice que el RTO del ERP es de 4 horas, el escenario dura más de 4 horas.

Paso 3. Escribe los giros

El escenario no se cuenta de una vez. Se cuenta por partes, con giros, los injects en inglés. Cada giro es una noticia nueva que obliga al equipo a revisar lo que acaba de decidir. Un ejercicio de dos horas suele llevar entre cinco y ocho.

Cada giro tiene:

• La hora simulada: «Son las 11:30, dos horas y media después del incidente».
• Lo que pasa: «El proveedor de copias confirma que la última copia buena es de anoche a las 02:00».
• La pregunta al equipo: «¿Qué datos habéis perdido y qué hacéis con ellos?».
• Lo que el plan dice que debería pasar, que solo conoce el moderador.

La última columna es la que convierte el ejercicio en una prueba: al final se compara lo que el equipo hizo con lo que el plan decía.

Paso 4. Elige a los participantes y los roles

En la sala tienen que estar las personas que tomarían las decisiones de verdad, no sus delegados. Además, hacen falta tres roles que no participan:

• El moderador cuenta el escenario, da los giros y mantiene el ritmo. No debe ser el autor del plan: tiende a defenderlo.
• El observador apunta lo que pasa, sobre todo lo que nadie dice en voz alta: las dudas, las miradas al móvil y los «eso lo lleva otro».
• El que hace de los demás responde como el proveedor, el cliente, el periodista o el supervisor cuando el equipo los llama.

Entre seis y doce participantes. Con más, la mitad de la sala mira.

Paso 5. Dirige la sesión

Al empezar, el moderador deja claras tres reglas:

1. No hay respuestas buenas ni malas. Se evalúa el plan, no a las personas.
2. Se trabaja con lo que hay. Si el plan no tiene un dato, no se busca en el móvil: se anota que falta.
3. Lo que se decide, se dice. «Llamaría al proveedor» no vale. Quién llama, a qué número y para pedir qué.

Luego, giro a giro: el moderador lee la noticia, el equipo discute durante diez o quince minutos y dice qué hace, y el observador lo apunta. El moderador no corrige ni da pistas. Si el equipo se atasca, pasa al siguiente giro y el atasco queda apuntado como hallazgo.

Paso 6. Haz la puesta en común en caliente

Al acabar, antes de que nadie se vaya, media hora con tres preguntas:

• ¿Qué ha funcionado como esperábamos?
• ¿Dónde nos hemos atascado, y por qué?
• ¿Qué tendría que cambiar en el plan para que la próxima vez no pase?

Es el momento en que salen los mejores hallazgos. Al día siguiente, la gente ya ha reconstruido lo que pasó y lo recuerda mejor de lo que fue.

Paso 7. Convierte los hallazgos en acciones

Cada hallazgo se convierte en una acción con responsable, fecha y criterio de cierre. «Mejorar la comunicación» no es una acción. «Redactar la plantilla de aviso a los tres grandes clientes, responsable: dirección comercial, antes del 30 de noviembre» sí lo es.

El informe del ejercicio recoge el objetivo, el escenario, quién participó, los hallazgos y las acciones. La dirección lo revisa y lo aprueba. Y el siguiente ejercicio empieza comprobando si las acciones del anterior se cerraron.

Un ejemplo completo: el simulacro de ACME

ACME es una distribuidora que vende por web y por teléfono. En su análisis de impacto, el proceso de pedidos tiene un máximo de parada de 24 horas, un RTO de 4 horas y un RPO de 1 hora, y depende del ERP, que está en sus servidores, y de la tienda web, que es un servicio en la nube.

Objetivos del ejercicio:

1. Que el equipo de crisis se convoque y active el plan en menos de una hora.
2. Que los pedidos sigan entrando, aunque sea a mano, mientras el ERP está caído.
3. Que los tres grandes clientes sepan qué pasa antes de que pregunten.

Participantes: la directora general, el director financiero, la responsable de operaciones, el responsable de sistemas, la directora comercial y el jefe de almacén. Moderador externo y una observadora de calidad.

El guion:

Lo que encontró:

El resultado: el primer objetivo se cumplió por los pelos, con la activación a los 50 minutos simulados, y los otros dos no. Ningún hallazgo era un desastre por sí solo. Juntos, en un lunes de diciembre real, habrían convertido un incidente grave en una semana perdida. Eso es lo que tiene que encontrar un simulacro.

Mi criterio para los casos que la norma deja abiertos

Ninguna norma te dice cómo debe ser un buen ejercicio. Estas son las reglas que aplico:

• Si el simulacro sale perfecto, el escenario era demasiado fácil. Un ejercicio sin hallazgos solo ha demostrado que el equipo sabe responder a lo que ya sabía.
• El moderador no es el autor del plan. Quien escribió el plan tiende a dar pistas y a explicar lo que quería decir. El plan tiene que entenderse solo.
• Se prueba el plan, no a las personas. En cuanto alguien siente que le están examinando, deja de decir «no sé», y ese «no sé» es el hallazgo más valioso.
• Un hallazgo sin responsable no es un hallazgo. Es una anécdota que se repetirá en el siguiente simulacro.
• Se cambia el escenario cada vez. Repetir el del año pasado prueba la memoria del equipo, no el plan.

Qué piden las normas

Los errores más frecuentes

1. Un simulacro con guion conocido. Si los participantes han leído los giros antes, el ejercicio es una representación, no una prueba.
2. Probar solo la tecnología. Restaurar la copia en el tiempo previsto no sirve de nada si nadie decide restaurarla.
3. Mandar a los delegados. Si en la sala no están quienes deciden, se prueba un plan que nadie va a ejecutar así.
4. Olvidar a los proveedores. El escenario que más se repite en la realidad, la caída de un proveedor crítico, es el que menos se ensaya.
5. No apuntar las dudas. El observador es lo primero que se recorta, y es quien recoge la mitad de los hallazgos.
6. Un informe sin acciones. «Se identificaron áreas de mejora» no le sirve a nadie. Cada hallazgo, con su responsable y su fecha.
7. No cerrar las acciones del anterior. El simulacro del año siguiente encuentra los mismos fallos, y el auditor también.

Plantilla para preparar el tuyo

El guion, una fila por giro:

Y el registro de hallazgos, una fila por acción:

Puedes descargar en CSV el guion y el registro de hallazgos, con el caso de ACME ya relleno, y abrirlas con Excel o con LibreOffice.

Cómo dejarlo resuelto

Un simulacro en hojas sueltas tiene el mismo problema que un BIA en una hoja de cálculo: las acciones se pierden entre un año y el siguiente, y nadie cruza los hallazgos con el plan que había que cambiar.

En Almenara, el módulo de Continuidad registra cada simulacro con su escenario, sus resultados y sus mejoras, y cada hallazgo entra en Cumplimiento como acción correctiva, que se sigue hasta su cierre. El simulacro queda como evidencia del control de continuidad TIC, y el siguiente ejercicio parte de lo que quedó pendiente. Si prefieres que lo preparemos y lo dirijamos nosotros, el simulacro de continuidad te deja el informe del ejercicio y las acciones de mejora con su responsable. Y en la guía de DORA tienes el resto de obligaciones de pruebas.

Preguntas frecuentes

¿Cuál es la diferencia entre un simulacro y una prueba del plan?

La prueba comprueba que algo funciona: que la copia se restaura, que el centro alternativo arranca. El simulacro comprueba que las personas saben qué hacer y lo hacen a tiempo. Un plan necesita los dos.

¿Cada cuánto hay que hacer un simulacro de continuidad?

Al menos una vez al año, y cada vez que cambie algo importante: un proceso, un sistema o un proveedor crítico. DORA lo exige una vez al año como mínimo a las entidades financieras, y la ISO 22301 pide un programa de ejercicios a intervalos planificados.

¿Cuánto dura un ejercicio de mesa?

Entre dos y tres horas, más media hora de puesta en común. Con menos tiempo no da para que el escenario se complique; con más, la atención cae.

¿Hay que avisar a los participantes del escenario?

De la fecha y la duración, sí. Del escenario, no. Si lo conocen, prepararán las respuestas y el ejercicio no encontrará nada.

¿Qué evidencia hay que guardar para la auditoría?

El objetivo, el escenario y los giros, la lista de participantes, las notas del observador, el informe con los hallazgos y las acciones, y la prueba de que las acciones se cerraron. Un auditor mira sobre todo lo último.

¿Un simulacro de incidente de ciberseguridad sirve como simulacro de continuidad?

En parte. El de ciberseguridad se centra en detectar, contener y notificar; el de continuidad, en seguir funcionando mientras tanto. Un ransomware sirve de escenario para los dos, pero las preguntas son distintas y conviene que estén en la sala las dos partes.