Un plan de continuidad del negocio (BCP, por sus siglas en inglés) es el documento que dice cómo tu empresa sigue entregando sus productos y servicios críticos cuando algo la interrumpe: qué procesos se recuperan primero, en cuánto tiempo, con qué recursos y quién toma las decisiones. Un plan que funciona tiene siempre las mismas piezas: alcance y criterios de activación, equipos y roles, procesos críticos con sus tiempos de recuperación, estrategias y procedimientos para recuperarlos, comunicación, y un calendario de pruebas y revisión.
Más abajo tienes tres ejemplos por tipo de empresa y un índice de plantilla que puedes pasar a Word y rellenar con lo tuyo.
Los tres números que sostienen el plan
Antes de escribir una sola página, el plan necesita tres valores por cada proceso crítico. Salen del análisis de impacto en el negocio (BIA), no de la intuición del responsable de TI.
- MTPD (periodo máximo tolerable de interrupción). El tiempo a partir del cual el daño ya es inaceptable: pérdida de clientes, multas, incumplimiento de contratos o daño a la reputación que no se recupera.
- RTO (tiempo objetivo de recuperación). El plazo en el que te comprometes a tener el proceso funcionando otra vez, aunque sea en modo degradado. Siempre por debajo del MTPD, con margen para lo que salga mal.
- RPO (punto objetivo de recuperación). Cuántos datos puedes permitirte perder, medido en tiempo. Un RPO de 15 minutos significa que, al restaurar, te pueden faltar como mucho los últimos 15 minutos de operaciones.
Con esos tres valores ya puedes elegir estrategia. Un RTO de cuatro horas pide un sitio alterno preparado; uno de cinco días permite contratar la alternativa cuando ocurre el incidente.
Ejemplos de plan de continuidad del negocio por tipo de empresa
Los tres casos son ilustrativos: los hemos construido para mostrar el razonamiento, no son clientes ni cifras reales. Los tiempos cambian con el tamaño de la empresa, sus contratos y su regulación, así que tómalos como forma de pensar y no como valores para copiar.
Entidad financiera: pagos y transferencias de clientes
Escenario. Un ataque de ransomware deja inoperativo el centro de datos principal a las 10 de la mañana de un día hábil. El core bancario y la plataforma de pagos no responden.
MTPD de 8 horas. Si los pagos de nómina y proveedores de los clientes empresariales no salen ese mismo día, el impacto pasa de molestia a incumplimiento: clientes que no pagan a sus empleados, reclamaciones y una conversación difícil con el supervisor. El cierre de la jornada marca el límite.
RTO de 4 horas y RPO cercano a cero. Cuatro horas dejan margen para que, si la primera recuperación falla, aún se pueda liquidar antes del cierre. El RPO tiene que ser mínimo porque perder transacciones confirmadas obliga a conciliar a mano con riesgo de pagos duplicados.
Estrategia. Centro de datos alterno con réplica de la base de datos transaccional y copias aisladas de la red, para que el ransomware no las alcance. Mientras se restaura, un procedimiento manual para pagos de alto valor, con doble firma y lista cerrada de operaciones autorizadas. Comunicación preparada para clientes, oficinas y supervisor.
Retail o logística: despacho desde el centro de distribución
Escenario. Una inundación cierra durante una semana el centro de distribución (CEDIS) que abastece a 80 tiendas. El sistema de gestión de almacén (WMS) sigue funcionando, pero el edificio no.
MTPD de 72 horas. Supongamos que las tiendas tienen inventario de tres días en los productos de más rotación. A partir de ahí hay anaqueles vacíos, ventas que se van a la competencia y penalizaciones con los centros comerciales si la tienda no abre bien surtida.
RTO de 48 horas. Lo que tarda en ponerse en marcha un almacén alterno si el acuerdo ya está firmado. Si hay que buscarlo durante el incidente, el plazo no se cumple.
Estrategia. Contrato marco con un operador logístico (3PL) que pueda recibir mercancía y hacer cross-docking en otra ciudad, lista de SKU prioritarios (no hace falta mover todo el catálogo para salvar la venta) y acuerdos con los proveedores principales para que entreguen directo en tienda durante la contingencia.
Empresa de servicios o tecnológica: plataforma para clientes
Escenario. El proveedor de nube sufre una caída regional y la plataforma que la empresa ofrece a sus clientes deja de estar disponible.
MTPD de 24 horas. Aquí lo marcan los contratos. Si los acuerdos de nivel de servicio prometen un 99,9 % de disponibilidad mensual, el margen es de unos 43 minutos al mes; pasado ese punto empiezan los créditos de servicio, y después de un día los clientes grandes empiezan a revisar la renovación.
RTO de 4 horas y RPO de 15 minutos. El RTO se ajusta a lo que el contrato permite sin penalización grave, y el RPO a cuánto trabajo de los clientes es razonable que se pierda.
Estrategia. Infraestructura desplegable en una segunda región con copias replicadas, procedimiento de conmutación probado, página de estado y plantillas de aviso a clientes, y teletrabajo para el equipo de soporte si también se pierde la oficina.
| Empresa | Proceso crítico | MTPD | RTO / RPO | Estrategia principal |
|---|---|---|---|---|
| Entidad financiera | Pagos y transferencias | 8 horas | 4 h / casi cero | Centro alterno con réplica y copias aisladas |
| Retail o logística | Despacho a tiendas | 72 horas | 48 h / mínimo (el WMS sigue activo) | Operador logístico con contrato previo |
| Servicios o tecnológica | Plataforma para clientes | 24 horas | 4 h / 15 min | Segunda región y conmutación probada |
Fíjate en que ninguna estrategia se improvisa el día del incidente. En los tres casos lo que permite cumplir el RTO es algo que se contrató, se configuró o se ensayó antes.
Estructura de un plan de continuidad del negocio para copiar
Este es el índice que usaríamos para el plan de continuidad del negocio de una empresa mediana o grande. Si lo pasas a Word, deja cada apartado con su título y sustituye las descripciones por tu contenido.
- Control del documento. Versión, fecha, dueño del plan, quién lo aprobó y fecha de la próxima revisión.
- Objetivo y alcance. Qué sedes, procesos, productos y servicios cubre, y qué queda fuera de forma explícita.
- Criterios de activación. Qué hechos activan el plan, quién puede activarlo y cómo se decide pasar de incidente a contingencia.
- Organización y roles. Comité de crisis, coordinador de continuidad, equipos de recuperación por área, suplentes de cada persona y árbol de llamadas.
- Procesos críticos. Lista priorizada sacada del BIA, con MTPD, RTO y RPO de cada uno y los recursos mínimos para operar: personas, sistemas, instalaciones, proveedores e información.
- Escenarios contemplados. Pérdida de instalaciones, de sistemas, de personal o de un proveedor crítico. Mejor pocos escenarios por tipo de pérdida que una lista larga de catástrofes.
- Estrategias de recuperación. Para cada proceso y escenario, la alternativa elegida: sitio alterno, trabajo remoto, proveedor sustituto, procedimiento manual.
- Procedimientos de recuperación. Fichas paso a paso por equipo, con responsable, tiempo estimado y criterio de «terminado». Es la parte que se lee durante la crisis, así que tiene que caber en pocas páginas.
- Comunicación. Mensajes preparados y canales para empleados, clientes, proveedores, autoridades y medios, y quién habla en nombre de la empresa.
- Vuelta a la normalidad. Cómo se regresa del modo de contingencia a la operación habitual sin perder datos ni duplicar operaciones.
- Pruebas y mantenimiento. Calendario de ejercicios, resultados de la última prueba, acciones de mejora pendientes y disparadores de revisión (cambio de proveedor, de sistema o de sede).
- Anexos. Directorio de contactos, inventario de recursos críticos, contratos de proveedores alternos y registros de activación.
Plan de continuidad del negocio, de operaciones, DRP y plan de crisis
Los cuatro nombres aparecen mezclados en políticas, pliegos y auditorías. Cada uno responde a una pregunta distinta y conviene que existan como piezas conectadas, no como un único documento que lo intenta todo.
| Plan | Pregunta que responde | Alcance | Quién lo lidera |
|---|---|---|---|
| Plan de continuidad del negocio (BCP) | ¿Cómo seguimos entregando lo crítico? | Toda la organización: procesos, personas, sedes, proveedores y tecnología | Continuidad o riesgos, con la dirección |
| Plan de continuidad de operaciones | ¿Cómo sigue funcionando esta área o proceso? | Un proceso, una planta o un área operativa | El responsable de esa operación |
| Plan de recuperación ante desastres (DRP) | ¿Cómo recuperamos los sistemas y los datos? | Infraestructura y aplicaciones | TI |
| Plan de gestión de crisis | ¿Quién decide y qué comunicamos? | Toma de decisiones, comunicación y reputación | Comité de crisis o alta dirección |
«Plan de continuidad de operaciones» es el término que más cambia de una empresa a otra. Algunas lo usan como sinónimo de BCP; otras, sobre todo en industria y logística, llaman así a los planes por planta o por proceso que cuelgan del plan general. Lo importante es que tu política diga qué significa en tu casa. El DRP es una de las estrategias del BCP: sin él no hay recuperación tecnológica, pero un DRP perfecto no resuelve un CEDIS inundado ni una sede sin personal.
Qué pide la ISO 22301 y dónde entra el BIA
La ISO 22301:2019, Security and resilience. Business continuity management systems. Requirements, es la norma internacional certificable para sistemas de gestión de continuidad del negocio. ISO la publicó en octubre de 2019 y en febrero de 2024 le añadió una enmienda (ISO 22301:2019/Amd 1:2024) que obliga a valorar si el cambio climático es una cuestión relevante en el contexto de la organización. ISO tiene ya en marcha una nueva edición, en fase de borrador de comité (ISO/CD 22301), así que conviene vigilar cuándo se publica.
La norma no da una plantilla de plan. Pide un sistema: el BIA y la evaluación de riesgos (apartado 8.2), las estrategias que salen de ellos y unos planes de continuidad (apartado 8.4.4) que se prueban y se revisan. Por eso un plan escrito sin BIA no pasa una auditoría de certificación, aunque el documento esté bien redactado. Si quieres el detalle de la norma, lo explicamos en qué es la ISO 22301 y para qué sirve, y el paso del riesgo al BIA está en el webinar sobre evaluación de riesgos y BIA.
Si trabajas en una entidad financiera de Colombia, México u otro país de la región, tu supervisor tiene además sus propias exigencias de continuidad. Las repasamos en el artículo sobre regulación de seguridad y continuidad en el sector financiero de América Latina.
Dónde fallan los planes de continuidad
En nuestra lectura, los planes suelen fallar por lo que dan por supuesto más que por lo que dicen. Estos son los puntos que revisaríamos primero en cualquier plan:
- RTO sin BIA detrás. «Cuatro horas para todo» suena bien, pero si nadie preguntó al negocio cuándo empieza el daño, el plan protege lo que TI conoce y deja fuera procesos que no tienen sistema propio.
- Proveedores fuera del plan. El plan asume que la nube, el transportista o el centro de llamadas externo seguirán ahí. Si un proceso crítico depende de un tercero, su caída tiene que ser un escenario, y su contrato tiene que permitir lo que el plan necesita.
- Contactos y suplentes viejos. El árbol de llamadas es lo primero que se usa y lo primero que caduca. Un plan con la mitad de los teléfonos equivocados retrasa la activación desde el minuto uno.
- Documentos demasiado largos. Un plan de doscientas páginas no se lee durante una crisis. Las fichas de acción por equipo, de una o dos páginas, son las que se usan; el resto es contexto para la auditoría.
- Pruebas que no prueban. Una prueba de escritorio cada año es mejor que nada, pero no demuestra que el sitio alterno arranque. Alternaríamos ejercicios de mesa con pruebas técnicas reales del proceso más crítico.
Por dónde empezaríamos
Si partes de cero, haríamos el BIA de cinco a diez procesos antes de escribir nada, con el responsable de cada uno en la sala. Después, las estrategias para esos procesos, y solo entonces el documento con el índice de arriba. Ampliar el alcance cuando el primer plan ya se ha probado una vez cuesta mucho menos que corregir un plan que nadie ha ensayado.
En el módulo de Continuidad de negocio de GlobalSuite®, el BIA se hace con cuestionarios a cada responsable que se consolidan solos y dan el RTO y el RPO por proceso, y los planes se montan por escenario con sus recursos críticos y la fecha de su última revisión. Las pruebas quedan programadas con sus resultados y evidencias, que es justo lo que pide el auditor. Si quieres verlo con tus procesos, pide una demo.
Fuentes oficiales: ficha de la ISO 22301:2019, de su enmienda ISO 22301:2019/Amd 1:2024 y del borrador ISO/CD 22301 en iso.org. Los ejemplos de este artículo son ilustrativos y no corresponden a ningún cliente. Contenido revisado en octubre de 2026.
