Casi todas las empresas reguladas en Panamá tienen un plan de continuidad de negocio. Está escrito, está aprobado y está archivado. Cuando llega la auditoría, se presenta el documento y el punto se da por atendido.
El problema aparece cuando alguien pregunta la única cuestión que importa: ¿esto se ha probado alguna vez?
En la práctica, la distancia entre un plan documentado y una capacidad real de recuperación suele ser considerable. Y esa distancia no se descubre leyendo el plan. Se descubre ejecutándolo.
Un ejercicio serio de continuidad de negocio y recuperación ante desastres no consiste en revisar si el documento existe y está firmado. Consiste en contrastar tres cosas:
La expectativa suele ser que las brechas aparezcan en la infraestructura: respaldos incompletos, sitios alternos mal dimensionados, replicación mal configurada. Esas brechas existen, pero rara vez son las más graves.
Las más graves son de gobierno: nadie está claramente designado para declarar la contingencia, no hay un canal de comunicación alterno cuando el correo corporativo es justamente lo que está caído, o el plan asume la disponibilidad de una persona que hace dos años dejó la organización.
Un plan que nunca se ha probado no es un plan de continuidad. Es un documento que describe una intención.
En banca, seguros y en operaciones de infraestructura crítica como la distribución de energía, la interrupción no es un inconveniente interno: tiene consecuencias sobre terceros y sobre el servicio público. Por eso el supervisor no pregunta solo si existe un plan, sino con qué evidencia se sostiene que ese plan funciona.
Y ahí la diferencia entre una organización preparada y una que no lo está se vuelve documental: la primera puede mostrar un ejercicio ejecutado, con fecha, con participantes, con resultados medidos y con las brechas que se corrigieron después. La segunda solo puede mostrar el plan.
No hace falta empezar por una simulación total. De hecho, empezar por ahí suele ser contraproducente porque genera resistencia interna y consume recursos antes de que la organización esté lista. Una secuencia razonable es:
Lo importante no es la sofisticación del ejercicio, sino que produzca un resultado medible y honesto. Un ejercicio que sale perfecto la primera vez suele indicar que se diseñó para salir perfecto.
Si su organización tiene un plan de continuidad, hay una sola pregunta que conviene hacer en el próximo comité: ¿cuándo fue la última vez que lo probamos, y qué encontramos?
Si la respuesta es que nunca, eso ya es un hallazgo. Y es mejor encontrarlo en un ejercicio controlado que en un incidente real.
TMC ejecuta ejercicios de continuidad de negocio y recuperación ante desastres en entornos regulados, incluida la distribución de energía eléctrica.