Cualquiera que afirme que el principal objetivo de un empresa privada  -frente a la pretendida, a priori, finalidad social de las empresas públicas-  es el excesivamente simplista “¡ganar dinero!“, estará incurriendo en un grave error. Por encima de cualquier otra consideración, la principal meta de toda compañía privada es   -desde una perspectiva de Buen Gobierno Corporativo, habrá de ser-  garantizar su perdurabilidad, la permanencia y continuidad de su actividad, en el tiempo. Sólo de ese modo tendrá sentido plantearse otros objetivos. [Presumiblemente, el más importante  -pero en segundo lugar-,  el referido más arriba].

La obviedad del anterior razonamiento es evidente, por simple: la inexistencia, la desaparición, de la empresa invalidará automaticamente cualquier otra pretensión de rentabilidad y beneficio  -por ejemplo, para los que hasta ese momento hayan sido sus propietarios o accionistas-.  ¡Sencillamente, ya no aplicará!

El cortoplacismo que, en gran medida, rige, hoy, la vida corporativa  -lamentablemente, no es la única que rige-  es uno de los principales inhibidores de la continuidad de los negocios. El caso ENRON, por lo muy documentado y divulgado  -véase “ENRON. Los tipos que estafaron a América“-,  resulta uno de los más paradigmáticos. En él  -y en el propio documental-  queda ampliamente reflejada la incompatibilidad entre la meta de “ganar dinero”, planteada como meta prioritaria, y la de mantenerse en el mercado. ¡Pregúntenles, si no, a los accionistas de la compañia! Eso, por no hablar de sus empleados y, por tanto, futuros jubilados, destinatarios últimos de sus fondos de pensiones.

El tema, ampliamente discutido en los foros profesionales sobre Buen Gobierno Corporativo, se materializa en la “contaminación”  -desde la perspectiva del conflicto de intereses-  que muestran los consejos de administración, cuando en ellos participan miembros de los propios equipos directivos de las compañías. Estos consejeros ejecutivos, particularmente, cuando haya suculentas primas por resultados sobre la mesa, deberán equilibrar dos fuerzas contrapuestas: a) de un lado, su particular interés por alcanzar un rápido crecimiento, garantizándose, con ello, su gratificación personal; b) y, de otro, el de sus representados en el Consejo, esto es, la Junta de Accionistas  -y, por extensión, el de toda la propiedad-,  quienes, presumiblemente, querrán ver el beneficio mantenido en el tiempo y no sólo en un momento puntual. ¡Ni Lay, ni Skilling alcanzaron dicho equilibrio!

Al hilo de esta necesidad de garantizar una larga vida a los negocios, como premisa de otros éxitos empresariales, Manolo Palao acerca a Gobernanza de TI este nuevo Texticulillo™ en el que expone el papel que, en este asunto,  juegan las Tecnologías de la Información y las Comunicaciones.

 

Texticulillo™ nº 12: Continuidad del Negocio y Auditoría de Sistemas (1)(2)

En otro artículo de esta serie, he descrito la revolución que, para la ASITIC (3), supuso la publicación, en 1996, de CobiT, por el Instituto para la Gobernanza de los SITIC, a su vez, parte de ISACA (4).

CobiT es un instrumento para la gobernanza de los SITIC, puesto a disposición de directivos y auditores, para facilitar el buen gobierno y el control de los sistemas de que aquellos se ocupan.

La revolución que CobiT supuso fue la de plantear la gestión de la totalidad de los SITIC al servicio de la empresa (u organismo).

Y uno de los objetivos primordiales de toda empresa es la continuidad de sus operaciones; al menos, las vitales.

El enfoque hacia la Gestión de la Continuidad del Negocio ha ido evolucionando con el tiempo, adoptando en los últimos años formas más estratégicas e integradas.

Comenzó hablándose de Recuperación ante Desastres, después se habló de Reanudación de la Operativa del Negocio y, sólo posteriormente, se ha tratado la Continuidad del Negocio (5). Yo me atreví, hace unos años, a pronosticar que ese planteamiento evolucionaría hacia el de la Continuidad de la Cadena Logística.

A toda empresa le interesa sobrevivir, con costes controlados, a una alteración o interrupción de sus operaciones.

Los atentados del 11-S, y sus consecuencias, han aumentado la concienciación por estos temas. Los accidentes también acarrean, en ocasiones, graves consecuencias.

Cuando escribo estas líneas la prensa dice que “La compañía Iberia logró ayer por la mañana, tras 21 horas de caos absoluto, resolver la avería que le ha obligado a cancelar 48 vuelos y provocó retrasos en otros 970” (6).

Convencionalmente, podemos clasificar las perturbaciones a la buena marcha de la empresa como incidencias, siniestros y catástrofes.

Las incidencias son disfunciones menores  -en ocasiones usuales-  que el sistema productivo absorbe (y, a veces, corrige automáticamente). Ejemplos de ellas pueden ser las averías locales, las interrupciones breves, los errores corregibles con un esfuerzo limitado.

Los siniestros son perturbaciones mayores que pueden causar interrupciones de horas o días y conllevar costes  -de prevención, de detección y/o de corrección-  significativos.

Las catástrofes son siniestros mayores que pueden suponer una larga interrupción de las operaciones y llevar al cierre definitivo de la empresa. Según un estudio de la Universidad de Tejas (7), relativo a fábricas, “tras una catástrofe, un 43% nunca reabre, un 51% sobrevive, pero está fuera del mercado en 2 años y sólo el 6% logra sobrevivir a largo plazo“.

Incidencias, siniestros y catástrofes pueden ser directos o indirectos  -a través de los SITIC, que es lo que aquí nos concierne; o por otros servicios (el eléctrico, por ejemplo)-.  Un fuego en la fábrica sería un siniestro directo; una inundación en el centro de cálculo lo sería indirecto para la empresa entera, con la concepción de la informática al servicio de la empresa antes expuesta. Muchas empresas tienen una alta y creciente dependencia de sus SITIC, lo que desdibuja esa distinción entre directo e indirecto.

La empresa debe partir de una clasificación de sus SITIC. Una clasificación usual permite hablar de sistemas críticos  -no pueden ser reemplazados por métodos manuales; el coste de la interrupción es muy alto-,  vitales  -durante un período breve pueden ser ejecutados a mano-,  sensibles  -pueden realizarse manualmente durante períodos largos, a costes razonables-  y no críticos  -pueden interrumpirse durante plazos largos, a coste bajo-.

Un estudio de la Universidad de Minesota (8) citado por el Prof. Dr. Jorge Ramió Aguirre (9) del Departamento de Lenguajes, Proyectos y Sistemas Informáticos de la UPM indica “períodos críticos de recuperación”  -para no poner en peligro su supervivencia-  de los sistemas de información: inferiores a los siete días (con carácter general, en todos los sectores), e inferiores a los dos días (en el sector financiero).

Para los distintos sistemas  -y según su criticidad en el tiempo-  hay que tener previstas medidas, que deben estar recogidas en un Plan integrado de Continuidad del Negocio, debidamente actualizado, difundido  -Kodak, por ejemplo, lo hace por su intranet-  y probado.

Entre las medidas preventivas figuran el tener copias actualizadas de programas y datos en un almacén remoto, disponer de líneas de comunicaciones redundantes y tener probado un centro de cálculo alternativo, también, remoto. Esto último admite diversas variantes  -de distinto coste y eficacia-,  desde un acuerdo de reciprocidad de ayuda con otra empresa, a tener centros de cálculo redundantes, con una instalación más o menos básica, o con una completa.

Los ASITIC tienen formación y experiencia especializadas para ayudar a establecer dichos planes y para comprobar la idoneidad de su gestión.

CobiT contiene excelentes recomendaciones para Directivos y Auditores de SITIC en relación con la Continuidad del Negocio.

El portal Contingency Planning (10)  -lamentablemente sólo en inglés-  reúne una variedad de informaciones y servicios relacionados con la continuidad del negocio. Nadie interesado en este tema debería dejar de registrarse y estudiarlo.

En su sección dedicada a “Defensas ante Interrupciones” (del inglés, “Disruption Defenses“) (11), trata los diversos riesgos con un amigable formato de ficha técnica, con los siguientes apartados: “Causa y Efecto“; “Dónde y Cuándo“; “Medidas Mitigadoras“; “Tras el Siniestro“; “Consejo del Experto” y “Un Caso Real“.

No me resisto  -por si alguien cree que ya tiene su plan de continuidad bastante completito–  a ofrecer la lista de los riesgos cubiertos en esas fichas:

Accesos no Autorizados; Adicciones en el Puesto de Trabajo; Apagones; Ataques con Virus [biológicos]; Ataques de Denegación de Servicio; Clima Invernal; Conflictos Laborales; Crimen de Cuello Blanco; Disfunciones en Entregas; Emergencias Médicas; Espionaje; Factor Humano; Falta de Mano de Obra; Falta de Registros; Fallos de Ordenador; Fallos de Energía; Fuego; Fusiones y Adquisiciones; Piratas Informáticos; Huracanes; Instalaciones con Varias Empresas Usuarias; Interrupciones de Transporte; Inundaciones; Moral de los Empleados; Planificación de Sucesiones; Problemas Legales; Publicidad Negativa; Reubicación del Negocio; Riesgos Biológicos; Riesgos Medioambientales; Síndrome del Edificio Enfermo; Temas relacionados con la Plantilla; Terremotos; Tormentas Invernales; Tormentas de Nieve; Tormentas Eléctricas; Tornados; Tumultos; Violencia en el Puesto de Trabajo; Virus de Ordenador.

 

Artículos relacionados

  1. DC y Auditoría de Sistemas (por Manolo Palao)
  2. San Agustín y la Auditoría de Sistemas (por Manolo Palao)
  3. El Burro Flautista y la Auditoría de Sistemas (por Manolo Palao)
  4. Riesgo y Auditoría de Sistemas (por Manolo Palao)
  5. Fraude y Auditoría de Sistemas (por Manolo Palao)
  6. Evidencia y Auditoría de Sistemas (por Manolo Palao)
  7. Competencia y Auditoría de Sistemas (por Manolo Palao)
  8. Independencia y Auditoría de Sistemas (por Manolo Palao)
  9. Teseo y la Auditoría de Sistemas (por Manolo Palao)
  10. Juvenal y la Auditoría de Sistemas (por Manolo Palao)
  11. Arquímedes y la Auditoría de Sistemas (por Manolo Palao)
  12. Promoviendo el Buen Gobierno Empresarial [… ¿de las TI?]

 

(1) Copyright 2002-2010, Manolo Palao, CGEIT, CISM, CISA, CobiT Foundation Certificate, Accredited CobiT Trainer.

(2) Publicado inicialmente en el invierno de 2002 a 2003 por la Asociación de Auditores y Auditoría y Control de los Sistemas y Tecnologías de la Información y las Comunicaciones (ASIA)  -hoy, Capítulo 183 de ISACA-.

(3) Auditoría/Auditor de Sistemas de Información y Tecnologías de la Información y las Comunicaciones.

(4) Antigua Asociación para el Control y la Auditoría de los Sistemas de Información (del inglés, Information Systems Audit and Control Association) con una audiencia objetivo que se extiende, en la actualidad, a todo profesional con intereses en torno a  las Tecnologías de la Información.

(5) El término de moda, hoy, es, sin duda, ‘resilience‘ -la ‘resiliencia‘ como, con toda probabilidad, diría Palao-,  la elasticidad de que deberían estar dotadas las organizaciones a fin de ser capaces de resistir ante adversidades importantes que afecten a sus sistemas de información y de recuperar su “forma” original, su operativa previa al impacto. Piense en el comportamiento de los modernos edificios japoneses tras recibir el envite de un terremoto.

(6) Fuente: Diario “El País“. Verónica Martín/Carlos E. Cué. Madrid, 9 de noviembre de 2002. URL: http://www.elpais.com/articulo/espana/Iberia/repara/averia/despues/21/horas/caos/48/vuelos/cancelados/elpepiesp/20021109elpepinac_4/Tes.

(7) El tiempo transcurrido desde la publicación inicial de este Texticulillo™ ha hecho imposible recuperar la referencia original. No obstante, documentos posteriores, más recientes, apuntan al Emergency Management Forum americano como fuente de la cita.

 (8) Como en (7), la referencia al documento original se ha perdido.

(9) Véase (8).

(10) El autor hace referencia, en este punto, al antiguo portal de Internet “Contingency Planning” localizado a finales de 2002 en la URL http://www.contingencyplanning.com. Hoy día, la misma remite a la dirección-e http://contingencyplanning.com que alberga la sede web de la conferencia y exposición “Contingency Planning & Management“.

(11) Véase (10).