Madurez ISO 22316 · Gestión de la resiliencia organizacional

ISO 22316 trata de la seguridad y la resiliencia, y más concretamente de la capacidad de una organización para absorber las perturbaciones, adaptarse a ellas y continuar sus actividades. Publicada en 2017, no formula requisitos sino que describe principios y una serie de atributos: una visión y una razón de ser compartidas, una comprensión del contexto interno y externo, un liderazgo capaz de decidir en la incertidumbre, una cultura que sostiene la resiliencia, una información compartida, unos recursos disponibles, una coordinación entre las disciplinas de gestión, y una mejora continua alimentada por la experiencia. Es un marco de pilotaje, no una lista de comprobación.

Esta naturaleza hace que sea un tema difícil de sostener. La resiliencia no se lee en ningún cuadro de mando existente: se reparte entre la continuidad de negocio, la gestión de riesgos, la seguridad, los recursos humanos, la cadena de suministro y la comunicación, cada una con sus propias instancias. Las preguntas que se repiten son concretas. ¿Quién decide cuando dos disciplinas proponen respuestas contradictorias? ¿Las decisiones tomadas durante la última perturbación han modificado algo en la organización, o se han quedado en el acta? ¿Se conocen las dependencias críticas, proveedores, sistemas, competencias escasas, más allá de los equipos que las operan?

Una confusión aparece con frecuencia: ISO 22316 e ISO 22301 no cubren el mismo objeto. ISO 22301 fija requisitos para un sistema de gestión de la continuidad de negocio y se certifica. ISO 22316 amplía el marco a la capacidad global de la organización, más allá de los escenarios de ruptura identificados, y no se certifica. Una organización puede disponer de un plan de continuidad probado y seguir siendo frágil en la coordinación, la cultura o la adaptación. Lo contrario es más raro, pero existe.

El diagnóstico de madurez responde a una pregunta distinta de la de la auditoría. La auditoría concluye con una desviación o una conformidad. El diagnóstico sitúa cada atributo en una escala progresiva, en cinco niveles construidos según el método CMMI, e indica la acción que permite pasar al nivel siguiente. La desviación entre la puntuación obtenida y el objetivo genera directamente el plan de acción, que la IA agrupa en una hoja de ruta priorizada. Las unidades de negocio se comparan entre sí y con su propia evaluación anterior.

En Datamensio, el marco de referencia está listo para usar y sigue siendo suyo. Usted ajusta los ámbitos, las preguntas y la formulación de los niveles. La IA afina esos niveles, adapta el vocabulario a su sector, o construye una variante a partir de sus propios documentos: política de continuidad, lecciones aprendidas de crisis, cartografía de las dependencias.