Guía para el Plan de Continuidad PIPC
Guía para el Plan de Continuidad PIPC
PLAN DE CONTINUIDAD
GUÍA PARA LA ELABORACIÓN DEL PLAN DE CONTINUIDAD DE OPERACIONES
OBJETIVO
El objetivo del Plan de Continuidad de Operaciones es garantizar que las funciones mínimas
esenciales operen ante la ocurrencia de un fenómeno natural o antropogénico, obteniendo un
esquema de acciones que reduzcan la toma de decisiones durante las acciones de recuperación,
restaure los servicios críticos rápidamente y permita un normal funcionamiento de los sistemas y
procesos lo antes posible, minimizando costos y aumentando la efectividad.
Esta guía busca proporcionar a la administración pública de los tres órdenes de gobierno y sector
privado, una descripción detallada de las fases y tareas que componen un Plan de Continuidad de
Operaciones, apegándose a los siguientes objetivos específicos:
b) Beneficios de su implementación
Identificar los diversos eventos que podrían impactar la continuidad de operaciones, así como
sus repercusiones financieras, humanas, de reputación, entre otras.
Reacción efectiva ante situaciones de emergencia, evitando perdidas de recursos y agilizando
las labores relacionadas a la continuidad de procesos críticos.
Clasificación de recursos; para priorizar su protección en caso de emergencia o desastre.
Fomentar una cultura de prevención en su organización, mediante la difusión de roles y
funciones del personal encargado de los procesos críticos definidos en el Plan de Continuidad
de Operaciones.
Prevenir o minimizar la perdida de información y operaciones críticas.
Reducir el número y magnitud de decisiones durante cualquier periodo de crisis, ya que los
errores pueden resultar mayores.
El Reglamento de la Ley General de Protección Civil en su artículo 76, establece los siguientes
elementos mínimos que debe contener un Plan de Continuidad de Operaciones:
1. Fundamento legal;
2. Propósito;
3. Funciones críticas o esenciales;
4. Sedes Alternas;
5. Línea de sucesión o cadena de mando;
6. Recursos Humanos;
7. Dependencias e interdependencias;
8. Requerimientos mínimos;
9. Interoperabilidad de las comunicaciones;
10. Protección y respaldo de la información y bases de datos, y
11. Activación del plan
Para brindar una herramienta práctica y de simple aplicación en todos los sectores del país, estos
elementos se han incluido en una serie de pasos que recopilan toda la información solicitada por la
ley y que se describen a continuación.
FORMATO 1: FUNDAMENTO LEGAL
Misión y Visión
Marco Legal
Atribuciones de la Unidad
Legislaciones
Programas Nacionales, Sectoriales o propios de la unidad
Para empresas privadas u organizaciones no gubernamentales,
puede incluirse el destino estratégico en este apartado (Misión,
Visión y Objetivos Estratégicos).
Marco Legal
Reglamento de la Ley General de Protección Civil: artículo 76: que establece el contenido y las
especificaciones de los Programas Internos de Protección Civil
Marco de Acción de Sendai para la Reducción del Riesgo de desastre 2015-2030; establece como parte de
su Prioridad 3: Invertir en la reducción del Riesgo de Desastres para la resiliencia, solicitando en el inciso
o) la necesidad de; “Aumentar la resiliencia de las operaciones comerciales y la protección de los medios
de vida y los bienes de producción en todas las cadenas de suministro. Asegurar la continuidad de los
FORMATO 2: ANÁLISIS DE AMENAZAS
Este análisis identifica aquellas amenazas a las que la organización es propensa, definiendo las
acciones de prevención necesarias para incrementar la efectividad del Plan de Continuidad de
Operaciones y a su vez establecer acciones preventivas para la reducción de vulnerabilidades.
Una amenaza se define como un evento que puede desencadenar un incidente, produciendo daños
materiales o pérdidas humanas, así como suspensión de servicios o actividades. Para conocer qué
amenazas son las que más podrían afectar nuestra operación, es necesario relacionar la
probabilidad de que este ocurra con el impacto que causaría, para ello se sugiere el siguiente
formato:
Acción
Amenaza Probabilidad Impacto Riesgo
Preventiva
ALTA ALTA ALTO
ALTA MEDIO MEDIO
BAJA ALTO MEDIO
MEDIA MEDIO MEDIO
ALTA MEDIO MEDIO
BAJA MEDIO BAJO
Selección de amenazas
Estas se definirán de acuerdo al entorno de nuestra organización, para tener una idea de qué
amenazas puede impactar a nuestra organización y aludir al artículo 2º de la Ley General de
Protección Civil, que nos proporciona el siguiente catálogo de Fenómenos Naturales y
Antropogénicos:
FENÓMENOMENOS
FENÓMENOS QUÍMICO-TECNOLÓGICOS
HIDROMETEOROLÓGICOS
Huracanes Incendios forestales
Inundaciones Radiación
Nevadas
Granizadas
Terrorismo Epidemias
Sabotaje Plagas
Concentración de Masas
Actividad volcánica
En la misma tesitura de este análisis, existen amenazas que no se encuentran consideradas dentro
de este catálogo y que son específicas de nuestra organización, por ejemplo:
Manifestaciones
Cierre de vialidades
Deslaves
Hundimientos
Ductos de gas sin mantenimiento
Almacenes sin condiciones adecuadas
Falta de alarmas contra incendio
Falta de seguridad para bases de información
Entre otros
Evaluación de amenazas
Para conocer el nivel de riesgo al que estamos expuestos es necesario hacer un cruce entre la
probabilidad de ocurrencia de la amenaza contra el impacto que esta tendría en la organización.
Podemos expresar el riesgo en términos cualitativos (Alto, Medio, Bajo), cuanto más baja sea la
probabilidad de ocurrencia y el impacto sobre la organización sea también bajo, estaremos en un
nivel de riesgo bajo. Sin embargo, si la probabilidad de ocurrencia o el impacto de un incidente son
altos, estaremos en niveles de riesgo medio-alto.
Acción
Amenaza Probabilidad Impacto Riesgo
Preventiva
Manifestaciones ALTA ALTO ALTO
Sismos MEDIA ALTO MEDIO
Perdida de
BAJA MEDIO BAJO
bases de datos
Durante el Análisis de Amenazas, la organización debe cuestionarse si cuenta con las medidas
preventivas necesarias para hacer frente a sus amenazas, además de mejorar las medidas de
seguridad. Al analizar nuestras vulnerabilidades y buscar mitigarlas con acciones preventivas,
logramos que nuestro Plan de Continuidad de Operaciones no tenga obstáculos en su ejecución.
1. Instalación de sistema
Sismos MEDIA ALTO MEDIO de alerta
[Link]ñalización de zonas
de seguridad
1. Respaldo de
Pérdida de bases información en discos
de datos BAJA MEDIO BAJO duros
2. Respaldo de
información en nube
Análisis de impacto.
Con la finalidad de facilitar la identificación de los Procesos Críticos se analiza el nivel de impacto
en caso de interrupción de cada una de los procesos de la organización.
Personal: Impactos que afecten directamente a la integridad del personal que labora
en la organización.
Instalaciones: Impactos que disminuyan las capacidades de las instalaciones de la
organización o atenten contra su seguridad.
Población: Interrupción en las operaciones que afecta un servicio o producto básico
para la población.
Medio Ambiente: Afectaciones a ecosistemas por medio de contaminación o invasión
de los mismos.
Financiero / Económico: Interrupciones que afecten los objetivos financieros de la
organización o provoquen pérdidas mayores.
Legal: Impactos que incurran en faltas a la ley y provoquen amonestaciones para la
organización.
Operacional: Impactos que afecten directamente la ejecución de los procesos que se
llevan a cabo en alguna organización y tengan impacto en los objetivos estratégicos.
Prestigio / Reputación: Impactos que repercutan a nivel reputacional la organización
por no brindar un servicio, producto o información. Estos impactos suelen repercutir en
forma de notas negativas de la prensa.
Para comenzar a identificar los procesos críticos, primero es necesario organizar todos los
procesos con los que se cuenta en el área/organización en la que se implementará el plan de
continuidad de operaciones. Para lo cual como primer paso debemos contar con una lista de todos
los procesos que se desarrollan día a día dentro de la organización o así mismo, de las principales
actividades de las cuales es responsable nuestra organización.
Para esta actividad es esencial la participación de las personas responsables de cada proceso, así
como de aquellos colaboradores con mayor experiencia en la operación de los mismos. Para
obtener una rápida relación de procesos, se recomienda recopilar los siguientes datos:
Una vez identificados todos los procesos del área se sugiere una clasificación de nuestros procesos
dentro de las siguientes tres categorías:
Procesos Estratégicos (PE): Son todos aquellos relacionados con los resultados que se
esperan de la organización hacia las autoridades que regulan su operación y hacia la
población. Estos procesos suelen tener una periodicidad a largo plazo y ser alimentados por
distintos procesos operativos.
Procesos Operativos (PO): Este tipo de procesos tiene una relación directa con la atención
brindada a la población, el servicio al cliente o a las diferentes organizaciones que dependen
de la nuestra, además cuenta con aquellos procesos que reciben los insumos necesarios para
que la operación sea efectiva.
Procesos de Soporte (PS): Son aquellos que facilitan los recursos para realizar los procesos
operativos y de esta manera cumplir con los procesos estratégicos. Dentro de este tipo de
procesos se encuentran las áreas administrativas, financieras, recursos humanos,
contratación, promoción del personal, capacitación, mantenimiento, entre otros.
Para una fácil clasificación de procesos, se recomienda utilizar una nueva columna en el formato de
análisis de procesos, que indique los tipos de proceso de la organización:
EJEMPLO: LISTA DE PROCESOS DGVIN (TIPO DE PROCESO)
1 Vinculación con 1.1 Realización de juntas de trabajo con sectores privado y Mensual y
los sectores social, para el desarrollo de programas preventivos. Ante la
Privado y Social 1.2 Acrecentar cartera de socios de los sectores privado y activación del
social. Comité
1.3 Participación en el Comité Nacional de Protección Civil: Nacional de
estableciendo el vínculo entre este comité y los sectores Emergencias
PO
privado y social, para coordinar solicitudes y entrega de
apoyos en zonas vulnerables.
1.4 Informe de situación a sectores social y privado:
establecer una línea de comunicación directa con estos
sectores para informar sobre los avances, necesidades y
acciones realizadas durante una emergencia.
Al clasificar los procesos por tipo, se identifica la estructura operativa de nuestra organización (misma
que se conforma de las capas: estratégica, operativa y de soporte). Una vez que tenemos el listado de
todos nuestros procesos, procedemos a identificar aquellos procesos críticos de la organización.
Selección de Procesos
Ejemplo de estructura operativa con procesos críticos identificados
PROCESOS CRITICOS
Como puede observarse, no todos los procesos de la organización son críticos, en general se debe
comenzar por identificar aquellos procesos estratégicos sin los cuales la organización no puede
continuar sus funciones básicas y tomando esto como base se debe seleccionar aquellos procesos
operativos y de soporte sin los cuales no es posible cumplir con los procesos estratégicos de la
organización.
-Usualmente los procesos relacionados con “Entradas y Salidas” de la operación se identifican como
críticos, pues estos reciben todos los insumos necesarios y entregan el servicio final.
-Es recomendable comenzar por los procesos estratégicos, después los operativos y al final los de
soporte. Se busca ir de lo general a lo particular y siempre teniendo en cuenta que bajo un estado de
emergencia o desastre los procesos críticos deben contar solo con los recursos necesarios para dar
continuidad a las actividades sustantivas de la organización.
- Los procesos críticos en general son aquellos con frecuencias de medición y operación corta y
mediana.
-Ofrecen servicios vitales a la población o a diversas organizaciones (energía, salubridad, transporte,
electricidad, entre otros).
-Mantienen la seguridad de la población en general (como en el caso de fuerzas de respuesta a
emergencia).
-Son necesarios para sostener a la industria durante una emergencia (materias primas, transporte de
mercancías, servicios financieros).
-Son aquellos que en caso de interrumpirse pueden comprometer de manera significativa las
operaciones y dañar los resultados de la organización o incluso afectar su reputación.
Para continuar con nuestro formato, se sugiere la inclusión de la columna ¿proceso crítico? EJEMPLO:
LISTA DE PROCESOS DGVIN (¿PROCESO CRÍTICO?)
1.1 Participación en el Comité Nacional Ante la Graziella Herrera Reputación: de detenerse este proceso
de Protección Civil: estableciendo el activación del Hernández crítico, los sectores privado y social
vínculo entre este comité y los sectores Comité pueden provocar notas negativas para la
Vinculación con los privado y social, para coordinar solicitudes Nacional de Coordinación Nacional de Protección
sectores Privado y y entrega de apoyos en zonas Emergencia s Civil
Social vulnerables.
1
Operacional: afecta la entrega y
1.2 Informe de situación a sectores social solicitud de apoyos del sector privado y
y privado: establecer una línea de social y disminuye el control del Comité
comunicación directa con estos sectores Nacional sobre estos.
para informar sobre los avances,
necesidades y acciones realizadas
durante una emergencia.
En conjunto con los encargados de tomar decisiones dentro de la Organización (altos mandos)
y los responsables de cada uno de los procesos críticos, debe definirse cuál será el propósito de
contar con un Plan de Continuidad de Operaciones. Para un mejor desglose del Propósito, la
organización debe preguntarse y definir:
Dependiendo del giro de la organización, así como del sector al que pertenece (Público, Privado
o Social), debe definirse el por qué estamos desarrollando un plan de continuidad, algunos
ejemplos son:
- Protección y Seguridad
- Continuidad de Gobernabilidad
- Continuidad a Servicios Básicos (servicios de salud, electricidad, suministro de
agua, etc.)
- Resguardo de Recursos
- Operaciones Administrativas
- Infraestructura crítica (como caminos y puentes)
- Operaciones Bursátiles
- Medios de vida (PyMES, comercio local)
- Entre Otros.
El objetivo resume en un enunciado: “el sentido de dar continuidad a los procesos que la
organización ha definido como críticos”, a continuación se muestra un ejemplo de llenado para
el Propósito:
Propósito
Asegura: Objetivo
Gestionar los apoyos externos a la administración pública federal, durante la
Vinculación con
etapa de respuesta a la ocurrencia de fenómenos naturales o antropogénicos
sectores privado,
que generen un desastre.
social, y comunidad
Mantener estrecha comunicación con los sectores privado y social, para
internacional durante
facilitar las tareas del Comité Nacional de Emergencias y asegurar un
una emergencia.
proceso transparente en la coordinación de apoyos y
de generación de información.
Alcance
Se utiliza para limitar el contenido del Plan de Continuidad de Operaciones. Para fines prácticos,
el alcance incluirá a todos los procesos que la organización definió como críticos, incluyendo
sus respectivas actividades. A continuación se muestra un ejemplo de llenado para el alcance:
Alcance
Procesos Críticos Actividades Principales
1.1 Participación en el Comité Nacional de Protección Civil: estableciendo el
vínculo entre este comité y los sectores privado y social, para coordinar
Vinculación con los solicitudes y entrega de apoyos en zonas vulnerables.
sectores Privado y 1.2 Informe de situación a sectores social y privado: establecer una línea
Social de comunicación directa con estos sectores para informar sobre los
avances, necesidades y acciones realizadas durante una emergencia.
Sede geográfica del proceso: Av. José Vasconcelos No.221 piso 6, Col. San Miguel Chapultepec,
Del. Miguel Hidalgo, Ciudad de México, C.P. 11850
Subprocesos principales:
[Link]ón en el Comité Nacional de Protección Civil: estableciendo el vínculo entre este
comité y los sectores privado y social, para coordinar solicitudes y entrega de apoyos en
zonas vulnerables.
2. Informe de situación a sectores social y privado: establecer una línea de
comunicación directa con estos sectores para informar sobre los avances, necesidades y
acciones realizadas durante una emergencia.
Objetivo: Vincular al Comité Nacional de Emergencias con los sectores privado y social, para
coordinar solicitudes y entrega de apoyos en zonas vulnerables.
Periodo límite de recuperación: Máximo de 4 horas ante la activación del Comité Nacional de
Emergencias
Estrategia de continuidad
Sede Alterna 1
Centro Nacional de Prevención de Desastres (CENAPRED), Av. Delfín Madrigal No. 665, Coyoacán, Pedregal de Santo Domingo, 04360 Ciudad de
México, CDMX
Responsable de la sede alterna: ( Nombre y Cargo) Dr. Carlos Valdes Gonzalez, Director General CENAPRED
Contacto: Incluir teléfonos y correos personales donde pueda contactarse al responsable en condiciones de emergencia. Teléfono: 5424 6100
Sede Alterna 2
- Omisión de funciones de baja criticidad: Este tipo de actuación debe utilizarse para aquellas
funciones o actividades que se han clasificado como “no urgentes”. En este tipo de estrategia
se asume el riesgo de perder información y recursos de baja criticidad para la organización.
- Centro espejo: Es aquella sede alterna que cuenta con los mismos recursos que la base de
operaciones, al desarrollar un centro espejo es posible trasladar la operación y continuar la
actividad en periodos de tiempo más cortos. Esta solución es normalmente la más cara, pero
también la mejor solución en el caso de que se necesite una pronta recuperación de la
operación.
Para elegir la estrategia de continuidad más adecuada hay que tomar en cuenta las capacidades de
nuestra organización en cuanto a tiempos de recuperación, costos económicos, recursos, dificultad
técnica de la operación, tiempos estimados entre otros.
Deben registrarse los siguientes roles a fin de describir al personal que se encargará de dar
continuidad al proceso crítico.
- Responsable de cada proceso crítico: Se nombra al responsable del proceso crítico, quien
está a cargo de supervisar y ejecutar todas las actividades del mismo.
- Línea de sucesión: Es necesario identificar a uno o dos responsables alternos en caso de
que por una situación extraordinaria el responsable del proceso no pueda atender la situación
de crisis, contemplando lo siguiente:
Todo suplente deberá contar con el entrenamiento y sustento legal propio del
proceso crítico.
Es necesario que el responsable de proceso crítico reasuma sus funciones en el
menor tiempo posible.
Normalmente el suplente es parte del equipo de trabajo.
EJEMPLO: FORMATO DGVIN
Responsable
Cargo: Directora de Área: Dirección de
Nombre: Vinculación Vinculación
Teléfonos
: Celular: Ext. Email:
Responsables del proceso crítico
Oficina:
Línea de sucesión
Área: Dirección de
Nombre: Cargo: Subdirectora de Innovación, Planeación y
Tecnologías e Innovación Continuidad de
Operaciones
Teléfonos
: Celular: Email:
Oficina:
Equipo de Trabajo
Nombre Teléfonos/E-mail Actividad a desarrollar
Dependencias e Interdependencias
Internas Interdependencias
Dependencias
Recursos Humanos
Se debe contar con un directorio general de todo el personal que se identifica como crítico, dicho
directorio deberá contar con datos tanto personales como laborales que permitan localizar al personal
en caso de una emergencia o desastre (teléfonos de casa, celulares, radios, correo, dirección, entre
otros).
EJEMPLO: FORMATO DGVIN
El formato incluye a la persona responsable de notificar al personal a cerca de la activación del Plan
de Continuidad de Operaciones:
En este aparatado se identifican los recursos necesarios para cada proceso crítico, el siguiente
formato recopila distintos tipos de recursos; tecnológicos, materiales, bases de datos, servicios de
comunicaciones, y requerimientos adicionales. Debe tomarse en cuenta que algunos procesos
críticos no necesitan de todos estos recursos, por lo que sólo deben incluirse las secciones
requeridas por el proceso. En el siguiente ejemplo se muestra la manera en que debe llenarse el
formato de recursos del proceso crítico.
INFRAESTRUCTURA TECNOLÓGICA
REQUERIMIENTOS ADICIONALES
Requerimientos Cantidad Especificaciones ¿Se cuenta con
él?
Hojas Blancas 15 Paquetes Papel bond SI
de 500 hojas
Tazas 50 piezas Taza para café NO
estándar
Papelería básica, 80 piezas Estándar SI
plumas, lápices, de cada
etc. una
Una vez identificados todos los componentes del plan de continuidad de operaciones, será necesario
establecer un protocolo de actuación que establezca las acciones a realizar antes, durante y después
de una emergencia.
El siguiente es ejemplo no limitativo para crear un protocolo de actuación dentro de su organización:
Antes de la emergencia o desastre
Lecciones Aprendidas
Acciones preventivas y
No. Descripción del evento Causas correctivas tomadas o
sugeridas
No fue posible reactivar el El software de la empresa no Revisión de Software con
1 Proceso Crítico: “Atención soporto la cantidad de llamadas proveedores para posible
telefónica para emergencias” entrantes mejora
Para el proceso crítico: No se contaba con vehículos
Redistribuir equipo en sedes
2 “Atención Ciudadana”, no fue adecuados para caminos
alternas
posible trasladar equipo… afectados
- Evaluar la capacidad de respuesta ante una situación de desastre que afecte a los recursos
de la organización.
- Probar la efectividad y los tiempos de respuesta del Plan para comprobar que está alineados
con la definición de procesos críticos.
- Identificar oportunidades de mejora en el diseño y ejecución del Plan.
- Comprobar si los procedimientos desarrollados son adecuados para soportar la recuperación
de las operaciones de la organización.
- Evaluar si el personal de la organización conoce su rol en el plan de continuidad de
operaciones.
- Los simulacros realizados para probar la efectividad de un Plan de Continuidad de
Operaciones deben tener dos características principales:
2 12 de Junio de 2016 Edith López Sánchez [Link] sustituyó al responsable del proceso
crítico “Mantenimiento a Ductos”, por baja del
anterior responsable
2. Se actualizó el directorio del personal
adscrito al Plan de Continuidad de
Operaciones
Enfoque de Género