Ejemplo de BIA: cómo priorizar procesos críticos, RTO y RPO
Un BIA solo es útil cuando conduce a prioridades. El análisis debe ayudar a la organización a comprender qué procesos deben restaurarse primero, cómo crecen las consecuencias con el tiempo, qué dependencias son críticas y qué objetivos de recuperación son realmente necesarios.
Ejemplo: una pequeña empresa de comercio electrónico y servicios
Supongamos que la empresa vende productos digitales y físicos en línea. El negocio depende de una tienda web, pagos, atención al cliente, gestión de pedidos, contabilidad y varios servicios SaaS externos. La dirección quiere saber qué debe funcionar primero después de una interrupción de TI importante.
Para cada actividad, se entrevista al propietario del proceso sobre las consecuencias después de, por ejemplo, 2 horas, 8 horas, 24 horas, 3 días y 1 semana. Las consecuencias se evalúan en términos de economía, cliente, legal/cumplimiento, operaciones, reputación y seguridad.
Ejemplo de BIA simplificado
| Proceso | Consecuencia importante | Prioridad | RTO de ejemplo | RPO de ejemplo |
|---|---|---|---|---|
| Checkout y pago | Ventas perdidas y los clientes no pueden completar la compra | 1 | 4 horas | 15 minutos |
| Gestión de pedidos | Las entregas se detienen y la cola crece | 2 | 8 horas | 1 hora |
| Atención al cliente | Mayor tiempo de respuesta y más reclamaciones | 3 | 24 horas | 4 horas |
| Informes financieros | Retraso, pero con un impacto directo limitado en el cliente | 4 | 72 horas | 24 horas |
La tabla es solo el producto final del razonamiento. Lo importante es por qué el checkout se situó antes que la atención al cliente y qué suposiciones subyacen al RTO/RPO.
Evalúe cómo cambia la consecuencia con el tiempo
Un proceso no es automáticamente "crítico" solo porque sea importante en el día a día. El BIA debe preguntar cuándo la consecuencia se vuelve inaceptable. Una interrupción de dos horas puede ser manejable, mientras que un día puede significar grandes consecuencias económicas o legales.
Por lo tanto, documente los umbrales. Ejemplo: después de cuatro horas comienza una gran pérdida de ingresos, después de ocho horas se incumple una promesa al cliente, después de un día surgen colas manuales que no se pueden recuperar. Entonces, los objetivos de continuidad obtienen una base real.
Distinga entre tolerancia máxima y objetivo de recuperación
Las organizaciones a veces utilizan términos como MTPD o tiempo máximo de interrupción tolerable para el punto en el que la consecuencia ya no se puede aceptar. En la práctica, el RTO debe establecerse con un margen suficiente antes de ese límite, ya que la recuperación nunca debe planificarse para el último minuto posible.
RTO y RPO: úselos correctamente
RTO (Recovery Time Objective) describe el objetivo de qué tan rápido debe restaurarse el servicio o proceso después de una interrupción. RPO (Recovery Point Objective) describe qué tan atrás en el tiempo puede aceptar la organización la pérdida de datos durante la recuperación.
Si el checkout tiene un RTO de 4 horas pero la solución técnica requiere 12 horas para restaurarse, existe una brecha. El BIA ha identificado entonces un riesgo que debe gestionarse mediante una mejor redundancia, una recuperación más rápida, una rutina de respaldo o un objetivo de negocio reconsiderado.
Si el RPO es de 15 minutos pero la copia de seguridad solo se realiza una vez al día, existe el mismo tipo de brecha. Por lo tanto, el RPO no es un deseo que se pueda escribir en un plan sin soporte técnico.
Identifique personas, sistemas y proveedores
Para cada proceso crítico, el BIA debe identificar las dependencias. Esto puede ser:
- personal clave y dotación mínima de personal,
- instalaciones y equipos,
- sistemas empresariales e integraciones,
- servicios de identidad e inicio de sesión,
- datos y documentación,
- telefonía y comunicación,
- proveedores críticos y subcontratistas,
- electricidad, red y otros servicios de infraestructura.
Es común que un servicio "secundario" resulte ser un punto único de falla (single point of failure). Un ejemplo es el proveedor de identidad: el comercio electrónico puede estar técnicamente en funcionamiento, pero el personal no puede administrarlo si el SSO está caído.
Cómo transferir el resultado del BIA al plan de continuidad
El BIA responde a qué debe priorizarse. El plan de continuidad responde a cómo el negocio debe continuar y ser restaurado.
Para los procesos con mayor prioridad, el plan debe indicar los criterios de activación, responsabilidades, rutinas de respaldo, listas de contacto, escalamiento de proveedores, orden de restauración, comunicación y cuándo se puede reanudar la operación normal. Lea qué debe contener un plan de continuidad.
Si el servicio técnico se compra como SaaS, los objetivos de recuperación también deben compararse con el SLA del proveedor. Consulte la guía sobre SLA, RTO y RPO.
Errores comunes en el trabajo de BIA
- Todos los procesos se vuelven críticos. Entonces el análisis no ha priorizado.
- El RTO lo establece solo el departamento de TI. El objetivo debe basarse en las necesidades de consecuencia del negocio y luego probarse contra la capacidad técnica.
- El RPO no tiene conexión con los datos. Diferentes conjuntos de datos pueden requerir diferentes tolerancias.
- Se pasan por alto las dependencias. Especialmente identidad, integraciones y proveedores externos.
- Nadie es dueño del resultado. Cada proceso crítico necesita un propietario de proceso responsable.
- El BIA nunca se actualiza. Nuevos sistemas, productos y proveedores pueden cambiar la prioridad.
Lista de verificación para su propio BIA
- Enumere las actividades de la empresa y los propietarios de los procesos.
- Evalúe la consecuencia en varios intervalos de tiempo.
- Identifique cuándo la consecuencia se vuelve inaceptable.
- Priorice los procesos en orden de restauración.
- Establezca objetivos preliminares de RTO y RPO.
- Identifique personal, sistemas, datos y proveedores.
- Compare los objetivos con la capacidad real de restauración.
- Documente brechas y medidas.
- Transfiera el resultado al plan de continuidad.
- Pruebe y reevalúe después de cambios importantes.
¿Necesitan BIA y plan de continuidad en el mismo flujo de trabajo?
La Plantilla de Plan de Continuidad + BIA 2026 de Mallbutiken combina análisis, priorización y planificación de continuidad en Word, PDF y Excel. Precio en la tienda: 249 coronas suecas.
Ver Plan de Continuidad + BIAPreguntas frecuentes
¿Es el RTO lo mismo que el tiempo máximo de interrupción tolerable?
No. El RTO es un objetivo de recuperación. El tiempo máximo de interrupción tolerable describe un límite de tolerancia externa. El objetivo de recuperación normalmente debe establecerse antes.
¿Todos los procesos deben tener un RPO?
El RPO es relevante principalmente cuando la restauración de datos es una parte central. Para procesos manuales, otras métricas de recuperación pueden ser más útiles.
¿Con qué frecuencia debe actualizarse el BIA?
No existe un intervalo universal que se adapte a todos. Realice revisiones periódicas y reevalúe también cuando cambien sistemas críticos, proveedores, procesos o requisitos.
Guía relacionada
Comience con la guía básica para BIA y continúe con el plan de continuidad.
La guía es un ejemplo pedagógico y los valores no deben utilizarse como requisitos listos sin un análisis propio.
