Globalización corporativa: riesgos multidimensionales e interconectados
En tan solo unos años, ante una economía cada vez más digitalizada y globalizada acostumbrada a una cierta inmediatez, la resiliencia operativa se ha convertido en un tema estratégico para la mayoría de las organizaciones. Y más teniendo en cuenta que la crisis y sus riesgos relacionados suceden uno detrás del otro continuamente: crisis financieras, terrorismo, tensiones geopolíticas, riesgos climáticos y por supuesto la pandemia de COVID-19, que actuó como un electroshock para las empresas de todo el mundo y representó una prueba “real” de la resiliencia de las organizaciones.
En este contexto, resulta bastante llamativo observar que las empresas que más han resistido a la pandemia son las que tenían al menos una práctica de gestión de riesgos o, mejor aún, un plan de continuidad de negocio (BCP). Las más ágiles no solo han continuado con sus actividades de forma habitual, sino que han conseguido obtener nuevas cuotas de mercado, incluso instalarse en nuevos mercados.
Naturalmente, la gestión de riesgos y la resiliencia son aspectos inherentes a cualquier negocio. Pero ahora la mayor dificultad reside en las interconexiones operativas y en los efectos “dominó” de los riesgos que esto implica en las operaciones de negocios. Por ejemplo, la crisis de COVID y los cierres sucesivos han impuesto el teletrabajo, lo que ha generado riesgos cibernéticos, así como sociales. También ha habido un impacto en las cadenas de suministro, que ha provocado interrupciones en la producción, etc.
En otras palabras, en un entorno económico y normativo globalizado e interconectado, los propios riesgos se vuelven globalizados e interconectados y sus efectos dominó se deben de prever.
Plan de Continuidad de Negocios: diseñando un plan de batalla ofensivo
Los riesgos y sus impactos son específicos para cada empresa, según sus actividades y negocios, sus ubicaciones, tamaño, etc. Especialmente porque estos riesgos son potencialmente numerosos: riesgos de procesos, riesgos operativos, aspectos humanos, riesgos de terceros y de suministro, riesgos de TI y digitales o riesgos de reputación. Para hacer frente a estas amenazas, la práctica de la gestión de riesgos proporciona un marco metodológico para la identificación, análisis y migración, así como para el diseño de los planes de continuidad de negocio (BCP) asociados, que deben adaptarse a cada contexto y a las operaciones de negocios.
Por supuesto, no es necesario redactar un exhaustivo BCP que cubra absolutamente todos los procesos de la organización expuestos a riesgos: el enfoque sería demasiado complejo, probablemente imposible y, en cualquier caso, demasiado caro. Entre los riesgos potenciales, se trata de identificar los más críticos en los activos más estratégicos, sus ramificaciones y sus posibles consecuencias en caso de una crisis. Este es uno de los objetivos del ejercicio del mapeo de riesgos, que permite visualizar los riesgos más críticos e identificar los procesos afectados. El mapeo de riesgos ayuda al diseño y al perfeccionamiento de un plan de continuidad de negocios para brindar resiliencia a los procesos de negocios, pero también hay que considerar los numerosos recursos que los sustentan. Para este fin, es esencial combinar la visión de los procesos con la de los recursos (recursos de TI, sitios físicos, logística, materias primas, recursos humanos) que deben coordinarse de arriba a abajo a través de una visión holística.
El propósito del mapeo de riesgos es definir los riesgos a los que la empresa está expuesta y fijar las medidas de mitigación adecuadas, de acuerdo con el apetito de riesgo de la empresa. En todos los casos, el objetivo es dotar a la organización de las capacidades de anticipación necesarias para la toma consciente de decisiones.
Gestión de la continuidad: anticiparse, prevenir y recuperarse
Como su nombre lo indica, un plan de continuidad de negocio requiere organizar la resiliencia de la organización entorno a varias acciones previas, pero también remediar una crisis que se haya materializado. Empezando con la identificación de los procesos y la jerarquización de su criticidad. Los procesos críticos obviamente son aquellos sin los cuales la empresa no puede operar. Generalmente suelen ser el núcleo de la empresa y deben de ser tratados como una prioridad. Los otros procesos deben priorizarse en función de los impactos potenciales para la paralización o deterioro de la empresa.
Entonces, se trata de imaginar los posibles métodos de evasión en caso de una disrupción: herramientas a utilizar, los denominados procesos degradados (pero funcionales) a poner en marcha inmediatamente, etc. Métodos capaces de garantizar la continuidad del negocio que es importante probar de manera regular, para garantizar su éxito en una situación real. Finalmente, el plan de remediación también debe diseñarse en función de un escenario específico para reducir el tiempo requerido a un mínimo estricto para regresar a una situación nominal.
Es cierto que solo se puede preparar y asegurar la continuidad de negocios si se identifican los riesgos, pero esto no es suficiente: es necesario un enfoque holístico. Sin esta visión global y detallada de la organización y sus vulnerabilidades, es imposible analizar, anticipar, coordinar y poner defensas para salvaguardar a la empresa y sus actividades.
