La mayoría de los planes de emergencia responden a la pregunta “¿cómo respondemos al desastre?” La planificación de continuidad de operaciones responde a una más difícil: “¿cómo seguimos haciendo nuestro propio trabajo mientras el desastre nos está ocurriendo a nosotros?” He pasado 25 años en el manejo de emergencias, incluidos varios años escribiendo planes relacionados con la continuidad para un sistema regional de salud, y puedo decirle que las organizaciones que más sufren en una crisis rara vez son las que carecen de un plan de respuesta. Son las que nunca se preguntaron qué pasa cuando la interrupción golpea su propio edificio, a su propia gente o su propia nómina.

Qué Es Realmente la Planificación de Continuidad de Operaciones

La continuidad de operaciones, generalmente abreviada como COOP (por sus siglas en inglés), es la disciplina de planificación que mantiene en funcionamiento las funciones esenciales de una organización durante cualquier interrupción. No solo los desastres dramáticos. Un incendio en la sala de archivos. Un ataque de ransomware que bloquea todas las estaciones de trabajo. Una pandemia que mantiene a la mitad del personal en casa durante meses. Una tubería rota que cierra el ayuntamiento por seis semanas. La pérdida repentina de la única persona que sabe cómo funciona realmente el sistema de facturación del agua. La planificación COOP trata todos estos casos de la misma manera, porque desde adentro todos producen el mismo problema: usted todavía le debe al público sus servicios esenciales, y algo de lo que dependía ya no está.

Esto es diferente de la planificación de respuesta a emergencias, y la diferencia importa. La planificación de respuesta mira hacia afuera: cómo ayudamos a la comunidad cuando ocurre algo malo. La planificación de continuidad mira hacia adentro: cómo mantenemos funcionando nuestra propia organización cuando algo malo nos ocurre a nosotros. Las dos se superponen durante un desastre mayor, pero muchos eventos de continuidad nunca llegan a activar una declaración de desastre. Un ciberataque contra el departamento de finanzas de un condado no es un incidente de FEMA (la Agencia Federal para el Manejo de Emergencias). Sigue siendo un evento de continuidad, y puede detener los cheques de pago, los permisos y el despacho de seguridad pública con la misma eficacia que una inundación.

Una forma útil de presentar el COOP a funcionarios electos y ejecutivos es esta: es el plan para cumplir sus obligaciones legales con el público en condiciones degradadas. Los tribunales siguen teniendo plazos. La nómina sigue venciendo. El despacho de emergencias no puede pausarse. La planificación de continuidad es la manera de honrar esas obligaciones cuando la forma normal de cumplirlas no está disponible.

La Difícil Disciplina de Nombrar las Funciones Esenciales

La base de todo plan de continuidad es una lista corta de funciones esenciales: las cosas que su organización debe seguir haciendo, o reanudar muy rápidamente, pase lo que pase. Y aquí está la verdad incómoda que he visto repetirse en una reunión de planificación tras otra: la parte más difícil no es identificar lo que es esencial. Es lograr que la gente admita que la mayor parte de lo que hace puede pausarse.

Cada departamento cree que su trabajo es esencial, y en tiempos normales eso es cierto en el sentido de que importa. Pero la planificación de continuidad hace una pregunta más estrecha: si solo pudiéramos hacer cinco cosas durante las próximas dos semanas, ¿cuáles cinco mantienen a la gente segura, mantienen a la organización legalmente funcional y mantienen las luces encendidas? Para una ciudad pequeña, esa lista suele verse más o menos así:

• Despacho y respuesta de seguridad pública. Esto no puede pausarse ni una hora, mucho menos un día.
• Agua, aguas residuales y otros servicios públicos de seguridad de la vida. Operaciones y reparaciones de emergencia, no facturación.
• Nómina. Si la gente no cobra, su plan de continuidad tiene una vida útil de un período de pago.
• Plazos exigidos por ley. Fechas judiciales, presentaciones estatutarias, pagos de beneficios, avisos obligatorios.
• Información pública de emergencia. La capacidad de decirles a los residentes qué está pasando y qué hacer.

Observe lo que no está en esa lista: la mayoría de los permisos, la mayoría de las inspecciones, los programas recreativos, las solicitudes rutinarias de registros, la planificación a largo plazo. Esas funciones importan, y se reanudan tan pronto la capacidad lo permite. Pero un plan de continuidad que intenta proteger todo no protege nada, porque reparte personas, espacio y sistemas escasos entre trabajo que podía haber esperado.

Quién Actúa Cuando los Líderes No Están Disponibles

Dos conceptos están en el corazón legal de la planificación de continuidad, y son más simples de lo que sugieren sus nombres.

Los órdenes de sucesión responden a la pregunta: ¿quién ocupa un puesto cuando la persona que lo ostenta no está disponible? Si el administrador municipal está ilocalizable, incapacitado o ausente, ¿quién es el administrador municipal interino, y quién sigue después? Un orden de sucesión funcional tiene al menos tres niveles de profundidad, nombra cargos en lugar de individuos y está escrito en algún lugar más oficial que el conocimiento tribal. “Todos saben que Dana daría un paso al frente” no es un plan. Dana podría estar en el mismo vuelo, en la misma conferencia o en el mismo edificio que la persona a la que se supone que debe reemplazar.

Las delegaciones de autoridad responden a una pregunta diferente: ¿qué poderes específicos se transfieren, y cuáles son sus límites? La sucesión pone a una persona en la silla. La delegación define lo que la silla puede hacer legalmente. ¿Puede el funcionario interino firmar contratos de emergencia, y hasta qué monto? ¿Aprobar horas extra? ¿Ordenar una evacuación? ¿Emitir declaraciones públicas? Sin delegaciones escritas, un funcionario interino o bien se paraliza porque no está seguro de su autoridad, o bien actúa y crea exposición legal para la organización. Ambos desenlaces son evitables con una o dos páginas de lenguaje claro aprobadas en tiempos de calma.

Tres puntos prácticos desde la experiencia. Primero, revise la ley de su estado y su estatuto local, porque la sucesión de funcionarios electos y de ciertos cargos estatutarios suele estar fijada por ley y su plan debe coincidir con ella. Segundo, mantenga actualizados los documentos de sucesión; un plan que nombra a un adjunto que se jubiló hace cuatro años es peor que no tener plan, porque la gente lo seguirá. Tercero, informe a las personas incluidas en el orden de sucesión. He conocido a más de un funcionario tercero en la línea que se enteró de ese hecho durante un ejercicio, que es el segundo peor momento posible para enterarse.

Instalaciones Alternas y Trabajo Remoto

Todo plan de continuidad necesita una respuesta a la pregunta: ¿dónde trabajamos si no podemos usar nuestro edificio? Tradicionalmente esa respuesta era una instalación alterna, un lugar previamente identificado con espacio, energía y conectividad al que se reubican las funciones esenciales. Esa sigue siendo una estrategia válida, y para algunas funciones es la única. No se puede despachar el 911 desde la mesa de una cocina sin una preparación seria, y las funciones que requieren registros seguros, equipo especializado o atención presencial al público necesitan un respaldo físico. Los acuerdos mutuos con jurisdicciones vecinas, distritos escolares o colegios comunitarios son una forma común y asequible de asegurar espacio alterno, siempre que el acuerdo esté por escrito, el espacio se haya inspeccionado de verdad y alguien verifique que no se convirtió en bodega desde que se firmó el plan.

Luego la pandemia reescribió parte de este capítulo, y debemos ser honestos sobre las lecciones. Las organizaciones descubrieron que una gran parte del trabajo gubernamental podía hacerse de forma remota, lo que convirtió el trabajo remoto en una estrategia legítima de continuidad en lugar de un beneficio laboral. Pero también aprendimos sus límites por las malas:

• El trabajo remoto solo funciona si se configura con anticipación. Las agencias que ya tenían computadoras portátiles, acceso remoto y flujos de trabajo electrónicos hicieron la transición en días. Las agencias que funcionaban con computadoras de escritorio, archivos en papel y firmas manuscritas perdieron semanas.
• Algunas funciones nunca se volvieron remotas. Las operaciones de servicios públicos, la respuesta en campo, el manejo de evidencia, las funciones judiciales presenciales. Pretender lo contrario en un plan es ficción.
• El trabajo remoto tiene sus propios modos de falla. Depende por completo de la energía eléctrica, el internet doméstico y los servicios en la nube. Un apagón regional o una tormenta de hielo derriba a su fuerza laboral remota y a su edificio al mismo tiempo. El trabajo remoto es una estrategia contra la pérdida de un edificio y contra un evento de enfermedad infecciosa; es débil frente a una falla de infraestructura.
• La capacidad se erosiona. Las licencias caducan, las computadoras portátiles se reasignan y la memoria muscular se desvanece. Si el trabajo remoto está en su plan, alguien tiene que mantenerlo vigente.

La respuesta correcta para la mayoría de las organizaciones es una mezcla: trabajo remoto para las funciones que lo toleran, un sitio alterno físico para las que no, y criterios de activación por escrito sobre quién decide qué modalidad aplica.

Registros Vitales y los Sistemas Detrás de Ellos

Los registros vitales son los documentos, datos y sistemas sin los cuales sus funciones esenciales se detienen. No sus archivos históricos, no todo lo que vale la pena conservar: el conjunto de trabajo al que usted debe poder acceder en cuestión de horas. Para un gobierno local típico eso incluye los datos de nómina y personal, el sistema financiero, los planes de emergencia y las listas de contactos, los contratos y las pólizas de seguro, los mapas y procedimientos operativos de los sistemas de servicios públicos, los permisos y registros legales con plazos activos, y las credenciales necesarias para administrar todo lo anterior.

Tres disciplinas mantienen los registros vitales a salvo. Primero, identifíquelos por función: para cada función esencial, enumere a qué debe acceder y dónde reside eso. Segundo, respáldelos en algún lugar que el desastre no pueda alcanzar. Un servidor de respaldo en el mismo edificio que el principal está a un incendio de distancia de ser el mismo servidor. El respaldo fuera del sitio o en la nube importa, y también importa probar la restauración, porque un respaldo no probado es una esperanza, no un plan. El ransomware ha hecho esto brutalmente concreto: los atacantes atacan deliberadamente los respaldos, así que al menos una copia debe estar fuera de línea o aislada de alguna otra manera. Tercero, mantenga un respaldo en papel para los elementos verdaderamente críticos. Listas de contactos impresas, órdenes de sucesión impresas, mapas de servicios públicos impresos y un procedimiento manual de nómina suenan anticuados hasta el día en que todas las pantallas de la organización muestran una nota de rescate. Las organizaciones que mejor sobreviven a los ciberataques suelen ser las que pueden operar sus funciones principales en papel durante una semana.

Devolución y Reconstitución, Explicadas con Sencillez

Vale la pena desmitificar dos términos más del vocabulario de la continuidad, porque ambos describen cosas que las organizaciones pequeñas ya hacen de manera informal.

La devolución es el plan para cuando su organización no puede desempeñar sus funciones esenciales en absoluto, ni siquiera desde un sitio alterno, ni siquiera con los sucesores en su lugar. Responde: ¿quién más hace este trabajo hasta que podamos retomarlo? Un condado vecino maneja su despacho. El estado interviene en una función que usted no puede dotar de personal. Una firma contratada corre la nómina. Planificar la devolución resulta incómodo porque significa admitir que su organización podría quedar completamente fuera de combate, pero para las agencias pequeñas suele ser la estrategia más realista. Un departamento de tres personas no tiene profundidad; tiene vecinos. Las claves son acuerdos negociados de antemano, conocimiento transferido en procedimientos escritos que la organización receptora realmente pueda seguir, y claridad sobre qué activa el traspaso y qué autoridad se transfiere con él.

La reconstitución es el viaje de regreso: el proceso planificado de reanudar las operaciones normales una vez que termina la interrupción. Suena automático y no lo es. Alguien tiene que decidir cuándo la instalación original es segura, migrar el trabajo y los registros de vuelta sin perder lo que ocurrió durante la interrupción, retomar las funciones que fueron devueltas, ponerse al día con todo lo que se pausó y cuidar a una fuerza laboral que puede estar exhausta o de duelo. Los planes que terminan en “reubicarse y continuar” dejan a la organización improvisando su camino a casa. Incluso una sola página que describa quién declara la reconstitución, en qué fases regresan las funciones y cómo se prioriza el trabajo aplazado lo pone por delante de la mayoría.

La Dependencia de las Comunicaciones

Cada elemento anterior depende de una capacidad: las comunicaciones. Un plan de continuidad con órdenes de sucesión perfectas y un buen sitio alterno fracasa de todos modos si usted no puede comunicarse con su gente, con su público o con sus sistemas. Planifique tres capas distintas.

Notificación al personal. Necesita una forma de decirles a los empleados qué ocurrió, si deben presentarse y dónde. Eso requiere información de contacto actualizada, incluidos teléfonos personales para eventos fuera de horario, y un método que no dependa de la infraestructura que acaba de fallar. Ya sea que use un servicio de notificación masiva, una cadena de llamadas o un grupo de mensajes de texto, aplican dos reglas: mantenga la lista actualizada con un calendario fijo y pruébela. Toda organización que prueba su cadena de llamadas por primera vez descubre números desconectados y personas que nunca supieron que estaban incluidas.

Comunicación pública. Durante un evento de continuidad el público todavía necesita saber qué servicios están abiertos, adónde ir y qué esperar. Importan las plantillas prerredactadas para escenarios comunes, más de un vocero capacitado y el acceso a su sitio web y cuentas de redes sociales desde fuera de su red. Esto último golpea fuerte durante los incidentes cibernéticos: si las únicas credenciales de su sitio web público viven en la red comprometida, usted ha perdido su voz en el peor momento.

Resiliencia técnica. Los sistemas de TI y de radio necesitan su propio pensamiento de continuidad: rutas de internet redundantes donde sea factible, energía de respaldo que realmente reciba mantenimiento y combustible, interoperabilidad de radio con las agencias vecinas y un plan para operar cuando los sistemas primarios estén caídos. Su personal de TI y sus técnicos de radio deben estar en la mesa de planificación de continuidad desde la primera reunión, no ser consultados después de redactar el plan. En mi experiencia, ellos encontrarán los puntos únicos de falla más rápido que cualquier otra persona en la sala.

Pruebas, Fallas Comunes y una Lista de Verificación Práctica para Empezar

Aquí está lo más parecido a una ley en este campo: el plan que nunca se ha ejercitado fallará. No es que podría fallar. Fallará. Los ejercicios existen para hacer que el plan falle de forma barata, un martes por la mañana con café, en lugar de fallar de forma costosa durante un evento real. No necesita simulacros elaborados para empezar. Un ejercicio de mesa de una hora en el que la dirección recorra el escenario “nuestro edificio es inaccesible desde las 6 a. m. de hoy” sacará a la luz más brechas que un año de redacción de planes. También lo harán las pruebas funcionales pequeñas: active la cadena de llamadas fuera de horario. Restaure un archivo desde el respaldo. Haga que el funcionario interino firme realmente un documento bajo autoridad delegada. Corra un ciclo de nómina con el procedimiento manual en papel. Después de cada prueba, escriba lo que se rompió y arréglelo, porque un ejercicio sin seguimiento es teatro.

Las fallas que revelan los ejercicios son notablemente consistentes entre organizaciones. Busque estas en su propio plan:

• Listas fantasma. Listas de sucesión y de contactos que nombran a personas que se jubilaron, se trasladaron o fallecieron hace años.
• Puntos únicos de falla en una persona. La única persona que puede correr la nómina, restaurar los servidores u operar la planta. Si una función vive en una sola cabeza, está a una renuncia de detenerse.
• Puntos únicos de falla en un edificio. Los sistemas primarios, los respaldos, los registros vitales y el centro de operaciones de emergencia, todos bajo el mismo techo.
• Sin continuidad de nómina. Ya discutida arriba, y sigue siendo la brecha grave más común que encuentro.
• Planes que nadie ha leído. Una carpeta escrita por un consultor, aprobada por un concejo y abierta por primera vez durante el evento.
• Supuestos no probados. El sitio alterno que se convirtió en bodega, el respaldo que no restaura, el generador sin contrato de combustible.

Si usted es un gobierno o una agencia pequeña que empieza desde cero, no intente escribir el plan perfecto. Haga estas cosas, más o menos en orden:

• Enumere sus funciones esenciales. Apunte a entre cinco y diez, con el tiempo máximo de inactividad permitido para cada una, firmadas por la dirección.
• Escriba órdenes de sucesión con tres niveles de profundidad para sus puestos principales, por cargo, verificadas contra la ley estatal y su estatuto.
• Redacte delegaciones de autoridad que cubran el gasto de emergencia, las decisiones de personal y las declaraciones públicas, con límites.
• Identifique los registros vitales por función, confirme que existen respaldos fuera del sitio e imprima el puñado de documentos que necesitaría el primer día.
• Escriba el procedimiento de continuidad de la nómina.
• Elija su estrategia de reubicación para cada función esencial: remoto, sitio alterno o devolución a un socio, con acuerdos por escrito.
• Construya y pruebe la notificación al personal.
• Realice un ejercicio de mesa de una hora dentro de 90 días, arregle lo que se rompa y ponga el siguiente ejercicio en el calendario antes de que la sala se vacíe.

Conclusiones

• La planificación COOP mantiene sus funciones esenciales en marcha durante cualquier interrupción, no solo los desastres declarados: incendios, ciberataques, pandemias, pérdida de edificios y pérdida de personas clave.
• La disciplina central es admitir que la mayoría de las funciones pueden pausarse. Una lista corta y firmada de funciones esenciales vale más que una carpeta gruesa.
• Los órdenes de sucesión ponen a alguien en la silla; las delegaciones de autoridad definen lo que la silla puede hacer legalmente. Escriba ambas, manténgalas actualizadas e informe a las personas nombradas.
• El trabajo remoto es una estrategia real de continuidad con límites reales. Combínelo con sitios alternos físicos y criterios de activación honestos para cada uno.
• Los registros vitales necesitan respaldos fuera del sitio que usted haya restaurado de verdad, y un respaldo en papel para el día en que todas las pantallas se apaguen. La continuidad de la nómina no es negociable.
• La devolución y la reconstitución son simplemente respuestas planificadas de antemano a “quién hace esto si nosotros no podemos” y “cómo volvemos a casa”.
• El plan que nunca se ha ejercitado fallará. Un ejercicio de mesa de una hora este trimestre vale más que un plan perfecto el próximo año.