La doctrina de continuidad de operaciones (continuity of operations) en los Estados Unidos se construyó para departamentos federales con gerentes de continuidad, sitios alternos reforzados y una línea de presupuesto propia, y las plantillas lo demuestran. Una oficina de gestión de emergencias de tres personas, un taller de radio de dos personas o un cuerpo de bomberos voluntarios pequeño recibe los mismos formularios y se detiene en algún punto cercano a la hoja de trabajo de análisis de procesos de negocio (business process analysis worksheet). Las preguntas de fondo siguen aplicando, porque un equipo de tres personas es precisamente el que tiene más probabilidad de perder toda su capacidad por un solo accidente de tránsito. Lo que sigue es cómo responder esas preguntas a una escala que una jurisdicción pequeña pueda redactar en una semana y realmente mantener actualizada.

Tres personas y una plantilla escrita para un departamento de gabinete

FEMA publica orientación sobre continuidad para organizaciones no federales en la Circular de Orientación sobre Continuidad (Continuity Guidance Circular), y la edición de 2018 consolidó las dos circulares anteriores en un solo documento dirigido a gobiernos estatales, locales, tribales y territoriales junto con socios del sector privado. La circular es la referencia correcta, y la agencia también mantiene un kit de herramientas de recursos de continuidad (continuity resource toolkit) con plantillas y hojas de trabajo, así que verifique en el sitio de FEMA cuál es la edición vigente en lugar de trabajar con una copia que alguien le envió por correo electrónico en 2015. El poder ejecutivo federal opera bajo un conjunto separado de directivas de continuidad que no obligan a un condado, lo cual importa porque buena parte de la carga de papeleo que la gente asocia con la planificación de continuidad proviene de esos requisitos federales.

La circular enumera un conjunto de elementos del programa, y los cuatro que el propietario de este sitio me pidió abordar, funciones esenciales (essential functions), órdenes de sucesión (orders of succession), delegaciones de autoridad (delegations of authority) y registros vitales (vital records), son los que sostienen la estructura. La lista es más larga que eso, y agrega instalaciones de continuidad (continuity facilities), comunicaciones de continuidad (continuity communications), recursos humanos, devolución (devolution), reconstitución (reconstitution) y un requisito de probar, capacitar y ejercitar todo el arreglo. Una agencia grande trata cada elemento como un capítulo con un responsable. Una agencia pequeña puede tratar cada uno como un párrafo o una tabla, y el plan sigue siendo un plan de continuidad siempre que las respuestas sean concretas y alguien fuera de la oficina pueda encontrarlas.

Lo que hace genuinamente distinta la versión para una agencia pequeña es la concentración del conocimiento. En un departamento de tres personas, una tiene las credenciales administrativas del sistema de radio, otra sabe qué reembolsos de subvenciones están pendientes y cuáles están cerrados, y otra tiene el número celular del supervisor del despachador para llamarlo a las dos de la madrugada. Nadie escribió nada de esto porque las tres personas se ven todos los días, lo cual funciona hasta el día en que una de ellas no llega. La falla de continuidad en las jurisdicciones pequeñas casi nunca es un edificio destruido, y con frecuencia es una persona que está en el hospital, en un avión, en un funeral fuera del estado, o que consiguió empleo en otra parte con una mejor pensión.

Funciones esenciales, reducidas a cinco o menos

Una función esencial es algo que su organización debe seguir haciendo, o reanudar rápidamente, porque detenerla causa daño, incumple una obligación legal o le impide cumplir su parte de la respuesta. La práctica de continuidad separa eso de la lista mucho más larga de cosas que normalmente hace, y esa separación es la parte difícil, porque todo lo que aparece en la lista de tareas de una agencia pequeña le parece esencial a la persona que lo realiza. La prueba que yo uso es una pregunta de tiempo de inactividad formulada de tres maneras. Si dejáramos de hacer esto durante doce horas, quién sale lastimado o qué se incumple legalmente. Después haga la misma pregunta a los tres días, y otra vez a los treinta días. Una función que no produce ninguna respuesta a los treinta días no es esencial, y una función que produce una mala respuesta a las doce horas va hasta arriba de la lista.

Para una oficina pequeña de gestión de emergencias, la lista suele quedar cerca de esto: recibir y atender una solicitud de asistencia a cualquier hora del día, notificar y alertar al público, mantener la capacidad legal de declarar una emergencia y de solicitar asistencia estatal, conservar el registro de solicitudes de recursos y gastos del que depende un reembolso futuro, y dotar de personal el Centro de Operaciones de Emergencia (Emergency Operations Center, EOC) cuando se activa. Para un cuerpo de bomberos pequeño agregue la disponibilidad de unidades y de personal, y para un punto de respuesta de seguridad pública (public safety answering point, PSAP) de dos posiciones, toda la lista puede reducirse a contestar el 911 y despachar, lo cual vale la pena escribir precisamente porque todo el mundo lo asume y nadie ha verificado qué pasa cuando ambas consolas quedan apagadas.

Escriba cada función con una tolerancia de inactividad al lado y el personal y equipo mínimo que requiere, porque ese emparejamiento es lo que permite decidir el resto del plan. Si contestar la línea administrativa publicada tiene una tolerancia medida en horas, entonces el plan tiene que decir cómo se reenvía ese número a un celular y quién está autorizado para ordenarle al operador o a la oficina de informática del condado que lo haga. El trabajo de continuidad de negocio llama a esto un tiempo máximo tolerable de inactividad (maximum tolerable downtime) o un objetivo de tiempo de recuperación (recovery time objective), y el estándar antes publicado como NFPA 1600 se incorporó a un estándar consolidado de NFPA sobre gestión de emergencias, continuidad y crisis, así que verifique la designación y la edición vigentes con NFPA antes de citarlo en un plan.

Órdenes de sucesión que sobreviven a un solo vehículo

Un orden de sucesión responde quién ocupa el puesto y su autoridad cuando el titular no está disponible, y se escribe por cargo en lugar de por nombre para que no quede obsoleto cada vez que alguien se jubila. El estándar habitual es de tres niveles de profundidad, lo cual en una oficina de tres personas obliga a que el tercer sucesor venga de fuera de la organización, y ahí es donde las agencias pequeñas se estancan, porque la respuesta honesta lo lleva a un jefe de bomberos, un director de obras públicas, el administrador del condado, o el director de gestión de emergencias del condado vecino bajo una designación recíproca.

La sucesión también tiene que sobrevivir a un evento de causa común. Si los tres nombres viajan a una reunión regional en un mismo vehículo, trabajan en el mismo edificio, y contrajeron el mismo virus respiratorio en una capacitación esa semana, entonces el orden de sucesión que los enumera a los tres no ha logrado nada. Revise la lista contra la pregunta de qué evento único podría eliminar a todas las personas en ella, y si encuentra uno, extienda la lista hasta que no pueda encontrarlo.

Parte de esto está limitado por la ley y no por la preferencia. Muchos estados tienen disposiciones de sucesión interina de emergencia para cargos locales, varias de ellas derivadas de legislación modelo que circuló durante la era de defensa civil y que fue adoptada en formas distintas, y algunas autoridades están ligadas a un cargo electo y no pueden transferirse en absoluto a un empleado designado. Pida a su abogado de condado o de ciudad que lea su orden de sucesión y le diga por escrito cuáles de sus eslabones son legalmente efectivos y cuáles son meramente operativos, y confirme el marco legal con la agencia estatal de gestión de emergencias en lugar de suponer que el arreglo de su vecino se traslada tal cual.

La parte mecánica es la que más se salta. Alguien tiene que saber que la sucesión ocurrió, lo que significa que el plan debe nombrar quién toma esa determinación, cómo se notifica al sucesor, y a quién más se le informa. Como mínimo, la lista de notificación incluye su centro de despacho, el ejecutivo principal de la jurisdicción, el abogado del condado, la oficina de finanzas que verá la firma del sucesor en una compra, y el oficial de guardia de la agencia estatal de gestión de emergencias. Un sucesor con plena autoridad legal y sin manera de demostrarlo ante el funcionario de finanzas va a pasar el primer día del incidente discutiendo en lugar de trabajando.

Delegaciones de autoridad con límites, disparadores y una fecha de vencimiento

La sucesión dice quién está a cargo, y una delegación de autoridad dice qué le está permitido hacer a esa persona, lo cual es un documento separado porque a menudo las dos cosas no coinciden. Un adjunto puede ser el primero en el orden de sucesión y aun así no tener autoridad de firma sobre una compra, ninguna capacidad para firmar una solicitud de recursos estatales, y ninguna posición para activar un acuerdo de ayuda mutua. La doctrina de continuidad trata las delegaciones como un elemento distinto exactamente por esa razón, y es el elemento que con más frecuencia encuentro ausente en las jurisdicciones pequeñas.

Una delegación utilizable nombra la autoridad que se delega, el cargo que la recibe, el disparador que la activa, cualquier limitación sobre ella, y cuánto dura. Escriba los límites como números. Compras de emergencia hasta una cifra determinada en dólares sin aprobación adicional, autoridad para firmar una solicitud de asistencia estatal, autoridad para comprometer personal bajo el acuerdo estatal de ayuda mutua (statewide mutual aid agreement), autoridad para divulgar información pública sin revisión previa, y autoridad para ordenar una acción de protección específica si la ley de su estado realmente permite que ese funcionario la ordene. Fije una duración, algo como setenta y dos horas o hasta que el titular reanude sus funciones, y exija que el sucesor reporte cada acción tomada bajo la delegación cuando el titular regrese. Ese requisito de reporte es lo que hace que los funcionarios electos estén dispuestos a firmar el documento.

El dinero es donde las delegaciones se justifican, y también es donde crean exposición ante auditorías. Los requisitos administrativos uniformes federales del título 2 CFR parte 200 (2 CFR part 200) permiten adquisiciones no competitivas bajo circunstancias de emergencia o urgencia, y esperan que usted documente la circunstancia, la razonabilidad del precio y la razón por la cual la competencia no fue viable. Esa documentación es lo que se examina años después durante un cierre de Asistencia Pública (Public Assistance), así que la delegación debe establecer en términos claros que la persona que ejerce la autoridad de compra de emergencia crea un registro escrito en el momento de los hechos. Confirme las expectativas vigentes de adquisiciones con su agencia administradora estatal y con la orientación de adquisiciones publicada por FEMA, porque los umbrales y la orientación han cambiado con los años.

Conserve los originales firmados en más de un lugar, y tenga en cuenta que la duración de una declaración de emergencia local antes de que el órgano de gobierno deba ratificarla o extenderla varía considerablemente de un estado a otro. Verifique su propio límite en el código de su estado con su abogado, porque una declaración que vence silenciosamente al octavo día se lleva consigo su autoridad de compra de emergencia.

Registros vitales y dónde vive la única copia

La doctrina de continuidad divide los registros vitales (vital records) en los que necesita para operar durante una emergencia y los que protegen los derechos legales y financieros de la organización y de las personas a las que sirve. El primer grupo es el material que su sucesor necesita en la primera hora, y para una agencia pequeña es corto: el plan de operaciones de emergencia (emergency operations plan) y su anexo de notificación, la lista de llamadas vigente con números fuera de horario, los acuerdos de ayuda mutua y los contactos que pueden activarlos, los planes previos al incidente para sus instalaciones más críticas, los archivos de programación de radio y los registros de frecuencias con los contactos del administrador del sistema, y las delegaciones y el orden de sucesión mismos. El segundo grupo incluye los registros de personal y nómina, los archivos de credenciales y licencias, las pólizas de seguro, los archivos de subvenciones activas con sus plazos y saldos no liquidados, los contratos y acuerdos de compra, las escrituras y arrendamientos, y la documentación de gastos que respalda cualquier reembolso abierto.

Para cada elemento, responda por escrito dos preguntas. Dónde está la única copia, y si alguien distinto de la persona que la creó puede recuperarla sin esa persona, el edificio o la red. Una unidad compartida que solo autentica a través de un controlador de dominio en el sótano del palacio de justicia es un punto único de falla con pasos adicionales. Una carpeta impresa en la instalación alterna no es elegante, y es legible durante un corte de energía por un sucesor que no tiene su contraseña.

Pruebe la restauración y no la copia de respaldo, y póngale fecha a la prueba. He visto agencias descubrir durante un corte real que la copia de respaldo nocturna llevaba meses fallando en silencio, o que la copia existía y nadie presente tenía las credenciales para restaurar a partir de ella. Mientras está en eso, trate las credenciales como un elemento de continuidad por derecho propio, porque en un taller pequeño una sola persona suele tener acceso administrativo al sistema de radio, al sistema de radiollamada, a la plataforma de notificación masiva (mass notification platform) y a la interfaz del sistema de despacho asistido por computador (Computer-Aided Dispatch, CAD). Los archivos estatales o la agencia estatal de gestión de registros de su estado publican cronogramas de retención para los registros de gobierno local, y esos cronogramas le dicen cuáles elementos del segundo grupo está legalmente obligado a conservar, así que obtenga el cronograma vigente de esa agencia en lugar de adivinar.

Instalaciones alternas que puede conseguir sin dinero

Nada en la doctrina de continuidad exige un Centro de Operaciones de Emergencia alterno reforzado con piso técnico elevado. El requisito es un lugar donde se puedan realizar sus funciones esenciales, y para una jurisdicción pequeña la especificación honesta es un cuarto con energía eléctrica, un baño, estacionamiento, una puerta con seguro, una vía de comunicación funcional, y un ocupante que le abra la puerta a las tres de la madrugada. Estaciones de bomberos, plantas de tratamiento de agua, oficinas de juntas escolares, bibliotecas, talleres del departamento de vías del condado, salas de conferencias de hospitales y el palacio de justicia del pueblo vecino han servido todos como instalación alterna de alguien, y ninguno costó más que un acuerdo.

La única regla que no flexibilizaría es la diversidad de exposición. Revise si la instalación alterna comparte una alimentación de subestación, una ruta de fibra o un enlace de microondas, una llanura de inundación, una exposición a incendios forestales o una vía de acceso con la instalación primaria, y siga revisando hasta poder dar cuenta de cada uno de esos aspectos. He visto un EOC alterno designado a doscientos metros detrás del primario, dentro del mismo campus y servido por un solo generador, lo cual satisfacía una lista de verificación y no habría sobrevivido ningún evento lo bastante grave como para que alguien tuviera que abandonar el primer edificio. Una distancia suficiente para escapar del peligro y suficientemente cercana para que su gente pueda llegar es una decisión de criterio, y le corresponde a alguien que conozca los peligros locales y no a una plantilla.

Redacte el arreglo como un memorando de entendimiento (memorandum of understanding, MOU) de una página que nombre el cargo al que hay que llamar, el horario, qué espacio y mobiliario obtiene, si puede pre posicionar un depósito de suministros, quién abre la puerta, y cómo se le reembolsa al anfitrión si corresponde. Después pruebe el acceso, porque los sistemas de credenciales y el control de llaves derrotan más planes de instalaciones alternas que los propios peligros. Entre una vez al año, conecte los equipos, haga una llamada de radio y una llamada telefónica, abra los registros que llevó, y anote qué no funcionó. Un kit de salida (go-kit) con un radio portátil y su cargador, una copia impresa de los registros vitales, un computador portátil, un punto de acceso celular y una lista de llamadas impresa convierten una sala de conferencias prestada en una oficina funcional, y es la inversión de continuidad más económica disponible para una agencia pequeña.

Devolución, ayuda mutua y el regreso después

La devolución responde una pregunta más difícil que la sucesión, que es qué pasa cuando la función tiene que trasladarse por completo a otra organización porque a su agencia no le queda capacidad. En un departamento de tres personas ese no es un escenario exótico, porque dos personas fuera y una persona al otro lado de un río inundado bastan para producirlo. El socio de devolución para una jurisdicción pequeña generalmente es el condado, una jurisdicción vecina de tamaño similar bajo un acuerdo recíproco, o el estado, y el arreglo solo funciona si la organización receptora tiene su lista de funciones esenciales, su lista de llamadas, sus delegaciones y sus registros antes del evento y no durante este.

La ayuda mutua dentro de un mismo estado generalmente opera mediante un acuerdo estatal administrado por la agencia estatal de gestión de emergencias, y la mayoría de los estados tienen uno al que los gobiernos locales se adhieren por resolución, así que confirme con su agencia estatal si su jurisdicción es signataria y quién firmó. La asistencia entre estados se mueve bajo el Pacto de Asistencia para la Gestión de Emergencias (Emergency Management Assistance Compact, EMAC), que el Congreso ratificó en 1996 y que se administra a través de la Asociación Nacional de Gestión de Emergencias (National Emergency Management Association), y es un mecanismo de estado a estado al que una agencia local accede pidiéndole al estado y no llamando directamente a otro estado. Ninguno de esos dos mecanismos ayuda si la persona que sabía cómo hacer la solicitud es precisamente la que le falta, razón por la cual el procedimiento de solicitud pertenece a la primera página del plan de continuidad, con el formulario adjunto.

La reconstitución es la parte que todos dejan en blanco. Decida de antemano quién determina que la agencia vuelve a ser capaz, qué debe cumplirse antes de que la función regrese, y qué se reporta al órgano de gobierno cuando eso ocurre. En la práctica, el regreso es más complicado que la salida, porque los registros creados en el sitio alterno o por el socio de devolución tienen que reincorporarse a sus propios archivos, las compras hechas bajo una delegación tienen que reconciliarse, y el personal que trabajó para el comandante de incidente de otra organización durante dos semanas tiene que ser liberado correctamente con su tiempo documentado. Escriba un párrafo sobre cada uno de esos tres puntos y habrá cubierto más terreno de reconstitución que la mayoría de los planes de agencias pequeñas.

Mantener vivas cinco páginas durante diez años

Un plan de continuidad para una agencia de tres personas debería tener entre cinco y quince páginas, y la razón para mantenerlo corto no tiene nada que ver con el esfuerzo. Cada página que escribe es una página que alguien tiene que mantener, y un plan demasiado grande para revisarse en una hora no se va a revisar, después de lo cual se convierte en un documento que nombra a un jefe ya jubilado, un número de teléfono desconectado y una instalación que cambió de dueño. Eso es peor que no tener plan, porque la gente confía en él.

Ate la revisión a algo que ya ocurre en el calendario. La presentación del presupuesto, el nombramiento anual de funcionarios en la reunión organizativa de enero, el aniversario de la adopción del plan, o el mismo mes en que renueva sus resoluciones de ayuda mutua funcionan todos, y lo que importa es que el disparador sea un evento que nadie pueda olvidar y no una buena intención. Ponga una fecha de revisión y un número de revisión en la portada, y haga que el cambio de personal sea un disparador inmediato, de modo que la semana en que alguien es contratado, promovido o separado, el orden de sucesión, las delegaciones y el inventario de credenciales se actualicen en lugar de esperar al ciclo anual.

Las pruebas se reducen de escala sin problema si prueba un elemento a la vez. Una llamada sin previo aviso al segundo sucesor preguntándole qué haría en los próximos diez minutos toma quince minutos y encuentra más problemas que un ejercicio de mesa. Reenviar la línea administrativa publicada a un celular y de vuelta toma una tarde y le dice si alguien realmente tiene esa autoridad ante el operador. Restaurar un archivo desde la copia de respaldo es una prueba única con un hallazgo único, y lo mismo es entrar a la instalación alterna con el kit de salida o hacer que la oficina de finanzas confirme que honraría la firma del sucesor. Anote el hallazgo con una fecha y un nombre junto a la corrección, porque el registro de lo que probó es la evidencia de que el plan es real, y también es lo primero que va a leer la próxima persona que ocupe su puesto.

Qué hacer en su agencia

• Haga que el director o el jefe escriba este mes la lista de funciones esenciales en una sola página, con una tolerancia de inactividad y el personal y equipo mínimo junto a cada función, y deténgase en cinco entradas a menos que una sexta sobreviva la pregunta de los treinta días.
• Pida por escrito a su abogado de condado o de ciudad que revise su orden de sucesión y sus delegaciones de autoridad y que indique cuáles autoridades son legalmente transferibles y cuáles están ligadas a un cargo electo, y archive la respuesta junto con el plan.
• Extienda el orden de sucesión a por lo menos un cargo fuera de su departamento, obtenga una designación recíproca por escrito de ese funcionario o del director de gestión de emergencias de una jurisdicción vecina, y notifique a su centro de despacho y al oficial de guardia de la agencia estatal de gestión de emergencias quiénes son los sucesores.
• Haga que quien administre cada sistema crítico agregue un segundo administrador nombrado, correspondiente a una persona distinta, y produzca un inventario escrito de quién tiene cuáles credenciales, almacenado junto con los registros vitales y no en la red principal.
• Elija la instalación alterna, confirme que no comparte alimentación eléctrica, vía de comunicación, llanura de inundación o vía de acceso con la instalación primaria, y firme un memorando de entendimiento de una página que nombre el cargo al que hay que llamar y quién abre la puerta.
• Restaure este mes un registro vital desde la copia de respaldo, frente a un testigo, y anote la fecha, el archivo y si funcionó, y luego incluya esa prueba en el mismo calendario anual que la presentación de su presupuesto.
• Agregue un punto permanente a una agenda existente de reunión de personal o del concejo que exija revisar el orden de sucesión, las delegaciones y el inventario de credenciales cada vez que alguien sea contratado, promovido o separado.

Puntos clave

• La Circular de Orientación sobre Continuidad de FEMA es la referencia correcta para organizaciones no federales, la edición de 2018 consolidó las dos circulares que la precedieron, y las directivas federales de continuidad que generan la mayor parte de la carga de papeleo aplican a las agencias del poder ejecutivo federal y no al gobierno local.
• Las funciones esenciales se deciden preguntando qué se rompe a las doce horas, a los tres días y a los treinta días, y una agencia de tres personas que termina con más de cinco o seis de ellas no ha terminado de recortar.
• Un orden de sucesión se escribe por cargo, tiene al menos tres niveles de profundidad, y en un departamento pequeño tiene que extenderse fuera del departamento, porque una lista de tres personas que comparten un edificio y un vehículo documenta un solo punto de falla tres veces.
• La sucesión y la delegación de autoridad son documentos separados, y una delegación solo es utilizable si establece el disparador, los límites en dólares, la duración y el requisito de reportar las acciones tomadas cuando el titular regresa.
• La adquisición de emergencia bajo la orientación uniforme federal del título 2 CFR parte 200 está permitida en circunstancias de urgencia, pero debe documentarse en el momento de los hechos, así que la delegación debe decirlo, y los umbrales vigentes deben confirmarse con su agencia administradora estatal.
• La planificación de registros vitales se reduce a determinar dónde vive la única copia y si alguien distinto de su autor puede recuperarla sin el edificio, la red o la contraseña de esa persona, y la prueba que cuenta es una restauración y no una copia de respaldo.
• Una instalación alterna necesita energía eléctrica, un baño, una puerta con seguro, una vía de comunicación y una exposición a peligros distinta de la instalación primaria, y el arreglo debe ser un memorando firmado de una página con acceso probado, en lugar de una suposición sobre la sala de conferencias de un vecino.
• La devolución al condado, a una jurisdicción vecina o al estado solo funciona si la organización receptora ya tiene su lista de funciones, su lista de llamadas, sus delegaciones y sus registros, y la ayuda entre estados se mueve a través del Pacto de Asistencia para la Gestión de Emergencias, ratificado por el Congreso en 1996, como una solicitud de estado a estado.
• Mantenga el documento entre cinco y quince páginas, ate su revisión a un evento que ya esté en el calendario, haga que el cambio de personal sea un disparador inmediato, y registre cada prueba de un solo elemento con una fecha y un nombre.