Hacé el ejercicio mentalmente: mañana a la mañana llegás a la oficina y el servidor no enciende. O un ransomware cifró todo. O se inundó el local. O renunció de un día para el otro la única persona que sabía cómo funcionaba el sistema de facturación. ¿Cuánto tiempo puede seguir operando tu empresa? ¿Y cuánto dinero perdés por cada hora caída?
Si no tenés una respuesta clara, no tenés un plan de continuidad del negocio. Y la buena noticia es que armar uno no requiere ser una multinacional: requiere sentarse a pensar antes de que pase, no después.
Qué es (y qué no es) un BCP
Un Plan de Continuidad del Negocio (BCP, por sus siglas en inglés) es el conjunto de procedimientos que permiten que tu empresa siga funcionando —o se recupere lo más rápido posible— ante un incidente grave. No es solo un tema de IT: abarca personas, procesos, proveedores y tecnología.
Un error común es confundirlo con el backup. El backup es una pieza del plan. El BCP responde la pregunta más amplia: "si pasa X, ¿qué hacemos, quién lo hace y en qué orden?".
Por qué una PyME lo necesita tanto o más que una grande
Una corporación tiene espalda financiera para aguantar una semana caída. Una PyME, generalmente, no. Por eso el impacto relativo de un incidente es mucho mayor. Y sin embargo, son justamente las PyMEs las que menos planifican esto, normalmente porque lo perciben como algo caro o complejo. No tiene por qué serlo.
Cómo armar un BCP en 5 pasos
Paso 1 — Identificá tus procesos críticos
No todo es igual de importante. Listá las funciones sin las cuales tu empresa no puede operar: facturar, atender clientes, producir, cobrar, pagar sueldos. Para cada una, anotá de qué sistemas y datos depende.
Paso 2 — Evaluá los riesgos y su impacto
Para cada proceso crítico, pensá qué podría interrumpirlo: falla de hardware, ciberataque, corte de luz prolongado, pérdida de un proveedor clave, ausencia de personal. Estimá el impacto (en dinero y en tiempo) de cada escenario. Esto se llama análisis de impacto (BIA) y es el corazón del plan.
Paso 3 — Definí tus objetivos de recuperación
Acá entran de nuevo el RTO (cuánto tiempo podés estar caído) y el RPO (cuántos datos podés perder) para cada proceso. Facturación tal vez necesite estar arriba en 2 horas; el repositorio de fotos viejas puede esperar dos días. Estos objetivos definen cuánto invertís en cada cosa.
Paso 4 — Diseñá las estrategias de recuperación
Para cada escenario, definí la respuesta concreta:
- Datos: backups 3-2-1 con copias inmutables y restauración probada.
- Infraestructura: redundancia, réplicas en la nube o un entorno de Disaster Recovery (DRaaS) que levante en minutos.
- Conectividad: un segundo enlace de internet de otro proveedor como respaldo.
- Personas: que más de una persona sepa cómo operar cada sistema crítico (matá la dependencia de "el que sabe").
- Proveedores: alternativas identificadas para los servicios clave.
Paso 5 — Documentá, comunicá y probá
Un plan que vive en la cabeza de una persona no sirve. Escribilo de forma clara: quién hace qué, a quién se llama, en qué orden se restauran los sistemas, datos de contacto de proveedores y personal clave. Y lo más importante: probalo. Un simulacro anual revela los agujeros antes de que sea tarde.
El plan de respuesta a incidentes: el primer capítulo
Dentro del BCP, un componente que toda PyME debería tener listo es el plan de respuesta a incidentes: los primeros pasos ante un ataque o falla grave. Quién detecta, quién decide, a quién se notifica (clientes, proveedores, autoridades si corresponde), cómo se aísla el problema para que no se propague. Tener esto escrito ahorra un caos enorme en el peor momento.
Errores frecuentes
- Pensar que "a nosotros no nos va a pasar". La estadística dice lo contrario.
- Tener el plan, pero nunca probarlo. Un backup sin restauración probada es una ilusión.
- Depender de una sola persona. Si se enferma o renuncia, el plan se cae con ella.
- No actualizar el plan. La empresa cambia; el plan tiene que cambiar con ella.
Conclusión
Un plan de continuidad no es un documento para guardar en un cajón y cumplir con una auditoría. Es la diferencia entre una empresa que un mal día pierde unas horas y otra que, ante el mismo incidente, no se recupera nunca. Empezá simple: identificá lo crítico, protegé los datos, documentá los pasos y probá una vez por año. Ese mínimo ya te pone por delante de la enorme mayoría de las PyMEs.
