D17 · L3 · 01 — L2 · Business Continuity & Crisis ManagementL2 · Continuidad del Negocio y Gestión de Crisis

Business continuity planning (ISO 22301)Planeación de continuidad de negocio (ISO 22301)

The BIA is the hard part: deciding which processes can wait — and for how long — before the business bleeds.

El BIA es la parte difícil: decidir qué procesos pueden esperar — y cuánto — antes de que el negocio sangre.

01What it isQué es

Business continuity planning prepares the organization to keep its critical activities running at an acceptable level during a disruption. ISO 22301 is the international standard for the management system behind it; the business impact analysis (BIA) is its core.

La planeación de continuidad del negocio prepara a la organización para mantener sus actividades críticas a un nivel aceptable durante una disrupción. ISO 22301 es la norma internacional del sistema de gestión que la respalda; el análisis de impacto al negocio (BIA) es su núcleo.

02Why it mattersPor qué importa

A plan written without a BIA protects whatever was easiest to document, not what matters most. The BIA sets, for each activity, the maximum tolerable period of disruption and the recovery time objective, which then drive every resource decision (ISO 22301:2019; ISO/TS 22317:2021 for BIA guidance).

Un plan escrito sin BIA protege lo que fue más fácil de documentar, no lo que más importa. El BIA define, para cada actividad, el periodo máximo tolerable de interrupción y el objetivo de tiempo de recuperación, que luego guían cada decisión de recursos (ISO 22301:2019; ISO/TS 22317:2021 como guía de BIA).

03How it is doneCómo se hace

1
Run the BIA. For each process, estimate the financial, customer and regulatory impact by day of outage and set its maximum tolerable downtime.
2
Choose continuity strategies. Decide how each critical process continues: alternate site, alternate supplier, manual workaround or stock.
3
Exercise and maintain. Test the plan at least yearly and update it when the network, people or suppliers change.
1
Haz el BIA. Para cada proceso, estima el impacto financiero, en clientes y regulatorio por día de interrupción y fija su tiempo máximo tolerable.
2
Elige estrategias de continuidad. Decide cómo continúa cada proceso crítico: sitio alterno, proveedor alterno, proceso manual o inventario.
3
Ejercita y mantén. Prueba el plan al menos una vez al año y actualízalo cuando cambien la red, las personas o los proveedores.

04The concept in depthEl concepto a fondo

🏛️Business impact analysis: the prioritization engine›
The BIA ranks processes by the cost-over-time of their interruption, producing recovery time objectives (RTO) and, for data, recovery point objectives (RPO). Its honesty determines everything downstream: if every process claims criticality, the plan protects nothing. A disciplined BIA forces the uncomfortable ordering — order capture before payroll? production scheduling before reporting? — and documents the tolerable outage per process, which becomes the requirement the continuity strategy must meet.
🔍From plan to management system›
A binder of procedures is not continuity capability. ISO 22301 frames continuity as a management system: leadership accountability, defined scope, recurring BIA refresh, exercised plans, measured results, and corrective loops. The operational test is simple: when did the plan last run against a real or simulated event, and what changed afterward? A plan with no exercise history and no revision log is documentation, not capability.
🏛️Análisis de impacto al negocio: el motor de priorización›
El BIA ordena los procesos según el costo en el tiempo de su interrupción, y produce objetivos de tiempo de recuperación (RTO) y, para los datos, objetivos de punto de recuperación (RPO). Su honestidad lo determina todo aguas abajo: si todos los procesos se declaran críticos, el plan no protege nada. Un BIA disciplinado obliga al orden incómodo —¿la captura de pedidos antes que la nómina? ¿la programación de producción antes que los reportes?— y documenta la interrupción tolerable por proceso, que se vuelve el requisito que la estrategia de continuidad debe cumplir.
🔍Del plan al sistema de gestión›
Una carpeta de procedimientos no es capacidad de continuidad. La ISO 22301 plantea la continuidad como un sistema de gestión: responsabilidad de la dirección, alcance definido, actualización recurrente del BIA, planes ejercitados, resultados medidos y ciclos de corrección. La prueba operativa es simple: ¿cuándo se corrió el plan por última vez contra un evento real o simulado, y qué cambió después? Un plan sin historial de ejercicios ni bitácora de revisiones es documentación, no capacidad.

05How it is measuredCómo se mide

Critical processes with tested plans
Share of BIA-critical processes whose continuity plan was exercised in the last 12 months.
RTO achievement
Share of exercises or real events where recovery met the recovery time objective.
Procesos críticos con plan probado
Porcentaje de procesos críticos del BIA cuyo plan de continuidad se ejercitó en los últimos 12 meses.
Cumplimiento de RTO
Porcentaje de ejercicios o eventos reales donde la recuperación cumplió el objetivo de tiempo.

06What you would useQué se usa

Fusion Risk Management, Archer and ServiceNow Business Continuity Management support BIA and plan maintenance; smaller companies run it well in structured documents.

Fusion Risk Management, Archer y ServiceNow Business Continuity Management apoyan el BIA y el mantenimiento de planes; empresas más pequeñas lo llevan bien en documentos estructurados.

The bottom lineEn corto

Decide first what cannot stop and for how long; the rest of the plan follows from that.

Decide primero qué no puede detenerse y por cuánto tiempo; el resto del plan se desprende de eso.

← PreviousAnteriorResilience metrics & ROR governanceMétricas de resiliencia y gobernanza RORNextSiguiente →Crisis response & command structuresRespuesta a crisis y estructuras de comando

All D17 componentsTodos los componentes de D17D17 artifactsArtifacts de D17SCRA