El BCI Emergency & Crisis Communications Report 2026 reporta que el 72,4% de las organizaciones activó su plan de comunicación de emergencia durante los últimos doce meses. En el mismo informe, casi el 90% declara tener un plan formal y más de tres cuartas partes afirman poder activarlo en menos de treinta minutos.
La activación dejó de ser un supuesto de laboratorio y el documento, en general, existe. Lo que sigue abierto en la mayoría de los marcos de continuidad que reviso es otra cosa. Cuando el ejercicio de continuidad del negocio termina y el informe dice que salió bien, casi nunca queda claro qué se probó exactamente y qué siguió sin probarse.
Esa distinción determina si el comité de dirección está tomando decisiones sobre una capacidad medida o sobre la tranquilidad que dejó un ensayo.
¿Qué pide ISO 22301 sobre los ejercicios?
Lo que ISO 22301 exige es un programa de ejercicios, y lo hace en su cláusula 8.5, que en la revisión de 2019 reemplazó a la vieja sub-cláusula de ejercitación y prueba. El programa define calendario, objetivos, alcance, escenarios, participantes y criterios de evaluación, y admite formatos distintos según lo que se quiera verificar.
La diferencia entre programa y evento es lo que se pierde primero cuando la continuidad se gestiona contra una fecha de auditoría. Un evento produce un informe. Un programa produce una serie, y una serie permite comparar.
A eso se suma la cláusula 8.6, que pide evaluar de forma periódica tanto la documentación de continuidad como las capacidades de la organización, y verificar que sigan siendo adecuadas mientras la organización cambia. Las dos cláusulas trabajan juntas: la 8.5 genera la evidencia y la 8.6 obliga a hacer algo con ella.
Para las entidades financieras europeas la exigencia llega además por otra vía, porque el reglamento DORA trata las pruebas de resiliencia operativa digital como un pilar propio. La puerta de entrada a esa obligación es a qué entidades aplica DORA.
¿Qué prueba cada tipo de ejercicio?
Los cuatro formatos que la norma admite prueban capas distintas, y cada uno deja el resto sin tocar.
| Tipo de ejercicio | Qué prueba | Qué queda sin probar | A quién involucra |
|---|---|---|---|
| Revisión documental | Que el plan esté completo, vigente y sin contradicciones internas | Cualquier capacidad de respuesta real | Al equipo que mantiene el plan |
| Ejercicio de mesa (tabletop exercise) | El criterio de decisión del comité y las dependencias entre áreas | Que los sistemas y los canales alternativos respondan | Al comité de crisis y a los responsables de proceso |
| Simulación funcional | Que un procedimiento concreto se ejecute dentro del tiempo objetivo | La reacción de la organización que no participa | Al equipo técnico del ámbito probado |
| Conmutación real | Que la capacidad alternativa sostenga la operación | La detección del evento, porque la conmutación arranca por decisión propia | A la operación del proceso conmutado |
La tabla leída en columna explica una asimetría frecuente en los informes de gobierno. Una organización puede acumular tres años de ejercicios de mesa impecables y no tener una sola evidencia de que su capacidad alternativa sostenga la operación.
El programa se ordena por capas cubiertas. Conviene saber cuáles quedaron probadas en los últimos doce meses y cuáles arrastran más tiempo sin verificarse.
¿Por qué un ejercicio con aviso previo prueba menos de lo que dice el informe?
Un ejercicio anunciado sigue siendo útil y difícil de reemplazar. Lo que hace el aviso previo es neutralizar tres supuestos, y conviene tenerlos anotados al lado de la conclusión del informe.
El primero es la detección. El ejercicio empieza cuando alguien lo anuncia, mientras el evento real empieza cuando alguien lo reconoce y decide escalarlo. Todo el intervalo entre la falla y el momento en que alguien la nombra incidente queda fuera del ensayo.
El segundo es el horario. Los ejercicios se corren en horario laboral, con la gente en su puesto y con las atribuciones de decisión disponibles. La activación de las tres de la mañana de un domingo depende de delegaciones escritas que casi nunca se ponen a prueba.
El tercero es la disponibilidad. En el ejercicio participan los titulares del rol. El día del evento hay vacaciones, licencias, cargos vacantes y personas que asumieron hace tres semanas. Un plan que funciona con los titulares presentes no dice nada sobre su suplencia.
¿Qué se hace con el resultado del ejercicio?
Acá está, en mi experiencia, el punto donde más programas se caen. El ejercicio detecta desvíos, el informe los enumera, y de ahí en adelante el circuito se pierde.
La cláusula 8.6 empuja en la dirección contraria y pide que la evaluación derive en la actualización de la documentación y de los procedimientos. Para que eso ocurra, cada desvío detectado necesita tres atributos desde el día del ejercicio: un responsable con nombre, una fecha de cierre y una comprobación posterior de que quedó resuelto. Sin esa comprobación, el desvío vuelve a aparecer en el ejercicio del año siguiente y se registra como hallazgo nuevo.
Un desvío que se detecta y no se cierra hace algo peor que quedar abierto. Se instala. Es el mismo mecanismo por el cual un atajo operativo se convierte en la norma antes del incidente: si el ejercicio muestra que el procedimiento se saltea y nadie corrige, el ejercicio acaba de documentar la práctica real y de legitimarla.
Ese es también el motivo para desconfiar del informe que concluye que el ejercicio se completó según lo previsto. Un resultado sin desvíos suele indicar un escenario diseñado para confirmar el plan en lugar de tensionarlo, y funciona igual que el porcentaje de cumplimiento que llega al 100% y deja de informar.
¿Conviene un ejercicio grande al año o varios cortos?
La escala tiene un costo de coordinación que rara vez se contabiliza. Un caso publicado por el Business Continuity Institute en mayo de 2026, a partir de un piloto en el British Council, documenta que los equipos aceptan un ejercicio de dos horas con mucha más disposición que uno significativamente más largo, y que a partir de cierta duración el ejercicio se percibe como una interrupción de la operación en lugar de una actividad de desarrollo.
Para un programa de continuidad la consecuencia es práctica. Un formato corto y repetible cubre más capas de la tabla anterior en el mismo año que un único ejercicio de gran escala, y cada repetición permite verificar si el desvío del ejercicio previo quedó cerrado.
El ejercicio mayor conserva su lugar, pero como excepción anual y no como el único ensayo de todo el año. Sostener esa cadencia es un problema de planificación antes que de metodología, y se apoya en tener una vista mes a mes de lo que está programado para cada grupo, área o nivel jerárquico, en lugar de una fecha anual defendida contra el calendario de todos los demás.
¿Qué evidencia deja un programa de ejercicios?
Un auditor que revisa la cláusula 8.5 pregunta por la serie completa del período. Cuatro registros ordenan lo que conviene tener disponible.
- Quién participó en cada ejercicio y con qué rol asignado, contra el directorio vigente.
- Qué desvíos se detectaron, redactados como desvíos y no como observaciones generales.
- Quién quedó responsable de cerrar cada uno y con qué fecha comprometida.
- Dónde consta la comprobación posterior de que ese desvío quedó resuelto.
Conviene ser honesta sobre el alcance de cada herramienta. El programa de ejercicios es responsabilidad del sistema de gestión de continuidad. Lo que sí se apoya en una plataforma de concientización es la capa de las personas alrededor del ejercicio, y ahí SMARTFENSE aporta dos cosas concretas a un marco de continuidad. Una es poder cargar las políticas y procedimientos propios y demostrar por usuario si fue informado o evaluado respecto de cada normativa. La otra es una bitácora donde queda registrada toda actividad de usuarios, administradores y del propio sistema, que permite reconstruir después qué se comunicó y desde cuándo.
La preparación de las personas que no entran en ningún ejercicio es un problema aparte y tiene su propia respuesta, que desarrollé en el plan de continuidad aprobado que nadie sabe ejecutar.
Del informe del ejercicio a la decisión de gobierno
Un ejercicio de continuidad del negocio produce dos cosas distintas y solo una sirve para gobernar. Produce una conclusión, que suele ser tranquilizadora, y produce una lista de desvíos con lo que la organización todavía no puede hacer.
La segunda es la que llega al comité con valor de decisión, porque permite discutir prioridades y presupuesto sobre capacidades faltantes concretas. La primera, leída sola, ocupa el lugar de una garantía que el ejercicio nunca dio.
Tratar el programa de ejercicios con la misma disciplina que ya se aplica al análisis de impacto en el negocio y a los tiempos objetivo de recuperación es lo que convierte la serie de informes anuales en una medición. Ahí la continuidad deja de responder por lo que la organización documentó y empieza a responder por lo que probó.
Preguntas frecuentes
¿Qué exige ISO 22301 sobre los ejercicios de continuidad?
La cláusula 8.5 de ISO 22301 exige un programa de ejercicios con calendario, objetivos, alcance, escenarios, participantes y criterios de evaluación, y admite formatos distintos como la revisión documental, el ejercicio de mesa, la simulación funcional y la conmutación real. La cláusula 8.6 agrega la evaluación periódica de la documentación y de las capacidades de continuidad.
¿Qué diferencia hay entre un ejercicio de mesa y una simulación funcional?
El ejercicio de mesa reúne al comité de crisis a decidir sobre un escenario descrito y prueba el criterio de decisión y las dependencias entre áreas, sin tocar ningún sistema. La simulación funcional ejecuta un procedimiento concreto de recuperación y prueba si se completa dentro del tiempo objetivo comprometido. El primero valida decisiones, el segundo valida capacidad técnica de un ámbito acotado.
¿Por qué un ejercicio con aviso previo prueba menos de lo que parece?
Porque el aviso previo neutraliza tres supuestos que el día del incidente no están resueltos. El ejercicio empieza cuando alguien lo anuncia, mientras el evento real empieza cuando alguien lo reconoce. El ejercicio se corre en horario laboral con los titulares disponibles. Y el ejercicio no atraviesa vacaciones, licencias ni rotación de las personas que figuran en el plan.
¿Cada cuánto conviene ejercitar el plan de continuidad del negocio?
Conviene sostener una cadencia corta y repetible en lugar de un único ejercicio anual de gran escala. Un caso publicado por el Business Continuity Institute en mayo de 2026 documenta que los equipos aceptan un ejercicio de dos horas con mucha más disposición que uno largo, que pasa a percibirse como una interrupción de la operación. La escala mayor sigue teniendo sentido, pero como excepción anual y no como único ensayo del año.
¿Qué evidencia deja un programa de ejercicios ante una auditoría?
Cuatro registros ordenan lo que hay que poder mostrar. Quién participó en cada ejercicio y con qué rol asignado, qué desvíos se detectaron, quién quedó responsable de cerrar cada desvío y con qué fecha, y dónde consta la comprobación posterior de que ese desvío quedó resuelto. Un informe que solo concluye que el ejercicio se completó no responde ninguna de las cuatro.
Deja un comentario