BIA Business Impact Analysis.

Lo que realmente hace una BIA

Un Business Impact Analysis responde a una pregunta de la que depende el resto del programa de continuidad: si esta actividad se detiene, ¿qué tan grave llega a ser, y con qué rapidez? Toma cada actividad de negocio, la proyecta en el tiempo y describe las consecuencias de su interrupción en cada intervalo. Algunas actividades duelen en cuestión de minutos, el procesamiento de pagos o el mostrador de admisiones de un hospital. Otras pueden estar caídas durante días antes de que alguien fuera del equipo se dé cuenta. La BIA es lo que separa ambas, de modo que los escasos recursos de recuperación vayan donde el daño se acumula más rápido y no donde se sienta el directivo que más alza la voz.

El impacto se evalúa a través de varias dimensiones, no solo la pérdida de ingresos. La pérdida financiera es la más obvia, pero una BIA seria también captura la exposición regulatoria y legal, las penalizaciones contractuales, la seguridad de las personas y el daño reputacional. Una consecuencia trivial en euros puede ser existencial en términos de confianza. El sentido de mirar a través de las dimensiones es que la actividad que encabeza la lista en dinero rara vez es la misma que encabeza la lista en lo legal o lo de seguridad, y el consejo necesita verlas todas antes de fijar prioridades.

Del impacto a los objetivos

La BIA no se detiene en la descripción. Produce las cifras sobre las que se construye la estrategia de recuperación. A medida que el impacto aumenta con el tiempo, se alcanza el punto en que se vuelve inaceptable. Ese umbral fija el recovery time objective, el periodo máximo tolerable que la actividad puede permanecer caída. El recovery point objective surge del mismo ejercicio en el lado de los datos: cuánto trabajo reciente, medido en tiempo, puede perderse antes de que la interrupción cause un daño inaceptable. El minimum business continuity objective describe el nivel de operación reducido que debe sostener durante la interrupción, no el servicio completo, pero sí lo suficiente para seguir siendo viable.

Estos resultados son la entrada formal de la estrategia de continuidad. Un recovery time objective es un requisito impuesto a la solución de recuperación, no un deseo. Si la BIA dice que una actividad debe estar restablecida dentro de una ventana ajustada, la estrategia y el presupuesto tienen que cumplirlo, o la organización tiene que aceptar conscientemente la brecha. Por eso la BIA es el documento que deberían firmar los responsables de negocio y leer el consejo, en lugar de redactarlo el área de IT de forma aislada.

Dónde se sitúa la BIA en las normas

Bajo ISO 22301, la BIA es un paso obligatorio para establecer un sistema de gestión de la continuidad de negocio. La norma espera que determine las actividades que respaldan la entrega de productos y servicios, evalúe los impactos a lo largo del tiempo de no ejecutarlas y lo use para fijar plazos priorizados de reanudación. La BIA alimenta directamente la evaluación de riesgos y la elección de la estrategia de continuidad. Bajo DORA, la misma lógica se aplica a la resiliencia operativa digital: se espera que las entidades financieras comprendan el impacto de una interrupción sobre sus funciones críticas o importantes, y esa comprensión empieza por un análisis de impacto.

Una BIA no es una evaluación de riesgos, y confundir ambas debilita a las dos. La evaluación de riesgos pregunta qué podría causar una interrupción y qué tan probable es. La BIA es deliberadamente agnóstica respecto a las amenazas: pregunta cuánto duele una interrupción con independencia de la causa, ya sea el desencadenante un ciberataque, una inundación o un proveedor que falla. Se ejecutan como ejercicios complementarios. La BIA le dice qué debe protegerse y con qué rapidez debe recuperarse; la evaluación de riesgos le dice qué es lo más probable que lo amenace. Juntas justifican adónde va la inversión en continuidad.

En la práctica, una BIA se repite según un ciclo y tras un cambio importante, porque las actividades, las dependencias y las tolerancias se desvían. El proveedor que el año pasado era periférico está ahora en su ruta crítica; el proceso que podía perder durante dos días está ahora de cara al cliente. Una BIA con dos reestructuraciones de antigüedad es decoración.