ISO 22301: continuidad del negocio y certificación
ISO 22301 establece los requisitos para un sistema de gestión de continuidad del negocio. Ayuda a las organizaciones a prepararse para responder ante interrupciones, mantener productos y servicios prioritarios a una capacidad previamente definida y recuperar sus actividades de manera ordenada.
La norma puede aplicarse a organizaciones de cualquier tamaño y sector, tanto públicas como privadas, y considera personas, procesos, tecnología, instalaciones, información, proveedores y otras dependencias necesarias para la operación.
Explorar todas las certificaciones ISO →
¿Qué es ISO 22301 y para qué sirve?
ISO 22301 es la norma internacional que establece los requisitos para implementar, mantener y mejorar un sistema de gestión de continuidad del negocio, también conocido como SGCN. Su propósito es que la organización comprenda sus prioridades, dependencias y necesidades de recuperación antes de que ocurra una interrupción.
El sistema permite analizar los impactos que una interrupción podría provocar, evaluar escenarios de riesgo, establecer estrategias, definir planes, asignar responsabilidades y comprobar mediante ejercicios si las soluciones previstas pueden funcionar en condiciones realistas.
La certificación evalúa el sistema de gestión dentro de un alcance definido. No certifica un plan aislado ni garantiza que nunca ocurran interrupciones.
ISO 22301 de un vistazo
Datos esenciales sobre la edición vigente, su alcance y el desarrollo de una futura revisión.
| Nombre | ISO 22301 — Sistemas de gestión de la continuidad del negocio |
|---|---|
| Edición vigente | ISO 22301:2019, segunda edición |
| Enmienda | ISO 22301:2019/Amd 1:2024 |
| Edición anterior | ISO 22301:2012, retirada |
| Revisión en desarrollo | Tercera edición en desarrollo; todavía no publicada |
| Tipo de certificación | Certificación de un sistema de gestión dentro de un alcance definido |
| Aplicación | Organizaciones de cualquier tamaño, sector o naturaleza |
| Objeto | Preparar, responder, mantener prioridades y recuperarse ante interrupciones |
| Alcance | Puede cubrir toda la organización o una parte claramente delimitada |
| Integración | Puede coordinarse con otros sistemas de gestión ISO |
ISO 22301:2019 y su Enmienda 1:2024 continúan siendo la referencia publicada y vigente. La futura tercera edición todavía se encuentra en desarrollo y sus contenidos pueden cambiar.
¿Por qué gestionar la continuidad del negocio?
Las interrupciones no afectan únicamente a la tecnología. También pueden comprometer personal, instalaciones, información, proveedores, transporte, servicios públicos, comunicaciones y decisiones críticas. Cuando estas dependencias no se conocen o no están preparadas, una interrupción puede extenderse y afectar la entrega de productos y servicios.
- Dependencia de personas clave
- Dependencia de sistemas y datos
- Proveedores críticos sin alternativa
- Instalaciones únicas
- Concentración logística
- Servicios públicos vulnerables
- Procesos manuales no documentados
- Información sin respaldo suficiente
- Comunicación de crisis insuficiente
- Prioridades de recuperación no definidas
- Planes no probados
- Interdependencias desconocidas
ISO 22301 ayuda a relacionar estos elementos dentro de un sistema de gestión, de modo que la organización pueda tomar decisiones basadas en prioridades, impactos y capacidades reales.
¿Para qué sirve ISO 22301?
La norma proporciona una estructura para preparar la continuidad antes de una interrupción, responder durante el incidente y mejorar después de ejercicios o eventos reales.
- 01
Comprender el contexto
Identificar factores internos y externos que pueden influir en la continuidad del negocio.
- 02
Definir el alcance
Delimitar las unidades, ubicaciones, productos, servicios y actividades cubiertos por el sistema.
- 03
Identificar prioridades
Reconocer los productos, servicios y actividades que requieren una recuperación prioritaria.
- 04
Analizar impactos
Comprender cómo aumentan los efectos de una interrupción a medida que transcurre el tiempo.
- 05
Evaluar riesgos
Identificar escenarios, amenazas y vulnerabilidades que pueden provocar interrupciones.
- 06
Definir estrategias
Seleccionar soluciones que permitan mantener o recuperar actividades prioritarias.
- 07
Establecer planes
Documentar responsabilidades, criterios de activación, comunicaciones y procedimientos de respuesta.
- 08
Preparar la comunicación
Definir cómo se coordinará la información con personal, clientes, proveedores y otras partes interesadas.
- 09
Realizar ejercicios
Comprobar supuestos, responsabilidades, tiempos y capacidades mediante pruebas planificadas.
- 10
Evaluar y mejorar
Utilizar resultados de ejercicios, incidentes, auditorías y revisiones para fortalecer el sistema.
Comprender el contexto
Definir el alcance
Identificar prioridades
Analizar impactos
Evaluar riesgos
Definir estrategias
Establecer planes
Preparar la comunicación
Realizar ejercicios
Evaluar y mejorar¿Qué tipos de interrupciones puede considerar un SGCN?
La continuidad del negocio no se limita a terremotos, incendios o pandemias. El análisis debe considerar escenarios relevantes para el contexto, las dependencias y los servicios de cada organización.
Tecnológicas
Fallas de infraestructura, aplicaciones, centros de datos, comunicaciones, energía o servicios en la nube.
Cibernéticas
Ransomware, pérdida de disponibilidad, afectación de datos, accesos no autorizados o interrupciones provocadas por terceros.
Operativas
Errores de proceso, fallas de maquinaria, pérdida de capacidad productiva o indisponibilidad de recursos críticos.
Humanas
Ausencia de personal clave, errores humanos, conflictos laborales o pérdida de conocimiento especializado.
Cadena de suministro
Fallas de proveedores, retrasos logísticos, escasez de materiales o interrupción de servicios externalizados.
Instalaciones y servicios públicos
Pérdida de edificios, incendios, inundaciones, fallas eléctricas, telecomunicaciones o acceso restringido.
Sanitarias y naturales
Pandemias, contingencias sanitarias, sismos, huracanes, inundaciones, incendios forestales u otros fenómenos.
Sociales y geopolíticas
Conflictos, bloqueos, disturbios, restricciones regulatorias, cierres de fronteras o cambios en el entorno.
La norma no exige predecir todos los eventos posibles. Busca que la organización comprenda sus prioridades, dependencias y capacidades para responder ante interrupciones relevantes.
BIA y evaluación de riesgos: dos análisis complementarios
El análisis de impacto al negocio y la evaluación de riesgos se relacionan, pero responden preguntas diferentes. Utilizarlos como sinónimos puede llevar a definir estrategias de continuidad incompletas.
Análisis de impacto al negocio — BIA
El BIA analiza cómo una interrupción afectaría las actividades, productos y servicios a medida que transcurre el tiempo. Ayuda a identificar prioridades de recuperación, dependencias, recursos y niveles de capacidad necesarios.
- Actividades prioritarias
- Impactos a lo largo del tiempo
- Dependencias internas y externas
- Recursos necesarios
- Prioridades de recuperación
- Objetivos de tiempo y capacidad
¿Qué efectos tendría que una actividad se interrumpiera y con qué prioridad debería recuperarse?
Evaluación de riesgos
La evaluación de riesgos identifica escenarios, amenazas, vulnerabilidades y condiciones que podrían provocar una interrupción. También permite valorar su probabilidad, consecuencias y controles existentes.
- Amenazas
- Vulnerabilidades
- Escenarios de interrupción
- Probabilidad
- Consecuencias
- Controles preventivos
¿Qué eventos podrían provocar la interrupción y qué tan relevante sería cada escenario?
El BIA ayuda a determinar qué necesita recuperarse y con qué prioridad. La evaluación de riesgos ayuda a comprender qué podría provocar la interrupción. Ambos análisis se complementan.
¿Qué significan RTO, RPO y capacidad aceptable?
Los objetivos de continuidad deben relacionarse con las necesidades reales de la organización. No existen tiempos universales aplicables a todas las actividades o servicios.
RTO — Objetivo de tiempo de recuperación
Es el tiempo objetivo establecido para reanudar una actividad, servicio o recurso después de una interrupción. Debe relacionarse con los impactos identificados y con la capacidad de recuperación disponible.
RPO — Objetivo de punto de recuperación
Es el punto al que deben recuperarse los datos después de una interrupción. Se utiliza especialmente en sistemas de información y ayuda a definir cuánta pérdida de datos puede resultar aceptable.
Capacidad aceptable
Es el nivel predefinido al que deben mantenerse o recuperarse productos y servicios durante una interrupción. No siempre equivale a recuperar inmediatamente el cien por ciento de la operación.
Estos objetivos deben definirse a partir del contexto, el BIA, los requisitos de las partes interesadas y las capacidades reales de la organización.
¿Cuáles son los principales requisitos de ISO 22301?
Los requisitos certificables se organizan en los capítulos 4 a 10. El siguiente resumen facilita su comprensión y no sustituye la consulta del texto oficial de la norma.
4. Contexto de la organización
Comprender el contexto, identificar las necesidades de las partes interesadas, definir el alcance y establecer el sistema de gestión de continuidad del negocio.
5. Liderazgo
Demostrar compromiso de la dirección, establecer una política de continuidad y asignar responsabilidades y autoridades.
6. Planificación
Abordar riesgos y oportunidades del sistema, establecer objetivos de continuidad y planificar los cambios necesarios.
7. Apoyo
Proporcionar recursos, competencia, toma de conciencia, comunicación e información documentada para operar el sistema.
8. Operación
Planificar y controlar la operación del sistema, realizar el BIA y la evaluación de riesgos, definir estrategias y soluciones, establecer planes y procedimientos, ejecutar ejercicios y evaluar las capacidades de continuidad.
- Análisis de impacto al negocio
- Evaluación de riesgos
- Estrategias y soluciones
- Planes y procedimientos
- Comunicación
- Programa de ejercicios
- Evaluación de capacidades
9. Evaluación del desempeño
Realizar seguimiento y medición, analizar resultados, efectuar auditorías internas y llevar a cabo la revisión por la dirección.
10. Mejora
Atender no conformidades, aplicar acciones correctivas y mejorar continuamente la pertinencia, adecuación y eficacia del sistema.
Los requisitos concretos deben evaluarse con base en el texto oficial de ISO 22301 y en el alcance definido por la organización.
Estrategias y soluciones de continuidad
Después de comprender los impactos, prioridades y riesgos, la organización puede seleccionar soluciones que le permitan responder y recuperar actividades dentro de los objetivos establecidos.
Personal alterno
Sustitución, capacitación cruzada y disponibilidad de roles críticos.
Trabajo remoto
Capacidad para operar fuera de las instalaciones habituales cuando sea viable.
Instalaciones alternas
Espacios alternativos, acuerdos de uso o reubicación temporal.
Redundancia tecnológica
Infraestructura, comunicaciones, aplicaciones y componentes alternativos.
Copias y recuperación
Respaldo, restauración y recuperación de información y sistemas.
Proveedores alternativos
Opciones para sustituir servicios, materiales o capacidades críticas.
Inventario crítico
Disponibilidad planificada de materiales, equipos o suministros prioritarios.
Logística alterna
Rutas, transportistas, ubicaciones o mecanismos de distribución alternativos.
Procesos manuales
Procedimientos temporales cuando los sistemas habituales no están disponibles.
Comunicación de crisis
Canales, responsables, mensajes y criterios para comunicar durante una interrupción.
Acuerdos externos
Apoyo mutuo, servicios especializados o capacidades contratadas.
Priorización temporal
Recuperación gradual de productos y servicios según su impacto y urgencia.
Las soluciones deben seleccionarse con base en las prioridades, los riesgos, los recursos disponibles y los requisitos de la organización. No todas las soluciones son necesarias en todos los casos.
¿Por qué ISO 22301 requiere ejercicios y pruebas?
Un plan que nunca se ha probado puede contener supuestos incorrectos, responsabilidades ambiguas o capacidades que no funcionan como se esperaba. Los ejercicios permiten obtener evidencia, entrenar a los equipos e identificar oportunidades de mejora antes de una interrupción real.
- Validar supuestos
- Confirmar responsabilidades
- Evaluar comunicaciones
- Medir tiempos de respuesta
- Identificar brechas
- Entrenar a los equipos
- Revisar dependencias
- Actualizar planes y procedimientos
Ejercicios que pueden formar parte del programa
- Revisión documental
- Ejercicio de mesa
- Simulación
- Prueba técnica
- Ejercicio parcial
- Ejercicio integral
La frecuencia, el alcance y el tipo de ejercicio deben definirse según los riesgos, cambios, prioridades y capacidades de la organización. No todos los ejercicios requieren interrumpir la operación real.
Beneficios que puede aportar ISO 22301
Los resultados dependen del contexto, la madurez y la aplicación efectiva del sistema. ISO 22301 puede contribuir a:
Comprensión de riesgos e impactos
Ayuda a identificar actividades prioritarias, dependencias, escenarios de interrupción y consecuencias que pueden aumentar con el tiempo.
Preparación para responder
Permite establecer responsabilidades, criterios de activación, comunicaciones y procedimientos para coordinar la respuesta.
Medidas de continuidad
Facilita la selección de soluciones proporcionadas a los impactos, riesgos, recursos y objetivos de recuperación.
Protección de actividades prioritarias
Apoya la capacidad de mantener o recuperar productos y servicios a un nivel previamente definido durante una interrupción.
Validación mediante ejercicios
Permite comprobar planes, responsabilidades, comunicaciones, tiempos y capacidades antes de depender de ellos.
Mejora continua
Promueve el aprendizaje a partir de ejercicios, incidentes, auditorías, revisiones y cambios en la organización.
¿Qué organizaciones pueden aplicar ISO 22301?
ISO 22301 puede aplicarse a organizaciones de cualquier tamaño y sector. El alcance puede cubrir toda la organización o una parte claramente definida, siempre que se identifiquen sus relaciones y dependencias.
- Servicios financieros
- Tecnología
- Telecomunicaciones
- Centros de datos
- Salud
- Gobierno
- Manufactura
- Logística
- Retail
- Educación
- Energía
- Servicios profesionales
- Alimentación
- Cadena de suministro
- Organizaciones sin fines de lucro
- Infraestructura crítica
Servicios financieros
Tecnología
Telecomunicaciones
Centros de datos
Salud
Gobierno
Manufactura
Logística
Retail
Educación
Energía
Servicios profesionales
Alimentación
Cadena de suministro
Organizaciones sin fines de lucroLa necesidad de continuidad no depende únicamente del tamaño de la empresa. También depende de sus obligaciones, clientes, productos, servicios, riesgos, tiempos de recuperación y consecuencias de una interrupción.
Continuidad del negocio, recuperación ante desastres, riesgos y crisis
Estos conceptos se relacionan, pero cumplen funciones distintas. Diferenciarlos ayuda a construir un sistema más completo y a evitar que la continuidad se limite únicamente a tecnología.
Continuidad del negocio
Tiene un alcance organizacional. Considera personas, procesos, instalaciones, información, tecnología, proveedores, productos, servicios, dirección y gobierno.
Recuperación ante desastres tecnológicos
Se concentra principalmente en infraestructura, aplicaciones, comunicaciones, sistemas y datos. Puede formar parte de la estrategia de continuidad, pero no sustituye un sistema completo.
La recuperación tecnológica puede formar parte de la continuidad del negocio, pero ISO 22301 abarca un sistema de gestión más amplio.
Continuidad del negocio
Busca mantener o recuperar productos, servicios y actividades prioritarias después de una interrupción.
Gestión de crisis
Coordina decisiones estratégicas, liderazgo, comunicación y control ante situaciones graves o de alta incertidumbre.
Gestión de riesgos
Identifica, analiza y trata incertidumbres que pueden afectar los objetivos de la organización.
Las tres disciplinas pueden coordinarse, pero no son equivalentes ni una sustituye automáticamente a las otras.
Versión vigente e historia de ISO 22301
La edición de 2019 continúa siendo la referencia publicada para certificación. La edición de 2012 está retirada y una futura tercera edición todavía se encuentra en desarrollo.
ISO 22301:2012
- Primera edición
- Publicada en 2012
- Antecedente histórico
- Sustituida por la edición 2019
ISO 22301:2019
- Segunda edición
- Publicada en 2019
- Referencia vigente para certificación
- Complementada por la Enmienda 1:2024
Tercera edición en desarrollo
- Todavía no publicada
- Sujeta a revisión
- Sin fecha de transición definida
- No sustituye aún a ISO 22301:2019
Hasta que se publique oficialmente una nueva edición, las organizaciones deben utilizar ISO 22301:2019 junto con su Enmienda 1:2024 como referencia vigente.
Implementación frente a certificación
Implementar un sistema de continuidad y evaluar su conformidad son actividades diferentes. La organización mantiene la responsabilidad sobre el diseño y operación de su sistema.
| Implementación — organización | Certificación — organismo independiente |
|---|---|
| Define el contexto, el alcance y la política. | Evalúa el alcance y la conformidad del sistema. |
| Realiza el BIA y la evaluación de riesgos. | Revisa evidencias y la aplicación de los requisitos. |
| Selecciona estrategias y soluciones. | Realiza auditorías de etapa 1 y etapa 2. |
| Desarrolla planes y procedimientos. | Registra hallazgos y no conformidades. |
| Asigna responsabilidades y capacita. | Revisa la atención de no conformidades. |
| Realiza ejercicios y evalúa resultados. | Emite una decisión independiente. |
| Mantiene y mejora el sistema. | Realiza auditorías de vigilancia y recertificación. |
Lloyd International evalúa el sistema dentro del proceso de certificación. La organización es responsable de implementar, operar, mantener y mejorar su sistema de gestión de continuidad del negocio.
¿Cómo es el proceso de certificación ISO 22301?
El proceso se adapta al alcance, tamaño y complejidad de la organización. La siguiente secuencia es una referencia general.
Solicitud inicial
La organización proporciona información básica sobre su operación, alcance y sistema de gestión.
OrganizaciónDefinición del alcance
Se delimitan unidades, ubicaciones, productos, servicios y actividades incluidas.
ConjuntoRevisión de información
Se analiza la información necesaria para preparar la propuesta y la evaluación.
LloydPropuesta y planeación
Se define el plan de auditoría según el alcance y la complejidad.
ConjuntoAuditoría de etapa 1
Se revisa la preparación del sistema, su alcance y la información documentada relevante.
LloydAuditoría de etapa 2
Se evalúa la implementación y eficacia del sistema dentro del alcance.
LloydAtención de no conformidades
La organización analiza y atiende los hallazgos que correspondan.
OrganizaciónRevisión y decisión
Se realiza una revisión independiente y se toma la decisión sobre la certificación.
LloydAuditorías de vigilancia
Se efectúa seguimiento periódico durante el ciclo de certificación.
LloydRecertificación
Al concluir el ciclo se realiza una nueva evaluación para renovar la certificación.
Lloyd
El proceso no implica la emisión automática del certificado. La decisión depende de los resultados de la evaluación y de la atención de los hallazgos aplicables.
¿Cuánto cuesta y cuánto tarda la certificación ISO 22301?
No existe un precio ni un plazo únicos. La cotización y la duración del proceso dependen del alcance, la complejidad, el estado del sistema y las características de cada organización.
- Número de personas
- Ubicaciones
- Alcance del sistema
- Productos y servicios incluidos
- Actividades prioritarias
- Complejidad operativa
- Turnos
- Proveedores críticos
- Procesos externalizados
- Dependencias tecnológicas
- Infraestructura
- Nivel de integración
- Sistemas de gestión integrados
- Estado de implementación
- Atención de hallazgos
Para obtener una estimación ajustada a la organización, es necesario definir el alcance y proporcionar la información requerida para la cotización.
ISO 22301: introducción a la continuidad del negocio
Conoce de manera breve por qué la continuidad del negocio permite prepararse para responder ante situaciones que pueden interrumpir las actividades de una organización.
¿Por qué certificar ISO 22301 con Lloyd International?
El proceso de evaluación se desarrolla con orden, trazabilidad y comunicación clara, manteniendo la independencia necesaria para una certificación.
Definición clara del alcance
El alcance se establece a partir de las unidades, ubicaciones, productos, servicios y actividades que serán evaluados.
Planeación según la complejidad
La evaluación considera el tamaño, las dependencias y las características de la organización.
Comunicación de etapas
Las actividades y responsabilidades de cada fase se comunican de forma clara.
Evaluación documentada
Los hallazgos se registran de manera trazable y basada en evidencias.
Decisión independiente
La decisión de certificación se toma mediante una revisión separada del proceso de auditoría.
Seguimiento del ciclo
El sistema se evalúa posteriormente mediante auditorías de vigilancia y recertificación.
Preguntas frecuentes sobre ISO 22301
¿Qué es ISO 22301 y para qué sirve?
ISO 22301 es la norma internacional que establece los requisitos para un sistema de gestión de continuidad del negocio. Sirve para identificar prioridades, analizar impactos y riesgos, establecer estrategias, desarrollar planes, realizar ejercicios y mejorar la capacidad de respuesta y recuperación ante interrupciones.
¿Cuál es la versión vigente de ISO 22301?
La edición vigente es ISO 22301:2019, complementada por la Enmienda 1:2024. La edición ISO 22301:2012 está retirada. Existe una futura tercera edición en desarrollo, pero todavía no ha sustituido a la versión de 2019.
¿Qué es un sistema de gestión de continuidad del negocio?
Es el conjunto de políticas, procesos, responsabilidades y recursos que una organización utiliza para prepararse, responder, mantener actividades prioritarias y recuperarse ante interrupciones dentro de un alcance definido.
¿Qué diferencia existe entre BIA y evaluación de riesgos?
El BIA analiza los impactos que una interrupción produciría a lo largo del tiempo y ayuda a definir prioridades de recuperación. La evaluación de riesgos identifica escenarios, amenazas y vulnerabilidades que podrían provocar la interrupción. Ambos análisis se complementan.
¿Qué significan RTO y RPO?
El RTO es el tiempo objetivo establecido para reanudar una actividad o servicio. El RPO es el punto al que deben recuperarse los datos después de una interrupción y se utiliza especialmente en entornos tecnológicos.
¿Cuáles son los principales requisitos de ISO 22301?
Los requisitos se organizan en los capítulos 4 a 10: contexto de la organización, liderazgo, planificación, apoyo, operación, evaluación del desempeño y mejora.
¿ISO 22301 es lo mismo que un plan de recuperación ante desastres?
No. La recuperación ante desastres suele concentrarse en infraestructura, sistemas, aplicaciones y datos. ISO 22301 abarca un sistema de gestión más amplio que también considera personas, procesos, instalaciones, proveedores, productos, servicios y dirección.
¿Cualquier organización puede certificarse?
Puede solicitar la certificación cualquier organización que tenga implementado un sistema de gestión de continuidad del negocio y cuente con evidencia suficiente de su funcionamiento dentro del alcance definido.
¿Es obligatorio certificarse en ISO 22301?
En términos generales, la certificación es voluntaria. Sin embargo, puede convertirse en un requisito contractual, comercial, regulatorio o de participación en licitaciones según el contexto de la organización.
¿Cuánto cuesta la certificación ISO 22301?
No existe una tarifa única. El costo depende del alcance, el número de personas, las ubicaciones, la complejidad, las actividades prioritarias, los proveedores y otras características de la organización.
¿Cuánto tarda el proceso?
La duración depende de la preparación del sistema, el alcance, la complejidad de la organización y la atención de los hallazgos. No es posible establecer un plazo único para todas las organizaciones.
¿ISO 22301 puede integrarse con otras normas?
Sí. Puede integrarse con otros sistemas de gestión, como ISO 9001, ISO 45001, ISO/IEC 20000-1 o ISO/IEC 27001, cuando los alcances, procesos y responsabilidades se coordinan de manera adecuada.
Cotiza la certificación ISO 22301
Comparte los datos generales de tu organización y el alcance que deseas certificar para recibir información sobre el proceso de evaluación.
Teléfono: 55 9000 4190 · Correo: negocios@lloyd-international.com
La solicitud de información no garantiza la certificación. La decisión depende de los resultados del proceso de evaluación.