Iso 22301:2012 9w6x
This document was ed by and they confirmed that they have the permission to share it. If you are author or own the copyright of this book, please report to us by using this report form. Report l4457
Overview 6h3y3j
& View Iso 22301:2012 as PDF for free.
More details h6z72
- Words: 8,823
- Pages:
NORMA TÉCNICA COLOMBIANA
NTC
5722 2012-10-31
CONTINUIDAD DE NEGOCIO. GESTIÓN DE CONTINUIDAD DE SIST NE
E:
BUSINESS
ENCIA:
esta por
(rDr) nofma
tso
22301
cont¡n
continuidad
de
sistemas de de la sociedad.
LC.S.: 03.100.01 Ed¡tada por el lnstituto Colomb¡ano de Normas Técnicas y Cerlificac¡ón (ICONTEC) Aparlado 14237 Bogotá, D.C. - Tel. (571) 6078888 - Fax (571) 2221435
Prohibida su reproducción
Pr¡r¡era aclual¡zackin Ed¡tada 2012-1 1-09
PRÓLOGO
El lnstituto Colombiano de Normas Técnicas y Certificación, ICONTEC, es el
organismo
nacional de normalización, según el Decreto 2269 de 1993. ICONTEC es una entidad de carácter privado, sin ánimo de lucro, cuya Misión es fundamental
para brindar soporte y desanollo al productor y protección al consumidor. Colabora con el sector gubernamental y apoya al sector privado del país, para lograr ventajas competitivas en los mercados interno y extemo. La representación de todos los sectores involucrados en el proceso de Normalización Técnica está garantizada por los Comités Técnicos y el período de Consulta Pública, este último caracterizado por la participación del público en general.
La NTC 5722 (Primera actualización) fue ratificada por el Consejo Directivo de 2012-10-31 Esta norma está sujeta a ser actualizada permanentemente con el objeto de que responda en todo momento a las necesidades y exigencias actuales.
A continuación se relacionan las empresas que colaboraron en el estudio de esta norma a través de su participación en el Comité Técnico 205. Continuidad de Negocio BANCO AGRARIO DE COLOMBIA BANCO BOGOTÁ BANCO COLPATRIA MULTIBANCA COLPATRIA S.A. BANCO CORPBANCA COLOMBIA BANCO DE LA REPÚBLICA BANCO GNB SUDAMERIS BANCOLDEX BAVARIA S.A. COMPAÑíA FINANCIAMIENTO TUYA S.A. CONSEJO COLOMBIANO DE SEGURIDAD DEL]MA MARSH COLOMBIA
EMPRESAS PÚBLNAS DE MEDELLIN €PIVI.
HELM BANK S.A. IBM COLOMBIA INSTITUTO DISTRITAL DE TURISMO INTEK S. A. ISOLUCIONES LTDA. ITEAM LTDA. OCCIDENTAL DE COLOMBIA, ¡NC SMART IT SOLUTIONS CONSULTORS THOMAS MTI WILLIS COLOMBIA S.A.
Además de las anteriores, en Consulta Pública el Proyecto se puso a consideración de las siguientes empresas:
ACH DE COLOMBIA AEROV¡AS DEL CONTINENTE AMERICANO S.A. - AVIANCA S.A. AJOVER S.A AON COLOMBIA S.A - CORREDORES DE SEGUROS ASOCIACIÓN BANCARIA Y DE ENTIDADES FINANCIERAS ASOBANCARIA ASOCIACIÓN LAT]NOAMERICANA DE CONTINUIDAD - ALCONT -
BANCAMIA S.A. BANCO AGRARIO DE COLOMBIA S.A. BANCO AV VILLAS BANCO CAJA SOCIAL BANCO COLPATRIA MULTIBANCA COLPATRIA S. A. BANCO DAVIVIENDA S.ABANCO DE BOGOTA BANCO DE LA REPÚBLICA BANCO DE OCCIDENTE BANCO FALABELLA COLOMBIA S. A.
BANCO GNB SUDAMERIS BANCO PICHINCHA S.A BANCO PROCREDIT COLOMBIA S.A. BANCO SANTANDER COLOMBIA S.A. BANCOLDEX S.A. BANCOLOMBIA S.A. BAVARIA S. A. BBVA COLOMB¡A BNP PARIBAS COLOMBIA CORPORACIÓN FINANCIERA BOLSA DEVALORES DE COLO CENTRO COMERCIAL CH CITIBANK COLOMBIA S.A. CJE SUPPLIES LTDA.
COMPAÑíA DE s. A. (ANTES SUF CONCALIDAD CONSEJO CREDIFAM CRUZ
ESCUELA COLOMBIANA DE INGENIERÍA JULIO GARAVITO ETEK INTERNATIONAL COLOMBIA F¡NAMÉRICA S.A GESTÓN & ESTRATEGIA S.A.S. HELM BANK S.A. HSBC COLOMBIA S.A. ]NST]TUTO D]STR]TAL DE TURISMO ¡NTEK DE COLOMBIA S. A. ITEAM LTDA. KPMG TÉCNICO DE INFORMACIÓN DE COLOMBIA S.A. DE COLOMBIA INC NACIONAL DE COLOMBIA
EN
DE
DEPORTE
ULTORS S.A.
DE VALORES SALUD
COLOMBIA
E.S.P ENLACE O
ICONTEC cuenta e.on un normas intemacionales,
S.A. THOMAS UNE EPM WILLIS SEGUROS
ONES S. A.
CORREDORES DE
a disposición de los
interesados
relacionados. DIRECCIÓN DE NORMALIZACIÓN
NORMA TÉCN¡CA
COLOMBIANA
NTG 5722 (Primera actualización)
CONTENIDO
Página 0.
INTRODUCCÉN
0.1
GENERALIDADES
0.2
EL MODELO PLANEAR- HACER- VER|F|CAR- ACTUAR (PHVA)
0.3
COMPONENTES DEL PHVA EN ESTA NORMA
1.
ALCANCE
2.
REFERENCIAS NORMATIVAS
3.
TÉRi,|INOS Y DEFINICIONES
4.
GoNTEXTO DE LA
4.1
DESCRIPCIÓN
4-2
I ..2
.2
ORGANIZAC|ÓN............. ....................8 OC LA ORGANIZAG¡ÓN Y SU CONTEXTO.......... ........8
ENTENDIENDO LAS NECES¡DADES Y EXPECTAT¡VAS DE
LAS PARTES
!NTERESADAS............
4.t
DETERMINAR ELALCANCE DEL SISTEMA DE GESflÓN
4.4
SISTEMA DE GESilÓN DE CONTINUIDAD DE NEGOCIO
5. LTDERAZGO 5.1 GENERAL|DADES............. 5.2 COMPROMTSO DE LA ALTA D|RECC|ÓN 5.3 POL|TICA 5.4 ROLES, RESPONSABILIDADES Y AUTOR¡DADES
............_e .9
...........10 ........10 .......................10 ...............11 .......12
6. PLAN|FTCACTÓN.............. ..........12 6.1 ACCTONES PARA DTRECCTONAR R¡ESGOS y OPORTUN|DADES......................12
NORMATÉCNICACOLOMBIANA NTC5722 (Primeraac{ualización)
Página
6.2
OBJETIVOS DE CONTINUIDAD DE NEGOCIOY PLANESPARA ALCANZARLOS...
12
7.
RECURSOS..
13
7.1
GENERALIDADES...
13
7_2
COMPETENCIA....
I3
7-3
TOMA DE
13
7.4
coM
14 14
DOCUME
7.5
I
16
I
16
8.2
IMP
8.3
DE
YVALO NEGOCIO_............
16 17
EDIMIENTOS
8.4
t8
8.5
EJERCTCTOS Y
...21
9.
EVALUACIÓN DE
...22
9.1
SEGUIMIENTO,
...22
9.2
AUDITOR¡A INTERNA.........
..23
9.3
REV|SIÓN POR LA DIRECCÉN
..24
10.
MEJORA.....
10.1
NO GONFORMTDAD
y ACC|ÓN
CORRECTwA
...............26
10.2
DOCUMENTO DE REFERENCIA
.28
-l
-t NORMATÉCN|GACOLOMB|ANA NTC5722(Primeraactualización)
Página
.27
Tabla
l.
Explicación del modelo de PHVA
J
NoRMATÉcNrcA
O. O.I
coLoMBIANA
NTc 5722 (Primera actualización)
INTRODUCCIÓN GENERAL¡DADES
Esta norma especifica los requisitos para la creación y gestión de un Sistema de Gestión de Continuidad de Negocio (BCMS, por inglés) efectivo. Un BCMS hace énfasis en la
de establecer una gestión
Entender las de Continuidad de lmplementar una
la capacidad generalde
operar y revisión basado en m de gestión,
EI
sigu
claves
a) definidas;
b)
c) 1)
2) 3) 4) 5) 6) d) e)
Planeación, lmplementación y Evaluación de Análisis de la gestión, y Mejoramiento. Documentación que proporcione evidencia auditable;y Cualquier proceso de gestión de la continuidad de negocio pertinente para la organización.
La Continuidad de Negocio contribuye a una sociedad con mayor resiliencia. La comunidad en general y el impacto del ambiente organizacional en la organización y en otras organizaciones, podrían estar involucrados en el proceso de recuperación
NORMATÉCN|GA
o-2
COLOMBIANA
NTC 5722 (Primera actualización)
EL MODELO PLANEAR- HACER-VERIFTGAR-ACTUAR (PHVA)
Esta norma aplica el modelo "Planear-Hacer-Verificar-Actuaf (PHVA) para establecer, implementar, operar, monitorear, revisar, mantener
y
planear,
mejorar continuamente la
eficacia de un sistema de gestión de Continuidad de Negocio en la organización.
Esto asegura un cierto grado de coherencia con otras normas de sistemas de gestión, tales como la norma NTC-ISO 9001 Sistema de Gestión de Calidad, NTC-ISO 14001, Sistema de Gestión Ambiental, NTC-ISO-IEC 27001 Sistema de Gestión en Seguridad de la lnformación, ISO-1EC20000-1 Gestión de servicios, y la norma NTC-ISO 28000 Sistema de Gestión de Seguridad para la Cadena de Suministro, apoyando, de este modo, que la implementación y operación sean consistentes e integradas con los sistemas de gestión relacionados.
La Figura 1 ilustra cómo un BCMS toma como entradas las partes interesadas y los requisitos para la gestión de la continuidad y a través de las acciones y prooesos necesarios, produce resultados de la Continuidad de Negocio (gestión de Continuidad de Negocio) que cumplen con esos requisitos.
Meþra contínua del Sistema de Gestión de Continuidad de Negocio (SGCN)
Partes ¡nteresadas
-)
Mantener y meþrar (actuar)
Requisitos para continuidad de negocio
-+
Establecer (planear)
-f Figura
lmplementar y operaf (hacer)
Monitorear y revisar (verificar)
l.
Partes interesadas
+
Giclo PHVA ap¡¡cado a los procesos de BCfilS
Continuidad de negocro
gestionada
NoRMATÉcNrcAcoLoMBlANA NTc5722 (Primeraac'tualización) Tabla 1. Explicación del modelo de PHVA Establecer política, objetivos, metjas, contoles, procesos y procedimientos de conlinuidad de negocio pert¡nentes para mejorar la continuidad de Negocio, con el fin, de entregar resultados que se alineen con todos los objetivos y
Planear (Establecer)
oolíticas de la orqanización
lmplementar
Hacer (lmplementar y operar)
la
operar
política, conl¡oles, procesos
y
procedimientos de
Monitorear y revisar el desempeño contra la política y los objetivos de continuidad de negocio, reportar los resultados a la Dirección para la revisión, v determinar v autorizar las acciones para la reoaración v meioram¡ento Mantener y mejorar el BCMS tomando acción conectiva, basada en los resultados de la revisión por la Dirección y la revalorización del objeto del BCMS v la oolfiav los obietivos de conünuidad de neoocio
Verificar (Monitorear y revisar)
Actuar (Mantener y mejorar)
0.3
y
Continuidad de Neoocio
COMPONENTES DEL
el numeral 4 al numeral 10 de esta
En el modelo PHVA como norma se cubren los sig
El numeral
ala
c¡ntexto del
requisitos necesarios para
así como las
sitos y a un componente del alta dirección en el io de la
isitos específicos expectativas a
de lo que el BCMS de plan del
del Planear de objetivos
de la numeral 6 difiere de la el negocio (BlA,
continuidad,
en inglés) de los
Es soporte
interesadas,
documentar,
al
mismo tiempo
n requerida
NOTA Los requisitos para el en el numeral
de valoración del riesgo son detallados
I
El numeral I es un Continuidad de Negocio,
operaciones del BCMS lo
la comunicación de forma
que se periódica o
la
En él se definen los requisitos de forma de abordarlos y desanolla los
procedimientos para istrar un incidente perjudicial El numeral 9 es un componente del Verificar. En él se resumen los requisitos necesarios para medir el rendimiento de la Continuidad de Negocio, el cumplimiento del BCMS con la norma y sus expectativas de gestión y busca una retroalimentación del sistema respecto a las expectativas.
El numeral 10 es un componente del Actuar. Se identifica y actúa sobre las conformidades del BCMS a través de una acción conectiva.
no
NORMATÉcN¡cACOLOMBIANA NTC5722(Primeraactualización)
CONTINUIDAD DE NEGOCIO. S¡STEMAS DE GESTIÓN DE CONTINUIDAD DE NEGOC¡O. REQUISITOS
1.
ALCANCE
Esta norma para la gestión de Continuidad de Negocio especifica los requisitos para planificar, establecer, implementar, operar, supervisar, revisar, mantener y mejorar continuamente un sistema de gestión documentado para protegerse, reducir la probabilidad de ocunencia, prepararse, responder y recuperarse de los incidentes perjudiciales que puedan surgir. Los requisitos especificados en esta norma son genéricos y se pretende que sean aplicables a todas las organizaciones o partes de las mismas, independiente del tipo, tamaño y naturaleza de la organización. El grado de aplicación de estos requisitos depende del entomo operativo de la organización y su complejidadNo es la intención de esta norma proporcionar uniformidad en la estructura de un BCMS, sino para que una organización diseñe un BCMS que sea apropiado para sus necesidades y que cumpla con los requisitos de sus partes interesadas; éstas necesidades están determinadas por los requisitos legales, regulatorios, organizacionales, y de la industria, los productos y servicios, los procesos empleados, el tamaño y la estructura de la organización y los requisitos de sus partes interesadas. Esta norma es aplicable a todos los tipos y tamaños de las organizaciones que desean:
a) b) c) d)
Establecer, implementar, mantener y mejorar un BCMS Garantizar la conformidad con la política establecida de la Continuidad de Negocio. Demostrar la conformidad con otros.
Buscar
la
certificación/ registro
de su BCMS por un
organismo acreditado de
certificación de terceros, o
e)
Hacer una auto-determinación y autodeclaración de conformidad con esta norma.
Esta norma puede ser utilizada para evaluar la capacidad de una organización de satisfacer sus necesidades de continuidad propia y obligaciones.
1de28
NORiIATÉCNlcACoLoMBIANA NTc5722(Primeraactualización)
2.
REFERENCIAS NORMAT¡VAS
Los siguientes documentos normativos referenciados son indispensables para la aplicación de este documento normativo. Para referencias fechadas, se aplica únicamente la edición citada. Para referencias no fechadas, se aplica la última edición del documento normativo referenciado (incluida cualquier corrección). No hay referencias normativas.
3.
TÉRMINOS Y DEFINICIONES
Para el propósito de este
términos y definiciones aplican:
una organización (o en su nombre)
3.1 Actividad. Tarea o que produce o apoya uno o
EJËMPLO
Los procesos de
3.2 Auditoría. auditoría y eva
para obtener evidencia de en que los criterios de
de manera
la auditoría NOTA parte)
I
puede ser una auditoría auditoría combinada
o una
y "criterios de
(segunda o tercera
en
de la
3.4 amenazas
entrega de
Proceso de impactos
causar a las
marco para la respuestra efectiva que
que identifica las amenazas podrían cuales proporcionan un c¡n la capacidad de una
sus partes interesadas clave,
su
reputación, marca y las
(BCMS, por sus siglas en inglés).
3.5 Sistema de Gestión de Parte del sistema general de mantiene y mejora la Continuidad NOTA El sistema de gestión incluye
implementa, opera, monitorea, revisa, la
organizativa, las políticas, actividades de planificación,
responsabilidades, procedimientos, procesos y recursos
3.6 Plan de Continuidad de Negocio. Procedimientos documentados que guían a las organizaciones para responder, recuperar, reanudar y restaurar a un nivel pre-definido de operación debido a la ínterrupción.
NOTA Tfpicamente, esto inclu¡æ los recursos, servicios y actividades necesarios para garantizar la continuidad de las funciones crÍticas del negocio.
2
NORMA TÉCNrcA
COLOMB¡ANA
NTC 5722 (Primera actualización)
3.7 Programa de Gontinuidad de Negocio. Proceso continúo de gestión y la gobemabilidad con el apoyo de la alta dirección y los recursos adecuados para implementar y mantener la gestión de la Continuidad de Negocio. 3.8 Análisis del impacto al negocio. Proceso del análisis de actividades y el efecto que una intemrpción del negocio podría tener sobre ellas. [Fuente: ISO 22300]
3.9 Gompetencia. Gapacidad de aplicar conocimientos
y
habilidades para alcanzar los
resultados previstos. 3.10 Gonformidad. Cumplimiento de un requisito [Fuente: ISO 22300¡
3.ll
Meioramiento continuo. Actividad periódica para mejorar eldesempeño.
[Fuente: ISO 22300] 3.12 Corrección. Acción para eliminar una no conformidad detectada [Fuente: ISO 22300] 3.13 Acción correetiva. Medidas para eliminar la causa de una no conformidad y para prevenir la recunencia.
NOTA
En el caso de otros resultados indeseados, la acckin es necesaria para minimiz¡r o eliminar la causa y reducir el impacto o prevenir la recunencia. Tales acciones están fuera del concepto de 'acción conec{iva' en el sentido de esta definición
[Fuente: ISO 22300] 3.14 Documento. lnformación y su medio de soporte.
I
NOTA El medio puede ser papel, disco magnético, óptico o electrónico, fotografia combinación de los mismos. NOTA
2
o muesba maesba, o
una
Un conjunto de documentos, por ejemplo especificaciones y registros, se denominan "documentación"
3-15 lnformación documentada. lnformación requerida para ser controlada y mantenida por una organización y el medio en el que está contenido. NOTA fuente.
1
lnbrmación documentada puede ser en cualquier brmato y los medios de comunicación de cualquier
NOTA
2
La información documentada se puede referir a.
-
El sistema de gestión, incluyendo los procesos relacionados;
La información creada por la organización con el fin de operar (la documentación); La evidencia de los resultados obtenidos (regisüos).
3.16 Eficacia. Nivel en el cual las actividades planeadas son realizadas y los resultados planeados son alcanzados [Fuente: lSO 22300] 3
NoRMATÉcNrcA
coLoMBIANA
NTC 5722 (Primera actualización)
3.17 Evento. Ocunencia o cambio de un conjunto particular de circunstancias.
1 NOTA 2 NOTA 3 NOTA 4 NOTA
Un evento puede ser una o más ocurrencias, y puede tener varias causas Un evento puede ser algo no ocurrido. Un evento puede ser algunas veces referido como un "incidente" o "accidente' Un evento sin consecuencias también puede ser referido como "casi falla", "incidente", "casi golpe', 'close
call".
[Fuente: ISOilEC Guide 73]
,
3.18 Ejercicio. Proceso para
practicar
y
mejorar
el desempeño en
una
organización.
1
planes, procedimientos, entrenamientos, el personal en roles y responsabilidades; brechas en los recursos; mejorar el
Los ejercicios pueden NOTA equipamiento y otros acuerdos mejorar la coordinación y desempeño individual; e
controlada para prácticar la
improvisación.
NOTA2
Una
[Fuente:
una expectativa enfe una está siendo planeado.
un único y
aprobación o no,
que hace
I
emergencia o
que sería o podría
3.19
equipos y
para el
como afectada
que puede decisión o actividad
3.21
afectar, ser
NOTA
interés en
Esto puede
decisión o actividad de una
organización
de la propia organización de
3.22 Auditoría intema. revisión de la gestión y
podrían servir de base para una
organización de
NOTA
pequeñas, la ¡ndependencia puede ser demostrada auditoría.
En muchos casos, por la libertad de la responsabilidad de la
3.23 Activación. Acto de declarar que los acuerdos de la organización de Continuidad de Negocio deben llevarse a la práctica con el f¡n de continuar la entrega de productos o servicios clave.
3.24 Sistema de gestión. Conjunto de elementos interrelacionados o que interactúan de una
organización para establecer políticas
y
objetivos,
y los procesos para alc,anzar
objetivos. NOTA
1
Un s¡stema de gestión puede abordar una sola disciplina o varias disciplinas.
4
dichos
NORMA TÉCNrcA NOTA
2
COLOMBIANA
NTC 5722 (Primera actualización)
Los elementos del sistema son la estructr.rra de la organizacirin, funciones
y
responsabilklades,
planifi cación, operación, etc.
3
NOTA El ámbito de aplicación de un sistema de gestión puede incluir la totalidad de la organización, funciones concretas e identificadas de la organización, las secciones especíllcas e identíficadas de la organización, o una o más funciones a través de un grupo de las organizaciones.
3.25 lnterrupción máxima aceptable (MAO, por sus s¡glas en ¡ng¡és). El tiempo que tomaría para que los efectos adversos que pudieran ocurrir como resuftado de no proporc¡onar un producto / servicio o realizar una act¡vidad, se conviertan en inaceptable.
NOTA
Véase también el periodo máximo tolerable de interrupción.
3.26 Periodo máx¡mo tolerable de intemrpción (tlTPD, por sus s¡glas en inglés). Eltiempo que tomaría para que los efectos adversos que pudieran ocurir como resultado de no proporc¡onar un producto / servicio o realizando una actividad, para convertirse en inaceptable.
NOTA
Véase también lntemlpción máxima aceptable.
3.27 Medición. Proceso para determinar un valor. 3.28 Obietivo mín¡mo de Gontinuidad de Negocio (MBCO, por sus siglas en inglés). Nivel mínimo de servicios o productos que sea aceptable para la organización para lograr su objetivo de negocio durante una intemrpción. 3.29 Seguimiento. Determinar el estado de un sistema, un prooeso o una actividad.
NOTA
Para determinar el estado puede haber una necesidad de conholar, supervisar y observar crfticamente.
3.30 Acuerdo de ayuda mutua. Preaneglo entendido entre dos o más entidades para prestar asistencia entre ellos. [Fuente: ISO 22300] 3.31 No conformidad. lncumplimiento de un requisito. [Fuente: ISO 22300] 3.32 Obietivo. Resultado a lograrse. NOTA 1 Un objetivo puede ser estratégico, táctico u operativo.
NOTA 2 Los objetivos se pueden relacionar con d¡brentes disciplinas (tales como metas financieras, de salud, seguridad y ambientales) y se pueden aplicar en diferentes niveles (tales como estratégico, para toda la organización, para proyectos, productos y procesos (3.1.2)).
NOTA 3 Un objetivo se puede expresar de otras maneras, por ejemplo, co¡rþ un resultado prev¡sto, un propósito, un criterio operativo, un objetivo de seguridad de la sociedad, o mediante el uso de palabras con un significado similar (por ejemplo, fin, meta o destino). NOTA 4 En el contelto de norrnas de sistemas de gestion de segurirlad de la sociedad, la organización establece los objetivos de seguridad de la sociedad, en concordancia con la política de seguridad de la sociedad, para lograr resultados específi cos.
3.33 Organizac¡ón. Persona o grupo de personas con funciones y responsabilidades prop¡as, autoridades y relaciones para alcanzar sus objetivos.
1
NOTA El concepto de organización incluye, pero no se limita a la compañía, corporación, firma, empresa, autoridad, asociación, instifución, parte o combinación de los mismos, ya sea incorporada o no, pública o privada.
5
NORMATÉCNTCACOLOMBIANA NTC5722(Primeraactualización)
2
Para las organizaciones con mas de una operación de negocio, una sola unidad puede ser definida NOTA como una organización.
3.34 Subcontratar. Hacer un arreglo donde una organización externa rcaliza parte de la función o prooesos de una organización.
NOTA
Una organización eì.tema está fuera del alcance del sistema de gestión, aunque la función compartida o proceso tercerisado está dentro del ámbito de aplicación.
3.35 Desempeño. Resultado medible.
I NOTA2
NOTA
El desempeño se puede relacionar bien sea con los resultados cuantitativos o cualitativos.
las act¡v¡dades, procesos, productos (incluidos los
El desempeño puede servicios), los sistemas u organ¡zaciones.
de resultados medibles.
3.36 Evaluac¡ón del
de la organización.
3.37 Personal. Personas
NOTA
EI
personal a tiempo parcial y
personal
personal de la
globales y se expresan
3.38 Pol
a la continuidad
para
una o
cuales
na organización a
3-41 sus
por ejemplo,
3.42 Actividades ocunido un incidente,
seguros
prioridad después de que ha
debe
dentro de este grupo incluyen: crítico,
NOTA Algunos términos esencial, vital, urgente y clave. [Fuente:
las
1SO
22300]
3.43 Registro. Declaración de
obtenidos
o evidencia de las actividades
ejecutadas
3.44 Punto Objetivo de Recuperación (RPO, por sus siglas en ¡nglés). Punto en el cual la información usada por una actividad debe ser restaurada para permitir la reanudación de la operación.
NOTA
También se puede denominar como "Pérdida de datos máxima"
3.45 Tiempo objetivo de recuperación (RTO, por sus siglas en ¡nglés). Período de tiempo después de un incidente en el que:
6
NORMA TÉcNrcA
COLOMBTANA NTc
5222 (Primera actuatización)
El producto o servicio debe ser reanudado, o La actividad debe reanudarse, o
Los recursos deben ser recuperados.
NOTA Para los productos, servicios y actividades, el tiempo objetivo de recuperación debe ser menor que el tiempo que tomaría para los efectos adversos que pudieran surgir como consecuencia de no proporcionar un producto / servicio o la realización de una actividad para convertirse en inaceptable.
3.46 Requisito. Necesidad o expectativa establecida, generalmente implícita u obligatoria.
I
"Generalmente implícita'significa que se tata de una costumbre o pÉctica común para la organización NOTA y las partes interesadas que la necesidad o expec,tatt'va bajo consideración está implícita. NOTA
2
Un requisito especificado es aquel que se dice, por ejemplo, en inbrmación documentada.
3.47 Recursos. Todos los activos, recursos humanos, conocimientos, información, tecnología (incluidas las instalaciones y equipos), locales, y suministros e información (ya sean o no electrónicos) que una organizac¡ón tiene que tener disponibles para su uso, cuando sea necesar¡o, con el f¡n de operar y cumplir con su objetivo. 3.48 Riesgo. Efecto de la incertidumbre sobre los objetivos.
I NOTA 2 NOTA
Un efucto es una desviación de aquello que se espera, sea positivo, negativo o ambos.
Los objetivos pueden referirse a diferentes disciplinas (como la salud financiera, la seguridad, y las metas ambientales) y puede aplicarse a distintos niveles (como estratégico, toda la organización, proyecb, producto y proceso). Un objetivo se puede expresar de otras maneras, por ejemplo, como resultado que se pretende, un propós¡to, un criterio opemtivo, como la Continuidad de Negocio objetivo o por el uso de otras palabras de significado similar (por ejemplo objetivo, meta o destino).
NOTA3 El riesgo se caracteriza a menudo con relación a los eventos potenciales (GTC 137, 3.5.1.3) consecuencias (GTC 1 37,3.6.1.3), o una combinación de éstos.
y las
4
El riesgo se expresa a menudo en Érminos de una combinación de las consecuencias de un evento (incluyendo los cambios en circunstancias) y la probabilidad asociada (GTC 137, 3.6.1.1) de que se produzca. NOTA
5
NOTA La incertidumbre es el estado, incluso parcial, de la eficiencia de comprensión o conocimiento de un caso, su @nsecuencia, o la probabilidad.
la inúormación relacionada con la
6
NOTA En el contexto de las normas de Continuidad de Negocio BCMS, los objetivos de ContinuirJad de Negocio se establecen por la organización, en concordancia con la política de Continuidad de Negocio, para lograr resultados específicos. Cuando se aplica el término riesgo y los componentes de la gestión del riesgo, esto debe estar relacionado con los objetivos de la organización que incluyen, pero no se limitan a los objetivos de Continuidad de Negocio tal como se especifica en el numeral 6.2. [Fuente: Modificada de definición 1.1 de GTC
13{
3.49 Apetito de riesgo. Es el nivel y tipo de riesgo que la organización está dispuesta a asumir
3.50 Valoración del r¡esgo. Proceso global de identificación del riesgo, análisis del riesgo y evaluación del riesgo.
[Fuente:GTC 134 3.51 Gestión del riesgo. Actividades coordinadas para dirigir y controlar una organización con respecto al riesgo. [Fuente: GTC 134 7
NORMA TÉcNrcA
coLoMBIANA
NTC 5722 (Primera actualización)
3.52 Prueba. Procedimiento para determinar la presencia, cualidad o veracidad de algo NOTA 1 Evaluación de una capacidad, en donde el resultado es de aprobación/no aprobación. NOTA
2
La prueba se puede denominar "ensayo"
NOTA
3
La prueba se aplica con frecuencia a los planes de apoyo.
NOTA
4
La prueba debería comenzar con un sencillo ensayo de los componentes, para construir la prueba del
s¡stema.
lFuente: ISO 223001
que dirige y controla a una organ¡zación al
3.53 Alta dirección. Persona o grupo más alto nivel
NOTA1
y
La alta dirección tiene
proporcionar los recursos denbo de la
organización.
NOïA 2 Si el alcancæ del dirección se refiere a esos a
de una organización entonces la alta
que los requisitos
3.54 Verificación. específicos han
trabajo.
3.55
un trabajo
Conjunto
temperatura
factores físicos, y composición
4.1
es
YSUCO
D
son pertinentes a su
La organización propósito y los que
de su BCMS.
y mantener el BCMS de
Estos temas se tomarán
la
organización. La organización debe
a)
, servicios, productos, asociac¡ones, cadenas
Los procesos de la organ relaciones relac¡onado con un incidente perjudicial;
de suministro, las
partes interesadas,
y el impacto
potencial
b)
Las relaciones entre la política de Continuidad de Negocio y objetivos de la organización y de otras políticas, como su estrateg¡a de gestión de riesgo global, y
c)
Elapetito de riesgo de la organización.
Al establecer el contexto, la organización debe:
1)
Articular sus objetivos, incluidos los relativos a la Continuidad de Negocio, 8
NORMATÉCNGA COLOMB¡ANA NTC 5722 (Primera actualización) Definir los factores externos e intemos que generan la incertidumbre que da lugar al
2)
riesgo, 3)
Establecer criterios de riesgo, teniendo en cuenta el apetito de riesgo, y
4l
Definir el propósito del BCMS.
4.2
ENTENDIENDO
LAS
NECESIDADES
Y
EXPECTAT¡VAS
DE LAS
PARTES
INTERESADAS
4.2.1
Generalidades
Cuando Se establece un BCMS la organización debe determinar:
a) b)
Las partes interesadas que son pertinentes al BCMS, y
Los requisitos de estas partes interesadas (por ejemplo, si sus necesidades y expectativas son establecidas, generalmente implícitas u obligatorias)
4.2.2 Requisitos
legales y reglamentarios
La organización debe establecer, implementar y mantener un procedimiento(s) para identificar, tener a, y evaluar los requisitos legales y reglamentarios aplicables a la organización, relacionados con la continuidad de sus operaciones, productos y servicios, así como los intereses de las partes interesadas pertinentes. La organización debe asegurarse de que estos requisitos legales aplicables, reglamentarios y
otros que la organización suscriba se tengan en cuenta para establecer, implementar y mantener su BCMS.
y mantenerla actualizada. Novedades o modificaciones legales, regulatorias, y otros requisitos deben ser comunicados a los empleados afectados y otras partes interesadas. La organización debe documentar esta información
4.3
DETERTUINAR EL ALCANCE DEL SISTEMA DE GESNÓN DE CONTINUIDAD DE NEGOCIO
4.3.1
Generalidades
La organización debe determinar los límites y la aplicabilidad del BCMS para establecer su alcance. Al determinar el alcance del sistema de gestión, la organización debe considerar:
-
Los aspectos intemos y extemos a que se refiere en el numeral 4.1 , y los requisitos mencionados en el numeral 4.2.
El alcance debe estar disponible como información documentada
4.3.2 Alcance del BCMS La organización debe:
I
NORMATÉCNrcA COLOMBIANA NTC 5722 (Primera actualización)
a)
Establecer las partes de la organización para ser incluidas en el BCMS,
b)
Establecer los requisitos de BCMS, teniendo en cuenta la misión de la organización, los objetivos, las obligaciones intemas y elúernas (incluyendo aquellos relacionados con las partes interesadas), y las responsabilidades legales y regulatorias,
c)
ldentificar los productos, servicios y todas las actividades relacionadas con el alcance del BCMS,
d)
Tener en cuenta las necesidades de las partes interesadas y los intereses, tales como clientes, inversionistas, accionistas, la cadena de suministro, la opinión del público y / o e intereses (según conesponda), de la comunidad y sus
e)
Definir el alcance del complejidad de la
ropiado para el tamaño, la naturaleza y
las exclusiones; cualquiera de y la responsabilidad de se encuentran en los requisitos del la valoracíón del riesgo y
Al definir el alcance, la tales exclusiones no debe garantizar la de inado por BCMS, según lo regulatorios los requisitos
ESilÓN DE
4.4 La
establecer, implementar,
un
los requisitos de
y mejorar v
5. 5.1
la organización deben
Las personas demostrar
la motivación y el empoderamiento de las
EJEMPLO Este liderazgo y personas para contribuir a la
5.2
COMPROMISO DE iso respecto aIBCMS:
La alta dirección debe demostrar
son establecidos para el BCMS
Asegurando que las políticas
y
son
cnmpatibles con la planeación estratégica de la organización,
Asegurando la integración de los requisitos del BCMS en los procesos del negocio de la organización, Asegurando que los recursos necesarios para el BCMS están disponibles,
Comunicando la importancia de la gestión efectiva de c¡nforme a las necesidades del BCMS,
la Continuidad de Negocio y
Garantizando que el BCMS logre los resultados esperados, 10
NORMA TÉCNrcA
COLOMBIANA NTc
5722 (Primera actualización)
Dando dirección y apoyo a las personas que contribuyen a la eficacia del BCMS, Promoviendo la mejora continua, y,
Apoyando otros roles directivos pertinentes para demostrar su liderazgo y compromiso cuando aplique en sus áreas de responsabilidad
I
NOTA La referencia "negocio" en esta norma es para interpretarse en el sentido amplio de aquellas actividades que son fundamentales para los propósitos de la existencia de la organÞación.
La alta dirección debe proporcionar evidencia de su oompromiso con el establecimiento, implementación, operación, seguimiento, revisión, mantenimiento y mejora del BCMS:
-
Estableciendo una política de Continuidad de Negocio, Asegurando que los objetivos y planes de BCMS son establecidos, Estableciendo roles, responsabilidades y competencias para la gestión de la continuidad de negocio, y
Designando una o más personas a ser responsables del BCMS con la autoridad apropiada y competencias necesarias para la implementación y mantenimiento del BCMS.
NOTA2
Estas personas pueden tenerotras responsabilidades dentro de la organizac¡ón.
La alta dirección debe asegurarse que las responsabilidades y autoridades para las funciones pertinentes son asignadas y comunicadas dentro de la organización:
5.3
Definiendo los criterios para la aceptación de riesgos y los niveles de riesgo aceptables, Participando activamente en ejercicios y pruebas, Asegurando que las auditorías intemas del BCMS se llevan a cabo, Llevando a cabo la revisión por parte de la alta dirección del BCMS, y Demostrando su compromiso con la mejora continua.
POLíTICA
La alta dirección debe establecer y comunicar una política de Continuidad de Negocio. La política debe:
a) b) c) d)
Ser adecuada para el propósito de la organización, Proporcionar el marco para establecer objetivos de Continuidad de Negocio, lncluir un compromiso para satisfacer los requisitos aplicables, lncluir un compromiso de mejora continua del BCMS.
La política del BCMS debe:
-
estar disponible como información documentada, 11
NORMATÉGNrcA COLOMBIANA NTC 5722 (Primera actualización) ser comunicada dentro de la organización, estar disponible para las partes interesadas, según sea apropiado ser revisada para su continua adecuación a intervalos definidos y cuando se produzcan cambios significativos. La organización debe conservar información documentada sobre la política de Continuidad de Negocio.
5.4
ROLES,RESPONSABILIDADESYAUTORIDADES
La alta dirección debe funciones pertinentes se asignen
responsabilidades
y autoridades
para las
dentro de la organización.
La alta dirección debe asig
para:
a)
Asegurar que el esta norma, e,
conformidad con los requisitos de
b)
lnformar
el
6. 6.1
del SCGN, los
lograr el (los)
a) b) c)
aspectos
la
requisitos ser dirigidas a:
determinar
(s),
v Lograr el
La organización debe
a) b)
Las acciones para Cómo:
1)
dentro de sus procesos de BCMS (véase
lntegrar e implementar
numeralS.l)
2) 6.2
Evaluar la eficacia de ést¡as ac¡iones
OBJETIVOS DE CONTINUIDAD DE NEGOCIO Y PLANES PARAALCANZARLOS
La alta dirección debe asegurar que los objetivos de Continuidad de Negocio son establecidos y comunicados para las funciones y niveles pertinentes dentro de la organización.
Los objetivos de Continuidad de Negocio deben: 12
NORMA TÉcNrcA
COLOMBIANA NTc
5722 (Primera actualización)
a) b)
Ser coherentes con la política de Gontinuidad de Negocio,
c) d) e)
Ser medibles,
Tener en cuenta el nivel mínimo de productos y servicios que sea aceptable para que la organización logre sus objetivos.
Tener en cuentia los requisitos aplicables, y Controlarse y actualizarse según conesponda.
La organización debe mantener información documentada sobre los objetivos de continuidad de negocio. Para lograr sus objetivos de Continuidad de Negocio, la organización debe determinar:
7. 7.1
Quien será el responsable, Lo que se hará,
Qué recursos serán requeridos, Cuando serán completados, y, Cómo serán evaluados los resuttados.
REGURSOS
GENERALIDADES
La organización debe determinar y proporcionar los recursos necesarios para establecer, implementar, mantener y mejorar continuamente el BCMS.
7.2
COiIPETENCIA
La organización debe:
a)
Determinar las competencias necesarias del personal para hacer el trabajo que afecta su desempeño,
b)
Asegurarse que estas personas son competentes sobre
la base de una
educación
adecuada, entrenamiento y experiencia,
c)
Si aplica, tomar medidas para adquirir la competencia necesaria, y evaluar la eficacia de las medidas adoptadas, y
d)
Mantener información documentada apropiada como evidencia de la competencia
i.¡Ofe
Las acciones aplicables pueden incluir, por ejemplo: la prov¡sión de entrenam¡ento para la tutoría, o cambio de destino de los empleados actuales, o la conbatación de personas competentes.
7.3
TOIIIA DE CONCIENCIA
Las personas que realizan trabajos bajo el control de la organización deben ser concientes de: 13
NoRllATÉCNlcACOLOMB|ANA NTG5722(Primeraactualización)
a)
La política de Continuidad de Negocio,
b)
Su contribución a la eficacia del BCMS, incluyendo los beneficios de la mejora del desempeño de la Gestión de Gontinuidad de Negocio,
c) d) 7.4 La
Las implicaciones de las no conformidades con los requisitos del BCMS' y Su propio rol ante un incidente. COMUNTCACTÓN
de
organización debe determinar
comunicación intema
Y
extema
conespondiente al BCMS,
a) b) c)
sobre qué se cuando comunicar con quienes s) para
estiablecer,
La
dentro de la
interna entre
local,
con los clientes, incluyendo los a las comun
o regional,
sistema de alerta uso operativo, si comunrcacton
un incidente,
competentes y garantizar la
Facilitar la interoperabilidad
nicación destinado
Los ejercicios y
a ser
utilizado
durante la interrupción NOTA
a un incidente se especifican en el numeral 8.4.3
Otros requisitos para la
7.5
¡NFORMAC¡ÓN OOCUmerut
7-5.1
Generalidades
El BCMS de la organización debe incluir: La información documentada requerida por esta norma, y
La información documentada determinada por la organización como necesaria para la eficacia de los BCMS. NOTA
El alcance de la infcrmación documentada para un BCMS puede diferir de una organización a oba debido a:
14
NORMATÉCNlcACOLOMB|ANA NTC 5722(primera actuatización)
-
El tamaño de la organización y su tlpo de actividades, procesos, productos y servicios,
-
La complejidad de los procesos y sus interacciones, y
-
La competencia de las personas.
7.5.2
Creación y actual¡zac¡ón
Cuando se crea y actualiza la información documentada, la organización debe asegurar:
a) b)
La identificación y descripción (por ejemplo, un título, nombre, fecha, autor, número), y
Formato (por ejemplo,
el
idioma,
la versión de softvyare, gráf¡cos) y medios de y revisión y aprobación adecuada y
comunicación (por ejemplo, papel, electrónico), apropiada.
7.5.3 Gontrolde
la información documentada
La información documentada requerida por el BCMS para asegurar que:
a) b)
y por esta norma debe ser
controlada
Está disponible y es apropiada para el uso, donde y cuando sea necesario,
Está adecuadamente protegida (por ejemplo, de pérdida de confidencialidad, uso inapropiado, o pérdida de la integridad)
Para el control de la información documentada, la organización debe orientarse a las siguientes actividades, cuando sea aplicable: Distribución, , recuperación y uso,
Almacenamiento y conservación, incluyendo preservación de la legibilidad (es decir, lo suficientemente claro para leer),
Controlde cambios (por ejemplo, control de versión), Retención y eliminación, Prevención del uso no intencionado de la información obsoleta.
La información documentada de origen extemo que la organización determina que es y operación del BCMS debe ser identificada y, según sea
necesaria para la planificación apropiado, controlada.
Al establecer el control de la información documentada, la organización debe asegurarse de que existe una protección adecuada de la información documentada (por ejemplo, protección contra el compromiso, la modificacióno supresión no autorizada).
NOTA El implica una decisión sobre el permiso paÍa ver la inbrmackin do@mentada, o el permiso de la autoridad para ver y cambiar la información documentada, etc.
15
NORMA TÉCNICA
8. 8.I
COLOMBIANA
NTC 5722 (Primera actualización)
OPERACIÓN PLANIFTCACIÓN Y CONTROL
La organización debe planear, implementar, y controlar los procesos necesarios para cumplir los requisitos para ejecutar las acciones determinadas en el numeral 6.1, para:
a) b) c)
Establecer los criterios para esos procesos, Aplicar el control de estos procesos de acuerdo con los criterios, y demostrar que los procesos se han llevado a
Mantener información docu cabo como estaba previsto.
y
La organización debe cambios no deseados,
revisar las consecuencias de los los efectos adversos, según sea
necesario. son controlados.
La organización d
asegurar
8.2
IMPACTO AL
8.2.1
establecer,
La
i
negocio y
pa
, define los
a)
y otros que la
b)
de riesgo, y sus
de los
c) costos
d) e)
y valoración del riesgo, y
Define la
se
Especifica los
mantenga actualizada y
confidencial.
al
NOTA Ex¡sten d¡versas determinará el orden en que éstas se
negocio
y la valoración del riesgo que
8.2.2 Análisis delimpacto al La organización debe establecer, implementar y mantener un proceso de evaluación formal y documentado para determinar las prioridades de continuidad y recuperación, objetivos y metas. El análisis de impacto al negocio debe incluir lo siguiente:
a) b)
La identificación de actividades que apoyan la prestación de bienes y servicios; La evaluación de los impactos en el tiempo de no realizar estas actividades;
16
NORIJ|A TÉGNGA c)
GOLOMB¡ANA
NTC 5722 (Primera actualización)
El establecimiento de plazos prioritarios para la reanudación de estas actividades a un nivel mínimo especificado aceptable, teniendo en cuenta los impactos de la no reanudación de ellas será inaceptable, y
d)
y
La identificación de dependencias recursos de apoyo para estas actividades, incluyendo proveedores, subcontratados, socios y otras partes interesadas pertinentes.
8.2.3 Valoración del riesgo La organización debe establecer, implementar y mantener un prooeso formal de valoración del riesgo documentado que sistemáticamente identifica, analiza y evalúa el riesgo de incidentes perjudiciales a la organización.
NOTA
Este proceso puede realizarse de acuerdo con la norma NTC-ISO 31000.
La organización debe:
a)
ldentificar los riesgos de la intemrpción de las actividades prioritarias de la organización personas, bienes, proveedores y otros recursos que los apoyan,
y los procesos, sistemas de información,
b)
Analizar sistemáticamente el riesgo,
c)
Evaluar los riesgos relacionados con la intem.¡pción, que requieren tratamiento, e
d)
ldentificar tratamientos acordes con los objetivos de Continuidad
de Negocio y
de
acuerdo con el apetito de riesgo de la organización.
NOTA
La organización debe ser consciente de que ciertas obligaciones financieras o gubemamentales requieren
la comunicación de estos riesgos a diferentes niveles de detalle. Además, ciertas necesidades de la sociedad
también pueden garantizar el intercambio de esta informac¡ón en un nivel adecuado de detalle.
8.3
ESTRATEGIA DE CONT¡NUIDAD DE NEGOCIO
8.3.1 Determinación y selección La determinación y selección de la estrategia debe basarse en los resultados de los análisis de impacto al negocio y valoración del riesgo. La organización debe determinar una estrategia de continuidad de negocio apropiada para:
a) b)
Proteger las actividades prioritarias,
Estabilizar, continuar, reanudar
y
recuperar las actividades priorizadas
y
sus
dependencias y recursos de apoyo, y,
c)
Mitigar, responder y gestionar los impactos.
La determinación de la estrategia debe incluir la aprobación de marcos de prioridad de tiempo para la reanudación de las actividades.
La organización debe llevar a cabo evaluaciones de las capacidades de Continuidad de Negocio de los proveedores.
17
NORMATÉCNrcA COLOMBIANA NTC 5722 (Primera actualización)
8.3.2 Establecimiento de las necesidades
de recunsos
La organización debe determinar las necesidades de recursos para poner en práctica las estrategias seleccionadas. Los tipos de recursos considerados se incluyen, pero no se limitan a:
a)
las personas,
b)
la información y los datos,
c)
Los edificios, el ambiente de trabajo
d)
lnstalaciones, equipos y
e)
el sistema de
Ð
el transporte
s)
Ia finan
h)
socros
servicios asociados,
(ïc)
itigación
8.3.3
que requreren
considerar
de intemrpción,
a) b)
de los produ
c)
la organización y riesgo de acuerdo con su
La organización apetito de riesgo.
NTOS DE CONT¡NUIDAD DE
ESTABLECER E NEGOGIO
8.4.1
Generalidades
mantener procedimientos de Continuidad de continuar con sus actividades basadas en los objetivos de recuperación identificadas en el análisis del impacto al negocio. La organización debe establecer, i Negocio para gestionar un incidente
La organización debe documentar los procedimientos (incluidos los acuerdos necesarios) para asegurar la continuidad de actividades y la gestión de un incidente perjudicial. Los procedimientos deben:
a)
establecer un protocolo de comunicaciones interno y externo adecuado,
18
NORMATÉCNlcA COLOMBIANA NTC 5722 (Primera actualización) b)
ser específicos con respecto a las medidas inmediatas que deben tomarse durante una intenupción,
c)
ser flexibles para responder a amenazas imprevistas y las cambiantes condiciones intemas y extemas,
d)
centrarse en
el impacto de los eventos que podrían potencialmente intemrmpir
las
operaciones, e)
ser desanollados en base
a
los supuestos establecidos
y el análisis de las
interdependencias,
0
ser eficaces en la reducción de sus consecuencias a través de la aplicación de estrategias apropiadas de mitigación.
8.4.2 Estructura
de respuesta ante incidentes
La organización debe establecer, documentar e implementar procedimientos y una estructura de gestión para responder ante un incidente perjudicial con el uso del personal con la debida responsabilidad, autoridad y competencia para manejar un incidente. La estructura de respuesta debe:
a)
ldentificar los umbrales de los efectos que justifiquen la iniciación de la respuesta formal,
b) c)
Activar una respuesta apropiada de Continuidad de Negocio,
d)
Tener procesos
Evaluar la naturaleza y elalcance de un incidente perjudicialy su impacto potencial,
y
procedimientos para
la
activación, operación, coordinación y
comunicación de la respuesta, e)
Tener los recursos disponibles para apoyar los procesos y procedimientos para manejar un incidente perjudicial para minimízar el impacto, y,
Ð
Comunicarse con las partes interesadas
y las
autoridades, así como los medios de
comunicación.
la
La organización debe decidir, asegurando vida humana como primera prioridad y en consulta con las partes interesadas, si se comunica extemamente la información acerca de sus riesgos e impactos significativos y documentar su decisión. Si la decisión es comunicarla, a continuación,
la
organización debe establecer e implementar procedimientos para la y avisos, incluyendo los medios de comunicación, según
comunícación extema, alertas conesponda.
8.4.3 Advertencia y comunicación La organización debe establecer, implementar y mantener procedimientos para:
a) b)
La detección de un incidente, El seguimiento regular de un incidente,
19
NoRMATÉcNrcA GoLOMBIANA NTC 5722 (Primera actualización) c)
La comunicación interna dentro de la organización y recibir, documentar y responder a la comunicación de las partes interesadas,
d)
Recibir, documentar y responder a cualquier sistema de alerta de riesgo a nivel nacional o regional o su equivalente,
e)
Asegurar
la disponibilidad de los
medios
de
comunicación durante
un
incidente
perjudicial, f)
Facilitar la comunicación estructurada con los servicios de emergencia,
s)
Registrar la información vital tomadas, y lo siguiente
Alerta
, las medidas adoptadas y las decisiones donde aplique:
a las
afectadas por un incidente
perjudicial y el personal;
de de una comunicación y de
Los
nuidad de negocio procedimientos sus isitos a aquellos
La
contener
Los
a)
incidente
para las
Los
equipos que tienen
v
b) c)
Un proceso
la
de un incidente perjudicial,
Los detalles para teniendo en cuenta:
1) 2)
El bienestar de
Las
y
opciones
operativas para
la
respuesta
a
la
intenupción, y
3) d)
La prevención de la pérdida o no disponibilidad de las actividades prioritarias;
La información detallada sobre cómo y bajo qué circunstancias la organización se comunicará con los empleados y sus familiares, las partes interesadas claves y los os de emergencia,
e)
Cómo la organización va a continuar o recuperar sus actividades prioritarias dentro de los plazos predeterminados, 20
NORMA TÉCNlcA
f)
COLOMBI,ANA
NTC 5722 (Primera actualizaeión)
Los detalles de la respuesta de la organización de los medios de comunicación a raíz de un incidente, incluyendo
1) 2) 3)
una estrategia de comunicación, la interfaz seleccionada con los medios de comunicación,
guía
o plantilla para la redacción de una declaración para los medios de
comunicación, y
4') g)
portavoces apropiados;
un proceso para levantarse una vez que el incidente ha terminado
Cada plan debe definir
8.4.5
Propósito y alcance, Objetivos, Criterios y procedimientos de activación, procedimientos de implementación, roles, responsabilidades y autoridades, Requisitos y procedimientos de comunicación, lnterdependencias intemas y extemas y las interacciones, necesidades de recursos, y Flujo de información y procesos de documentación.
Recuperación
La organización debe tener procedimientos documentados para restaurar y retomar las actividades de negocio, de las medidas temporales adoptadas para soportâr las necesidades normales del negocio después de un incidente.
8.5
EJERCICIOS Y PRUEBAS
La organización debe hacer ejercitar y probar sus procedimientos de continuidad de negocio para asegurar que sean compatibles con sus objetivos de Continuidad de Negocio. La organización debe llevar a cabo ejercicios y pruebasque:
a) b)
Sean consistentes con el alcance y los objetivos del BGMS,
Se basen en escenarios apropiados que están bien planificados, con
objetivos
claramente definídos,
c)
Tomen en conjunto con el tiempo validado la totalidad de los acuerdos de continuidad de negocio, involucrando las partes interesadas pertinentes, 21
NORMATÉCNrcA COLOMBIANA NTC 5722 (Primera actualización)
d)
Reduzcan al mínimo el riesgo de interrupción de las operaciones,
e)
Produzcan formalmente, después del ejercicio, informes que contengan los resultados, recomendaciones y acciones a implementar
f)
Revisen en el contexto de la promoción de la mejora continua, y
s)
Se lleven a cabo a intervalos planificados, y cuando hay cambios significativos dentro
9. 9.1
EVALUACIÓN DE D SEGUIMIENTO, M
9.1.1
Generalidades
de la organización o el medio ambiente en el que opera.
La organización debe
a)
Que
b)
Los
conesponda, para
seguimiento, de los
y la medición
c)
seguimiento y
d)
resultados
docu
La
del BCMS y su
La Además, la
Tomar resultados
tendencias adversas o
hacer d
evidencia los resultados.
Conservar la
proveer:
Los procedimientos para
adecuados a las necesidades de la
El establecimiento de organización,
El seguimiento de la medida en que se cumplan las políticas de Continuidad de Negocio de la organización, los objetivos y metas,
El
desempeño
de los
procesos, procedimientos
y
funciones que protegen sus
actividades prioritarias, El control del cumplimiento con esta norma y los objetivos de continuidad de negocio, El seguimiento de la evidencia histórica de los resultados deficientes del desempeño del
BCMS, y 22
NoRMATÉGNICACOLoMBIANA NTC 5722 (Primera actualización) El registro de datos y los resultados de seguimiento y medición para facilitar
las
acciones conectivas tomadas. NOTA reales
Desempeño deficiente podrÍa incluir las no conformidades, cuasi accidentes, falsas alarmas y los casos
9.1.2 Evaluación de los procedimientos
de continuidad de negocio
a)
La organización debe llevar a cabo evaluaciones de sus procedimientos de Continuidad de Negocio y capacidades para asegurar su continua adecuación, idoneidad y eficacia;
b)
Estas evaluaciones deben llevarse a cabo a través de revisiones periódicas, ejercicios, pruebas, reportes después de incidentes y evaluaciones de desempeño. Los cambios significativos que surgen deben ser reflejados en el (los) procedimiento (s) de manera oportuna;
c)
d)
La organización debe evaluar periódicamente el cumplimiento con los requisitos legales y reglamentarios, mejores prácticas industriales, y la conformidad con su propia política y objetivos de Continuidad de Negocio, y
La organización debe llevar a cabo evaluaciones a intervalos planificados cuando se produzcan cambios signifi cativos.
Cuando un incidente perjudicial ocurra y resulte en la activación de sus procedimientos de continuidad de negocio, la organizacíón debe realizar una revisión posterior a los incidentes y
regisfar los resultados.
9.2
AUDITOR|A INTERNA
La organización debe realizar auditorías intemas a intervalos planificados para proporcionar información siel BCMS:
a)
Se ajusta a:
1) 2l b)
los requisitos propios de la organización para su BCMS, y los requisitos de esta norma,
Es eficazmente implementado y mantenido
La organización debe:
Planear, establecer, implementar y mantener un (os) programa (s) de auditoría, incluyendo la frecuencia, métodos, responsabilidades, requisitos de planificación y resultados. El (Los) programa (s) de auditoría debe (n) tener en consideración la importancia de los procesos y de los resultados de auditorías anteriores, Definir los criterios de auditoría y el alcance de cada una,
Seleccionar auditores
y
gestíonar auditorías que aseguren
la
objetividad
imparcialidad del proceso de auditoría, Garantizar que los resultados de las auditorías son reportados a la dirección, y
23
y
la
NORIüATÉCNlcACOLOMB|ANA NTC5722(Primeraactualización) Mantener información docr¡mentada como evidencia de la implementación del programa de auditoría y de sus resultados.
El programa de auditoría, incluyendo cualquier programación, debe basarse en los resultados de la valoración del riesgo de las actividades de la organización y los resultados de auditorías anteriorcs. Los procedimientos de auditoría deben cubrir el alcance, frecuencia, metodologías y competencias, así como las responsabilidades y requisitos para la realización de auditorías e informar de los resultados.
La dirección responsable del área que está siendo auditada debe asegurarse que cualquier corrección necesaria y cualquier acción correctiva se toman sin demora injustificada para causas. Las actividades de seguimiento deben de resultados de la verificación.
eliminar las no conformidades incluir la verificación de las
9.3
REvlSóN POR LA
,a
La alta dirección debe
intervalos planificados, para
asegurar su continua La revisión por la
a)
debe acciones de las
El
el BCMS,
los asuntos intemos
b)
tendencias
c) acciones de resultados de la
d)
Las de la organización, incluyendo:
Las revisiones por la Las acciones de
dirección anteriores,
La necesidad de
la política y los objetivos,
Las oportunidades de mejora,
-
Los resultados de las auditorías y revisiones al BCMS, incluidos los de los principales proveedores y socios, cuando aplique,
-
Las técnicas, productos o procedimientos, que podrían ser utilizados en la organización para mejorar el desempeño y eficacia del BCMS,
-
El estado de las acciones c¡rrectivas,
Los resultados de los ejercicíos y las pruebas, 24
NORMA TÉCNrcA
-
COLOMBIANA
NTC 5722 (Primera actualización)
Los riesgos o problemas no abordados adecuadamente en cualquier valoración del riesgo anterior,
-
Cualquier cambio que pudiera afectar el BCMS, ya sea interna o externa al alcance del BCMS,
-
La adecuación de la política,
Las recomendaciones de mejora, Las lecciones aprendidas y las acciones derivadas de incidentes perjudiciales, y Buenas prácticas y guías emergentes.
El resultado de la revisión por la dirección debe incluir decisiones relacionadas con las oportunidades de mejora continua y la posible necesidad de cambios al BCMS y lo siguiente:
a) b) c) d)
Variaciones en el alcance del BCMS; Mejoramiento de la eficacia delBCMS;
Actualización de la valoración del riesgo, análisis de impacto al negocio, planes de continuidad de negocio y los procedimientos relacionados; Modificación de los procedimientos y controles para responder a los eventos intemos o elüemos que pueden afectar al BCMS, incluidos los cambios:
1) 2l 3) 4) 5) 6) 7) 8) e)
Los requisitos del negocio y operacionales, Reducción de riesgos y requisitos de seguridad, Condiciones y procesos de operación, Requisitos legales y reglamentarios, Obligaciones contractuales, Los niveles de riesgo y/o criterios de aceptación de riesgos, Recursos necesarios, La financiación y las necesidades presupuestarias,
Cómo la eficacia de los controles son medidas.
La organización debe conservar información documentada oomo evidencia de los resuJtados de las revisiones por la dirección. La organización debe:
-
Comunicar
los resultados de examen de la
gestión de
pertinentes, y
-
Tomar las medidas apropiadas en relación con esos resultados. 25
las partes
interesadas
NORMATÉCNrcA COLOMBIANA NTC 5722 (Primera actualización)
IO. IO.I
MEJORA NO CONFORMIDAD Y ACCIÓN CORRECT¡VA
Cuando ocurra una no conformidad, la organización debe:
a) b)
ldentificar la no conformidad, y Responder a las no conformidades, y, cuando aplique:
1) 2) c)
Tomar medidas para controlarlas y conegirlas, y, Tratar con las co
eliminar las causas de
Evaluar la necesidad conformidad, para q
1) 2l
la
no
en otra parte, incluyendo:
La revisión de de
La
existentes,
de pudieran
3)
o
que
que las no
de la necesidad no se repitan o se mplementación de de cualquier acción
,sres
7
d)
e) f)
Revisar la Hacer los cambios
efectos
Las acciones conecüvas
de las no
conformidades
encontradas. como evidencia de:
La organización debe mantener la
10.2
La naturaleza de las no conformidades y de cualquier acción tomada posteriormente, y
Los resultados de analquier acción conectiva.
MEJORA CONTINUA
La organización debe mejorar continuamente la idoneidad, adecuación o eficacia del BCMS.
NOTA
La organización puede utilizar los procesos del BCMS tales como el l¡derazgo, la planeación y evaluación de desempeño, para lograr una mejora.
26
NORMA TÉCN|GA
COLOMBI,ANA NTc
5722 (Primera actualización)
ANEXOA (lnformativo)
BIBLIOGRAF¡A t1l
NTC-ISO 9001, Sistemas de Gestión de Calidad. Requisitos
I2t
NTGISO 14001, Sistemas de Gestión Ambiental. Requisitos con orientación para su uso
t3l
NTC-ISO 19011, Directrices para la auditoría de los Sistemas de Gestión.
I4l
ISO/IEC 20000-1, Tecnología de la información. Gestión del servicio. Parte 1: Especificación.
t5l
fSO 22300, Sociefa/ Security. Terminology.
16I
ISO/PAS 22399, Societal Security. Guideline for lncident Preparedness and Operational Continuity Management.
t4
ISO/IEC 24762, lnfotmation Technology. Security Techniques. Guidelines for Informatkn and Com m un iætions Tech nology Disaster Reævery Sen¿bes
t8l
ISO/IEC 27 OO1, I nformation Security M anagemenf Sysferns.
tel
ISO/IEC 27031, lnformation Technology. Security techniques- Guidelines for Information and Communication Technology Readiness for Busrness Continuity.
t10l
ISO 31000, Risk Management. Principles and Guidelines.
t1
1l
lSO/lEC 31010, Risk Management. Risk assessmenf Techniques-
1121
ISO/IEC Guide 73, Risk Management. Vocabulary.
113l
BS 25999-1, Busfi¡ess Continuity Management. Code of Practiæ, British Sfandards Institution (BSl).
t14l
BS 25999-2, Busrness Continuity Management. Specification, British Sfandards lnstitution (BSl).
115l
Sl 24001, Security and Continuity Management Sysfems. Requirements and Guidance for Use, Sfandards Institution of lsrael.
t16l
NFPA 1600, Standard on Disaster/Emergency Management and Business Continuity N ation al F i re Protection Association (U SA).
Prognms,
I17l
Busrness Continuity Plan Drafting Guideline, Ministry of Economy, Trade and lndustry
t18l
Business Continuity Guideline, Centnl Disaster Management Council, Cabinet Office, Govemment of J apan, 2OO5.
t19]
ANSI/ASIS SPC.1, Organizational Resilience: Security, Preparcdness, and Continuity Managemenfs Sysfems. Requirements with Guidance for UseSS 540: 2008, Singapore Standard for Eusiness Continuity Management.
t20]
ANSI/ASIS/BSI BCM.01, Eusiness Continuity Managemenf Sysfems: Requirements with Guidance for Use.
(Japan),20O5.
27
NORMATÉCNICACOLOMBIANA NTC5722 (Primeraactualización) DOCUMENTO DE REFERENCIA INTERNATIONAL ORGANIZATION FOR STANDARDIZATION. SocietalSecurity. Busíness Sontinuity Managemenf Systems. Requirements. Geneva: lSO, 2012, 24 p (lSO 22301:2012 {E)).
28
I I
I I I
I
l I
J
l l J
J
NTC
5722 2012-10-31
CONTINUIDAD DE NEGOCIO. GESTIÓN DE CONTINUIDAD DE SIST NE
E:
BUSINESS
ENCIA:
esta por
(rDr) nofma
tso
22301
cont¡n
continuidad
de
sistemas de de la sociedad.
LC.S.: 03.100.01 Ed¡tada por el lnstituto Colomb¡ano de Normas Técnicas y Cerlificac¡ón (ICONTEC) Aparlado 14237 Bogotá, D.C. - Tel. (571) 6078888 - Fax (571) 2221435
Prohibida su reproducción
Pr¡r¡era aclual¡zackin Ed¡tada 2012-1 1-09
PRÓLOGO
El lnstituto Colombiano de Normas Técnicas y Certificación, ICONTEC, es el
organismo
nacional de normalización, según el Decreto 2269 de 1993. ICONTEC es una entidad de carácter privado, sin ánimo de lucro, cuya Misión es fundamental
para brindar soporte y desanollo al productor y protección al consumidor. Colabora con el sector gubernamental y apoya al sector privado del país, para lograr ventajas competitivas en los mercados interno y extemo. La representación de todos los sectores involucrados en el proceso de Normalización Técnica está garantizada por los Comités Técnicos y el período de Consulta Pública, este último caracterizado por la participación del público en general.
La NTC 5722 (Primera actualización) fue ratificada por el Consejo Directivo de 2012-10-31 Esta norma está sujeta a ser actualizada permanentemente con el objeto de que responda en todo momento a las necesidades y exigencias actuales.
A continuación se relacionan las empresas que colaboraron en el estudio de esta norma a través de su participación en el Comité Técnico 205. Continuidad de Negocio BANCO AGRARIO DE COLOMBIA BANCO BOGOTÁ BANCO COLPATRIA MULTIBANCA COLPATRIA S.A. BANCO CORPBANCA COLOMBIA BANCO DE LA REPÚBLICA BANCO GNB SUDAMERIS BANCOLDEX BAVARIA S.A. COMPAÑíA FINANCIAMIENTO TUYA S.A. CONSEJO COLOMBIANO DE SEGURIDAD DEL]MA MARSH COLOMBIA
EMPRESAS PÚBLNAS DE MEDELLIN €PIVI.
HELM BANK S.A. IBM COLOMBIA INSTITUTO DISTRITAL DE TURISMO INTEK S. A. ISOLUCIONES LTDA. ITEAM LTDA. OCCIDENTAL DE COLOMBIA, ¡NC SMART IT SOLUTIONS CONSULTORS THOMAS MTI WILLIS COLOMBIA S.A.
Además de las anteriores, en Consulta Pública el Proyecto se puso a consideración de las siguientes empresas:
ACH DE COLOMBIA AEROV¡AS DEL CONTINENTE AMERICANO S.A. - AVIANCA S.A. AJOVER S.A AON COLOMBIA S.A - CORREDORES DE SEGUROS ASOCIACIÓN BANCARIA Y DE ENTIDADES FINANCIERAS ASOBANCARIA ASOCIACIÓN LAT]NOAMERICANA DE CONTINUIDAD - ALCONT -
BANCAMIA S.A. BANCO AGRARIO DE COLOMBIA S.A. BANCO AV VILLAS BANCO CAJA SOCIAL BANCO COLPATRIA MULTIBANCA COLPATRIA S. A. BANCO DAVIVIENDA S.ABANCO DE BOGOTA BANCO DE LA REPÚBLICA BANCO DE OCCIDENTE BANCO FALABELLA COLOMBIA S. A.
BANCO GNB SUDAMERIS BANCO PICHINCHA S.A BANCO PROCREDIT COLOMBIA S.A. BANCO SANTANDER COLOMBIA S.A. BANCOLDEX S.A. BANCOLOMBIA S.A. BAVARIA S. A. BBVA COLOMB¡A BNP PARIBAS COLOMBIA CORPORACIÓN FINANCIERA BOLSA DEVALORES DE COLO CENTRO COMERCIAL CH CITIBANK COLOMBIA S.A. CJE SUPPLIES LTDA.
COMPAÑíA DE s. A. (ANTES SUF CONCALIDAD CONSEJO CREDIFAM CRUZ
ESCUELA COLOMBIANA DE INGENIERÍA JULIO GARAVITO ETEK INTERNATIONAL COLOMBIA F¡NAMÉRICA S.A GESTÓN & ESTRATEGIA S.A.S. HELM BANK S.A. HSBC COLOMBIA S.A. ]NST]TUTO D]STR]TAL DE TURISMO ¡NTEK DE COLOMBIA S. A. ITEAM LTDA. KPMG TÉCNICO DE INFORMACIÓN DE COLOMBIA S.A. DE COLOMBIA INC NACIONAL DE COLOMBIA
EN
DE
DEPORTE
ULTORS S.A.
DE VALORES SALUD
COLOMBIA
E.S.P ENLACE O
ICONTEC cuenta e.on un normas intemacionales,
S.A. THOMAS UNE EPM WILLIS SEGUROS
ONES S. A.
CORREDORES DE
a disposición de los
interesados
relacionados. DIRECCIÓN DE NORMALIZACIÓN
NORMA TÉCN¡CA
COLOMBIANA
NTG 5722 (Primera actualización)
CONTENIDO
Página 0.
INTRODUCCÉN
0.1
GENERALIDADES
0.2
EL MODELO PLANEAR- HACER- VER|F|CAR- ACTUAR (PHVA)
0.3
COMPONENTES DEL PHVA EN ESTA NORMA
1.
ALCANCE
2.
REFERENCIAS NORMATIVAS
3.
TÉRi,|INOS Y DEFINICIONES
4.
GoNTEXTO DE LA
4.1
DESCRIPCIÓN
4-2
I ..2
.2
ORGANIZAC|ÓN............. ....................8 OC LA ORGANIZAG¡ÓN Y SU CONTEXTO.......... ........8
ENTENDIENDO LAS NECES¡DADES Y EXPECTAT¡VAS DE
LAS PARTES
!NTERESADAS............
4.t
DETERMINAR ELALCANCE DEL SISTEMA DE GESflÓN
4.4
SISTEMA DE GESilÓN DE CONTINUIDAD DE NEGOCIO
5. LTDERAZGO 5.1 GENERAL|DADES............. 5.2 COMPROMTSO DE LA ALTA D|RECC|ÓN 5.3 POL|TICA 5.4 ROLES, RESPONSABILIDADES Y AUTOR¡DADES
............_e .9
...........10 ........10 .......................10 ...............11 .......12
6. PLAN|FTCACTÓN.............. ..........12 6.1 ACCTONES PARA DTRECCTONAR R¡ESGOS y OPORTUN|DADES......................12
NORMATÉCNICACOLOMBIANA NTC5722 (Primeraac{ualización)
Página
6.2
OBJETIVOS DE CONTINUIDAD DE NEGOCIOY PLANESPARA ALCANZARLOS...
12
7.
RECURSOS..
13
7.1
GENERALIDADES...
13
7_2
COMPETENCIA....
I3
7-3
TOMA DE
13
7.4
coM
14 14
DOCUME
7.5
I
16
I
16
8.2
IMP
8.3
DE
YVALO NEGOCIO_............
16 17
EDIMIENTOS
8.4
t8
8.5
EJERCTCTOS Y
...21
9.
EVALUACIÓN DE
...22
9.1
SEGUIMIENTO,
...22
9.2
AUDITOR¡A INTERNA.........
..23
9.3
REV|SIÓN POR LA DIRECCÉN
..24
10.
MEJORA.....
10.1
NO GONFORMTDAD
y ACC|ÓN
CORRECTwA
...............26
10.2
DOCUMENTO DE REFERENCIA
.28
-l
-t NORMATÉCN|GACOLOMB|ANA NTC5722(Primeraactualización)
Página
.27
Tabla
l.
Explicación del modelo de PHVA
J
NoRMATÉcNrcA
O. O.I
coLoMBIANA
NTc 5722 (Primera actualización)
INTRODUCCIÓN GENERAL¡DADES
Esta norma especifica los requisitos para la creación y gestión de un Sistema de Gestión de Continuidad de Negocio (BCMS, por inglés) efectivo. Un BCMS hace énfasis en la
de establecer una gestión
Entender las de Continuidad de lmplementar una
la capacidad generalde
operar y revisión basado en m de gestión,
EI
sigu
claves
a) definidas;
b)
c) 1)
2) 3) 4) 5) 6) d) e)
Planeación, lmplementación y Evaluación de Análisis de la gestión, y Mejoramiento. Documentación que proporcione evidencia auditable;y Cualquier proceso de gestión de la continuidad de negocio pertinente para la organización.
La Continuidad de Negocio contribuye a una sociedad con mayor resiliencia. La comunidad en general y el impacto del ambiente organizacional en la organización y en otras organizaciones, podrían estar involucrados en el proceso de recuperación
NORMATÉCN|GA
o-2
COLOMBIANA
NTC 5722 (Primera actualización)
EL MODELO PLANEAR- HACER-VERIFTGAR-ACTUAR (PHVA)
Esta norma aplica el modelo "Planear-Hacer-Verificar-Actuaf (PHVA) para establecer, implementar, operar, monitorear, revisar, mantener
y
planear,
mejorar continuamente la
eficacia de un sistema de gestión de Continuidad de Negocio en la organización.
Esto asegura un cierto grado de coherencia con otras normas de sistemas de gestión, tales como la norma NTC-ISO 9001 Sistema de Gestión de Calidad, NTC-ISO 14001, Sistema de Gestión Ambiental, NTC-ISO-IEC 27001 Sistema de Gestión en Seguridad de la lnformación, ISO-1EC20000-1 Gestión de servicios, y la norma NTC-ISO 28000 Sistema de Gestión de Seguridad para la Cadena de Suministro, apoyando, de este modo, que la implementación y operación sean consistentes e integradas con los sistemas de gestión relacionados.
La Figura 1 ilustra cómo un BCMS toma como entradas las partes interesadas y los requisitos para la gestión de la continuidad y a través de las acciones y prooesos necesarios, produce resultados de la Continuidad de Negocio (gestión de Continuidad de Negocio) que cumplen con esos requisitos.
Meþra contínua del Sistema de Gestión de Continuidad de Negocio (SGCN)
Partes ¡nteresadas
-)
Mantener y meþrar (actuar)
Requisitos para continuidad de negocio
-+
Establecer (planear)
-f Figura
lmplementar y operaf (hacer)
Monitorear y revisar (verificar)
l.
Partes interesadas
+
Giclo PHVA ap¡¡cado a los procesos de BCfilS
Continuidad de negocro
gestionada
NoRMATÉcNrcAcoLoMBlANA NTc5722 (Primeraac'tualización) Tabla 1. Explicación del modelo de PHVA Establecer política, objetivos, metjas, contoles, procesos y procedimientos de conlinuidad de negocio pert¡nentes para mejorar la continuidad de Negocio, con el fin, de entregar resultados que se alineen con todos los objetivos y
Planear (Establecer)
oolíticas de la orqanización
lmplementar
Hacer (lmplementar y operar)
la
operar
política, conl¡oles, procesos
y
procedimientos de
Monitorear y revisar el desempeño contra la política y los objetivos de continuidad de negocio, reportar los resultados a la Dirección para la revisión, v determinar v autorizar las acciones para la reoaración v meioram¡ento Mantener y mejorar el BCMS tomando acción conectiva, basada en los resultados de la revisión por la Dirección y la revalorización del objeto del BCMS v la oolfiav los obietivos de conünuidad de neoocio
Verificar (Monitorear y revisar)
Actuar (Mantener y mejorar)
0.3
y
Continuidad de Neoocio
COMPONENTES DEL
el numeral 4 al numeral 10 de esta
En el modelo PHVA como norma se cubren los sig
El numeral
ala
c¡ntexto del
requisitos necesarios para
así como las
sitos y a un componente del alta dirección en el io de la
isitos específicos expectativas a
de lo que el BCMS de plan del
del Planear de objetivos
de la numeral 6 difiere de la el negocio (BlA,
continuidad,
en inglés) de los
Es soporte
interesadas,
documentar,
al
mismo tiempo
n requerida
NOTA Los requisitos para el en el numeral
de valoración del riesgo son detallados
I
El numeral I es un Continuidad de Negocio,
operaciones del BCMS lo
la comunicación de forma
que se periódica o
la
En él se definen los requisitos de forma de abordarlos y desanolla los
procedimientos para istrar un incidente perjudicial El numeral 9 es un componente del Verificar. En él se resumen los requisitos necesarios para medir el rendimiento de la Continuidad de Negocio, el cumplimiento del BCMS con la norma y sus expectativas de gestión y busca una retroalimentación del sistema respecto a las expectativas.
El numeral 10 es un componente del Actuar. Se identifica y actúa sobre las conformidades del BCMS a través de una acción conectiva.
no
NORMATÉcN¡cACOLOMBIANA NTC5722(Primeraactualización)
CONTINUIDAD DE NEGOCIO. S¡STEMAS DE GESTIÓN DE CONTINUIDAD DE NEGOC¡O. REQUISITOS
1.
ALCANCE
Esta norma para la gestión de Continuidad de Negocio especifica los requisitos para planificar, establecer, implementar, operar, supervisar, revisar, mantener y mejorar continuamente un sistema de gestión documentado para protegerse, reducir la probabilidad de ocunencia, prepararse, responder y recuperarse de los incidentes perjudiciales que puedan surgir. Los requisitos especificados en esta norma son genéricos y se pretende que sean aplicables a todas las organizaciones o partes de las mismas, independiente del tipo, tamaño y naturaleza de la organización. El grado de aplicación de estos requisitos depende del entomo operativo de la organización y su complejidadNo es la intención de esta norma proporcionar uniformidad en la estructura de un BCMS, sino para que una organización diseñe un BCMS que sea apropiado para sus necesidades y que cumpla con los requisitos de sus partes interesadas; éstas necesidades están determinadas por los requisitos legales, regulatorios, organizacionales, y de la industria, los productos y servicios, los procesos empleados, el tamaño y la estructura de la organización y los requisitos de sus partes interesadas. Esta norma es aplicable a todos los tipos y tamaños de las organizaciones que desean:
a) b) c) d)
Establecer, implementar, mantener y mejorar un BCMS Garantizar la conformidad con la política establecida de la Continuidad de Negocio. Demostrar la conformidad con otros.
Buscar
la
certificación/ registro
de su BCMS por un
organismo acreditado de
certificación de terceros, o
e)
Hacer una auto-determinación y autodeclaración de conformidad con esta norma.
Esta norma puede ser utilizada para evaluar la capacidad de una organización de satisfacer sus necesidades de continuidad propia y obligaciones.
1de28
NORiIATÉCNlcACoLoMBIANA NTc5722(Primeraactualización)
2.
REFERENCIAS NORMAT¡VAS
Los siguientes documentos normativos referenciados son indispensables para la aplicación de este documento normativo. Para referencias fechadas, se aplica únicamente la edición citada. Para referencias no fechadas, se aplica la última edición del documento normativo referenciado (incluida cualquier corrección). No hay referencias normativas.
3.
TÉRMINOS Y DEFINICIONES
Para el propósito de este
términos y definiciones aplican:
una organización (o en su nombre)
3.1 Actividad. Tarea o que produce o apoya uno o
EJËMPLO
Los procesos de
3.2 Auditoría. auditoría y eva
para obtener evidencia de en que los criterios de
de manera
la auditoría NOTA parte)
I
puede ser una auditoría auditoría combinada
o una
y "criterios de
(segunda o tercera
en
de la
3.4 amenazas
entrega de
Proceso de impactos
causar a las
marco para la respuestra efectiva que
que identifica las amenazas podrían cuales proporcionan un c¡n la capacidad de una
sus partes interesadas clave,
su
reputación, marca y las
(BCMS, por sus siglas en inglés).
3.5 Sistema de Gestión de Parte del sistema general de mantiene y mejora la Continuidad NOTA El sistema de gestión incluye
implementa, opera, monitorea, revisa, la
organizativa, las políticas, actividades de planificación,
responsabilidades, procedimientos, procesos y recursos
3.6 Plan de Continuidad de Negocio. Procedimientos documentados que guían a las organizaciones para responder, recuperar, reanudar y restaurar a un nivel pre-definido de operación debido a la ínterrupción.
NOTA Tfpicamente, esto inclu¡æ los recursos, servicios y actividades necesarios para garantizar la continuidad de las funciones crÍticas del negocio.
2
NORMA TÉCNrcA
COLOMB¡ANA
NTC 5722 (Primera actualización)
3.7 Programa de Gontinuidad de Negocio. Proceso continúo de gestión y la gobemabilidad con el apoyo de la alta dirección y los recursos adecuados para implementar y mantener la gestión de la Continuidad de Negocio. 3.8 Análisis del impacto al negocio. Proceso del análisis de actividades y el efecto que una intemrpción del negocio podría tener sobre ellas. [Fuente: ISO 22300]
3.9 Gompetencia. Gapacidad de aplicar conocimientos
y
habilidades para alcanzar los
resultados previstos. 3.10 Gonformidad. Cumplimiento de un requisito [Fuente: ISO 22300¡
3.ll
Meioramiento continuo. Actividad periódica para mejorar eldesempeño.
[Fuente: ISO 22300] 3.12 Corrección. Acción para eliminar una no conformidad detectada [Fuente: ISO 22300] 3.13 Acción correetiva. Medidas para eliminar la causa de una no conformidad y para prevenir la recunencia.
NOTA
En el caso de otros resultados indeseados, la acckin es necesaria para minimiz¡r o eliminar la causa y reducir el impacto o prevenir la recunencia. Tales acciones están fuera del concepto de 'acción conec{iva' en el sentido de esta definición
[Fuente: ISO 22300] 3.14 Documento. lnformación y su medio de soporte.
I
NOTA El medio puede ser papel, disco magnético, óptico o electrónico, fotografia combinación de los mismos. NOTA
2
o muesba maesba, o
una
Un conjunto de documentos, por ejemplo especificaciones y registros, se denominan "documentación"
3-15 lnformación documentada. lnformación requerida para ser controlada y mantenida por una organización y el medio en el que está contenido. NOTA fuente.
1
lnbrmación documentada puede ser en cualquier brmato y los medios de comunicación de cualquier
NOTA
2
La información documentada se puede referir a.
-
El sistema de gestión, incluyendo los procesos relacionados;
La información creada por la organización con el fin de operar (la documentación); La evidencia de los resultados obtenidos (regisüos).
3.16 Eficacia. Nivel en el cual las actividades planeadas son realizadas y los resultados planeados son alcanzados [Fuente: lSO 22300] 3
NoRMATÉcNrcA
coLoMBIANA
NTC 5722 (Primera actualización)
3.17 Evento. Ocunencia o cambio de un conjunto particular de circunstancias.
1 NOTA 2 NOTA 3 NOTA 4 NOTA
Un evento puede ser una o más ocurrencias, y puede tener varias causas Un evento puede ser algo no ocurrido. Un evento puede ser algunas veces referido como un "incidente" o "accidente' Un evento sin consecuencias también puede ser referido como "casi falla", "incidente", "casi golpe', 'close
call".
[Fuente: ISOilEC Guide 73]
,
3.18 Ejercicio. Proceso para
practicar
y
mejorar
el desempeño en
una
organización.
1
planes, procedimientos, entrenamientos, el personal en roles y responsabilidades; brechas en los recursos; mejorar el
Los ejercicios pueden NOTA equipamiento y otros acuerdos mejorar la coordinación y desempeño individual; e
controlada para prácticar la
improvisación.
NOTA2
Una
[Fuente:
una expectativa enfe una está siendo planeado.
un único y
aprobación o no,
que hace
I
emergencia o
que sería o podría
3.19
equipos y
para el
como afectada
que puede decisión o actividad
3.21
afectar, ser
NOTA
interés en
Esto puede
decisión o actividad de una
organización
de la propia organización de
3.22 Auditoría intema. revisión de la gestión y
podrían servir de base para una
organización de
NOTA
pequeñas, la ¡ndependencia puede ser demostrada auditoría.
En muchos casos, por la libertad de la responsabilidad de la
3.23 Activación. Acto de declarar que los acuerdos de la organización de Continuidad de Negocio deben llevarse a la práctica con el f¡n de continuar la entrega de productos o servicios clave.
3.24 Sistema de gestión. Conjunto de elementos interrelacionados o que interactúan de una
organización para establecer políticas
y
objetivos,
y los procesos para alc,anzar
objetivos. NOTA
1
Un s¡stema de gestión puede abordar una sola disciplina o varias disciplinas.
4
dichos
NORMA TÉCNrcA NOTA
2
COLOMBIANA
NTC 5722 (Primera actualización)
Los elementos del sistema son la estructr.rra de la organizacirin, funciones
y
responsabilklades,
planifi cación, operación, etc.
3
NOTA El ámbito de aplicación de un sistema de gestión puede incluir la totalidad de la organización, funciones concretas e identificadas de la organización, las secciones especíllcas e identíficadas de la organización, o una o más funciones a través de un grupo de las organizaciones.
3.25 lnterrupción máxima aceptable (MAO, por sus s¡glas en ¡ng¡és). El tiempo que tomaría para que los efectos adversos que pudieran ocurrir como resuftado de no proporc¡onar un producto / servicio o realizar una act¡vidad, se conviertan en inaceptable.
NOTA
Véase también el periodo máximo tolerable de interrupción.
3.26 Periodo máx¡mo tolerable de intemrpción (tlTPD, por sus s¡glas en inglés). Eltiempo que tomaría para que los efectos adversos que pudieran ocurir como resultado de no proporc¡onar un producto / servicio o realizando una actividad, para convertirse en inaceptable.
NOTA
Véase también lntemlpción máxima aceptable.
3.27 Medición. Proceso para determinar un valor. 3.28 Obietivo mín¡mo de Gontinuidad de Negocio (MBCO, por sus siglas en inglés). Nivel mínimo de servicios o productos que sea aceptable para la organización para lograr su objetivo de negocio durante una intemrpción. 3.29 Seguimiento. Determinar el estado de un sistema, un prooeso o una actividad.
NOTA
Para determinar el estado puede haber una necesidad de conholar, supervisar y observar crfticamente.
3.30 Acuerdo de ayuda mutua. Preaneglo entendido entre dos o más entidades para prestar asistencia entre ellos. [Fuente: ISO 22300] 3.31 No conformidad. lncumplimiento de un requisito. [Fuente: ISO 22300] 3.32 Obietivo. Resultado a lograrse. NOTA 1 Un objetivo puede ser estratégico, táctico u operativo.
NOTA 2 Los objetivos se pueden relacionar con d¡brentes disciplinas (tales como metas financieras, de salud, seguridad y ambientales) y se pueden aplicar en diferentes niveles (tales como estratégico, para toda la organización, para proyectos, productos y procesos (3.1.2)).
NOTA 3 Un objetivo se puede expresar de otras maneras, por ejemplo, co¡rþ un resultado prev¡sto, un propósito, un criterio operativo, un objetivo de seguridad de la sociedad, o mediante el uso de palabras con un significado similar (por ejemplo, fin, meta o destino). NOTA 4 En el contelto de norrnas de sistemas de gestion de segurirlad de la sociedad, la organización establece los objetivos de seguridad de la sociedad, en concordancia con la política de seguridad de la sociedad, para lograr resultados específi cos.
3.33 Organizac¡ón. Persona o grupo de personas con funciones y responsabilidades prop¡as, autoridades y relaciones para alcanzar sus objetivos.
1
NOTA El concepto de organización incluye, pero no se limita a la compañía, corporación, firma, empresa, autoridad, asociación, instifución, parte o combinación de los mismos, ya sea incorporada o no, pública o privada.
5
NORMATÉCNTCACOLOMBIANA NTC5722(Primeraactualización)
2
Para las organizaciones con mas de una operación de negocio, una sola unidad puede ser definida NOTA como una organización.
3.34 Subcontratar. Hacer un arreglo donde una organización externa rcaliza parte de la función o prooesos de una organización.
NOTA
Una organización eì.tema está fuera del alcance del sistema de gestión, aunque la función compartida o proceso tercerisado está dentro del ámbito de aplicación.
3.35 Desempeño. Resultado medible.
I NOTA2
NOTA
El desempeño se puede relacionar bien sea con los resultados cuantitativos o cualitativos.
las act¡v¡dades, procesos, productos (incluidos los
El desempeño puede servicios), los sistemas u organ¡zaciones.
de resultados medibles.
3.36 Evaluac¡ón del
de la organización.
3.37 Personal. Personas
NOTA
EI
personal a tiempo parcial y
personal
personal de la
globales y se expresan
3.38 Pol
a la continuidad
para
una o
cuales
na organización a
3-41 sus
por ejemplo,
3.42 Actividades ocunido un incidente,
seguros
prioridad después de que ha
debe
dentro de este grupo incluyen: crítico,
NOTA Algunos términos esencial, vital, urgente y clave. [Fuente:
las
1SO
22300]
3.43 Registro. Declaración de
obtenidos
o evidencia de las actividades
ejecutadas
3.44 Punto Objetivo de Recuperación (RPO, por sus siglas en ¡nglés). Punto en el cual la información usada por una actividad debe ser restaurada para permitir la reanudación de la operación.
NOTA
También se puede denominar como "Pérdida de datos máxima"
3.45 Tiempo objetivo de recuperación (RTO, por sus siglas en ¡nglés). Período de tiempo después de un incidente en el que:
6
NORMA TÉcNrcA
COLOMBTANA NTc
5222 (Primera actuatización)
El producto o servicio debe ser reanudado, o La actividad debe reanudarse, o
Los recursos deben ser recuperados.
NOTA Para los productos, servicios y actividades, el tiempo objetivo de recuperación debe ser menor que el tiempo que tomaría para los efectos adversos que pudieran surgir como consecuencia de no proporcionar un producto / servicio o la realización de una actividad para convertirse en inaceptable.
3.46 Requisito. Necesidad o expectativa establecida, generalmente implícita u obligatoria.
I
"Generalmente implícita'significa que se tata de una costumbre o pÉctica común para la organización NOTA y las partes interesadas que la necesidad o expec,tatt'va bajo consideración está implícita. NOTA
2
Un requisito especificado es aquel que se dice, por ejemplo, en inbrmación documentada.
3.47 Recursos. Todos los activos, recursos humanos, conocimientos, información, tecnología (incluidas las instalaciones y equipos), locales, y suministros e información (ya sean o no electrónicos) que una organizac¡ón tiene que tener disponibles para su uso, cuando sea necesar¡o, con el f¡n de operar y cumplir con su objetivo. 3.48 Riesgo. Efecto de la incertidumbre sobre los objetivos.
I NOTA 2 NOTA
Un efucto es una desviación de aquello que se espera, sea positivo, negativo o ambos.
Los objetivos pueden referirse a diferentes disciplinas (como la salud financiera, la seguridad, y las metas ambientales) y puede aplicarse a distintos niveles (como estratégico, toda la organización, proyecb, producto y proceso). Un objetivo se puede expresar de otras maneras, por ejemplo, como resultado que se pretende, un propós¡to, un criterio opemtivo, como la Continuidad de Negocio objetivo o por el uso de otras palabras de significado similar (por ejemplo objetivo, meta o destino).
NOTA3 El riesgo se caracteriza a menudo con relación a los eventos potenciales (GTC 137, 3.5.1.3) consecuencias (GTC 1 37,3.6.1.3), o una combinación de éstos.
y las
4
El riesgo se expresa a menudo en Érminos de una combinación de las consecuencias de un evento (incluyendo los cambios en circunstancias) y la probabilidad asociada (GTC 137, 3.6.1.1) de que se produzca. NOTA
5
NOTA La incertidumbre es el estado, incluso parcial, de la eficiencia de comprensión o conocimiento de un caso, su @nsecuencia, o la probabilidad.
la inúormación relacionada con la
6
NOTA En el contexto de las normas de Continuidad de Negocio BCMS, los objetivos de ContinuirJad de Negocio se establecen por la organización, en concordancia con la política de Continuidad de Negocio, para lograr resultados específicos. Cuando se aplica el término riesgo y los componentes de la gestión del riesgo, esto debe estar relacionado con los objetivos de la organización que incluyen, pero no se limitan a los objetivos de Continuidad de Negocio tal como se especifica en el numeral 6.2. [Fuente: Modificada de definición 1.1 de GTC
13{
3.49 Apetito de riesgo. Es el nivel y tipo de riesgo que la organización está dispuesta a asumir
3.50 Valoración del r¡esgo. Proceso global de identificación del riesgo, análisis del riesgo y evaluación del riesgo.
[Fuente:GTC 134 3.51 Gestión del riesgo. Actividades coordinadas para dirigir y controlar una organización con respecto al riesgo. [Fuente: GTC 134 7
NORMA TÉcNrcA
coLoMBIANA
NTC 5722 (Primera actualización)
3.52 Prueba. Procedimiento para determinar la presencia, cualidad o veracidad de algo NOTA 1 Evaluación de una capacidad, en donde el resultado es de aprobación/no aprobación. NOTA
2
La prueba se puede denominar "ensayo"
NOTA
3
La prueba se aplica con frecuencia a los planes de apoyo.
NOTA
4
La prueba debería comenzar con un sencillo ensayo de los componentes, para construir la prueba del
s¡stema.
lFuente: ISO 223001
que dirige y controla a una organ¡zación al
3.53 Alta dirección. Persona o grupo más alto nivel
NOTA1
y
La alta dirección tiene
proporcionar los recursos denbo de la
organización.
NOïA 2 Si el alcancæ del dirección se refiere a esos a
de una organización entonces la alta
que los requisitos
3.54 Verificación. específicos han
trabajo.
3.55
un trabajo
Conjunto
temperatura
factores físicos, y composición
4.1
es
YSUCO
D
son pertinentes a su
La organización propósito y los que
de su BCMS.
y mantener el BCMS de
Estos temas se tomarán
la
organización. La organización debe
a)
, servicios, productos, asociac¡ones, cadenas
Los procesos de la organ relaciones relac¡onado con un incidente perjudicial;
de suministro, las
partes interesadas,
y el impacto
potencial
b)
Las relaciones entre la política de Continuidad de Negocio y objetivos de la organización y de otras políticas, como su estrateg¡a de gestión de riesgo global, y
c)
Elapetito de riesgo de la organización.
Al establecer el contexto, la organización debe:
1)
Articular sus objetivos, incluidos los relativos a la Continuidad de Negocio, 8
NORMATÉCNGA COLOMB¡ANA NTC 5722 (Primera actualización) Definir los factores externos e intemos que generan la incertidumbre que da lugar al
2)
riesgo, 3)
Establecer criterios de riesgo, teniendo en cuenta el apetito de riesgo, y
4l
Definir el propósito del BCMS.
4.2
ENTENDIENDO
LAS
NECESIDADES
Y
EXPECTAT¡VAS
DE LAS
PARTES
INTERESADAS
4.2.1
Generalidades
Cuando Se establece un BCMS la organización debe determinar:
a) b)
Las partes interesadas que son pertinentes al BCMS, y
Los requisitos de estas partes interesadas (por ejemplo, si sus necesidades y expectativas son establecidas, generalmente implícitas u obligatorias)
4.2.2 Requisitos
legales y reglamentarios
La organización debe establecer, implementar y mantener un procedimiento(s) para identificar, tener a, y evaluar los requisitos legales y reglamentarios aplicables a la organización, relacionados con la continuidad de sus operaciones, productos y servicios, así como los intereses de las partes interesadas pertinentes. La organización debe asegurarse de que estos requisitos legales aplicables, reglamentarios y
otros que la organización suscriba se tengan en cuenta para establecer, implementar y mantener su BCMS.
y mantenerla actualizada. Novedades o modificaciones legales, regulatorias, y otros requisitos deben ser comunicados a los empleados afectados y otras partes interesadas. La organización debe documentar esta información
4.3
DETERTUINAR EL ALCANCE DEL SISTEMA DE GESNÓN DE CONTINUIDAD DE NEGOCIO
4.3.1
Generalidades
La organización debe determinar los límites y la aplicabilidad del BCMS para establecer su alcance. Al determinar el alcance del sistema de gestión, la organización debe considerar:
-
Los aspectos intemos y extemos a que se refiere en el numeral 4.1 , y los requisitos mencionados en el numeral 4.2.
El alcance debe estar disponible como información documentada
4.3.2 Alcance del BCMS La organización debe:
I
NORMATÉCNrcA COLOMBIANA NTC 5722 (Primera actualización)
a)
Establecer las partes de la organización para ser incluidas en el BCMS,
b)
Establecer los requisitos de BCMS, teniendo en cuenta la misión de la organización, los objetivos, las obligaciones intemas y elúernas (incluyendo aquellos relacionados con las partes interesadas), y las responsabilidades legales y regulatorias,
c)
ldentificar los productos, servicios y todas las actividades relacionadas con el alcance del BCMS,
d)
Tener en cuenta las necesidades de las partes interesadas y los intereses, tales como clientes, inversionistas, accionistas, la cadena de suministro, la opinión del público y / o e intereses (según conesponda), de la comunidad y sus
e)
Definir el alcance del complejidad de la
ropiado para el tamaño, la naturaleza y
las exclusiones; cualquiera de y la responsabilidad de se encuentran en los requisitos del la valoracíón del riesgo y
Al definir el alcance, la tales exclusiones no debe garantizar la de inado por BCMS, según lo regulatorios los requisitos
ESilÓN DE
4.4 La
establecer, implementar,
un
los requisitos de
y mejorar v
5. 5.1
la organización deben
Las personas demostrar
la motivación y el empoderamiento de las
EJEMPLO Este liderazgo y personas para contribuir a la
5.2
COMPROMISO DE iso respecto aIBCMS:
La alta dirección debe demostrar
son establecidos para el BCMS
Asegurando que las políticas
y
son
cnmpatibles con la planeación estratégica de la organización,
Asegurando la integración de los requisitos del BCMS en los procesos del negocio de la organización, Asegurando que los recursos necesarios para el BCMS están disponibles,
Comunicando la importancia de la gestión efectiva de c¡nforme a las necesidades del BCMS,
la Continuidad de Negocio y
Garantizando que el BCMS logre los resultados esperados, 10
NORMA TÉCNrcA
COLOMBIANA NTc
5722 (Primera actualización)
Dando dirección y apoyo a las personas que contribuyen a la eficacia del BCMS, Promoviendo la mejora continua, y,
Apoyando otros roles directivos pertinentes para demostrar su liderazgo y compromiso cuando aplique en sus áreas de responsabilidad
I
NOTA La referencia "negocio" en esta norma es para interpretarse en el sentido amplio de aquellas actividades que son fundamentales para los propósitos de la existencia de la organÞación.
La alta dirección debe proporcionar evidencia de su oompromiso con el establecimiento, implementación, operación, seguimiento, revisión, mantenimiento y mejora del BCMS:
-
Estableciendo una política de Continuidad de Negocio, Asegurando que los objetivos y planes de BCMS son establecidos, Estableciendo roles, responsabilidades y competencias para la gestión de la continuidad de negocio, y
Designando una o más personas a ser responsables del BCMS con la autoridad apropiada y competencias necesarias para la implementación y mantenimiento del BCMS.
NOTA2
Estas personas pueden tenerotras responsabilidades dentro de la organizac¡ón.
La alta dirección debe asegurarse que las responsabilidades y autoridades para las funciones pertinentes son asignadas y comunicadas dentro de la organización:
5.3
Definiendo los criterios para la aceptación de riesgos y los niveles de riesgo aceptables, Participando activamente en ejercicios y pruebas, Asegurando que las auditorías intemas del BCMS se llevan a cabo, Llevando a cabo la revisión por parte de la alta dirección del BCMS, y Demostrando su compromiso con la mejora continua.
POLíTICA
La alta dirección debe establecer y comunicar una política de Continuidad de Negocio. La política debe:
a) b) c) d)
Ser adecuada para el propósito de la organización, Proporcionar el marco para establecer objetivos de Continuidad de Negocio, lncluir un compromiso para satisfacer los requisitos aplicables, lncluir un compromiso de mejora continua del BCMS.
La política del BCMS debe:
-
estar disponible como información documentada, 11
NORMATÉGNrcA COLOMBIANA NTC 5722 (Primera actualización) ser comunicada dentro de la organización, estar disponible para las partes interesadas, según sea apropiado ser revisada para su continua adecuación a intervalos definidos y cuando se produzcan cambios significativos. La organización debe conservar información documentada sobre la política de Continuidad de Negocio.
5.4
ROLES,RESPONSABILIDADESYAUTORIDADES
La alta dirección debe funciones pertinentes se asignen
responsabilidades
y autoridades
para las
dentro de la organización.
La alta dirección debe asig
para:
a)
Asegurar que el esta norma, e,
conformidad con los requisitos de
b)
lnformar
el
6. 6.1
del SCGN, los
lograr el (los)
a) b) c)
aspectos
la
requisitos ser dirigidas a:
determinar
(s),
v Lograr el
La organización debe
a) b)
Las acciones para Cómo:
1)
dentro de sus procesos de BCMS (véase
lntegrar e implementar
numeralS.l)
2) 6.2
Evaluar la eficacia de ést¡as ac¡iones
OBJETIVOS DE CONTINUIDAD DE NEGOCIO Y PLANES PARAALCANZARLOS
La alta dirección debe asegurar que los objetivos de Continuidad de Negocio son establecidos y comunicados para las funciones y niveles pertinentes dentro de la organización.
Los objetivos de Continuidad de Negocio deben: 12
NORMA TÉcNrcA
COLOMBIANA NTc
5722 (Primera actualización)
a) b)
Ser coherentes con la política de Gontinuidad de Negocio,
c) d) e)
Ser medibles,
Tener en cuenta el nivel mínimo de productos y servicios que sea aceptable para que la organización logre sus objetivos.
Tener en cuentia los requisitos aplicables, y Controlarse y actualizarse según conesponda.
La organización debe mantener información documentada sobre los objetivos de continuidad de negocio. Para lograr sus objetivos de Continuidad de Negocio, la organización debe determinar:
7. 7.1
Quien será el responsable, Lo que se hará,
Qué recursos serán requeridos, Cuando serán completados, y, Cómo serán evaluados los resuttados.
REGURSOS
GENERALIDADES
La organización debe determinar y proporcionar los recursos necesarios para establecer, implementar, mantener y mejorar continuamente el BCMS.
7.2
COiIPETENCIA
La organización debe:
a)
Determinar las competencias necesarias del personal para hacer el trabajo que afecta su desempeño,
b)
Asegurarse que estas personas son competentes sobre
la base de una
educación
adecuada, entrenamiento y experiencia,
c)
Si aplica, tomar medidas para adquirir la competencia necesaria, y evaluar la eficacia de las medidas adoptadas, y
d)
Mantener información documentada apropiada como evidencia de la competencia
i.¡Ofe
Las acciones aplicables pueden incluir, por ejemplo: la prov¡sión de entrenam¡ento para la tutoría, o cambio de destino de los empleados actuales, o la conbatación de personas competentes.
7.3
TOIIIA DE CONCIENCIA
Las personas que realizan trabajos bajo el control de la organización deben ser concientes de: 13
NoRllATÉCNlcACOLOMB|ANA NTG5722(Primeraactualización)
a)
La política de Continuidad de Negocio,
b)
Su contribución a la eficacia del BCMS, incluyendo los beneficios de la mejora del desempeño de la Gestión de Gontinuidad de Negocio,
c) d) 7.4 La
Las implicaciones de las no conformidades con los requisitos del BCMS' y Su propio rol ante un incidente. COMUNTCACTÓN
de
organización debe determinar
comunicación intema
Y
extema
conespondiente al BCMS,
a) b) c)
sobre qué se cuando comunicar con quienes s) para
estiablecer,
La
dentro de la
interna entre
local,
con los clientes, incluyendo los a las comun
o regional,
sistema de alerta uso operativo, si comunrcacton
un incidente,
competentes y garantizar la
Facilitar la interoperabilidad
nicación destinado
Los ejercicios y
a ser
utilizado
durante la interrupción NOTA
a un incidente se especifican en el numeral 8.4.3
Otros requisitos para la
7.5
¡NFORMAC¡ÓN OOCUmerut
7-5.1
Generalidades
El BCMS de la organización debe incluir: La información documentada requerida por esta norma, y
La información documentada determinada por la organización como necesaria para la eficacia de los BCMS. NOTA
El alcance de la infcrmación documentada para un BCMS puede diferir de una organización a oba debido a:
14
NORMATÉCNlcACOLOMB|ANA NTC 5722(primera actuatización)
-
El tamaño de la organización y su tlpo de actividades, procesos, productos y servicios,
-
La complejidad de los procesos y sus interacciones, y
-
La competencia de las personas.
7.5.2
Creación y actual¡zac¡ón
Cuando se crea y actualiza la información documentada, la organización debe asegurar:
a) b)
La identificación y descripción (por ejemplo, un título, nombre, fecha, autor, número), y
Formato (por ejemplo,
el
idioma,
la versión de softvyare, gráf¡cos) y medios de y revisión y aprobación adecuada y
comunicación (por ejemplo, papel, electrónico), apropiada.
7.5.3 Gontrolde
la información documentada
La información documentada requerida por el BCMS para asegurar que:
a) b)
y por esta norma debe ser
controlada
Está disponible y es apropiada para el uso, donde y cuando sea necesario,
Está adecuadamente protegida (por ejemplo, de pérdida de confidencialidad, uso inapropiado, o pérdida de la integridad)
Para el control de la información documentada, la organización debe orientarse a las siguientes actividades, cuando sea aplicable: Distribución, , recuperación y uso,
Almacenamiento y conservación, incluyendo preservación de la legibilidad (es decir, lo suficientemente claro para leer),
Controlde cambios (por ejemplo, control de versión), Retención y eliminación, Prevención del uso no intencionado de la información obsoleta.
La información documentada de origen extemo que la organización determina que es y operación del BCMS debe ser identificada y, según sea
necesaria para la planificación apropiado, controlada.
Al establecer el control de la información documentada, la organización debe asegurarse de que existe una protección adecuada de la información documentada (por ejemplo, protección contra el compromiso, la modificacióno supresión no autorizada).
NOTA El implica una decisión sobre el permiso paÍa ver la inbrmackin do@mentada, o el permiso de la autoridad para ver y cambiar la información documentada, etc.
15
NORMA TÉCNICA
8. 8.I
COLOMBIANA
NTC 5722 (Primera actualización)
OPERACIÓN PLANIFTCACIÓN Y CONTROL
La organización debe planear, implementar, y controlar los procesos necesarios para cumplir los requisitos para ejecutar las acciones determinadas en el numeral 6.1, para:
a) b) c)
Establecer los criterios para esos procesos, Aplicar el control de estos procesos de acuerdo con los criterios, y demostrar que los procesos se han llevado a
Mantener información docu cabo como estaba previsto.
y
La organización debe cambios no deseados,
revisar las consecuencias de los los efectos adversos, según sea
necesario. son controlados.
La organización d
asegurar
8.2
IMPACTO AL
8.2.1
establecer,
La
i
negocio y
pa
, define los
a)
y otros que la
b)
de riesgo, y sus
de los
c) costos
d) e)
y valoración del riesgo, y
Define la
se
Especifica los
mantenga actualizada y
confidencial.
al
NOTA Ex¡sten d¡versas determinará el orden en que éstas se
negocio
y la valoración del riesgo que
8.2.2 Análisis delimpacto al La organización debe establecer, implementar y mantener un proceso de evaluación formal y documentado para determinar las prioridades de continuidad y recuperación, objetivos y metas. El análisis de impacto al negocio debe incluir lo siguiente:
a) b)
La identificación de actividades que apoyan la prestación de bienes y servicios; La evaluación de los impactos en el tiempo de no realizar estas actividades;
16
NORIJ|A TÉGNGA c)
GOLOMB¡ANA
NTC 5722 (Primera actualización)
El establecimiento de plazos prioritarios para la reanudación de estas actividades a un nivel mínimo especificado aceptable, teniendo en cuenta los impactos de la no reanudación de ellas será inaceptable, y
d)
y
La identificación de dependencias recursos de apoyo para estas actividades, incluyendo proveedores, subcontratados, socios y otras partes interesadas pertinentes.
8.2.3 Valoración del riesgo La organización debe establecer, implementar y mantener un prooeso formal de valoración del riesgo documentado que sistemáticamente identifica, analiza y evalúa el riesgo de incidentes perjudiciales a la organización.
NOTA
Este proceso puede realizarse de acuerdo con la norma NTC-ISO 31000.
La organización debe:
a)
ldentificar los riesgos de la intemrpción de las actividades prioritarias de la organización personas, bienes, proveedores y otros recursos que los apoyan,
y los procesos, sistemas de información,
b)
Analizar sistemáticamente el riesgo,
c)
Evaluar los riesgos relacionados con la intem.¡pción, que requieren tratamiento, e
d)
ldentificar tratamientos acordes con los objetivos de Continuidad
de Negocio y
de
acuerdo con el apetito de riesgo de la organización.
NOTA
La organización debe ser consciente de que ciertas obligaciones financieras o gubemamentales requieren
la comunicación de estos riesgos a diferentes niveles de detalle. Además, ciertas necesidades de la sociedad
también pueden garantizar el intercambio de esta informac¡ón en un nivel adecuado de detalle.
8.3
ESTRATEGIA DE CONT¡NUIDAD DE NEGOCIO
8.3.1 Determinación y selección La determinación y selección de la estrategia debe basarse en los resultados de los análisis de impacto al negocio y valoración del riesgo. La organización debe determinar una estrategia de continuidad de negocio apropiada para:
a) b)
Proteger las actividades prioritarias,
Estabilizar, continuar, reanudar
y
recuperar las actividades priorizadas
y
sus
dependencias y recursos de apoyo, y,
c)
Mitigar, responder y gestionar los impactos.
La determinación de la estrategia debe incluir la aprobación de marcos de prioridad de tiempo para la reanudación de las actividades.
La organización debe llevar a cabo evaluaciones de las capacidades de Continuidad de Negocio de los proveedores.
17
NORMATÉCNrcA COLOMBIANA NTC 5722 (Primera actualización)
8.3.2 Establecimiento de las necesidades
de recunsos
La organización debe determinar las necesidades de recursos para poner en práctica las estrategias seleccionadas. Los tipos de recursos considerados se incluyen, pero no se limitan a:
a)
las personas,
b)
la información y los datos,
c)
Los edificios, el ambiente de trabajo
d)
lnstalaciones, equipos y
e)
el sistema de
Ð
el transporte
s)
Ia finan
h)
socros
servicios asociados,
(ïc)
itigación
8.3.3
que requreren
considerar
de intemrpción,
a) b)
de los produ
c)
la organización y riesgo de acuerdo con su
La organización apetito de riesgo.
NTOS DE CONT¡NUIDAD DE
ESTABLECER E NEGOGIO
8.4.1
Generalidades
mantener procedimientos de Continuidad de continuar con sus actividades basadas en los objetivos de recuperación identificadas en el análisis del impacto al negocio. La organización debe establecer, i Negocio para gestionar un incidente
La organización debe documentar los procedimientos (incluidos los acuerdos necesarios) para asegurar la continuidad de actividades y la gestión de un incidente perjudicial. Los procedimientos deben:
a)
establecer un protocolo de comunicaciones interno y externo adecuado,
18
NORMATÉCNlcA COLOMBIANA NTC 5722 (Primera actualización) b)
ser específicos con respecto a las medidas inmediatas que deben tomarse durante una intenupción,
c)
ser flexibles para responder a amenazas imprevistas y las cambiantes condiciones intemas y extemas,
d)
centrarse en
el impacto de los eventos que podrían potencialmente intemrmpir
las
operaciones, e)
ser desanollados en base
a
los supuestos establecidos
y el análisis de las
interdependencias,
0
ser eficaces en la reducción de sus consecuencias a través de la aplicación de estrategias apropiadas de mitigación.
8.4.2 Estructura
de respuesta ante incidentes
La organización debe establecer, documentar e implementar procedimientos y una estructura de gestión para responder ante un incidente perjudicial con el uso del personal con la debida responsabilidad, autoridad y competencia para manejar un incidente. La estructura de respuesta debe:
a)
ldentificar los umbrales de los efectos que justifiquen la iniciación de la respuesta formal,
b) c)
Activar una respuesta apropiada de Continuidad de Negocio,
d)
Tener procesos
Evaluar la naturaleza y elalcance de un incidente perjudicialy su impacto potencial,
y
procedimientos para
la
activación, operación, coordinación y
comunicación de la respuesta, e)
Tener los recursos disponibles para apoyar los procesos y procedimientos para manejar un incidente perjudicial para minimízar el impacto, y,
Ð
Comunicarse con las partes interesadas
y las
autoridades, así como los medios de
comunicación.
la
La organización debe decidir, asegurando vida humana como primera prioridad y en consulta con las partes interesadas, si se comunica extemamente la información acerca de sus riesgos e impactos significativos y documentar su decisión. Si la decisión es comunicarla, a continuación,
la
organización debe establecer e implementar procedimientos para la y avisos, incluyendo los medios de comunicación, según
comunícación extema, alertas conesponda.
8.4.3 Advertencia y comunicación La organización debe establecer, implementar y mantener procedimientos para:
a) b)
La detección de un incidente, El seguimiento regular de un incidente,
19
NoRMATÉcNrcA GoLOMBIANA NTC 5722 (Primera actualización) c)
La comunicación interna dentro de la organización y recibir, documentar y responder a la comunicación de las partes interesadas,
d)
Recibir, documentar y responder a cualquier sistema de alerta de riesgo a nivel nacional o regional o su equivalente,
e)
Asegurar
la disponibilidad de los
medios
de
comunicación durante
un
incidente
perjudicial, f)
Facilitar la comunicación estructurada con los servicios de emergencia,
s)
Registrar la información vital tomadas, y lo siguiente
Alerta
, las medidas adoptadas y las decisiones donde aplique:
a las
afectadas por un incidente
perjudicial y el personal;
de de una comunicación y de
Los
nuidad de negocio procedimientos sus isitos a aquellos
La
contener
Los
a)
incidente
para las
Los
equipos que tienen
v
b) c)
Un proceso
la
de un incidente perjudicial,
Los detalles para teniendo en cuenta:
1) 2)
El bienestar de
Las
y
opciones
operativas para
la
respuesta
a
la
intenupción, y
3) d)
La prevención de la pérdida o no disponibilidad de las actividades prioritarias;
La información detallada sobre cómo y bajo qué circunstancias la organización se comunicará con los empleados y sus familiares, las partes interesadas claves y los os de emergencia,
e)
Cómo la organización va a continuar o recuperar sus actividades prioritarias dentro de los plazos predeterminados, 20
NORMA TÉCNlcA
f)
COLOMBI,ANA
NTC 5722 (Primera actualizaeión)
Los detalles de la respuesta de la organización de los medios de comunicación a raíz de un incidente, incluyendo
1) 2) 3)
una estrategia de comunicación, la interfaz seleccionada con los medios de comunicación,
guía
o plantilla para la redacción de una declaración para los medios de
comunicación, y
4') g)
portavoces apropiados;
un proceso para levantarse una vez que el incidente ha terminado
Cada plan debe definir
8.4.5
Propósito y alcance, Objetivos, Criterios y procedimientos de activación, procedimientos de implementación, roles, responsabilidades y autoridades, Requisitos y procedimientos de comunicación, lnterdependencias intemas y extemas y las interacciones, necesidades de recursos, y Flujo de información y procesos de documentación.
Recuperación
La organización debe tener procedimientos documentados para restaurar y retomar las actividades de negocio, de las medidas temporales adoptadas para soportâr las necesidades normales del negocio después de un incidente.
8.5
EJERCICIOS Y PRUEBAS
La organización debe hacer ejercitar y probar sus procedimientos de continuidad de negocio para asegurar que sean compatibles con sus objetivos de Continuidad de Negocio. La organización debe llevar a cabo ejercicios y pruebasque:
a) b)
Sean consistentes con el alcance y los objetivos del BGMS,
Se basen en escenarios apropiados que están bien planificados, con
objetivos
claramente definídos,
c)
Tomen en conjunto con el tiempo validado la totalidad de los acuerdos de continuidad de negocio, involucrando las partes interesadas pertinentes, 21
NORMATÉCNrcA COLOMBIANA NTC 5722 (Primera actualización)
d)
Reduzcan al mínimo el riesgo de interrupción de las operaciones,
e)
Produzcan formalmente, después del ejercicio, informes que contengan los resultados, recomendaciones y acciones a implementar
f)
Revisen en el contexto de la promoción de la mejora continua, y
s)
Se lleven a cabo a intervalos planificados, y cuando hay cambios significativos dentro
9. 9.1
EVALUACIÓN DE D SEGUIMIENTO, M
9.1.1
Generalidades
de la organización o el medio ambiente en el que opera.
La organización debe
a)
Que
b)
Los
conesponda, para
seguimiento, de los
y la medición
c)
seguimiento y
d)
resultados
docu
La
del BCMS y su
La Además, la
Tomar resultados
tendencias adversas o
hacer d
evidencia los resultados.
Conservar la
proveer:
Los procedimientos para
adecuados a las necesidades de la
El establecimiento de organización,
El seguimiento de la medida en que se cumplan las políticas de Continuidad de Negocio de la organización, los objetivos y metas,
El
desempeño
de los
procesos, procedimientos
y
funciones que protegen sus
actividades prioritarias, El control del cumplimiento con esta norma y los objetivos de continuidad de negocio, El seguimiento de la evidencia histórica de los resultados deficientes del desempeño del
BCMS, y 22
NoRMATÉGNICACOLoMBIANA NTC 5722 (Primera actualización) El registro de datos y los resultados de seguimiento y medición para facilitar
las
acciones conectivas tomadas. NOTA reales
Desempeño deficiente podrÍa incluir las no conformidades, cuasi accidentes, falsas alarmas y los casos
9.1.2 Evaluación de los procedimientos
de continuidad de negocio
a)
La organización debe llevar a cabo evaluaciones de sus procedimientos de Continuidad de Negocio y capacidades para asegurar su continua adecuación, idoneidad y eficacia;
b)
Estas evaluaciones deben llevarse a cabo a través de revisiones periódicas, ejercicios, pruebas, reportes después de incidentes y evaluaciones de desempeño. Los cambios significativos que surgen deben ser reflejados en el (los) procedimiento (s) de manera oportuna;
c)
d)
La organización debe evaluar periódicamente el cumplimiento con los requisitos legales y reglamentarios, mejores prácticas industriales, y la conformidad con su propia política y objetivos de Continuidad de Negocio, y
La organización debe llevar a cabo evaluaciones a intervalos planificados cuando se produzcan cambios signifi cativos.
Cuando un incidente perjudicial ocurra y resulte en la activación de sus procedimientos de continuidad de negocio, la organizacíón debe realizar una revisión posterior a los incidentes y
regisfar los resultados.
9.2
AUDITOR|A INTERNA
La organización debe realizar auditorías intemas a intervalos planificados para proporcionar información siel BCMS:
a)
Se ajusta a:
1) 2l b)
los requisitos propios de la organización para su BCMS, y los requisitos de esta norma,
Es eficazmente implementado y mantenido
La organización debe:
Planear, establecer, implementar y mantener un (os) programa (s) de auditoría, incluyendo la frecuencia, métodos, responsabilidades, requisitos de planificación y resultados. El (Los) programa (s) de auditoría debe (n) tener en consideración la importancia de los procesos y de los resultados de auditorías anteriores, Definir los criterios de auditoría y el alcance de cada una,
Seleccionar auditores
y
gestíonar auditorías que aseguren
la
objetividad
imparcialidad del proceso de auditoría, Garantizar que los resultados de las auditorías son reportados a la dirección, y
23
y
la
NORIüATÉCNlcACOLOMB|ANA NTC5722(Primeraactualización) Mantener información docr¡mentada como evidencia de la implementación del programa de auditoría y de sus resultados.
El programa de auditoría, incluyendo cualquier programación, debe basarse en los resultados de la valoración del riesgo de las actividades de la organización y los resultados de auditorías anteriorcs. Los procedimientos de auditoría deben cubrir el alcance, frecuencia, metodologías y competencias, así como las responsabilidades y requisitos para la realización de auditorías e informar de los resultados.
La dirección responsable del área que está siendo auditada debe asegurarse que cualquier corrección necesaria y cualquier acción correctiva se toman sin demora injustificada para causas. Las actividades de seguimiento deben de resultados de la verificación.
eliminar las no conformidades incluir la verificación de las
9.3
REvlSóN POR LA
,a
La alta dirección debe
intervalos planificados, para
asegurar su continua La revisión por la
a)
debe acciones de las
El
el BCMS,
los asuntos intemos
b)
tendencias
c) acciones de resultados de la
d)
Las de la organización, incluyendo:
Las revisiones por la Las acciones de
dirección anteriores,
La necesidad de
la política y los objetivos,
Las oportunidades de mejora,
-
Los resultados de las auditorías y revisiones al BCMS, incluidos los de los principales proveedores y socios, cuando aplique,
-
Las técnicas, productos o procedimientos, que podrían ser utilizados en la organización para mejorar el desempeño y eficacia del BCMS,
-
El estado de las acciones c¡rrectivas,
Los resultados de los ejercicíos y las pruebas, 24
NORMA TÉCNrcA
-
COLOMBIANA
NTC 5722 (Primera actualización)
Los riesgos o problemas no abordados adecuadamente en cualquier valoración del riesgo anterior,
-
Cualquier cambio que pudiera afectar el BCMS, ya sea interna o externa al alcance del BCMS,
-
La adecuación de la política,
Las recomendaciones de mejora, Las lecciones aprendidas y las acciones derivadas de incidentes perjudiciales, y Buenas prácticas y guías emergentes.
El resultado de la revisión por la dirección debe incluir decisiones relacionadas con las oportunidades de mejora continua y la posible necesidad de cambios al BCMS y lo siguiente:
a) b) c) d)
Variaciones en el alcance del BCMS; Mejoramiento de la eficacia delBCMS;
Actualización de la valoración del riesgo, análisis de impacto al negocio, planes de continuidad de negocio y los procedimientos relacionados; Modificación de los procedimientos y controles para responder a los eventos intemos o elüemos que pueden afectar al BCMS, incluidos los cambios:
1) 2l 3) 4) 5) 6) 7) 8) e)
Los requisitos del negocio y operacionales, Reducción de riesgos y requisitos de seguridad, Condiciones y procesos de operación, Requisitos legales y reglamentarios, Obligaciones contractuales, Los niveles de riesgo y/o criterios de aceptación de riesgos, Recursos necesarios, La financiación y las necesidades presupuestarias,
Cómo la eficacia de los controles son medidas.
La organización debe conservar información documentada oomo evidencia de los resuJtados de las revisiones por la dirección. La organización debe:
-
Comunicar
los resultados de examen de la
gestión de
pertinentes, y
-
Tomar las medidas apropiadas en relación con esos resultados. 25
las partes
interesadas
NORMATÉCNrcA COLOMBIANA NTC 5722 (Primera actualización)
IO. IO.I
MEJORA NO CONFORMIDAD Y ACCIÓN CORRECT¡VA
Cuando ocurra una no conformidad, la organización debe:
a) b)
ldentificar la no conformidad, y Responder a las no conformidades, y, cuando aplique:
1) 2) c)
Tomar medidas para controlarlas y conegirlas, y, Tratar con las co
eliminar las causas de
Evaluar la necesidad conformidad, para q
1) 2l
la
no
en otra parte, incluyendo:
La revisión de de
La
existentes,
de pudieran
3)
o
que
que las no
de la necesidad no se repitan o se mplementación de de cualquier acción
,sres
7
d)
e) f)
Revisar la Hacer los cambios
efectos
Las acciones conecüvas
de las no
conformidades
encontradas. como evidencia de:
La organización debe mantener la
10.2
La naturaleza de las no conformidades y de cualquier acción tomada posteriormente, y
Los resultados de analquier acción conectiva.
MEJORA CONTINUA
La organización debe mejorar continuamente la idoneidad, adecuación o eficacia del BCMS.
NOTA
La organización puede utilizar los procesos del BCMS tales como el l¡derazgo, la planeación y evaluación de desempeño, para lograr una mejora.
26
NORMA TÉCN|GA
COLOMBI,ANA NTc
5722 (Primera actualización)
ANEXOA (lnformativo)
BIBLIOGRAF¡A t1l
NTC-ISO 9001, Sistemas de Gestión de Calidad. Requisitos
I2t
NTGISO 14001, Sistemas de Gestión Ambiental. Requisitos con orientación para su uso
t3l
NTC-ISO 19011, Directrices para la auditoría de los Sistemas de Gestión.
I4l
ISO/IEC 20000-1, Tecnología de la información. Gestión del servicio. Parte 1: Especificación.
t5l
fSO 22300, Sociefa/ Security. Terminology.
16I
ISO/PAS 22399, Societal Security. Guideline for lncident Preparedness and Operational Continuity Management.
t4
ISO/IEC 24762, lnfotmation Technology. Security Techniques. Guidelines for Informatkn and Com m un iætions Tech nology Disaster Reævery Sen¿bes
t8l
ISO/IEC 27 OO1, I nformation Security M anagemenf Sysferns.
tel
ISO/IEC 27031, lnformation Technology. Security techniques- Guidelines for Information and Communication Technology Readiness for Busrness Continuity.
t10l
ISO 31000, Risk Management. Principles and Guidelines.
t1
1l
lSO/lEC 31010, Risk Management. Risk assessmenf Techniques-
1121
ISO/IEC Guide 73, Risk Management. Vocabulary.
113l
BS 25999-1, Busfi¡ess Continuity Management. Code of Practiæ, British Sfandards Institution (BSl).
t14l
BS 25999-2, Busrness Continuity Management. Specification, British Sfandards lnstitution (BSl).
115l
Sl 24001, Security and Continuity Management Sysfems. Requirements and Guidance for Use, Sfandards Institution of lsrael.
t16l
NFPA 1600, Standard on Disaster/Emergency Management and Business Continuity N ation al F i re Protection Association (U SA).
Prognms,
I17l
Busrness Continuity Plan Drafting Guideline, Ministry of Economy, Trade and lndustry
t18l
Business Continuity Guideline, Centnl Disaster Management Council, Cabinet Office, Govemment of J apan, 2OO5.
t19]
ANSI/ASIS SPC.1, Organizational Resilience: Security, Preparcdness, and Continuity Managemenfs Sysfems. Requirements with Guidance for UseSS 540: 2008, Singapore Standard for Eusiness Continuity Management.
t20]
ANSI/ASIS/BSI BCM.01, Eusiness Continuity Managemenf Sysfems: Requirements with Guidance for Use.
(Japan),20O5.
27
NORMATÉCNICACOLOMBIANA NTC5722 (Primeraactualización) DOCUMENTO DE REFERENCIA INTERNATIONAL ORGANIZATION FOR STANDARDIZATION. SocietalSecurity. Busíness Sontinuity Managemenf Systems. Requirements. Geneva: lSO, 2012, 24 p (lSO 22301:2012 {E)).
28
I I
I I I
I
l I
J
l l J
J
Related Documents 543cg
Iso 466ab
January 2023 0
Iso 466ab
April 2021 0
Iso 466ab
April 2020 114
Iso 1400, Iso 1800 2cel
November 2019 142
Iso Quant And Iso Cost j5w14
November 2019 105
Iso 8402 1994 Iso Definitions 543n26
October 2019 173More Documents from "Angel Hernandez" 5859h
Minerales Y Menas.docx 3r666c
May 2021 0
11482j
December 2019 56
Cementado A Una Pieza De Hierro 1y3e6a
April 2021 0
11482j
September 2021 0
Iso 22301:2012 9w6x
February 2022 0