Por Mariano J. Fernández.
Socio del Instituto de Auditores Internos de la Argentina N° 2496. Director del Comité de Compliance IAIA. Gerente de Business Risk Management en SMS San Martin Suarez y Asociados. Miembro de SMS Latinoamérica.
Quizás uno de los hechos que más expectativas causa entre los que gestionamos la segunda o tercera línea de defensa, sea la materialización de un riesgo. Es decir, que un riesgo se convierta en un evento y genere algún tipo de impacto. Y a partir de ahí poder verificar la efectividad de los controles diseñados, el riesgo residual y retroalimentar la matriz. El problema sería, en todo caso, que el riesgo materializado no haya sido identificado por nadie y por ende no exista siquiera una idea de cómo afrontar sus efectos. Sinceramente, pienso que este ha sido el caso de muchos de nosotros al enfrentarnos al coronavirus: un riesgo de bajísima probabilidad pero altísimo impacto.
Día a día nos enteramos de nuevos impactos de la pandemia que no dejan de asombrarnos. Lo que comenzó como un problema de salud empieza a devenir en problemas sociales, políticos y económicos, poniendo en juego la sustentabilidad de los negocios, la forma de relacionarnos e incluso la estabilidad laboral.
Gran parte de las medidas tomadas obedecen a la improvisación. Aprendiendo en el camino a medida que avanzamos.
Avanzar buscando la forma de prevalecer y ser sustentable. Puede verse que cada país ha decidido aplicar diferentes recetas, con mayor o menor impacto en la economía y la sociedad.
Lo que no debería suceder, en el camino del aprendizaje, es atravesar otra vez una crisis similar y cometer los mismos errores.
En términos empresariales esta planificación para eventos inciertos de alto impacto se materializa en los planes de continuidad de negocios o “Business Continuity Plan”. El Plan de Continuidad de Negocios refleja anticipadamente las acciones necesarias para poder responder a un desastre o evento de magnitud como el de una pandemia, de forma tal de que las funciones críticas continúen operando según un esquema planeado y organizado. Como buen plan, debe ser analizado, consensuado, testeado, aprobado y comunicado. Su propósito es evitar la improvisación y actuar en forma organizada en escenarios de crisis.
El plan de continuidad de negocios, es materia de desarrollo del comité de riesgos o de alguna gerencia de la segunda línea de defensa, aquella encargada de brindar apoyo a la operación en términos de diseño e implementación de marcos de gestión de riesgos, control y cumplimiento. La magnitud de la empresa, justificará o no la existencia de un área específica. Más allá de esto, la experiencia actual frente a los efectos de este escenario, demuestran la importancia de desarrollar este protocolo.
Podríamos estructurar un plan de continuidad de negocios en las siguientes etapas:
- Análisis de Riesgos y Amenazas: eventos de características críticas o desastrosas que pudieran poner en riesgo la continuidad del negocio: una cuarentena, un desastre climático como una inundación, un conflicto bélico, un cierre de importaciones de recursos esenciales, etc.
- Análisis de impacto en el negocio: el impacto de esos eventos en nuestro ecosistema: disminución abrupta de la facturación, pérdida sustancial de cartera de clientes, imposibilidad para sustituir un recurso crítico, pérdida de cadena de frio, interrupción de la cadena de pagos, etc.
- Análisis de recursos críticos: los recursos críticos de nuestra empresa pueden ser de lo más variado en función de la actividad: personal clave de cada área tanto de cara al cliente como de servicios de apoyo, stock de teléfonos y computadoras móviles, aplicativos y herramientas de gestión, grupos electrógenos, servidores con capacidad de almacenamiento, identificación de información o documentos críticos y sensibles, gas, oxígeno, barbijos, lavandina, etc.
- Diseño de protocolo de continuidad de negocio: es aquí donde se dejará asentado la expectativa de acciones de cada área en caso de que se declare la existencia de un evento que ponga en riesgo la continuidad. Las expectativas de cómo se organizará cada área, cómo racionalizará sus recursos, quien supervisará y quien tendrá el voto decisorio, cuál será el tiempo de respuesta esperado de cada acción, cuál será el punto crítico de reposición, cuál sería el escenario pesimista de proyecciones de ventas y muchas otras acciones que, si bien son inusuales en tiempos normales, en situaciones de caos deberán tratar de planificarse.
- Diseño de respuestas de emergencia: aquí se explicitará qué debe hacer cada área o colaborador llegado el caso de ocurrencia del evento: turnos de trabajo, supervisar la temperatura del frigorífico, hacer backup de la información, atender a puertas cerradas, disponer de un medio de transporte para los empleados y otras acciones con el responsable de ejecutarlas para evitar improvisar.
- Comunicación y concientización: todo plan deberá ser consensuado entre los responsables máximos con la asistencia de áreas de soporte y posteriormente comunicar la existencia de este protocolo. En tiempos de crisis, la falta de comunicación siembra duda en el personal y esa angustia podría significar actuar poniendo en riesgo a los compañeros o los recursos clave de la organización. Comunicar el plan y comunicarse con más frecuencia de lo habitual resulta clave.
- Monitoreo: finalmente, al ser un plan que se espera que no sea utilizado nunca y quizás nunca se tenga que recurrir a un simulacro, es clave monitorear la efectividad de las acciones de respuesta. Toda acción lleva a una reacción y será necesario recalcular y modificar el plan.
Finalmente y también clave para el éxito del plan, será asignar responsabilidades para cada tarea o acción identificada. Un plan de continuidad o contingencia del negocio es un mero papel, pero es realizado por personas. Al igual que en esta crisis actual, a cada uno le corresponde actuar en pos del beneficio común.
