ISO 22301 no certifica un documento aislado: certifica un Sistema de Gestión de Continuidad de Negocio (BCMS/SGCN) implementado, medido, probado y mejorado continuamente. Exige contexto, liderazgo, BIA, evaluación de riesgos, estrategias, planes, ejercicios, auditoría y evidencia. En 2026 sigue vigente ISO 22301:2019 con su Enmienda 1:2024.
Nota de vigencia — octubre de 2026: ISO 22301:2019 continúa como la edición publicada. ISO ya inició el desarrollo de la tercera edición, que eventualmente la sustituirá, pero el nuevo texto todavía no es una Norma Internacional publicada. Por tanto, hoy la referencia sigue siendo ISO 22301:2019 + Amd 1:2024.
Definiciones taxonómicas
1. Sistema de Gestión de Continuidad de Negocio (BCMS/SGCN). Marco de gobierno mediante el cual una organización planifica, implementa, opera, monitorea, revisa, mantiene y mejora su capacidad para continuar funciones prioritarias y recuperarse ante interrupciones. ISO define ISO 22301 precisamente como el estándar internacional para estos sistemas de gestión.
2. Business Impact Analysis (BIA). Proceso que determina qué actividades y servicios son prioritarios, cómo evoluciona el impacto de su interrupción en el tiempo, qué dependencias requieren y en qué plazo deben recuperarse. Es el fundamento para definir objetivos de recuperación y decidir dónde invertir en resiliencia.
3. Certificación ISO 22301. Evaluación independiente de un BCMS frente a los requisitos de ISO 22301 dentro de un alcance definido. No prueba que una empresa nunca tendrá interrupciones; demuestra que existe un sistema implementado para gestionar continuidad, verificar su desempeño y corregir desviaciones. La certificación requiere una auditoría por un organismo certificador independiente.
Tabla comparativa
| Criterio | BCP documentado | BCMS alineado con ISO 22301 | BCMS certificado ISO 22301 |
| Alcance | Uno o varios escenarios | Alcance formal del sistema | Alcance formal auditado |
| BIA | Puede existir o no | Debe alimentar prioridades y estrategias | Su implementación y evidencia son auditables |
| RTO/RPO | Pueden estar declarados | Deben vincularse con necesidades del negocio | Debe existir evidencia de que se gestionan y validan |
| Riesgos | Frecuentemente técnicos | Se evalúan contra actividades prioritarias | El auditor verifica que el proceso opera |
| Estrategias de continuidad | Pueden ser generales | Deben responder al BIA y al riesgo | Se revisan implementación, recursos y consistencia |
| Planes | Documento principal | Parte de un sistema mayor | Se verifica su disponibilidad, uso y control |
| Pruebas | Opcionales en muchos BCP informales | Programa formal de ejercicios | Resultados y acciones correctivas forman evidencia |
| Auditoría interna | No necesariamente | Requerida | Revisada durante certificación |
| Revisión directiva | Ocasional | Parte del sistema | Debe quedar evidenciada |
| Mejora continua | Reactiva | Estructurada | Su eficacia es revisada periódicamente |
| Certificación externa | No | No necesariamente | Sí |
La diferencia central es sencilla: un BCP dice qué hacer; un BCMS demuestra que la organización puede gobernarlo, ejecutarlo, medirlo y mejorarlo.
En Pulse by Scanda partimos precisamente de esa diferencia. Nuestra definición interna de resiliencia no termina en producir un diagnóstico o un documento: buscamos diseñar el modelo, acompañar la remediación, operar el gobierno y sostener la evidencia.
¿Qué significa realmente certificar la continuidad con ISO 22301?
Una empresa puede tener cientos de páginas de procedimientos y aun así tener una capacidad débil de recuperación. ISO 22301 cambia la pregunta. No pregunta únicamente: “¿Existe un plan?”
Pregunta, en la práctica:
- ¿Qué actividades deben continuar?
- ¿Qué pasa financieramente si se detienen?
- ¿De qué aplicaciones, personas, instalaciones, proveedores, datos y servicios dependen?
- ¿En cuánto tiempo deben recuperarse?
- ¿Quién puede declarar una contingencia?
- ¿Quién decide prioridades?
- ¿Las personas conocen su función?
- ¿Los mecanismos alternos funcionan?
- ¿La recuperación fue probada?
- ¿Qué ocurrió en la última prueba?
- ¿Qué acción correctiva se abrió?
- ¿Quién la cerró?
- ¿Qué evidencia demuestra todo lo anterior?
ISO describe el BCMS como un sistema orientado a planear, establecer, implementar, operar, monitorear, revisar, mantener y mejorar continuamente la respuesta ante interrupciones.
Por eso, hablar de un “plan ISO 22301 certificado” es útil comercialmente, pero técnicamente incompleto: lo que se evalúa y certifica es el sistema de gestión dentro de un alcance establecido.
¿Qué exige ISO 22301: de contexto y liderazgo a operación y mejora?
Los requisitos certificables se concentran en las cláusulas 4 a 10.
Cláusula 4: contexto de la organización
La empresa debe demostrar que entiende:
- su entorno interno y externo;
- sus obligaciones legales, regulatorias y contractuales;
- las necesidades de partes interesadas;
- los productos y servicios que deben protegerse;
- el alcance del BCMS.
Desde 2024 hay además un punto que muchas implementaciones antiguas todavía pasan por alto.
La Enmienda 1 de ISO 22301 incorpora explícitamente la necesidad de determinar si el cambio climático es un asunto relevante para el sistema de gestión, y señala que las partes interesadas pueden tener requisitos relacionados con éste.
Esto no significa convertir la auditoría ISO 22301 en una auditoría ambiental. Significa evaluar, por ejemplo, si calor extremo, inundaciones, sequías, incendios, afectaciones eléctricas, transporte o concentración geográfica pueden modificar escenarios de interrupción, dependencias o requisitos de clientes.
Cláusula 5: liderazgo
La continuidad no puede ser “el archivo de TI”. La alta dirección debe proporcionar dirección, responsabilidades, recursos y una política coherente con los objetivos del negocio. Una certificación seria requiere poder responder:
- ¿Quién es accountable por el BCMS?
- ¿Quién acepta el riesgo residual?
- ¿Quién define qué proceso es prioritario?
- ¿Quién autoriza inversiones de resiliencia?
- ¿Quién recibe resultados de pruebas y auditorías?
La continuidad se vuelve ejecutiva en el momento en que una caída afecta facturación, producción, clientes, contratos o cumplimiento.
Cláusula 6: planificación
El sistema debe operar con objetivos medibles. Ejemplos:
- aumentar el porcentaje de funciones críticas con dependencias mapeadas;
- elevar el porcentaje de recuperaciones probadas;
- reducir incumplimientos de RTO;
- disminuir puntos únicos de falla;
- cerrar hallazgos recurrentes;
- incrementar cobertura de planes probados.
En Pulse by Scanda consideramos especialmente útiles dos indicadores: porcentaje de recuperaciones realmente probadas y cumplimiento real de RTO/RPO. Un respaldo exitoso no demuestra que una aplicación pueda regresar dentro del tiempo que el negocio necesita.
Cláusula 7: soporte
Aquí entran recursos, competencias, conciencia, comunicación e información documentada. Para que la documentación sirva durante una crisis debe estar:
- aprobada;
- actualizada;
- versionada;
- disponible para quien la necesita;
- protegida contra cambios no autorizados;
- accesible incluso si el canal primario está comprometido;
- sujeta a reglas de conservación y retiro.
La norma no premia el volumen de documentos. Premia su utilidad y control.
Cláusula 8: operación
Éste es el corazón operativo del BCMS. Incluye:
- Business Impact Analysis;
- evaluación de riesgos;
- estrategias y soluciones;
- requerimientos de recursos;
- estructuras de respuesta;
- planes y procedimientos;
- recuperación;
- programa de ejercicios;
- evaluación periódica de las capacidades de continuidad.
Continuidad y Recuperación se articula precisamente alrededor de BIA, BCP, DRP, RTO, RPO, funciones mínimas, estrategias de recuperación, planes de crisis, pruebas y simulaciones.
Cláusula 9: evaluación del desempeño
Implementar no es suficiente. El sistema debe generar evidencia mediante:
- monitoreo y medición;
- auditorías internas;
- revisión de la dirección;
- resultados de ejercicios;
- indicadores de desempeño;
- seguimiento de objetivos.
Aquí una empresa pasa de decir “estamos preparados” a demostrar cuánto está probado, cuánto cumple y dónde persiste el riesgo.
Cláusula 10: mejora
Una no conformidad que simplemente se cierra administrativamente no fortalece la resiliencia. Se necesita:
- determinar la causa;
- realizar acciones correctivas;
- evaluar su efectividad;
- actualizar controles, estrategias o procedimientos;
- evitar que el mismo hallazgo aparezca ejercicio tras ejercicio.
Éste es uno de los puntos donde la continuidad deja de ser un proyecto anual y se convierte en una disciplina operativa.
¿Qué documentos y evidencias necesita un BCMS certificable?
No existe una regla útil del tipo “ISO 22301 exige exactamente 27 documentos”.
La edición 2019 es más flexible sobre la forma de la información documentada. Lo importante es que exista evidencia suficiente para demostrar que los procesos exigidos funcionan.
Un expediente robusto normalmente incluye:
Gobierno y alcance
- alcance formal del BCMS;
- política de continuidad;
- requisitos legales, regulatorios y contractuales;
- partes interesadas;
- roles, responsabilidades y autoridades;
- objetivos de continuidad.
Capacidad organizacional
- matriz de competencias;
- registros de capacitación;
- mecanismos de comunicación;
- control de documentos;
- registro de cambios.
Análisis y diseño
- metodología y resultados del BIA;
- actividades priorizadas;
- dependencias internas y externas;
- evaluación de riesgos;
- escenarios;
- estrategias y soluciones seleccionadas;
- necesidades de personas, tecnología, instalaciones, proveedores, datos y comunicaciones.
Respuesta y recuperación
- estructura de respuesta;
- criterios de activación;
- BCP;
- DRP cuando corresponda;
- procedimientos de crisis;
- árbol de comunicación;
- contactos y suplentes;
- procedimientos de recuperación y retorno a operación normal.
Verificación
- calendario de ejercicios;
- escenarios y objetivos de las pruebas;
- resultados;
- desviaciones frente a RTO/RPO;
- hallazgos;
- planes de acción;
- evidencias de cierre.
Gobierno del sistema
- resultados de medición;
- programa de auditoría interna;
- informes de auditoría;
- revisión por la dirección;
- no conformidades;
- acciones correctivas;
- evidencia de mejora.
Una guía práctica de documentación ISO 22301 identifica precisamente alcance, política, objetivos, competencias, planes y procedimientos, resultados de medición, auditorías, revisiones directivas y acciones correctivas entre la información que debe conservarse.
El objetivo no es crear una biblioteca. Es crear una cadena de evidencia: riesgo → decisión → control → prueba → resultado → desviación → corrección. Eso es mucho más defendible frente a un auditor que 200 páginas que nadie ha utilizado.
¿Cómo construir el BIA, RTO, RPO y estrategias de continuidad?
1. Empieza por funciones del negocio, no por servidores
La primera pregunta no debería ser: “¿Qué servidores son Tier 1?”
Debería ser: “¿Qué debe seguir funcionando para que el negocio siga cumpliendo sus obligaciones?”
Por ejemplo:
- autorizar transacciones;
- surtir pedidos;
- facturar;
- producir;
- despachar;
- atender clientes;
- operar una planta;
- procesar nómina;
- reportar al regulador.
Éste es también el primer paso de nuestro modelo consultivo en Pulse by Scanda: entender qué debe seguir operando, después comprender el contexto y mapear dependencias.
2. Cuantifica el impacto a través del tiempo
El BIA debe analizar cómo crece el impacto cuando una actividad permanece indisponible.
No basta con clasificarla “alta, media o baja”.
Conviene estimar:
- ingreso diferido o perdido;
- margen de contribución afectado;
- penalizaciones contractuales;
- multas potenciales;
- costo de recuperación;
- horas extraordinarias;
- producción perdida;
- clientes afectados;
- backlog generado;
- afectación reputacional;
- obligaciones regulatorias.
3. Define objetivos de recuperación desde el negocio
El BIA permite establecer prioridades y determinar cuándo debe reanudarse una actividad a un nivel aceptable. La guía de implementación de ISO 22301 vincula explícitamente el análisis de impacto con priorización, dependencias, MTPD y RTO.
Aquí entran:
RTO — Recovery Time Objective: plazo objetivo para recuperar una actividad o servicio.
RPO — Recovery Point Objective: pérdida de datos tolerable expresada como tiempo.
Un error frecuente es pedirle al equipo de infraestructura que “defina el RTO”.
El orden debería ser inverso: el negocio define cuánto tiempo puede permanecer detenido; TI demuestra qué arquitectura y presupuesto necesita para cumplirlo.
4. Mapea dependencias
Cada función crítica debería relacionarse con:
- aplicaciones;
- bases de datos;
- identidades;
- infraestructura;
- nube;
- telecomunicaciones;
- ubicaciones;
- personas;
- terceros;
- proveedores;
- insumos;
- integraciones;
- conocimiento operativo.
Una función aparentemente simple puede tener diez dependencias y un único punto de falla escondido.
5. Selecciona la estrategia con criterio económico
No todo necesita alta disponibilidad activa-activa. ISO 22301 busca que las estrategias permitan recuperar las actividades prioritarias dentro del nivel y tiempo acordados, considerando también recursos, riesgo, costo y beneficio. La inversión debería ser proporcional a la criticidad.
Una operación que pierde MXN 2 millones por hora puede justificar una arquitectura que una función administrativa de baja criticidad no necesita.
¿Por qué probar el BCP es tan importante como documentarlo?
En Pulse by Scanda vemos una falla recurrente: organizaciones que pueden mostrar un plan, pero no pueden demostrar una recuperación.
Identificamos precisamente esta brecha: muchas empresas documentan continuidad y recuperación, pero no prueban las funciones críticas reales, en el orden correcto y contra un tiempo declarado. También distingue una métrica clave: respaldos ejecutados y recuperaciones probadas no son lo mismo.
ISO 22301 exige establecer un programa de ejercicios que permita validar estrategias, soluciones y planes. Las pruebas deben generar resultados, recomendaciones y acciones de mejora.
Un programa maduro puede combinar:
- tabletop de crisis;
- pruebas de comunicación;
- recuperación técnica;
- restauración de respaldos;
- failover controlado;
- operación desde sitio alterno;
- pruebas de proveedores;
- simulación de pérdida de personal clave;
- recuperación de aplicaciones completas;
- ransomware;
- pérdida de nube o telecomunicaciones;
- indisponibilidad regional.
La métrica relevante no es: “Hicimos cuatro simulacros.” Es: “¿Qué porcentaje de nuestras funciones críticas demostró recuperar dentro de su RTO y con el RPO esperado?”
¿Cómo es el proceso de certificación ISO 22301?
Una organización no debería contratar al certificador para descubrir por primera vez si su BCMS funciona. El camino normal incluye:
1. Definir alcance y preparar el BCMS. Determinar qué unidades, ubicaciones, servicios, productos y procesos estarán dentro del alcance.
2. Implementar y operar. El sistema necesita producir historial operativo:
- BIA;
- riesgos;
- planes;
- pruebas;
- métricas;
- auditoría interna;
- revisión directiva;
- acciones correctivas.
3. Gap assessment opcional. Permite identificar deficiencias antes de la auditoría formal.
4. Auditoría Stage 1. El organismo certificador revisa documentación, alcance, preparación y elementos clave del BCMS.
5. Auditoría Stage 2. El auditor verifica la implementación real mediante evidencias, entrevistas, procesos y prácticas de trabajo. No se limita a preguntar si existe el plan. Busca evidencia de que el sistema opera.
6. Cierre de no conformidades. Las desviaciones encontradas deben corregirse conforme al proceso del organismo certificador.
7. Certificación. La decisión de certificación debe ser independiente.
8. Vigilancia y recertificación. La certificación no convierte al BCMS en una pieza terminada. Normalmente existe vigilancia periódica durante el ciclo de certificación y posteriormente una auditoría de recertificación. SGS describe un ciclo típico de tres años con auditorías de seguimiento y posterior recertificación.
Este punto es importante también para delimitar responsabilidades.
En Pulse by Scanda no prometemos que un cliente “quedará certificado” ni garantizamos cumplimiento regulatorio. Nuestro trabajo es ayudar a construir capacidad, priorización, ejecución y evidencia. La decisión formal de certificación pertenece al organismo certificador independiente. Esta distinción también está establecida en nuestra metodología interna.
¿Cómo traducir ISO 22301 a riesgo financiero, EBITDA y ROI?
Un CFO difícilmente aprobará presupuesto porque “la cláusula 8.5 pide ejercicios”. Sí puede aprobarlo cuando entiende cuánto EBITDA está expuesto. El business case de continuidad puede estructurarse alrededor de dos variables.
1. Pérdida evitada
Una aproximación:
Pérdida por interrupción = margen perdido + penalizaciones + recuperación + horas extraordinarias + efectos contractuales y regulatorios
Después:
Valor potencial de continuidad = pérdida esperada sin control − pérdida esperada con la estrategia propuesta
No toda indisponibilidad destruye ventas; algunas las difieren. Por eso el cálculo debe hacerse por proceso y con Finanzas, no utilizando un benchmark genérico.
2. Costo liberado
También existe ROI cuando el BCMS elimina trabajo improductivo:
- evidencia reconstruida manualmente;
- simulacros improvisados;
- inventarios desactualizados;
- dependencias desconocidas;
- recuperación basada en personas clave;
- análisis repetido para cada auditoría;
- coordinación manual entre proveedores.
En el framework financiero de Pulse utilizamos precisamente estas dos palancas: pérdida evitada y costo liberado.
El dato de mercado confirma que el tiempo tiene efecto económico. En el Cost of a Data Breach Report 2025 para Latinoamérica, IBM reportó un costo promedio de US$2.51 millones por filtración. Los incidentes identificados y contenidos en menos de 200 días promediaron US$2.21 millones, frente a US$2.82 millones cuando superaron ese plazo: una diferencia aproximada de US$610,000. Este dato no mide ISO 22301 ni garantiza un ROI específico, pero evidencia por qué la velocidad de respuesta y recuperación debe expresarse en términos financieros.
Para dirección, recomendamos que el tablero de continuidad contenga al menos:
- costo estimado por hora de indisponibilidad;
- porcentaje de funciones críticas con dependencias mapeadas;
- porcentaje de recuperaciones probadas;
- cumplimiento de RTO;
- cumplimiento de RPO;
- número de puntos únicos de falla;
- porcentaje de hallazgos recurrentes;
- tiempo de activación del equipo de crisis;
- acciones correctivas abiertas y vencidas;
- exposición contractual o regulatoria asociada.
¿Cómo abordamos la continuidad de negocio en Pulse by Scanda?
En Pulse by Scanda no empezamos preguntando qué herramienta tiene el cliente. Empezamos preguntando:
¿Qué funciones del negocio no pueden detenerse y de qué dependen?
Nuestro modelo consultivo sigue ocho movimientos:
- Entender qué debe seguir operando.
- Comprender regulación, contratos, arquitectura, terceros e historia de incidentes.
- Mapear dependencias.
- Evaluar escenarios.
- Priorizar por impacto al negocio.
- Diseñar un roadmap con inversión y reducción de riesgo.
- Implementar y validar que el control funciona.
- Operar, medir y mejorar continuamente.
Para ISO 22301, esto permite evitar un error común: construir documentación antes de entender la operación.
Una evidencia útil nace de un proceso real: función crítica → impacto → dependencia → riesgo → estrategia → plan → ejercicio → resultado → mejora. Ahí es donde un BCP deja de ser un documento y comienza a convertirse en capacidad de resiliencia.
Conclusión predictiva
Durante los próximos años, la ventaja no estará en quién tenga el BCP más extenso, sino en quién pueda demostrar más rápido qué debe recuperarse, en qué orden, bajo qué objetivo y con qué evidencia.
La propia evolución de ISO 22301 apunta a mantener el enfoque de sistema de gestión: contexto cambiante, resiliencia, verificación y mejora continua. En octubre de 2026 la tercera edición está en desarrollo, pero todavía no sustituye ISO 22301:2019. Por eso, posponer un programa de continuidad esperando la siguiente versión no tiene sentido operativo.
La organización mejor preparada para una auditoría será, normalmente, también la mejor preparada para una interrupción: no porque tenga más documentos, sino porque puede producir evidencia de decisiones, responsabilidades, dependencias, pruebas y mejoras.
En Pulse by Scanda lo resumimos así: la continuidad no se demuestra cuando todo funciona. Se demuestra cuando algo falla y el negocio sabe exactamente qué recuperar primero.
¿Tu empresa tiene un plan de continuidad o puede demostrar que realmente recuperará la operación?
En Pulse by Scanda ayudamos a convertir continuidad documentada en resiliencia operativa: identificamos funciones críticas, construimos el BIA, mapeamos dependencias, definimos RTO y RPO, evaluamos riesgos, diseñamos estrategias de continuidad, estructuramos BCP y DRP, ejecutamos pruebas y organizamos la evidencia necesaria para auditoría y mejora continua.
Nuestro objetivo no es llenar una carpeta para la certificación. Es que dirección pueda responder, con evidencia, tres preguntas: qué debe recuperarse primero, cuánto tiempo puede esperar el negocio y si la recuperación realmente ha sido probada.
Si tu organización está evaluando ISO 22301, un nuevo BCP o la madurez de su esquema actual de continuidad, hablemos de qué tendría que seguir funcionando en tu peor día.
FAQ
- ¿ISO 22301 certifica el plan de continuidad de negocio? No exactamente. ISO 22301 es una norma para certificar un Sistema de Gestión de Continuidad de Negocio (BCMS/SGCN) dentro de un alcance definido. El BCP forma parte del sistema junto con el BIA, evaluación de riesgos, estrategias, ejercicios, medición, auditoría y mejora continua.
- ¿Es obligatorio hacer pruebas para certificarse en ISO 22301? Sí. Un BCMS debe establecer ejercicios para validar estrategias, soluciones y planes, y generar resultados y acciones de mejora. Presentar únicamente un BCP escrito no demuestra la eficacia de la continuidad.
- ¿Cuánto tiempo dura una certificación ISO 22301? El esquema depende del organismo certificador, pero el ciclo acreditado habitualmente contempla certificación inicial, auditorías periódicas de vigilancia y recertificación. SGS describe un ciclo típico de tres años, con seguimiento durante ese periodo.
