Prepararse antes del incidente.

La mayoría de las organizaciones confía en que sus medidas de prevención evitarán el incidente. Es una aspiración razonable, pero insuficiente. Ningún sistema puede garantizar que nada ocurrirá.

La verdadera preparación empieza cuando la empresa se pregunta qué hará si, a pesar de sus controles, algo importante deja de funcionar.

No se trata de vivir esperando una crisis ni de elaborar una lista interminable de amenazas. Se trata de conocer lo esencial, anticipar decisiones y reducir la improvisación cuando el tiempo y la información sean limitados.

La ausencia de incidentes no demuestra preparación

Una organización puede pasar años sin afrontar una situación grave. Eso puede reflejar una buena prevención, pero también puede generar una confianza que nunca ha sido puesta a prueba.

Disponer de un plan, una póliza, un proveedor de emergencia o una copia de seguridad tampoco basta por sí solo. La preparación existe cuando las personas conocen su papel, las decisiones están asignadas, los recursos son accesibles y la respuesta ha sido comprobada en condiciones razonables.

El incidente revela rápidamente las cuestiones que antes parecían secundarias: teléfonos que no están actualizados, responsables que no pueden ser localizados, proveedores sin capacidad real, decisiones que nadie se siente autorizado a tomar o procesos críticos que dependían de una única persona.

Prepararse para las consecuencias, no solo para las amenazas

Resulta imposible prever cada forma concreta en la que puede producirse una interrupción. Sin embargo, muchas situaciones diferentes generan consecuencias similares: pérdida de acceso a una instalación, indisponibilidad de un sistema, ausencia de personal clave, corte de suministros, imposibilidad de comunicar, pérdida de información o interrupción de una actividad esencial.

Trabajar desde las consecuencias permite preparar capacidades que sirven ante distintos escenarios. La pregunta deja de ser únicamente «¿qué puede ocurrir?» y pasa a ser «¿qué necesitamos seguir haciendo aunque ocurra?».

Ese cambio conecta la seguridad con la continuidad y la resiliencia. El objetivo no es diseñar una respuesta distinta para cada amenaza imaginable, sino proteger las funciones que sostienen a la organización.

Lo primero es conocer qué no puede detenerse

Antes de redactar procedimientos conviene identificar las actividades críticas y sus dependencias: personas, instalaciones, tecnología, información, suministros, proveedores, comunicaciones y decisiones.

Algunas dependencias son evidentes. Otras solo aparecen cuando se pregunta con detalle cómo se trabaja realmente. Un proceso puede depender de una llave, una contraseña, una autorización, una aplicación, un vehículo, una conexión o una persona que nunca había sido considerada crítica.

También hay que comprender cuánto tiempo puede permanecer interrumpida cada actividad antes de que las consecuencias resulten inaceptables. Sin esa referencia, es difícil priorizar recursos y establecer una secuencia de recuperación.

Las decisiones deben prepararse antes

Durante un incidente, la información suele llegar incompleta y cambiar con rapidez. Esperar a disponer de certeza absoluta puede retrasar actuaciones necesarias. Por eso, la organización debe haber definido previamente quién puede decidir, sobre qué materias y con qué criterios.

¿Quién declara una situación de crisis? ¿Quién puede detener una actividad? ¿Quién autoriza un gasto urgente? ¿Quién informa a empleados, clientes, autoridades o medios? ¿Quién establece las prioridades de recuperación?

No todas las decisiones pueden detallarse en un procedimiento, pero sí puede establecerse un marco que evite bloqueos y contradicciones.

Comunicar también forma parte de la respuesta

Una organización puede tomar buenas decisiones y aumentar el impacto si comunica tarde, por canales inadecuados o con mensajes contradictorios.

La preparación debe establecer quién informa, a quién, con qué nivel de detalle y mediante qué alternativas si los canales habituales no están disponibles. Los destinatarios no son solo internos. Según el caso, pueden incluir clientes, proveedores, servicios de emergencia, autoridades, aseguradoras o familias.

Comunicar no significa contar todo inmediatamente. Significa asegurar que cada parte recibe la información necesaria para actuar, protegerse o mantener la confianza.

Un documento no equivale a capacidad de respuesta

Los planes son necesarios porque ordenan información, responsabilidades y procedimientos. Pero un plan que no se revisa, no se conoce o no se prueba puede generar una falsa sensación de preparación.

La comprobación no siempre requiere un gran simulacro. Un ejercicio de mesa, una reunión sobre un escenario concreto o la verificación práctica de una cadena de avisos pueden revelar carencias importantes con un coste reducido.

Lo esencial es que el ejercicio obligue a decidir. Debe mostrar si la información está disponible, si las responsabilidades son comprensibles, si los tiempos son realistas y si las alternativas pueden activarse.

Después, las conclusiones deben traducirse en cambios. Probar sin corregir convierte el ejercicio en una formalidad.

Seis preguntas antes de necesitar las respuestas

1. ¿Qué actividades deben mantenerse o recuperarse primero?
La prioridad debe estar definida desde el impacto empresarial, no desde la facilidad técnica.

2. ¿De qué personas, recursos y proveedores dependen?
Las dependencias únicas requieren especial atención y alternativas realistas.

3. ¿Quién toma las decisiones esenciales?
Las responsabilidades, sustituciones y niveles de autoridad deben ser claros.

4. ¿Cómo circulará la información?
La organización necesita fuentes fiables, destinatarios definidos y canales alternativos.

5. ¿Qué recursos pueden activarse de inmediato?
No basta con saber que existen; hay que comprobar su disponibilidad y condiciones de uso.

6. ¿Cuándo se probó por última vez la respuesta?
La confianza debe apoyarse en evidencias, no únicamente en la existencia de documentos.

Prepararse es una decisión de gestión

La preparación no pertenece exclusivamente al área de seguridad, prevención o tecnología. Cuando una interrupción puede afectar a la actividad, los clientes, las personas o la reputación, implica a Dirección.

La función de seguridad puede identificar escenarios, coordinar áreas, estructurar procedimientos y organizar pruebas. Dirección debe establecer prioridades, asignar autoridad y asegurar que la organización corrige lo aprendido.

Una empresa resiliente no es la que afirma que nada le ocurrirá. Es la que ha pensado cómo continuar tomando decisiones cuando las condiciones dejan de ser normales.