El proceso de planificación de contingencias comienza con una evaluación de riesgos para medir el impacto potencial de cada riesgo. Normalmente, el análisis de riesgos corre a cargo de los directivos y empleados de la empresa.Los miembros del equipo comienzan con una sesión de intercambio de ideas en la que debaten los riesgos potenciales, las líneas de actuación y la preparación general de la empresa.Durante esta etapa, es importante tener claro el alcance del proyecto e invitar a todas las partes interesadas relevantes a dar su opinión. Las empresas no necesitan crear un plan de gestión de riesgos para cada una de las amenazas a las que se enfrentan, sino solo para las que consideran muy probables y con potencial para interrumpir las operaciones comerciales.

Un análisis de impacto empresarial (BIA, por sus siglas en inglés) eficaz es fundamental para comprender las distintas funciones empresariales y cómo reaccionarán ante acontecimientos inesperados. Por ejemplo, mientras que una escasez de microprocesadores puede ser devastadora para una parte de una empresa que se dedica a la fabricación de consolas de videojuegos, es probable que tenga poco o ningún impacto en el departamento de RR. HH. de la misma empresa.

Para evaluar la urgencia de crear un plan de acción para esta amenaza específica, la empresa necesitaría saber qué proporción de sus ingresos se generaba a partir de la parte del negocio amenazada por la escasez de microprocesadores. Si las consolas de videojuegos representan un alto porcentaje de sus ingresos, querrán asegurarse de contar pronto con un plan sólido. Un BIA bien desarrollado ayuda a las partes interesadas a evaluar el riesgo y comprender mejor qué partes de su negocio son más importantes para las operaciones diarias.

Tras identificar los riesgos a los que se enfrenta su empresa, determinar la probabilidad y gravedad de cada uno de ellos y realizar un BIA, los directivos pueden seguir un sencillo proceso de tres pasos para elaborar su plan de respaldo.

Identificar los factores desencadenantes que pondrán en marcha su plan: Por ejemplo, si se aproxima un huracán, ¿en qué momento se activa el plan de contingencia? Cuando está a 80 km de distancia, ¿a 160? Tendrán que tomar decisiones claras para que los equipos que pongan a cargo de la ejecución sepan cuándo empezar a trabajar.

Diseñar una respuesta adecuada: La amenaza para la que se preparó la empresa ha llegado. Los equipos deberán saber exactamente lo que se espera de ellos para que la empresa pueda recuperarse rápidamente. Necesitarán instrucciones claras y accesibles, protocolos fáciles de seguir y una forma de que todos se comuniquen entre sí.

Delegar la responsabilidad de manera clara y justa: Como cualquier otra iniciativa, la planificación de contingencias requiere una gestión eficaz de proyectos para tener éxito. En el caso de una amenaza existencial como un desastre natural, todas las personas implicadas en ayudar a la empresa a recuperarse deben conocer su papel y haber recibido la formación adecuada necesaria para desempeñarlo. Por ejemplo, en el caso de un incendio, no sería justo esperar que los empleados no capacitados en extinción de incendios cojan una manguera. Sin embargo, con la formación adecuada, podrían realizar recuentos de personal o ir planta por planta para asegurarse de que otros empleados hayan sido evacuados.

Una forma de mejorar el flujo de trabajo entre los equipos al diseñar un plan es crear un gráfico RACI. RACI son las siglas en inglés de responsable, aprobador, consultado e informado y es un proceso muy utilizado para ayudar a equipos e individuos a delegar responsabilidades y reaccionar ante las crisis en tiempo real.

Aunque puede resultar difícil justificar la importancia de destinar recursos financieros a algo que quizá nunca ocurra, estos últimos años nos han enseñado el valor de una buena planificación de contingencias.Pensemos en todos los problemas de la cadena de suministro, la escasez crítica de equipos de protección personal y los estragos financieros causados por la pandemia.¿Qué habría cambiado si las organizaciones hubieran contado con planes de contingencia eficaces para el tipo de amenazas a las que se enfrentaban?

El coste y la incertidumbre son grandes barreras a la hora de convencer a los líderes empresariales de la importancia de invertir en planes de contingencia.Dado que todos los costes de los planes de contingencia son estimados (no hay forma de saber con exactitud cómo afectarán los acontecimientos a una empresa), es comprensible que los responsables de la toma de decisiones duden.

Diferentes industrias tienen diferentes maneras de abordar este problema. En el sector de la construcción es habitual reservar el 10% del presupuesto total de un proyecto para imprevistos.Otros sectores utilizan diferentes métodos. Un método popular es estimar los riesgos en función de un porcentaje de probabilidad de que ocurran.Según este método, si existe un riesgo del 25% de que se produzca un suceso que suponga 200 000 USD en costes de recuperación, la empresa debe reservar el 25%, o 50 000 USD, para cumplir su plan de contingencia.

Los mercados y los sectores cambian constantemente, por lo que la realidad a la que se enfrenta un plan de contingencia cuando se pone en marcha puede ser muy distinta de aquella para la que se creó.Por ejemplo, tras los atentados terroristas del 11-S, muchos de los planes de contingencia que tenía en marcha el gobierno de Estados Unidos resultaron de repente irrelevantes, porque se habían preparado décadas antes.

Para evitar una desconexión similar entre planes y amenazas, las empresas deben probar y reevaluar constantemente los planes que han elaborado.Por ejemplo, las directrices de IBM exigen que los planes se comprueben al menos una vez al año y se mejoren en caso necesario.³ Si se descubren nuevos riesgos y se considera que su gravedad y probabilidad son lo suficientemente elevadas, los planes antiguos podrían desecharse por completo.

Las empresas que crean planes sólidos se recuperan más rápido de un evento disruptivo que las empresas que no lo hacen. Cuando se produce un acontecimiento negativo, cuanto más rápido se recupera la empresa y vuelve a la normalidad, menor es el riesgo para la empresa, sus clientes y sus empleados.

Un buen plan de contingencia minimiza el daño a una empresa, tanto reputacional como financiero. Por ejemplo, aunque una filtración de datos dañará indudablemente la reputación de un banco, así como su cuenta de resultados, la forma en que el banco responda desempeñará un papel fundamental a la hora de que sus clientes decidan seguir haciendo negocios con él.

Muchas organizaciones utilizan un sólido plan de contingencia para demostrar a empleados y clientes que se toman en serio la preparación.Al planificar una amplia gama de acontecimientos potencialmente perjudiciales, los directivos de las empresas pueden demostrar a inversores, clientes y trabajadores que han tomado las medidas necesarias para minimizar los riesgos.

Gravedad y probabilidad del riesgo: Los fabricantes han estado siguiendo las noticias en una región en la que se abastecen de piezas específicas para aviones y han considerado que la probabilidad de que se produzcan interrupciones allí es "alta". Inicialmente buscan otro proveedor, pero rápidamente descubren que les llevará meses, incluso años, encontrar uno. Dado que la pieza es necesaria para la construcción de todos sus aviones, también califican la gravedad de esta interrupción como "alta".

Desencadenante: Los proveedores hacen saber al fabricante que pronto se quedarán sin la pieza necesaria debido a un evento geopolítico disruptivo en su país de origen.

Respuesta: El fabricante comienza la búsqueda de un nuevo proveedor de la pieza tan necesaria en un país más estable.

Gravedad y probabilidad del riesgo: Los responsables de un banco conocen una vulnerabilidad en su aplicación que están trabajando para solucionar. Si se hackea la aplicación y sus sistemas de información se ven comprometidos, es probable que pierdan datos vitales de los clientes. Califican la probabilidad de este suceso como "alta", ya que, como institución financiera, son un objetivo deseable.También saben, por haber visto a sus competidores enfrentarse a situaciones similares, que el potencial de interrupción de su negocio en un suceso como este es grande.Califican también la gravedad de este riesgo como "alto".

Desencadenante: El departamento de TI avisa a los directivos del banco de que la aplicación del banco ha sido pirateada y los datos de sus clientes ya no están seguros.

Respuesta: La aplicación se cierra inmediatamente y se notifica a los clientes que sus datos se han visto comprometidos. Se les informa de las medidas que toma el banco para garantizar que tengan acceso a su dinero y que su información personal no esté a disposición de nadie en la web oscura.Se recurre a un equipo de guardia de expertos en seguridad especialmente formados para esta situación con el fin de restablecer los sistemas del banco y proteger la información de los clientes.

Gravedad y probabilidad del riesgo: Los responsables de la planta saben que las inundaciones graves podrían propagar el agua no tratada a las calles y cauces públicos de la ciudad. Tanto la gravedad de este riesgo como su probabilidad dada la tormenta inminente se consideran "altas".

Desencadenante: La trayectoria del huracán gira hacia la ciudad y se aproxima a menos de 160 km con vientos superiores al umbral calificado como "seguro". El plan de contingencia de la planta se pone en acción.

Respuesta: Se convoca a todos los trabajadores para que permanezcan en la planta las 24 horas del día y se toman medidas para procesar la mayor cantidad de agua posible antes de la llegada del huracán. Según su plan, lo que sobre se bombeará a tanques de retención diseñados para resistir un huracán.Cuando la velocidad del viento alcanza un valor determinado, la central se detiene y se evacua a todos los trabajadores.