Durante muchos años, quienes hemos liderado operaciones tecnológicas hemos utilizado la disponibilidad como uno de nuestros principales indicadores. Es lógico: necesitamos saber si los sistemas están funcionando, cuánto tiempo permanecen disponibles y si estamos cumpliendo los niveles de servicio comprometidos. Sin embargo, después de trabajar en industrias y operaciones muy diferentes, he llegado a una conclusión: disponibilidad y resiliencia no son lo mismo.
Una organización puede mostrar excelentes indicadores durante meses y descubrir, frente a una interrupción relevante, que existía una dependencia que nadie había considerado, un proveedor sin una alternativa efectiva, un procedimiento de recuperación que nunca fue probado o responsabilidades que parecían claras hasta que llegó el momento de tomar decisiones.
La disponibilidad nos dice principalmente cómo hemos operado. La resiliencia nos obliga a preguntarnos algo más incómodo: “¿Qué ocurrirá cuando algo falle?”.
Y esa pregunta cambia la conversación.
De sistemas críticos a procesos críticos
A medida que las organizaciones se digitalizan, sus procesos dependen de ecosistemas tecnológicos cada vez más interconectados. Una operación puede depender simultáneamente de aplicaciones, infraestructura, telecomunicaciones, Cloud, datos, integraciones, proveedores y, en algunos sectores, tecnologías operacionales. Por eso, frente a una interrupción, rara vez estamos ante la falla aislada de una plataforma. Estamos frente a una cadena de dependencias.
Aquí existe un cambio que considero fundamental. En lugar de comenzar preguntando cuáles son nuestros sistemas críticos, deberíamos preguntarnos “¿Cuáles son los procesos que la organización no puede permitirse interrumpir?”.
A partir de esa respuesta, podemos identificar qué tecnologías, personas, proveedores, datos e infraestructura hacen posible esos procesos. Este enfoque permite descubrir algo que muchas veces pasa inadvertido: un sistema considerado secundario puede ser crítico si forma parte de un proceso esencial. Del mismo modo, una plataforma altamente disponible puede aportar poco si otro componente de la cadena constituye un punto único de falla.
La resiliencia, por lo tanto, debe entenderse de extremo a extremo. Esto cobra especial importancia en la convergencia entre IT y OT. Podemos tener responsabilidades y especialidades distintas, pero un proceso operacional no reconoce organigramas. Simplemente funciona o no funciona.
Resiliencia no significa que nada falle
Existe también una expectativa que debemos cambiar: pensar que una organización resiliente es aquella donde nunca ocurre una interrupción. No es realista. La infraestructura falla. Las comunicaciones pueden interrumpirse. Los proveedores tienen incidentes. Las personas cometen errores. Las aplicaciones presentan problemas y las amenazas de ciberseguridad evolucionan constantemente.
Por eso, la pregunta estratégica no debería ser cómo garantizar que nunca tendremos una falla, sino “¿Qué tan preparados estamos para responder cuando ocurra?”.
Una organización resiliente necesita detectar rápidamente, comprender el impacto, establecer prioridades, activar responsabilidades, comunicar adecuadamente, recuperar sus servicios y aprender de lo ocurrido.
Y aquí aparece una dimensión que a veces subestimamos: la resiliencia también es liderazgo.
Podemos tener redundancia tecnológica y excelentes procedimientos, pero si durante una contingencia nadie sabe quién debe decidir, qué debe priorizarse o cuándo escalar una situación, la tecnología por sí sola será insuficiente. Los procedimientos son importantes. Las personas y su capacidad para decidir lo son todavía más.
La alta dirección necesita otra conversación
También debemos cambiar la manera en que hablamos de continuidad y riesgo con la alta dirección.
Disponibilidad, MTTR, SLA o cantidad de incidentes son indicadores necesarios para gestionar operaciones. Pero un gerente general o un directorio necesita otra perspectiva.
¿Qué proceso empresarial está expuesto? ¿Cuánto tiempo podemos operar sin él? ¿Qué consecuencias tendría una interrupción prolongada? ¿Cuál es nuestra capacidad real de recuperación? ¿Dónde necesitamos invertir?
Cuando respondemos estas preguntas, continuidad deja de ser una conversación exclusivamente tecnológica y se transforma en una conversación sobre riesgo, inversión y capacidad empresarial.
Lo mismo ocurre con ciberseguridad. Un incidente cibernético puede convertirse rápidamente en una interrupción operacional. Por eso, Cyber Risk, Business Continuity y Operational Resilience no deberían gestionarse como mundos independientes. Para la alta dirección forman parte de una misma pregunta: ¿qué tan preparada está nuestra organización para enfrentar una disrupción relevante y continuar operando?
La resiliencia se construye antes del incidente
Una de mis principales convicciones sobre este tema es simple: La resiliencia no se demuestra cuando todo funciona. Se demuestra cuando algo deja de funcionar y la organización sabe cómo responder. Pero esa capacidad no se improvisa durante una crisis.
Se construye antes: comprendiendo procesos críticos, identificando dependencias, definiendo responsabilidades, gestionando proveedores, diseñando arquitecturas adecuadas, realizando pruebas y desarrollando equipos capaces de tomar decisiones bajo presión.
Y también exige criterio financiero. No podemos proteger todos los servicios con el mismo nivel de inversión. La madurez está en identificar dónde una interrupción tendría consecuencias relevantes y concentrar allí los recursos necesarios.
Ese equilibrio será cada vez más importante para los líderes tecnológicos. Durante los próximos años, el CIO no será evaluado solamente por cuánto transforma o innova. También será evaluado por el nivel de preparación de la organización para continuar funcionando mientras se transforma. Innovación y resiliencia no son objetivos opuestos. Son dos responsabilidades del mismo liderazgo.
Porque construir organizaciones resilientes no significa aspirar a un mundo donde nada falle. Significa construir organizaciones capaces de anticiparse, responder, recuperarse y aprender cuando inevitablemente algo falle. Y en una economía cada vez más dependiente de la tecnología, esa capacidad puede terminar siendo una de las ventajas competitivas más importantes de una organización.
