Cómo elaborar un Plan de Continuidad de Negocio según la SBS (guía 2026)
Un Plan de Continuidad de Negocio (PCN) no es un documento para archivar: es lo que permite que tu entidad siga atendiendo a sus clientes cuando falla el centro de datos, cae un proveedor crítico o no se puede entrar a la sede. Esta guía resume cómo construirlo paso a paso, alineado al reglamento de la SBS.
Qué exige la SBS
El marco principal es el Reglamento para la Gestión de la Continuidad del Negocio, aprobado por la Resolución SBS N.° 877-2020, con sus modificatorias (entre ellas las Resoluciones SBS N.° 1536-2020, N.° 3601-2021 y N.° 00814-2025). En términos prácticos, la entidad debe contar con un sistema de gestión de la continuidad que incluya:
- Una política aprobada por el Directorio y roles claros.
- Un análisis de impacto en el negocio (BIA) que identifique productos y servicios priorizados y sus tiempos objetivo.
- Estrategias de continuidad para personas, instalaciones, tecnología, información y proveedores.
- Planes: gestión de crisis, continuidad por proceso, recuperación de TI, emergencia y comunicaciones.
- Un programa de pruebas y de mantenimiento del plan.
- Criterios y procedimientos para reportar a la SBS las interrupciones significativas.
El reglamento prevé un sistema general y uno simplificado según el tipo de empresa. Antes de empezar, confirma cuál te corresponde y revisa siempre el texto concordado vigente en el portal de la SBS.
Paso 1: define el alcance y el gobierno
Decide qué productos, procesos, sedes y proveedores cubre el plan, y quién toma las decisiones en una crisis. Un Comité de Gestión de Crisis con titulares y suplentes, un coordinador de continuidad y dueños de proceso identificados son la base de todo lo demás.
Paso 2: haz un buen BIA
El BIA es el corazón del plan. Para cada proceso, pregunta qué pasa si se detiene durante una hora, un día o una semana, y mide el impacto financiero, regulatorio, reputacional y en los clientes. De ahí salen tres valores clave:
- TMIT (tiempo máximo de interrupción tolerable): cuánto puede estar detenido antes de que el daño sea inaceptable.
- TOR (tiempo objetivo de recuperación): en cuánto tiempo te comprometes a recuperarlo. Debe ser menor que el TMIT.
- POR (punto objetivo de recuperación): cuánta información puedes perder como máximo.
Un error muy común es definir estos tiempos sin hablar con el negocio. TI conoce la tecnología, pero el impacto lo conocen los dueños de proceso.
Paso 3: evalúa riesgos y escenarios
Identifica los escenarios que pueden interrumpir tus procesos críticos: pérdida del centro de datos, falta de personal clave, no disponibilidad de la sede, caída de un proveedor y ciberataques como el ransomware. Vincula esta evaluación con tu gestión de riesgo operacional.
Paso 4: elige estrategias que cumplan los tiempos
Para cada recurso crítico define cómo lo reemplazas: sitio alterno de operaciones, centro de procesamiento alterno, trabajo remoto, proveedores alternos, respaldos fuera de sitio. La pregunta que debe responder cada estrategia es simple: ¿permite recuperar el servicio dentro del TOR y del POR definidos en el BIA?
Paso 5: escribe los planes
Los planes deben ser operativos, no teóricos: quién hace qué, en qué orden, con qué recursos y en cuánto tiempo. Incluye el procedimiento de activación, la sala de crisis, el árbol de llamadas, la secuencia de recuperación de TI, los mensajes preaprobados y el procedimiento de reporte a la SBS.
Paso 6: prueba, aprende y actualiza
Un plan que nunca se probó es una suposición. Define un programa anual de pruebas que combine ejercicios de escritorio y pruebas técnicas, documenta los resultados en actas y convierte cada brecha en una acción con responsable y fecha.
Cinco errores frecuentes
- Copiar un plan genérico sin hacer un BIA propio.
- Definir tiempos de recuperación que la tecnología no puede cumplir.
- No incluir a los proveedores críticos ni verificar sus propios planes.
- Tener el árbol de llamadas desactualizado.
- No probar el plan o no documentar las pruebas.
Por dónde empezar
Si tu entidad está empezando, una ruta realista es de seis semanas: alcance y gobierno, BIA, riesgos, estrategias, planes y una primera prueba de escritorio. Si ya tienes un plan, el siguiente paso es revisarlo contra los requisitos del reglamento y priorizar las brechas.