Hay una frase que se escucha con frecuencia en las organizaciones: “Eso pregúntaselo a Carlos, él sabe cómo funciona”.

A primera vista parece normal. Todas las empresas tienen personas con mayor experiencia, especialistas que conocen los procesos en detalle o colaboradores que han resuelto durante años situaciones que otros no dominan.

El problema comienza cuando “Carlos” deja de ser solamente el especialista y se convierte en la única persona que sabe cómo hacer algo crítico.

¿Qué ocurre si mañana no está disponible?

Puede ser por vacaciones, enfermedad, renuncia, rotación interna o simplemente porque ha cambiado de posición.

Entonces aparece un riesgo que muchas veces no figura con suficiente relevancia en las matrices de riesgo operacional: la concentración de conocimiento en personas clave.

Un proceso puede tener respaldo tecnológico y seguir siendo vulnerable

Las organizaciones han avanzado mucho en redundancia tecnológica.

Servidores redundantes. Centros alternos. Backups. Alta disponibilidad. Proveedores de contingencia. Recuperación en nube.

Sin embargo, existe una redundancia que suele recibir mucha menos atención: la de las personas y su conocimiento.

Podemos tener dos centros de datos, tres enlaces de comunicaciones y múltiples copias de seguridad, pero depender de una sola persona para recuperar una aplicación crítica.

También podemos disponer de procedimientos documentados y descubrir durante una emergencia que solamente un colaborador conoce las excepciones, configuraciones, contactos o decisiones necesarias para ejecutarlos correctamente.

En ese escenario, el punto único de falla no está en la infraestructura.

Está sentado frente a una computadora.

El conocimiento crítico no siempre está documentado

Este es probablemente el mayor problema. Una parte importante del conocimiento operacional no está en manuales.

Está en la experiencia. Son pequeños detalles acumulados durante años:

“Cuando ocurre este error, primero hay que validar aquello”.

“Ese proveedor responde más rápido si contactamos directamente a esta persona”.

“Este proceso parece automático, pero al cierre del mes requiere esta intervención”.

“Si falla esa interfaz, existe una forma temporal de procesarlo manualmente”.

Ese conocimiento suele permanecer invisible hasta que la persona que lo posee deja de estar disponible.

Entonces descubrimos que el procedimiento formal describía el proceso, pero no necesariamente explicaba cómo resolverlo cuando algo salía mal.

La eficiencia también puede crear concentración

Paradójicamente, algunas iniciativas de eficiencia pueden aumentar este riesgo. Las organizaciones reducen estructuras, centralizan funciones, automatizan actividades y buscan equipos más pequeños y especializados.

Desde una perspectiva financiera puede tener sentido. Desde una perspectiva de resiliencia, merece otra lectura.

Si después de una transformación un proceso que antes conocían cinco personas termina dependiendo de una, hemos reducido costos, pero también hemos creado una concentración. Algo similar ocurre con la tercerización.

Una función puede pasar a un proveedor y la organización perder gradualmente el conocimiento necesario para ejecutarla o supervisarla.

Años después, cambiar de proveedor se vuelve extraordinariamente complejo porque nadie dentro de la empresa conoce suficientemente el proceso.

El riesgo ya no es solamente dependencia del proveedor.

Es pérdida de conocimiento institucional.

¿Está este riesgo identificado en el BIA?

Aquí aparece una conexión importante con continuidad del negocio y resiliencia operacional.

El Comité de Basilea establece que las entidades deben mapear las personas, tecnología, procesos, información, instalaciones y terceros necesarios para entregar sus operaciones críticas. También exige considerar la sucesión de autoridad cuando una interrupción afecta personal clave.

Por eso, cuando hacemos un BIA, no deberíamos preguntar únicamente:

“¿Cuántas personas necesita el proceso?”

También deberíamos preguntar:

¿Cuántas personas pueden realmente ejecutar las actividades críticas?

No es lo mismo.

Un área puede tener veinte colaboradores y depender de una sola persona para ejecutar determinada actividad crítica.

Desde el organigrama parece existir capacidad suficiente.

Desde resiliencia, existe un punto único de falla.

El “Bus Factor”: una pregunta incómoda pero útil

En tecnología se utiliza informalmente un concepto denominado Bus Factor. La pregunta es sencilla: ¿Cuántas personas tendrían que dejar de estar disponibles para que un proyecto o proceso quedara seriamente comprometido por falta de conocimiento?

No necesitamos adoptar literalmente el término para entender su utilidad. Podemos plantearlo de otra manera:

Si mañana nuestra persona más experta no pudiera trabajar durante 30 días, ¿qué actividades quedarían comprometidas?

La respuesta suele ser reveladora. Y debería realizarse especialmente sobre:

• Procesos críticos.
• Aplicaciones esenciales.
• Operaciones financieras.
• Cierres contables.
• Gestión de incidentes.
• Recuperación tecnológica.
• Ciberseguridad.
• Modelos de riesgo.
• Cumplimiento regulatorio.
• Relaciones con proveedores críticos.

Tener un procedimiento no resuelve automáticamente el problema

Otro error frecuente consiste en considerar que el riesgo está mitigado porque existe documentación.

La pregunta correcta es: ¿Otra persona puede ejecutar el proceso utilizando esa documentación?

La diferencia es enorme. Una prueba muy sencilla consiste en pedir a un colaborador de respaldo que realice la actividad sin intervención del especialista habitual.

Si no puede hacerlo, probablemente no existe un respaldo real. Existe un documento. Por eso, la transferencia de conocimiento debería probarse de manera similar a cualquier otro control de continuidad.

¿Cómo identificar la concentración?

No hace falta crear una metodología excesivamente compleja. Para cada proceso crítico podemos identificar:

Actividad crítica → conocimiento requerido → personas que pueden ejecutarla → nivel de documentación → respaldo disponible → tiempo necesario para reemplazar la capacidad.

Una organización puede incluso utilizar un indicador sencillo:

Número de actividades críticas con una única persona capacitada para ejecutarlas.

Y complementarlo con otros KRIs:

• Procesos críticos sin reemplazo definido.
• Actividades críticas con Bus Factor = 1.
• Puestos críticos sin plan de sucesión.
• Procedimientos críticos no probados por una segunda persona.
• Personal clave próximo a retiro o rotación.
• Procesos tercerizados sin conocimiento interno suficiente.
• Horas de capacitación cruzada.
• Brechas de competencias en posiciones críticas.

De repente, un riesgo que antes era invisible empieza a ser medible.

El conocimiento también necesita redundancia

Las organizaciones entienden perfectamente que una infraestructura crítica no debería depender de un único servidor. También aceptan que un servicio crítico no debería depender de un solo enlace. Entonces deberíamos aplicar la misma lógica al conocimiento.

Para actividades realmente críticas deberían existir, cuando sea razonable: documentación actualizada, personal alterno capacitado, rotación de funciones, entrenamiento cruzado, ejercicios de sustitución, planes de sucesión y transferencia estructurada de conocimiento. No se trata de que todos sepan hacer todo.

Se trata de evitar que determinadas capacidades esenciales desaparezcan cuando una persona no está disponible.

Una pregunta para el Comité de Riesgos

En lugar de preguntar solamente cuántas posiciones están cubiertas, podríamos plantear algo mucho más relevante:

¿Qué procesos críticos de nuestra organización dependen hoy del conocimiento de una sola persona?

Y después: ¿Cuánto tiempo necesitaríamos para reemplazar ese conocimiento si mañana dejara de estar disponible?

Probablemente esas dos preguntas revelen más sobre resiliencia operacional que muchas páginas de indicadores.

Reflexión final

Los puntos únicos de falla no siempre son servidores, aplicaciones o proveedores. A veces tienen nombre, apellido y veinte años de experiencia.

Ese conocimiento representa un activo enorme para la organización. Precisamente por eso también representa una concentración que debe gestionarse.

La solución no consiste en hacer menos importante al especialista. Consiste en convertir su conocimiento individual en capacidad organizacional. Porque una organización verdaderamente resiliente no debería depender de que una determinada persona esté disponible para poder seguir operando.

El conocimiento crítico también necesita redundancia.