La presentación parece impecable. El Plan de Continuidad BCP está actualizado. El DRP fue aprobado. Los proveedores críticos tienen cláusulas contractuales. Existe un procedimiento de gestión de incidentes. Los responsables fueron capacitados y los indicadores aparecen dentro de los límites.

Sobre el papel, la organización parece preparada. Entonces alguien formula una pregunta diferente: ¿Podemos demostrar que todo esto funcionará durante una interrupción real?

Ahí cambia completamente la conversación. La resiliencia operacional no consiste en acumular políticas, procedimientos y controles. Consiste en mantener servicios críticos cuando las condiciones dejan de ser normales, y eso requiere evidencia.

Tener un control no significa que el control funcione

Esta diferencia parece obvia, pero continúa siendo una de las principales debilidades en gestión de riesgos. Una organización puede declarar que dispone de:

• Infraestructura redundante.
• Sitios alternos.
• Proveedores de contingencia.
• Procedimientos manuales.
• Backups.
• Planes de recuperación.
• Equipos de crisis.

Pero cada afirmación debería llevar inmediatamente a una segunda pregunta: ¿Cuándo fue la última vez que comprobamos que funciona?

Un backup que nunca ha sido restaurado no demuestra capacidad de recuperación. Un sitio alterno que nunca ha soportado la operación real no demuestra continuidad. Un proveedor alternativo que requiere semanas para activarse difícilmente representa una contingencia. Un procedimiento manual que nadie ha ejecutado durante dos años probablemente tampoco sea una estrategia confiable.

De la existencia del control a la evidencia de capacidad

La conversación del Comité debería evolucionar desde: “¿Tenemos un plan?” hacia “¿Qué evidencia tenemos de que podemos ejecutarlo?”

Este cambio parece pequeño, pero modifica completamente el modelo de supervisión. El Comité de Basilea establece que las entidades deberían realizar ejercicios de continuidad bajo escenarios severos pero plausibles para probar su capacidad de mantener operaciones críticas durante una disrupción. También enfatiza el mapeo de personas, tecnología, procesos, información, instalaciones y terceros necesarios para prestar esas operaciones.

¿Qué evidencia debería pedir el Comité?

No hace falta convertir al Comité de Riesgos en auditor, pero sí debería recibir evidencia suficiente para entender si las capacidades declaradas son reales. Por ejemplo, frente a un servicio crítico podría solicitar:

Resultados de pruebas. No solamente saber que se realizó un ejercicio, sino conocer qué falló, cuánto demoró la recuperación y qué brechas permanecen abiertas.

Cumplimiento de objetivos de recuperación. Si el RTO establecido es de dos horas, ¿la última prueba realmente recuperó el servicio dentro de ese tiempo?

Capacidad operacional durante contingencia. Quizás el sistema alternativo funciona, pero solo permite procesar el 30 % del volumen normal. Ese dato puede cambiar completamente la evaluación.

Dependencias críticas. ¿Qué personas, aplicaciones, datos, instalaciones, proveedores y servicios externos son indispensables?

Planes de acción. ¿Qué vulnerabilidades fueron identificadas y cuánto tiempo llevan pendientes?

Esta información ofrece una imagen mucho más realista que un simple indicador de “plan actualizado: 100 %”.

Las pruebas perfectas deberían generar sospechas

Algunas pruebas de continuidad están diseñadas para salir bien. Se informa previamente a todos los participantes, se utiliza un escenario conocido, los responsables saben exactamente qué ocurrirá y se evitan componentes que podrían complicar el ejercicio.

El resultado suele ser excelente, pero una crisis real no funciona así. Las pruebas deben introducir incertidumbre. No deben ser pruebas básicas.

Debemos responder:

¿Qué ocurre si falla también el respaldo?

¿Y si el responsable principal no está disponible?

¿Si el proveedor crítico no responde?

¿Si la información recuperada presenta problemas de integridad?

¿Si dos servicios fallan simultáneamente?

¿Si el incidente ocurre durante el mayor volumen transaccional?

El objetivo no es demostrar que todo funciona

El propósito de un ejercicio de resiliencia no debería ser aprobarlo. Debería ser descubrir vulnerabilidades antes de que las descubra un incidente real.

Por eso, un resultado útil puede ser:

“Cumplimos el RTO, pero identificamos dependencia de dos especialistas”.

“El proveedor alternativo funciona, pero necesita seis horas para asumir el volumen”.

“El procedimiento diseñado no funcionó y debe modificarse”.

Una prueba donde absolutamente todo funciona siempre puede estar diciendo más sobre el diseño del ejercicio que sobre la resiliencia de la organización.

El riesgo de terceros necesita la misma evidencia

La dependencia tecnológica hace que una parte creciente de la resiliencia se encuentre fuera de la organización. Servicios como cloud, telecomunicaciones, procesamiento, software, ciberseguridad, datos y múltiples servicios especializados dependen de terceros. Por eso, tampoco debería bastar con recibir un certificado o revisar un SLA.

La organización necesita comprender:

• Qué servicio soporta el proveedor.
• Qué dependencias utiliza.
• Qué capacidad de recuperación tiene.
• Cuándo realizó su última prueba.
• Qué vulnerabilidades identificó.
• Qué alternativa existe.
• Cuánto demoraría sustituirlo.

La regulación europea DORA refleja precisamente esta evolución al integrar pruebas de resiliencia digital, gestión de incidentes y riesgo de terceros TIC dentro de un mismo marco.

Además, en enero de 2026 las autoridades europeas y británicas reforzaron su cooperación para la supervisión de proveedores tecnológicos críticos, una señal clara de que la concentración y dependencia de terceros ya se observa como un problema que trasciende a una sola entidad.

El tablero de resiliencia debería cambiar

Un Comité probablemente obtiene más valor de diez evidencias relevantes que de cincuenta indicadores administrativos.

En lugar de limitarse a: “100 % de planes actualizados”. Podría conocer: 92 % de servicios críticos probados dentro de tolerancia.

En lugar de: “100 % de proveedores críticos evaluados”. Podría saber: Tres proveedores críticos no tienen alternativa viable dentro del tiempo máximo tolerable.

En lugar de: “DRP probado satisfactoriamente”. Podría conocer: Dos de doce aplicaciones excedieron el RTO durante la última prueba.

La segunda forma de reportar es menos cómoda. Pero también es mucho más útil para gestionar riesgos.

La evidencia también debe llegar al Directorio

La supervisión no significa revisar documentación operativa. Significa comprender si la organización puede mantener sus servicios importantes cuando algo falla.

Las expectativas supervisoras internacionales están avanzando precisamente hacia pruebas bajo escenarios severos pero plausibles, tolerancias de impacto y evidencia sobre la capacidad de mantener servicios importantes durante una disrupción.

El Directorio debería poder responder preguntas sencillas:

• ¿Cuáles son nuestros servicios verdaderamente críticos?
• ¿Cuánto tiempo pueden permanecer afectados?
• ¿Hemos demostrado que podemos mantenerlos?
• ¿Qué dependencias pueden impedirlo?
• ¿Dónde tenemos concentraciones?
• ¿Qué falló en las últimas pruebas?
• ¿Qué brechas todavía no hemos cerrado?

Si esas respuestas existen, probablemente existe una conversación madura sobre resiliencia.

De cumplimiento a capacidad demostrada

Durante años, buena parte de la gestión de continuidad estuvo orientada a demostrar que existían políticas, planes, responsables y pruebas. La resiliencia operacional exige un paso adicional.

Hoy hay que demostrar capacidad.

La diferencia puede resumirse de forma sencilla:

Cumplimiento: tenemos un plan.

Control: existe un mecanismo para responder.

Evidencia: hemos demostrado que funciona.

Resiliencia: podemos mantener el servicio dentro de niveles tolerables incluso cuando las condiciones son adversas.

Ese último nivel debería ser el objetivo.

Reflexión final

Una organización no es resiliente porque tenga muchos controles. Es resiliente cuando esos controles funcionan bajo presión.

Por eso, los Comités de Riesgos deberían empezar a pedir menos declaraciones y más evidencia.

Menos: “Tenemos un plan”. Y más: “Muéstreme cuándo lo probamos, qué ocurrió, qué falló y qué hicimos después”.

Porque cuando llega una interrupción real, las políticas dejan de ser el principal activo. Lo que realmente importa es la capacidad que la organización fue capaz de construir y demostrar antes del incidente.