El IIA Global ha publicado un nuevo Requisito Temático sobre Resiliencia Organizacional, que se incorpora ya de forma definitiva al Marco Internacional para la Práctica Profesional de la Auditoría Interna, junto a las Normas Globales de Auditoría Interna y al resto de requisitos temáticos en vigor. A diferencia de la continuidad de negocio tradicional, este requisito exige evaluar la capacidad real de la organización para anticipar, resistir y adaptarse a disrupciones de cualquier naturaleza. Este artículo explica qué cubre el requisito y cómo planificar su auditoría.
Qué es el Requisito Temático de Resiliencia Organizacional
La resiliencia organizacional es la capacidad de una organización de anticipar, prepararse, responder y adaptarse a cambios incrementales y a disrupciones súbitas, con el fin de sobrevivir y prosperar. El nuevo Requisito Temático traslada esta definición a un conjunto de exigencias concretas que Auditoría Interna debe poder evaluar y comunicar al Comité de Auditoría.
Origen dentro del Marco Internacional para la Práctica Profesional
Este requisito se suma al conjunto de Requisitos Temáticos que el IIA Global ha venido publicando desde la entrada en vigor de las Normas Globales de Auditoría Interna, entre los que ya se encuentra el de ciberseguridad. Su publicación responde al incremento de riesgos globales interconectados, en los que la geopolítica, el clima y la disrupción tecnológica conviven como factores que pueden afectar a la continuidad de cualquier organización de forma simultánea.
Diferencia entre resiliencia organizacional y continuidad de negocio
La continuidad de negocio se centra tradicionalmente en la recuperación de procesos críticos tras un incidente concreto, como un fallo tecnológico o un desastre natural. La resiliencia organizacional es un concepto más amplio, que incluye la continuidad de negocio como una de sus piezas, pero exige también evaluar la capacidad de adaptación cultural, financiera y estratégica de la organización ante disrupciones que no necesariamente tienen un plan de recuperación predefinido.
Qué exige el requisito a Auditoría Interna
Evaluación de la capacidad de anticipación
Auditoría Interna debe valorar si la organización cuenta con mecanismos formales para identificar amenazas emergentes antes de que se materialicen: vigilancia de riesgos geopolíticos, análisis de escenarios y revisión periódica de dependencias críticas, tanto internas como de terceros.
Evaluación de la capacidad de respuesta
El requisito exige verificar que existen planes de respuesta probados, no solo documentados, para los escenarios de disrupción más relevantes identificados por la organización. Esto incluye revisar quién tiene autoridad para activar esos planes y con qué rapidez puede hacerlo en la práctica.
Evaluación de la capacidad de adaptación y aprendizaje
Más allá de la respuesta inmediata, Auditoría Interna debe evaluar si la organización incorpora lecciones aprendidas tras cada disrupción real o simulada, y si esas lecciones se traducen en cambios efectivos en los procesos, no solo en informes que quedan archivados sin seguimiento posterior.
Cómo planificar la auditoría de resiliencia organizacional
Paso 1: identificar los escenarios de disrupción relevantes
Trabaja junto con el área de gestión de riesgos para construir un mapa de escenarios plausibles para la organización: desde fallos tecnológicos hasta disrupciones en la cadena de suministro, eventos geopolíticos o crisis reputacionales. Este mapa debe priorizarse según probabilidad e impacto, no según la disponibilidad de información.
Paso 2: revisar la interdependencia entre procesos críticos
Un proceso puede parecer resiliente de forma aislada, pero depender de un proveedor único, un sistema concreto o un equipo reducido de personas. Identificar estas interdependencias es clave para detectar puntos únicos de fallo que no siempre son evidentes en un análisis superficial.
Paso 3: evaluar pruebas y simulacros realizados
Solicita evidencia de los simulacros o ejercicios de crisis realizados en los últimos periodos: qué escenarios se probaron, qué deficiencias se identificaron y qué acciones correctivas se implementaron a partir de esos resultados. Un plan de respuesta nunca probado tiene un nivel de fiabilidad mucho menor del que aparenta sobre el papel.
Paso 4: comunicar el nivel de preparación real al Comité
El reporting sobre resiliencia debe evitar la falsa sensación de seguridad que transmite un plan bien redactado pero nunca puesto a prueba. Comunica al Comité de Auditoría el nivel de preparación verificado con evidencia, distinguiéndolo claramente de la preparación únicamente declarada por las áreas responsables.
Errores frecuentes al auditar la resiliencia organizacional
- Confundir resiliencia con continuidad de negocio. Limitar la auditoría a revisar el plan de continuidad deja fuera la dimensión de adaptación estratégica y cultural que exige el nuevo requisito.
- Validar planes que nunca se han probado en la práctica. Un plan documentado y aprobado no es equivalente a un plan probado mediante simulacros reales.
- No revisar las interdependencias con terceros críticos. Muchas disrupciones se originan en un proveedor o socio externo, no en un proceso interno.
- Tratar la resiliencia como un proyecto puntual en lugar de una capacidad continua. El requisito espera evidencia de mejora continua, no de un ejercicio aislado realizado una sola vez.
Punto de control clave: si la organización no puede mostrar evidencia de al menos un simulacro o ejercicio de crisis en el último periodo, es poco probable que pueda demostrar una capacidad de respuesta real ante una disrupción genuina.
Un software de gestión de auditoría y GRC permite centralizar el mapa de escenarios de disrupción, vincular cada uno con su plan de respuesta, registrar la evidencia de los simulacros realizados y dar seguimiento a las acciones correctivas derivadas, manteniendo todo trazable para el Comité de Auditoría.
Checklist del Requisito Temático de Resiliencia Organizacional
- ¿Existe un mapa de escenarios de disrupción priorizado por probabilidad e impacto?
- ¿Se han identificado las interdependencias críticas con terceros y entre procesos internos?
- ¿Los planes de respuesta cuentan con evidencia de simulacros o ejercicios realizados?
- ¿Existe un proceso formal para incorporar lecciones aprendidas tras cada disrupción real o simulada?
- ¿El reporting al Comité distingue entre preparación verificada y preparación únicamente declarada?
- ¿La evaluación de resiliencia se revisa de forma continua o solo de manera puntual?
Conclusión
El Requisito Temático de Resiliencia Organizacional eleva el estándar más allá de la continuidad de negocio tradicional, exigiendo a Auditoría Interna evaluar si la organización realmente puede anticipar, resistir y adaptarse a disrupciones de naturaleza muy distinta. Cumplirlo de forma sólida exige evidencia verificable de simulacros, interdependencias mapeadas y aprendizaje continuo, no solo planes bien redactados que nunca se han puesto a prueba.