Desarrollar la resiliencia en un mundo de policrisis

Empieza por lo que más importa

Viendo y respondiendo a los riesgos de manera diferente, primero es necesario que los líderes identifiquen claramente dónde podrían materializarse los riesgos plausibles y causar el mayor daño a las operaciones y servicios clave. Esto puede resultar difícil si las empresas han abordado tradicionalmente el riesgo de forma aislada. Los directivos de la empresa deben dedicar tiempo a trabajar juntos en escenarios hipotéticos, con la vista puesta en detectar dónde exactamente en la empresa un problema o fallo sería más catastrófico para los clientes.

Por ejemplo, en un taller para directivos de un banco, el recuento inicial de los servicios "más importantes" arrojó más de 350 servicios. Las conversaciones posteriores redujeron la lista a 34 servicios. Pero el verdadero avance se produjo cuando los directivos del banco cambiaron la pregunta de qué perjudicaría más a la empresa a qué perjudicaría más a los clientes. Esto ayudó a los directivos a ver que el principal problema de los clientes era la posibilidad de obtener efectivo a la vista, y que esto era más importante para la empresa que otras consideraciones.

Una vez que los directivos se centraron en el resultado de obtener dinero en efectivo, pudieron empezar a examinar todas las formas en que los clientes lo hacen, incluidos los cajeros automáticos y los trabajadores que los atienden, los bancos físicos y la tecnología y terceros que ayudan con los pagos de transferencias electrónicas y crean resiliencia en todas las funciones, en lugar de centrarse en mecanismos individuales.

Los ejercicios de priorización también ayudan a los directivos a descartar falsos supuestos. Los directivos de una empresa británica de administración de viviendas creían que cobrar los alquileres a través de la aplicación de la empresa era la clave para la continuidad de la actividad. Un debate más profundo sobre las prioridades demostró que pagar puntualmente a sus proveedores era mucho más importante. La empresa podía soportar los retrasos en el pago de los alquileres derivados de una interrupción de la aplicación mucho más tiempo que la interrupción de servicios clave de terceros, como la calefacción y las reparaciones, que los inquilinos considerarían inmediatamente perjudiciales y que podrían tener repercusiones legales para la organización.

En una cadena hotelera internacional, varias rondas de debate en la alta gerencia sacaron a la luz ocho de las operaciones en las que más confiaba la empresa. Una en particular, la nómina, era preocupante, porque una interrupción en este punto parecía que podría paralizar todas las operaciones y tener un efecto inmediato y perjudicial en el servicio al cliente. ¿Por qué? En parte porque la combinación de la pandemia y la "gran renuncia" había empoderado a los trabajadores y aumentado sus expectativas. Ahora, los limpiadores u otros empleados de primera línea cuyo trabajo (o ausencia) podía afectar seriamente a los clientes eran menos propensos a tolerar retrasos en el pago y, por tanto, mucho más propensos a abandonar el trabajo con poco o ningún preaviso.

Más revelador aún para los ejecutivos del hotel fue comprender plenamente la complejidad de todos los procesos, sistemas, personas y proveedores en los que se basaba todo lo necesario para que las nóminas funcionaran en todo el mundo.

Conecta los puntos, revela los puntos ciegos

Determinar qué operaciones y otras áreas de la empresa son las más vitales, y las más vitales para los clientes, requiere una concentración y un compromiso considerable. El siguiente paso, trazar los procesos, traspasos y dependencias pertinentes, puede ser igualmente difícil. A las empresas les cuesta hacerlo bien porque es complejo y puede implicar a múltiples departamentos y actores. No es el enfoque habitual, en el que la continuidad de la actividad se considera únicamente dentro de las funciones aisladas. Hay que identificar la forma en que se presta el servicio en su conjunto, no los mecanismos individuales. En ese momento, el refuerzo de los procesos implicados puede ser más forense, porque se identifican las áreas débiles, y ofrecer una mayor resiliencia. Y este tipo de planificación es tiempo bien empleado, porque inevitablemente pone de manifiesto los puntos ciegos y las áreas de mejora accionables.

Aunque los puntos ciegos pueden acechar en cualquier parte, suelen acumularse cuando los nuevos sistemas tecnológicos han sustituido a los antiguos o se han parcheado sobre la marcha tras una fusión o adquisición. Una mala memoria institucional también puede crear vulnerabilidades inadvertidas. Por ejemplo, en un ejercicio para comprender cómo se fabrican los principales productos de un fabricante, se descubrió que una parte de un sistema informático heredado que pasaba desapercibida estaba en el centro del proceso de producción. Los ejecutivos reconocieron que su atención a los resultados financieros les había hecho perder de vista la necesidad de actualizaciones tecnológicas más mundanas que apoyaban directamente las operaciones. Solo consiguiendo que el equipo se centrara en todo el proceso de fabricación salió a la luz el descuido. Si el servidor hubiera fallado, el 80% de la producción habría estado parada durante días.

Los puntos ciegos no solo están relacionados con la tecnología. El sistema de pagos internacionales de un gran banco permaneció fuera de servicio durante tres días porque el único empleado que tenía la contraseña necesaria para acceder al sistema back-end estaba de excursión sin cobertura de Internet. El departamento informático del banco desconocía la vulnerabilidad y, en cualquier caso, siempre había asumido que podía gestionar soluciones sobre la marcha. El costo para el banco fue una reputación dañada y multas reglamentarias. El episodio resultó ser una llamada de atención: aunque casi todos los clientes del banco utilizaban los pagos internacionales, nadie en el banco sabía que el servicio podía fallar exactamente de esta manera.

Las suposiciones erróneas también fueron un problema en una gran empresa de servicios financieros que descubrió fallos en sus procesos de pago, el servicio más importante para los clientes de todas las divisiones. Los directivos de la empresa confiaban en que las soluciones manuales salvarían la situación. Cada una de las seis divisiones de la empresa ya había codificado los procesos de contingencia necesarios en caso de que fallara alguna parte del sistema. De hecho, la empresa estaba obligada por ley a someter esta función a pruebas de estrés, y lo había hecho.

Pero los directivos se entristecieron al enterarse más tarde (afortunadamente, durante un ejercicio de mapeo y no durante una crisis) de que las soluciones provisionales que habían preparado las divisiones no tenían en cuenta la necesidad de ampliarlas a toda la empresa. Y ese era el punto ciego: si se hubiera recurrido a los planes durante una emergencia, solo habrían podido gestionar 12 pagos al día en las seis divisiones. E incluso eso podría haber sido optimista, dado que los planes se crearon en formatos incompatibles y utilizaban hipótesis muy diferentes sobre el tiempo que se tardaría en recuperar las operaciones que oscilaban entre 48 horas y una semana.

Estas constataciones llevaron a una conversación más amplia sobre lo que supondría implantar un sistema que pudiera absorber el impacto de un fallo en los pagos, ya fuera debido a un problema informático o a un ciberataque, o simplemente porque las personas con autoridad para aprobar los pagos no estuvieran en acción. ¿Qué clientes podrían sobrevivir sin efectivo y durante cuánto tiempo? ¿Sería mejor ayudar a las pequeñas empresas, que representan menos de los ingresos de la empresa, pero son más vulnerables a los retrasos en los pagos? ¿O era mejor ayudar a las grandes empresas?

La planificación tradicional de la continuidad de la actividad se centraría en recuperar la normalidad para todo el sistema, mientras que la creación de resiliencia invierte ese supuesto para preguntarse: ¿cómo recuperamos cierto grado de capacidad operativa inmediatamente y sobrevivimos a una posible catástrofe?

Ponlo todo junto

Los directivos de la empresa de servicios financieros hacían las preguntas correctas sobre las áreas adecuadas del negocio. Podrían haber obtenido respuestas más útiles ampliando el juicio humano del equipo con un impulso tecnológico. De hecho, las mejores estrategias de resiliencia se basarán en una tecnología que ayude a anticipar, simular y responder a la red de riesgos y trastornos a los que se enfrentan las empresas, y a aprender de ellos.

No obstante, la recopilación de datos y la introducción de nuevas tecnologías, así como la formación de los directivos sobre cómo responder, suponen un gran esfuerzo. A menudo se trata de decisiones de inversión que requieren el apoyo del consejo de administración y de la alta dirección, ya que implican compromisos de tiempo y dinero.

Con ayuda de la tecnología, los paneles de control pueden ayudar a los directivos a hacer un seguimiento en tiempo real de las distintas operaciones clave dependientes y a priorizar las acciones. Los paneles también ayudan a detectar señales de peligro que requieren atención, como la falta de personal o los bajos balances de caja en un periodo de pago, y a estimar el impacto de los fallos del sistema en función de las tolerancias establecidas por la dirección. La fase inicial de recopilación de datos y creación de un cuadro de mando similar en la empresa de servicios financieros duró seis meses, lo que supuso un importante compromiso de recursos. Ahora, si se produce un fallo del sistema en una parte de la función de pagos, el cuadro de mandos mostrará cuántos clientes se ven afectados y enumerará las acciones necesarias para recuperar las operaciones.