Continuidad de negocio en outsourcing: cómo mantener la correspondencia durante una interrupción

La gestión de correspondencia puede detenerse por un fallo del sistema, corte eléctrico, falta de acceso al edificio, ausencia de personal, problema de transporte, incidente de ciberseguridad o un pico inesperado de volumen. El outsourcing transfiere parte de la responsabilidad operativa al proveedor, pero el riesgo de negocio sigue perteneciendo a la organización.

Un plan de continuidad no es una declaración general de que el proveedor dispone de procedimientos. Debe indicar qué actividades continúan, en qué plazo, con qué recursos y quién decide activar el modo alternativo. Se aplica a la correspondencia empresarial diaria, impresión, ensobrado, envíos masivos, digitalización y circuitos documentales.

Por qué un SLA no garantiza la continuidad

El SLA mide el nivel acordado en condiciones normales. La continuidad responde a otra pregunta: qué ocurre cuando el modelo normal deja de funcionar. Un plazo de 24 horas sirve de poco si el contrato no define ubicación alternativa, acceso a datos, transporte de sustitución y prioridad de los envíos críticos.

NIS2 incluye continuidad, copias de seguridad, recuperación ante desastres y gestión de crisis entre las medidas de gestión del riesgo de ciberseguridad. No todas las empresas están directamente sujetas, pero el principio es universal: la resiliencia se diseña antes del incidente.

Empieza con un análisis de impacto

No es necesario recuperar todos los elementos al mismo tiempo. Identifica qué interrupción causa mayor daño. Para cada categoría pregunta:

• ¿Qué obligación legal, contractual o empresarial podría incumplirse?
• ¿Cuánto puede retrasarse la actividad antes de que el impacto sea inaceptable?
• ¿Puede esperar el documento o requiere acción el mismo día?
• ¿Se necesita el original o basta un escaneo seguro?
• ¿Quién puede aprobar una excepción?
• ¿Qué mínimo de personas, equipos y canales hace falta?

No clasifiques todo como crítico. Utiliza al menos tres prioridades: asuntos regulatorios y con plazo, correspondencia operativa normal y material que puede esperar. Los recursos limitados se concentran así en el impacto real.

Define RTO, RPO y servicio mínimo

RTO indica el tiempo máximo para restaurar el proceso. RPO indica la cantidad máxima de datos que puede perderse desde el último punto seguro. En un circuito documental puede incluir registro de entradas, escaneos, estados y justificantes.

Define también el nivel mínimo. Por ejemplo, reanudar el registro prioritario en cuatro horas, facilitar escaneos en ocho horas y procesar lo estándar cuando vuelva la capacidad completa. Es más útil que prometer una recuperación rápida.

Ocho elementos de un plan alternativo real

1. Criterios de activación

Indica eventos y umbrales: ubicación inaccesible durante dos horas, caída superior a un límite, ausencia por encima de un porcentaje o volumen mayor que la capacidad.

2. Roles y contactos

Identifica responsable del cliente, coordinador del proveedor, sustitutos y contactos actualizados. Define quién declara el incidente, aprueba la alternativa y comunica con personal, operadores y destinatarios.

3. Ubicación y equipos alternativos

Comprueba si el trabajo puede trasladarse a otra zona, centro o equipo. Una segunda dirección no basta. Necesita capacidad, acceso seguro, configuración actual, materiales y personal formado.

4. Acceso a datos y copias

Las copias deben cubrir archivos, colas, reglas, plantillas, permisos, registros y evidencias. Define frecuencia, ubicación, cifrado, responsabilidad y tiempo de restauración. Una copia nunca restaurada en una prueba sigue siendo una hipótesis.

5. Procedimientos manuales

Sin sistema, un servicio limitado puede utilizar un registro de emergencia controlado. Debe cubrir numeración, hora, custodia, conciliación posterior y control de duplicados. No se sustituye un circuito seguro por el envío caótico de archivos en canales privados.

6. Transporte y operador alternativos

Incluye falta de recogida, oficina cerrada, problema de mensajería y ruta inaccesible. Define punto alternativo, horas límite, transferencia de responsabilidad y justificante. Prepara etiquetas o ficheros si otro operador los requiere.

7. Materiales y capacidad adicional

Papel, sobres, tóner, contenedores y consumibles pueden detener la operación. Define stock mínimo, plazo de reposición y fuente alternativa. Para envíos masivos, conoce el tiempo necesario para añadir turnos, equipos o personas.

8. Comunicación y registro de decisiones

La actualización debe indicar impacto, acciones, hora de la siguiente información y decisiones requeridas. El registro conserva cronología, responsables, excepciones y vuelta al proceso normal.

Cinco escenarios que conviene probar

1. Caída del sistema. Registro, escaneo e informes continúan de forma limitada sin perder trazabilidad.
2. Centro inaccesible. La correspondencia se redirige o se custodia con seguridad.
3. Pico inesperado. Se priorizan trabajos y se activan turnos y comunicación de capacidad.
4. Incidente de seguridad. Se aísla el proceso, se limita el acceso y se valida la integridad antes de reanudar.
5. Fallo de operador o transporte. Se usa otro punto, transportista o fecha con evidencias completas.

El ejercicio no debe limitarse a comentar el documento. Restaura un registro, llama a contactos de guardia, prepara un lote de prueba en el centro alternativo y concilia las entradas manuales.

Cómo evaluar el plan del proveedor

Solicita una solución para el servicio concreto, no solo un certificado genérico. Revisa ubicaciones y dependencias de subcontratistas, sistemas, operadores, energía y transporte. NCSC recomienda mantener control y supervisión sobre toda la cadena, porque una vulnerabilidad puede aparecer en cualquier etapa.

Incluye en el contrato o anexo operativo:

• procesos críticos y prioridades;
• RTO, RPO y capacidad mínima;
• canales de aviso y frecuencia de actualización;
• condiciones de la ubicación alternativa;
• requisitos de copias, datos y acceso;
• obligaciones de subcontratistas;
• frecuencia de pruebas e informe de resultados;
• acciones correctivas después de una prueba o incidente;
• vuelta controlada al servicio normal.

La continuidad complementa due diligence, SLA y plan de salida. Consulta nuestra guía sobre cómo elegir un proveedor de outsourcing.

Prueba el plan antes de necesitarlo

ENISA relaciona análisis de impacto, plan de continuidad, pruebas periódicas, medios alternativos y gestión de copias. Cada prueba necesita responsable, alcance, criterios y acciones correctivas.

Una prueba completa anual es una base razonable, con pruebas menores después de cambios de sistema, ubicación, operador o alcance. Mide tiempo real de activación, integridad de datos, errores, capacidad alcanzada y comunicación. Cada fallo debe generar una acción con responsable y fecha.

Errores frecuentes

• El plan es solo una frase en la oferta. No contiene recursos ni acciones del proceso.
• Un RTO para toda la correspondencia. Lo urgente compite con tareas que pueden esperar.
• Sin prueba de restauración. Hay copias, pero nadie sabe si reinician la operación.
• Dependencia de una persona. Solo un empleado conoce credenciales, procedimientos o contactos.
• Se omiten subcontratistas. No aparecen operador, transporte o sistema externo.
• Sin vuelta controlada. La recuperación crea duplicados, huecos y estados incoherentes.

De la resiliencia escrita a la operativa

Un buen plan no promete que nunca habrá incidentes. Limita el impacto, acelera decisiones y mantiene bajo control las actividades prioritarias. La instrucción rápida puede ser breve porque recursos, roles y pruebas ya están preparados.

Al preparar outsourcing de correspondencia, impresión, ensobrado o documentos, empieza con el mapa y las prioridades. Nuestro plan de transición de 30 días ofrece el marco de implantación. Para revisar alcance, continuidad y un modelo seguro, contacta con BackOffice Outsourcing.

Fuentes

• Directiva (UE) 2022/2555, NIS2, artículo 21
• ENISA, NIS2 Technical Implementation Guidance, 26 de junio de 2025
• UK National Cyber Security Centre, Supply chain security guidance
• UK Government, Business Continuity Management Toolkit

Preguntas frecuentes

¿El plan del proveedor elimina la responsabilidad del cliente?

No. El proveedor responde de las acciones operativas acordadas, mientras el cliente sigue gestionando riesgo empresarial, prioridades, decisiones y requisitos.

¿Qué diferencia hay entre RTO y RPO?

RTO es el tiempo máximo de recuperación del proceso. RPO es la pérdida de datos aceptable desde el último punto seguro, como el registro de entradas o los estados.

¿Con qué frecuencia se prueba el plan?

Como mínimo una vez al año y después de cambios importantes de sistemas, centros, operadores, subcontratistas o alcance. Los componentes pueden probarse con mayor frecuencia.

¿Un segundo centro garantiza continuidad?

No. Debe tener capacidad, equipos, datos actuales, materiales, acceso seguro y personal formado. Su funcionamiento debe probarse en la práctica.

← Volver a todos los artículos