Plan de Continuidad del Negocio (BCP) y Recuperación ante Desastres (DRP) para áreas financieras y contables

Plan de Continuidad del Negocio (BCP) y Recuperación ante Desastres (DRP) para áreas financieras y contables

En un entorno empresarial cada vez más expuesto a interrupciones operativas, ciberataques, fallas tecnológicas, desastres naturales y contingencias sociales, contar con un Plan de Continuidad del Negocio (Business Continuity Plan - BCP) y un Plan de Recuperación ante Desastres (Disaster Recovery Plan - DRP) ya no es una buena práctica opcional: es una necesidad crítica para las áreas financieras y contables.

En Perú, donde muchas organizaciones dependen de sistemas ERP, plataformas bancarias, facturación electrónica, libros electrónicos y almacenamiento digital de sustento contable, una interrupción de horas o días puede generar pérdidas económicas, incumplimientos tributarios, observaciones de auditoría y afectación reputacional. Esto aplica tanto para empresas privadas como para ONGs, asociaciones, cooperativas y entidades con financiamiento internacional.

Desde la perspectiva del control interno, el BCP y el DRP forman parte de una estrategia integral para asegurar la continuidad de procesos críticos como tesorería, pagos a proveedores, planillas, cierres contables, presentación de declaraciones tributarias y resguardo de información financiera.

¿Qué es un BCP y qué es un DRP?

Plan de Continuidad del Negocio (BCP)

El BCP es el conjunto de políticas, procedimientos, recursos y acciones diseñados para que una organización pueda mantener o restablecer rápidamente sus operaciones críticas ante un evento disruptivo.

En el caso de las áreas financieras y contables, el BCP busca garantizar que funciones esenciales como la emisión de pagos, el registro contable, la conciliación bancaria, la atención de obligaciones tributarias y la generación de reportes financieros continúen operando, aunque sea de manera temporal o parcial.

Plan de Recuperación ante Desastres (DRP)

El DRP es un componente más específico, enfocado principalmente en la recuperación de infraestructura tecnológica, sistemas, bases de datos, archivos y comunicaciones después de un incidente grave.

Si el BCP responde a la pregunta “¿cómo sigue operando el negocio?”, el DRP responde a “¿cómo recuperamos la tecnología y la información para volver a operar?”.

Diferencias entre BCP y DRP

¿Por qué el BCP y el DRP son críticos para finanzas y contabilidad?

Las áreas financieras y contables administran procesos sensibles y de alto impacto. Un evento disruptivo puede impedir el cumplimiento de obligaciones clave y generar consecuencias inmediatas.

Principales riesgos de interrupción

• Caída del ERP contable o financiero durante el cierre mensual.
• Pérdida de acceso a banca electrónica en fechas de pago a proveedores o planillas.
• Ransomware que cifre información contable y tributaria.
• Falla del servidor donde se almacenan comprobantes, contratos y sustentos.
• Interrupciones eléctricas o de internet en oficinas administrativas.
• Siniestros físicos como incendios, inundaciones o robos.
• Ausencia del personal clave por emergencias sanitarias, conflictos sociales o contingencias personales.

Consecuencias frecuentes

• Retraso en el pago de tributos, remuneraciones o proveedores.
• Incumplimiento de cronogramas de SUNAT.
• Errores en cierres contables y reportes gerenciales.
• Pérdida de evidencia documentaria para auditoría.
• Observaciones en revisiones de control interno.
• Afectación del flujo de caja y de la relación con terceros.

En una auditoría financiera, la ausencia de planes de continuidad puede evidenciar debilidades significativas en el ambiente de control y en la gestión de riesgos. Esto se conecta con la NIA 315 (Revisada 2019), “Identificación y valoración de los riesgos de incorrección material mediante el conocimiento de la entidad y su entorno”, ya que el auditor debe comprender los riesgos derivados del uso de tecnología y de la continuidad operativa. Asimismo, la NIA 330, “Respuestas del auditor a los riesgos valorados”, exige diseñar procedimientos acordes a dichos riesgos.

Marco de control interno y relación con auditoría

Un BCP y un DRP bien diseñados fortalecen el sistema de control interno porque establecen responsabilidades, flujos de escalamiento, controles alternos y mecanismos de recuperación. Para las áreas financieras y contables, esto es especialmente relevante en procesos donde la oportunidad y confiabilidad de la información son esenciales.

Desde el punto de vista contable y de información financiera, también debe considerarse la NIC 1, “Presentación de Estados Financieros”, particularmente en lo vinculado con la hipótesis de negocio en marcha, cuando un evento disruptivo pudiera comprometer la continuidad operativa de la entidad.

En organizaciones con alto componente tecnológico, la NIIF 7, “Instrumentos Financieros: Información a Revelar”, puede requerir revelar ciertos riesgos vinculados con la gestión financiera y exposición operativa, según la materialidad del caso.

Componentes esenciales de un BCP para áreas financieras y contables

1. Identificación de procesos críticos

No todos los procesos tienen la misma prioridad. El primer paso es identificar cuáles son indispensables para la continuidad financiera mínima de la organización.

Entre los procesos más críticos suelen estar:

• Pagos a proveedores estratégicos.
• Pago de planillas y obligaciones laborales.
• Gestión de caja y bancos.
• Registro contable de operaciones críticas.
• Facturación y cobranzas.
• Declaraciones tributarias y cumplimiento SUNAT.
• Acceso a contratos, sustentos y archivos contables.

2. Análisis de impacto al negocio (BIA)

El Business Impact Analysis (BIA) permite determinar cuánto tiempo puede permanecer detenido un proceso antes de causar daños relevantes. En esta etapa se definen métricas como:

• RTO (Recovery Time Objective): tiempo objetivo para restablecer un proceso o sistema.
• RPO (Recovery Point Objective): cantidad máxima de información que la organización está dispuesta a perder, medida en tiempo.

Por ejemplo, una empresa comercial puede definir que su módulo de tesorería tenga un RTO de 4 horas y un RPO de 1 hora, mientras que el archivo histórico de documentos podría tolerar una recuperación más lenta.

3. Roles y responsables

Un error común es asumir que el BCP es responsabilidad exclusiva de TI. En realidad, debe involucrar a gerencia, finanzas, contabilidad, tesorería, recursos humanos, logística y cumplimiento.

En el área financiera es recomendable definir, como mínimo:

• Responsable de activación del plan.
• Responsable de pagos críticos.
• Responsable de comunicaciones con bancos y proveedores.
• Responsable de respaldo documental y archivo digital.
• Responsable de coordinación con TI para recuperación de sistemas.

4. Procedimientos alternos de operación

El BCP debe incluir procedimientos manuales o alternativos para seguir operando temporalmente. Algunos ejemplos:

• Uso de plantillas de pago fuera del ERP.
• Registro provisional en hojas de cálculo controladas.
• Aprobaciones excepcionales por canales seguros previamente definidos.
• Acceso remoto autorizado para personal clave.
• Uso de cuentas de contingencia para pagos urgentes.

5. Comunicación y escalamiento

Durante una contingencia, la falta de comunicación agrava el problema. El plan debe incluir listas actualizadas de contactos de:

• Gerencia general.
• Jefatura financiera y contable.
• TI interno o proveedor tecnológico.
• Bancos.
• Proveedor de ERP.
• Asesor legal y tributario.
• Auditor interno o externo, si corresponde.

Componentes esenciales de un DRP para finanzas y contabilidad

1. Inventario de activos tecnológicos críticos

El DRP debe identificar los activos cuya caída afectaría el funcionamiento del área financiera:

• ERP contable y financiero.
• Servidores de archivos.
• Base de datos de contabilidad.
• Sistema de planillas.
• Correo corporativo.
• Accesos a banca electrónica.
• Plataformas de facturación electrónica.
• Repositorios en la nube.

2. Política de respaldos

Un DRP sin respaldos confiables no funciona. La política de backups debe responder preguntas concretas:

• ¿Qué información se respalda?
• ¿Con qué frecuencia?
• ¿Dónde se almacena?
• ¿Está cifrada?
• ¿Se prueba periódicamente la restauración?

En la práctica peruana, todavía es frecuente encontrar empresas que realizan copias de seguridad, pero nunca validan si realmente pueden restaurarlas. Ese es uno de los hallazgos más comunes en revisiones de control interno.

3. Sitio alterno y acceso remoto

Dependiendo del tamaño de la organización, el DRP puede contemplar:

• Infraestructura en la nube.
• Servidores redundantes.
• Equipos de reemplazo.
• Acceso seguro por VPN.
• Sede alterna para personal crítico.

4. Procedimiento de recuperación priorizado

No todos los sistemas deben levantarse al mismo tiempo. El DRP debe establecer un orden lógico. Por ejemplo:

1. Conectividad e internet.
2. Autenticación y accesos.
3. Correo corporativo.
4. ERP financiero-contable.
5. Base de datos documental.
6. Plataformas de pago y bancos.

5. Pruebas periódicas

Un plan no probado genera falsa seguridad. Se recomienda realizar simulacros al menos una vez al año y pruebas parciales trimestrales en procesos críticos. Las pruebas deben documentarse, evaluarse y convertirse en mejoras concretas.

Relación con obligaciones legales y documentarias en Perú

En Perú, la continuidad de los procesos financieros y contables también tiene implicancias legales y tributarias. Si bien no existe una única norma general que obligue a todas las empresas a tener un BCP formal, sí existen deberes de conservación, sustento y cumplimiento que exigen proteger la información y asegurar la trazabilidad.

Por ejemplo, el Texto Único Ordenado del Código Tributario, aprobado por Decreto Supremo N.° 133-2013-EF, establece en su Artículo 87 que los administrados están obligados a facilitar las labores de fiscalización y a conservar libros, registros y documentación sustentatoria en la forma y condiciones establecidas por la normativa. Una pérdida de información contable o tributaria por falta de controles adecuados puede derivar en contingencias frente a SUNAT.

Asimismo, la Ley N.° 29733, Ley de Protección de Datos Personales, y su reglamento aprobado por Decreto Supremo N.° 003-2013-JUS, exigen medidas de seguridad para proteger datos personales. Esto resulta especialmente relevante en planillas, legajos, cuentas bancarias de trabajadores y datos de proveedores. En particular, el Artículo 28 de la Ley N.° 29733 establece la obligación de adoptar las medidas de seguridad necesarias para garantizar la protección de los datos personales.

Si la organización emite comprobantes electrónicos, utiliza libros electrónicos o gestiona información laboral digital, la continuidad tecnológica también se vuelve un componente crítico del cumplimiento normativo.

Ejemplo práctico: empresa comercial en Lima

Una empresa importadora en Lima con ventas anuales de S/ 18 millones sufrió un ataque de ransomware dos días antes del cierre mensual. El malware afectó el servidor donde se alojaban el ERP contable, la base de datos de tesorería y los archivos PDF de facturas de compra.

Situación inicial

• No existía un BCP formal aprobado por gerencia.
• Los respaldos se hacían diariamente, pero en un servidor conectado a la misma red.
• Solo una persona conocía el proceso completo de pagos masivos.
• No había procedimiento alterno para registrar operaciones urgentes.

Consecuencias

• Se retrasaron pagos por S/ 420,000 a proveedores.
• No se pudo conciliar bancos por 5 días.
• El cierre contable se postergó una semana.
• Se generaron penalidades contractuales con un proveedor logístico.

Medidas correctivas implementadas

• Diseño de BCP con priorización de tesorería, planillas y cierre contable.
• Implementación de respaldos inmutables en la nube.
• Creación de manual de pagos de contingencia con doble aprobación.
• Asignación de suplentes para puestos críticos.
• Simulacros semestrales de recuperación del ERP.

Seis meses después, una caída del proveedor de internet no paralizó la operación, ya que el área financiera pudo trabajar remotamente con conectividad redundante y procedimientos alternos definidos.

Ejemplo práctico: ONG con financiamiento internacional

Una ONG con proyectos en Cusco, Ayacucho y Loreto administraba fondos de cooperación por S/ 9 millones anuales. Durante una protesta social prolongada, la oficina principal perdió acceso físico por varios días y el equipo contable no pudo ingresar a la documentación ni al servidor local.

Riesgos identificados

• Retraso en rendiciones financieras al cooperante.
• Demora en pagos a personal de campo.
• Riesgo de pérdida de sustento de gastos por proyecto.
• Falta de acceso a contratos, convenios y reportes presupuestales.

Solución aplicada

• Digitalización de sustentos por proyecto en repositorio seguro.
• Migración del sistema contable a entorno en la nube.
• Definición de responsables alternos por sede.
• Calendario de obligaciones críticas con alertas automáticas.
• Procedimiento de aprobación remota para desembolsos prioritarios.

Como resultado, la ONG pudo continuar con pagos esenciales y presentar reportes financieros dentro de plazo, reduciendo el riesgo de observaciones del cooperante y debilidades de control interno.

Checklist mínimo de BCP y DRP para áreas financieras y contables

Errores frecuentes en la implementación

• Creer que el BCP es solo un documento para auditoría.
• Delegar todo el plan al área de TI.
• No incluir a tesorería, contabilidad y recursos humanos.
• No definir procesos manuales temporales.
• No probar la restauración de respaldos.
• No actualizar contactos ni responsables.
• No considerar proveedores críticos como el ERP, banca electrónica o facturación electrónica.

Recomendaciones para una implementación efectiva

1. Empezar por lo crítico

No es necesario diseñar un plan complejo desde el primer día. Puede iniciarse con los procesos que afectan caja, cumplimiento tributario y cierre financiero.

2. Integrar el plan al control interno

El BCP y el DRP deben formar parte de la gestión de riesgos y del sistema de control interno, no ser documentos aislados.

3. Involucrar a gerencia

La continuidad del negocio requiere respaldo presupuestal, definición de prioridades y toma de decisiones rápidas. Sin apoyo de gerencia, el plan suele quedar incompleto.

4. Documentar y capacitar

Los procedimientos deben estar escritos, accesibles y ser conocidos por el personal clave. La capacitación práctica es tan importante como la documentación.

5. Revisar el plan después de cada incidente

Cada caída de sistema, error de respaldo o interrupción operativa es una oportunidad para mejorar el plan y fortalecer controles.

Conclusión

El Plan de Continuidad del Negocio (BCP) y el Plan de Recuperación ante Desastres (DRP) son herramientas esenciales para proteger la operación de las áreas financieras y contables. Su adecuada implementación permite reducir pérdidas, evitar incumplimientos tributarios, preservar evidencia documental y fortalecer el control interno frente a riesgos cada vez más frecuentes.

En el contexto peruano, donde muchas organizaciones todavía dependen de procesos críticos poco documentados o de infraestructura tecnológica vulnerable, contar con planes de continuidad y recuperación ya no debe verse como una medida exclusiva de grandes corporaciones. También es una necesidad para medianas empresas, ONGs, asociaciones y entidades con alta exposición a obligaciones financieras y regulatorias.

Si su organización necesita evaluar riesgos, diseñar un BCP/DRP o fortalecer sus controles internos en finanzas y contabilidad, en Carlos Lingan & Asociados S.C. podemos apoyarlo. Para consultas especializadas, escríbanos a auditor@carloslingan.pe.