Iniciativa del año: programa de continuidad empresarial del Banco Central de Arabia Saudí.

La planificación de la continuidad del negocio en los principales bancos centrales del mundo se ha centrado normalmente en reforzar la resiliencia frente a ciberataques o ataques terroristas. Pocos habían elaborado planes detallados sobre cómo abordar el impacto de una pandemia mundial de larga duración, lo que significa que las importantes tensiones en materia de recursos humanos, tecnológicos y financieros derivadas de la COVID-19 supusieron un reto especial.

Sin embargo, los bancos centrales que habían introducido planes de contingencia, como el programa de continuidad del negocio (BCP) del Banco Central de Arabia Saudí (Sama), estaban en una posición mucho mejor para apoyar a la alta dirección, ya que garantizaban la resiliencia del negocio mediante el uso de tecnología inteligente y una comunicación eficaz con el personal y las partes interesadas externas cuando se produjeron los confinamientos.

El director de gestión de riesgos y cumplimiento normativo de la Sama, Abdulaziz Alkhaldi, comenzó los preparativos para la gestión de la continuidad del negocio del banco central hace más de cuatro años, bajo la dirección del vicegobernador Ayman Al-Sayari, quien también supervisó gran parte de la respuesta de la Sama a la crisis de la COVID-19. El objetivo principal del banco central era gestionar los incidentes o crisis de manera que se minimizaran las interrupciones de la actividad relacionadas con los riesgos operativos, financieros, reputacionales, legales y normativos, al tiempo que se establecían los procesos, la financiación de emergencia, la comunicación y la participación de las partes interesadas clave para gestionar eficazmente el BCP.

Sama había completado gran parte del trabajo en su sitio de continuidad del negocio, además de haber establecido centros de datos alternativos. El banco central de Oriente Medio había realizado previamente una sesión de simulación de crisis.

También había establecido una respuesta en tres niveles para cualquier crisis. La primera línea consiste en que los directores comerciales planteen el posible problema. La segunda línea implica una revisión por parte del equipo de continuidad del negocio. Y, si procede, la tercera línea requiere medidas correctivas por parte del equipo de gestión de crisis.

Contingencias para la COVID-19

Alkhaldi comenzó a pensar en posibles planes de contingencia para la COVID-19 en febrero de 2020, mucho antes de que se introdujeran las restricciones de cuarentena o de teletrabajo.

El diseño del BCP ya incluía evaluaciones de interrupción del negocio, como los objetivos de tiempo de recuperación (RTO) y el período máximo tolerable de interrupción (MTPD) para todas las unidades de negocio de Sama. Pero el equipo de Alkhaldi comenzó a probar cómo podrían superponerse los planes existentes para hacer frente a las restricciones de movimiento en el país. Se prestó especial atención al mantenimiento del funcionamiento de la sede central del banco central en Riad, las 11 sucursales de Sama, así como a operaciones críticas como el sistema de pagos, las operaciones monetarias, la gestión de reservas, la banca pública y las actividades de supervisión y regulación.

En febrero, se proporcionó al personal de Sama la tecnología necesaria para celebrar reuniones virtuales, y se animó a un número cada vez mayor de personas a trabajar desde casa. La tecnología incluía la posibilidad de utilizar el correo electrónico a través de teléfonos inteligentes y una red privada virtual (VPN) para acceder a los sistemas de Sama. Se llevaron a cabo evaluaciones de capacidad con todo el personal de Sama con el fin de resolver de forma preventiva cualquier problema relacionado con el teletrabajo. Se organizaron sesiones de sensibilización para que el personal conociera las mejores prácticas en materia de ciberseguridad. «Se trataba de prepararse para prevenir», afirma Alkhaldi.

El personal esencial que debía trabajar en las oficinas se dividió en dos grupos que trabajarían in situ en días diferentes para limitar el impacto en caso de que se produjera un brote de infección entre el personal. También se dedicaron importantes esfuerzos a las 11 sucursales de Sama, en particular en lo que respecta a la función que desempeñan al prestar servicios a entidades gubernamentales y distribuir efectivo, lo que finalmente dio lugar a la aplicación de medidas de precaución para la manipulación de efectivo.

La asistencia a la sede central de Sama se suspendió en marzo, cuando el Gobierno saudí ordenó a los trabajadores del sector público que se quedaran en casa. Entonces, el BCP de Sama entró en pleno funcionamiento. Se enviaron correos electrónicos preparados a todos los empleados explicándoles sus funciones y responsabilidades, y se establecieron nuevos canales de comunicación, con los jefes de equipo enviando informes diarios sobre el estado del BCP.

Sama colaboró con otras entidades gubernamentales para obtener licencias que permitieran al personal esencial desplazarse durante el toque de queda. Los responsables de Sama también establecieron soluciones alternativas en cooperación con organismos gubernamentales para permitir el pago de los salarios de millones de empleados públicos en caso de crisis o catástrofes.

Otro reto fue el de garantizar el hardware durante la pandemia. Sama acabó proporcionando a sus empleados ordenadores portátiles y aumentó el ancho de banda de su VDI (un servicio similar a una VPN, que ofrece acceso a los servidores de Sama). La disponibilidad de ordenadores portátiles se facilitó gracias a que se disponía de varios cientos de máquinas de altas prestaciones para garantizar la continuidad del negocio, y a la reasignación de los ordenadores portátiles de los empleados que desempeñaban funciones no esenciales a los que sí las desempeñaban. Además, la alta dirección se puso en contacto con los proveedores con antelación para garantizar la llegada puntual de lotes de varios cientos de dispositivos a la vez.

«Proporcionamos teléfonos satelitales a toda la alta dirección y a las sucursales por si surgían problemas con las comunicaciones», explica Alkhaldi a Central Banking. «Además, proporcionamos routers Wi-Fi de alta velocidad a unos 50 empleados que gestionaban funciones críticas para el negocio, con el fin de garantizar que siguieran teniendo acceso a Internet, incluso si hubiera problemas con el servicio de banda ancha».

Los planes de contingencia también tuvieron que ampliarse de 30 días a varios meses. Esto incluía garantizar que el ancho de banda de la VDI fuera suficientemente grande, así como renovar los acuerdos de licencia necesarios.

«Habíamos elaborado nuestro plan para un máximo de 30 días. Pero la pandemia duró más bien siete meses. Por lo tanto, tuvimos que centrarnos en la TI para ampliar la capacidad de todo», afirma Alkhaldi.

Sin embargo, quizá la mayor preocupación estaba relacionada con el riesgo para la seguridad de la información. «Si alguien que trabajaba desde casa abría un correo electrónico personal y se infectaba con un virus, existía el riesgo de que se propagara a los servidores de Sama, lo que tendría un impacto devastador, incluso pudiendo extenderse a nuestros centros de recuperación ante desastres», explica Alkhaldi. «Para mitigar este riesgo, Sama intensificó sus campañas de concienciación sobre ciberseguridad y desplegó herramientas de supervisión de la ciberseguridad las 24 horas del día, los 7 días de la semana».

Los premios Central Banking Awards fueron redactados por Christopher Jeffery, Daniel Hinge, Dan Hardie, Rachael King, Victor Mendez-Barreira, William Towning y Alice Shen.