Qué es un plan de contingencia y qué cubre

El transformador de la subestación se quemó un martes a las once de la noche. La planta quedó sin energía cuarenta y una horas y el plan de contingencia existía: era un documento de dos páginas, aprobado hacía tres años, que decía que ante una interrupción del suministro eléctrico se notificaría al cliente y se evaluarían alternativas de producción. No decía a quién se notifica ni en cuánto tiempo, no tenía el teléfono de la empresa que renta plantas de emergencia, no señalaba cuáles números de parte se producen en esa área ni cuánto inventario terminado había de cada uno, y nadie lo había probado nunca. Las primeras seis horas se fueron en averiguar qué se hacía. El cliente se enteró al día siguiente, por su propio sistema de seguimiento de embarques.

Qué es un plan de contingencia

Un plan de contingencia es la respuesta preparada de antemano para mantener el suministro al cliente cuando ocurre un evento que interrumpe la capacidad de producir o de entregar. Su propósito no es evitar el evento, que es lo que hacen los controles preventivos, sino acotar su consecuencia: cuánto tarda la organización en reaccionar, con qué recursos, quién decide y en qué momento se avisa a quien recibe el producto.

Conviene separarlo de tres cosas con las que se confunde. No es una evaluación de riesgos, que identifica y prioriza lo que puede pasar; el plan es lo que se hace después de haber priorizado. No es un plan de recuperación de desastres informáticos, que es una parte del asunto y no el todo. Y no es un plan de continuidad del negocio en el sentido amplio de la ISO 22301, que cubre la supervivencia de la organización completa; el plan de contingencia de un sistema de gestión de calidad tiene un objetivo más estrecho y más medible, que es no dejar de entregar producto conforme.

Qué eventos tiene que cubrir

La lista se arma desde el análisis de riesgo del proceso y no desde una plantilla. Hay una familia de interrupciones de servicios: energía eléctrica, agua, gas, aire comprimido, conectividad. Otra de fallas de equipo, que se concentra en los equipos sin respaldo, los de tiempo de reparación largo y los que son cuello de botella. Otra de suministro: quiebra o paro de un proveedor, sobre todo si es fuente única o si lo designó el cliente, más los problemas logísticos de transporte y aduana.

Después vienen las de personal, que incluyen ausentismo masivo, paro laboral y la pérdida de una competencia crítica que solo tienen dos personas; las de instalación, como incendio, inundación, sismo o pérdida de acceso al sitio; las de sistemas de información, con el ataque de ciberseguridad a la cabeza porque hoy detiene una planta con la misma eficacia que un transformador quemado; y las externas, que van del desastre natural al bloqueo de una vía de acceso. Cada evento se evalúa por su efecto sobre la entrega, no por su probabilidad aislada: un evento improbable que deja a la planta sin producir un número de parte de seguridad merece más plan que uno frecuente y absorbible.

Qué tiene que decir el plan para servir

La diferencia entre un plan que funciona y uno que solo existe está en el nivel de detalle. El plan útil dice quién declara la contingencia y con qué criterio, para que nadie pierda seis horas decidiendo si esto ya cuenta; enumera el equipo de respuesta con nombre, puesto, teléfono y suplente, porque el titular puede estar de vacaciones; y fija el tiempo objetivo de respuesta y el de restablecimiento para cada escenario.

Enseguida vienen las acciones concretas: qué producción se reprograma, qué se transfiere a otra planta o a un maquilador ya calificado, qué inventario de seguridad existe y para qué números de parte, qué proveedor alterno está aprobado y con qué expediente vigente, qué equipo se renta y a quién. La palabra que carga el peso es alterno aprobado: una fuente de respaldo que no tiene el expediente de aprobación completo no es un respaldo, porque activarla en la emergencia obliga a entregar producto sin aprobación y a agregar un problema de conformidad al que ya se tenía.

La comunicación al cliente merece un apartado propio con umbral y plazo definidos, porque en la mayoría de los reclamos la queja no es la interrupción sino el silencio. Y el plan cierra con el regreso a la normalidad, que es la parte que casi siempre falta: qué se verifica antes de reanudar, cómo se libera el producto fabricado durante la contingencia y qué evidencia se conserva de esa liberación.

Probarlo es parte del requisito

Un plan que nunca se ha probado es una hipótesis. La prueba puede ser un ejercicio de escritorio en el que el equipo recorre el escenario contra reloj, o una simulación real de una parte acotada, y lo que se busca no es confirmar que el documento está bien redactado sino descubrir sus huecos: teléfonos que ya no existen, un proveedor alterno que dejó de estar aprobado, un inventario de seguridad que se consumió hace ocho meses, una persona clave que cambió de puesto. Cada prueba produce hallazgos y cada hallazgo actualiza el plan; sin ese ciclo, el documento envejece más rápido que la planta.

Qué exige la ISO 9001

La norma llega a la contingencia por tres caminos. El primero es el pensamiento basado en riesgos: hay que determinar los riesgos que pueden afectar la conformidad del producto y la capacidad de aumentar la satisfacción del cliente, planificar acciones para tratarlos e integrar esas acciones en los procesos del sistema. Un riesgo de interrupción del suministro cae ahí de lleno, y la acción que lo trata es precisamente el plan.

El segundo es la revisión de los requisitos para los productos y servicios, que obliga a asegurarse de la capacidad de cumplir antes de comprometerse: si esa capacidad depende de una fuente única sin respaldo, el compromiso es más frágil de lo que declara el contrato. El tercero es el control de los procesos suministrados externamente, que exige determinar los controles sobre el proveedor en función de su impacto. A esos se suman los recursos y la infraestructura, la competencia y la retención del conocimiento de la organización, que es lo que evita que una capacidad crítica viva en la cabeza de una sola persona.

Qué agregan la IATF 16949 y otras normas

La IATF 16949 tiene un requisito específico de planes de contingencia y es de los más detallados de la norma. Pide identificar y evaluar los riesgos internos y externos para todos los procesos de manufactura y para el equipo de infraestructura esenciales para mantener la producción y asegurar que se cumplen los requisitos del cliente; definir planes de contingencia según el riesgo y el impacto sobre el cliente; preparar planes para notificar al cliente cuando la situación afecte el suministro; probar periódicamente la efectividad de los planes, incluidas las simulaciones que correspondan; revisarlos al menos una vez al año con un equipo multidisciplinario que incluya a la alta dirección y actualizarlos según haga falta; y documentar los planes junto con la revisión de los cambios. La norma señala de forma expresa los paros de servicios públicos, la escasez de mano de obra, las fallas de equipo clave, los retornos de campo y los eventos de ciberataque a los sistemas de información.

La ISO 22301 aporta la disciplina del análisis de impacto en el negocio, con sus tiempos objetivo de recuperación, y la ISO 27001 cubre la continuidad de la seguridad de la información, que es la pieza que más ha crecido en los últimos años. En alimentos, los esquemas reconocidos por la GFSI piden planes de gestión de crisis y de retiro de producto, con simulacros documentados y periodicidad definida.

Errores frecuentes

• —Escribir el plan en términos generales, sin nombres, teléfonos, plazos ni números de parte, de modo que en la emergencia hay que improvisar de todas formas.
• —Listar un proveedor alterno que nunca se aprobó ni se corrió, con lo que activarlo obliga a entregar producto sin expediente.
• —No probarlo nunca y descubrir en el evento real que los contactos, el inventario de seguridad y los responsables cambiaron.
• —Dejar fuera el ciberataque a los sistemas, que hoy detiene la producción tan rápido como una falla eléctrica.
• —Omitir el umbral y el plazo de notificación al cliente, que es lo que convierte una interrupción en una crisis de confianza.
• —No cubrir el regreso a la normalidad, con lo que el producto fabricado en condiciones excepcionales se libera sin verificación adicional.

Dónde se rompe en la operación

El punto de quiebre habitual es que el plan se redacta para la auditoría y no para el evento. Vive en la carpeta del sistema de gestión, lo mantiene una persona del área de calidad, no lo conocen ni el jefe de mantenimiento ni el de logística, y su revisión anual consiste en cambiar la fecha. Cuando el evento llega, quien tiene que decidir no sabe que el documento existe, y lo que gobierna la respuesta es la costumbre de la planta. En Monterrey, donde la manufactura pesada, la metalmecánica y los proveedores automotrices entregan contra programas firmes y con penalizaciones por paro de línea del cliente, unas horas de reacción desordenada se convierten en fletes urgentes y en una posición peor en la siguiente asignación de negocio. Bajar el plan a nombres, plazos y recursos reales, probarlo y revisarlo con quienes lo van a ejecutar es parte de lo que se ordena en la Consultoría ISO 9001 en Monterrey, donde el sistema se mide por lo que sostiene el día que algo falla.

En resumen

Un plan de contingencia acota la consecuencia de un evento que interrumpe la producción o la entrega. Se arma desde el análisis de riesgo, cubre servicios, equipo, suministro, personal, instalación, sistemas y entorno, y sirve solo si baja al detalle: quién declara la contingencia, con qué criterio, en cuánto tiempo, con qué inventario, con qué fuente alterna ya aprobada y con qué aviso al cliente. Se prueba, se revisa al menos una vez al año con la alta dirección y se actualiza con lo que la prueba encuentra. Un plan que nunca se ensayó no es un plan: es una intención archivada.