ISO 22301 Foundation

Diez preguntas de muestra del examen

Una de cada dominio de competencia, tal como salen en el simulador.

1. D2 Requisitos de ISO 22301 - Cláusulas 4 a 10

   Conservas Bardal tiene un certificado ISO 22301, recibe cada año una auditoría de seguimiento de su organismo de certificación y cada dos años la auditan dos grandes clientes al amparo de un derecho de auditoría recogido en sus contratos de suministro. Con ese argumento, el responsable del SGCN ha dejado de ejecutar el programa de auditorías propio de la empresa, porque sostiene que el SGCN ya se audita por partida doble. ¿Cómo debe valorarse esa decisión frente a la cláusula 9.2?

   1. No es aceptable: la cláusula 9.2 pide que la organización realice auditorías internas de su propio SGCN a intervalos planificados, y las dos auditorías que aquí se describen son externas a la empresa.
   2. Es aceptable mientras los informes de los clientes y los hallazgos del seguimiento se lleven a la revisión por la dirección y las acciones resultantes se sigan hasta su cierre completo.
   3. El año en cuestión queda cubierto: una auditoría de seguimiento examina exactamente el mismo SGCN frente a la misma norma, de modo que ya satisface la cláusula 9.2 en Bardal.
   4. Es inaceptable, aunque por otro motivo: la decisión la tomó el responsable del SGCN por su cuenta, y habría sido válida si la alta dirección la hubiera aprobado formalmente en la revisión por la dirección.

2. D1 Principios y conceptos fundamentales de un SGCN

   ¿Qué relación guarda ISO 22313 con ISO 22301?

   1. Añade un conjunto adicional de requisitos que una organización certificada en ISO 22301 tendrá que satisfacer en su próxima auditoría.
   2. Ofrece orientación sobre la aplicación de los requisitos de ISO 22301, de modo que nada de lo que contiene puede auditarse como requisito por sí mismo.
   3. Sustituye a ISO 22301 como norma certificable de la familia ISO 22300, a la que ISO 22301 pasaría a dar apoyo como simple glosario de términos.
   4. Aporta el vocabulario al que ISO 22301 remite normativamente, por lo que sus definiciones rigen ante cualquier término discutido.

3. D2 Requisitos de ISO 22301 - Cláusulas 4 a 10

   Laboratorios Vallmar ha externalizado la distribución en frío de sus vacunas, una actividad priorizada, a un operador logístico que posee un certificado ISO 22301. El comité de continuidad de Vallmar quiere asegurarse de que el operador puede restablecer las entregas dentro del plazo que fija el análisis de impacto en el negocio (BIA) de la propia Vallmar. ¿Qué actuación encaja con lo que exige ISO 22301?

   1. Auditar al operador la propia Vallmar al amparo del derecho de auditoría de su contrato, ya que el certificado se concedió frente al alcance del proveedor y no frente a los plazos de recuperación de Vallmar.
   2. Incorporar al operador al programa de auditorías internas que exige la cláusula 9.2 y registrar la visita como auditoría interna, con el argumento de que la actividad externalizada queda dentro del alcance del SGCN de Vallmar.
   3. Revisar en el comité el plan de continuidad de negocio del operador y su alcance y darlos por suficientes, porque un plan aprobado por la alta dirección del operador ya cubre la distribución en frío.
   4. Pedir al operador que se autoevalúe frente a los requisitos de recuperación de Vallmar y que remita el informe, ya que la cláusula 9.2 exige una auditoría interna, y nada más.

4. D1 Principios y conceptos fundamentales de un SGCN

   Una organización certificada en ISO/IEC 27001 se plantea implantar un SGCN basado en ISO 22301. ¿Qué afirmación describe la relación entre ambas normas?

   1. Son normas de sistemas de gestión distintas construidas sobre la misma estructura armonizada: ISO/IEC 27001 aborda la seguridad de la información e ISO 22301 se ocupa de la continuidad de los productos y servicios.
   2. La certificación en ISO/IEC 27001 es requisito previo para certificarse en ISO 22301, porque un SGCN depende siempre de un sistema de gestión de la seguridad de la información.
   3. ISO 22301 es una extensión de ISO/IEC 27001 dedicada a la disponibilidad de la información, de modo que sus requisitos ya quedan cubiertos por los controles de seguridad existentes.
   4. El solape entre ambas normas es tal que se presume que quien cumple una cumple también la otra, y una sola auditoría realizada frente a cualquiera de las dos se acepta como evidencia válida de ambas.

5. D2 Requisitos de ISO 22301 - Cláusulas 4 a 10

   Un grupo hospitalario identificó las leyes y los reglamentos aplicables a la continuidad de sus servicios cuando implantó su SGCN hace tres años y archivó la lista. Desde entonces nadie ha vuelto a revisarla. ¿Qué exige la cláusula 4.2 a la organización?

   1. Copiar el texto íntegro de las leyes, los reglamentos y los códigos aplicables en la información documentada del SGCN, para que el personal pueda localizarlos y consultarlos.
   2. Revisar la lista de requisitos legales, reglamentarios y contractuales una vez que un incidente, una reclamación o una auditoría haya revelado un incumplimiento.
   3. Operar un proceso que identifique los requisitos aplicables, facilite el acceso a ellos y los evalúe de forma continuada, y mantener actualizada toda esa información documentada.
   4. Transferir la responsabilidad sobre los requisitos legales y reglamentarios al departamento jurídico de la empresa, que queda fuera de los límites definidos del SGCN.

6. D1 Principios y conceptos fundamentales de un SGCN

   ¿Qué enunciado refleja mejor lo que significa la continuidad de negocio en ISO 22301?

   1. La capacidad que tiene una organización para seguir entregando sus productos y servicios dentro de unos plazos aceptables a una capacidad predefinida mientras se desarrolla una interrupción.
   2. El conjunto de medidas técnicas que mantiene disponibles los sistemas de información de la organización y respaldados sus datos en un segundo centro de datos.
   3. La ausencia de cualquier interrupción, lograda mediante la eliminación anticipada de toda causa capaz de interrumpir las actividades priorizadas de la organización.
   4. El proceso de devolver a la organización al estado exacto en el que se encontraba antes del incidente, con la misma plantilla y la misma capacidad.

7. D2 Requisitos de ISO 22301 - Cláusulas 4 a 10

   Durante el diseño de un SGCN, un directivo sostiene que toda expectativa manifestada por cualquier parte interesada tiene que convertirse en un requisito del sistema. ¿Cómo debe valorarse este planteamiento frente a la cláusula 4.2?

   1. La afirmación es demasiado amplia: la cláusula 4.2 pide a la organización determinar qué partes interesadas son pertinentes y cuáles de sus requisitos resultan realmente pertinentes para el SGCN.
   2. El directivo tiene razón: en cuanto la organización deja registrada una expectativa, la cláusula 4.2 la convierte automáticamente en un requisito del SGCN.
   3. El planteamiento se queda corto: la cláusula 4.2 reconoce expresamente a clientes, reguladores y accionistas, cuyas expectativas obligan a la organización, pero no a los proveedores ni a los empleados.
   4. La cuestión es prematura: los requisitos de las partes interesadas los determina por completo el análisis de impacto en el negocio, que todavía no se ha realizado en esta fase temprana.

8. D1 Principios y conceptos fundamentales de un SGCN

   ¿Qué descripción se corresponde con lo que ISO 22301 espera de un plan de continuidad de negocio?

   1. Información documentada que guía a la organización a la hora de responder a una interrupción y de reanudar y recuperar la entrega de sus productos y servicios afectados.
   2. Un plan de tratamiento del riesgo que enumera los controles elegidos, sus responsables y sus plazos, para reducir la probabilidad de una interrupción.
   3. Un procedimiento técnico de recuperación para devolver los sistemas informáticos y sus datos al estado que tenían antes de la interrupción.
   4. Una declaración de los compromisos de continuidad de negocio de la organización, aprobada por la alta dirección y puesta a disposición de las partes interesadas.

9. D2 Requisitos de ISO 22301 - Cláusulas 4 a 10

   Una empresa de suministros energéticos quiere dejar uno de sus cuatro centros de servicio fuera del alcance de su SGCN porque ese centro va a cerrar dentro de dos años. ¿Qué permite ISO 22301 en este caso?

   1. Se permite siempre que la exclusión se documente y se explique, y no afecte a la capacidad ni a la responsabilidad que tiene la organización de proporcionar continuidad de sus productos y servicios.
   2. No se permite: una vez que la organización busca la conformidad con ISO 22301, todos los emplazamientos y actividades que la empresa opera tienen que quedar dentro del alcance del SGCN hasta el momento en que dejen de funcionar realmente.
   3. No hace falta formalidad alguna de ningún tipo, porque la cláusula 4.3 deja los límites, la aplicabilidad y las exclusiones del SGCN al criterio puramente comercial de la propia organización.
   4. La exclusión es válida siempre que ese centro quede cubierto por un acuerdo independiente, pactado por escrito con sus clientes, su regulador y las autoridades locales, y revisado todos los años.

10. D1 Principios y conceptos fundamentales de un SGCN

    ¿Qué resultado produce el análisis de impacto en el negocio (BIA) y no la apreciación del riesgo?

    1. Una lista priorizada de las amenazas capaces de interrumpir las actividades de la organización, con su probabilidad estimada y sus posibles causas.
    2. Una decisión sobre las opciones de tratamiento del riesgo que la organización aplicará a las amenazas que ella considere inaceptables.
    3. Una evaluación de si los controles de protección existentes mantienen la probabilidad de una interrupción en un nivel tolerable.
    4. La identificación de las actividades priorizadas de la organización y de los plazos dentro de los cuales cada una de ellas debe reanudarse.

Responda estas mismas diez preguntas en el simulador y vea la explicación de cada opción, también de las incorrectas. Se abre sin registro →

Sobre el examen oficial: el formato, la duración y el número de preguntas los fija el organismo que certifica y pueden cambiar, así que conviene confirmarlos en su documentación antes de presentarse. Este material entrena la norma, no el examen de un organismo concreto, de modo que sirve igual si se certifica con otro.