“Rompiendo mitos”
Una serie editorial de Carlos Enrique Pérez Barrios
Antes de decidir cómo proteger una organización hay que conocer qué se protege, de qué se protege y cuáles son realmente sus riesgos.
En cualquier actividad profesional seria existe un principio elemental: antes de proponer una solución es necesario comprender el problema. El médico examina antes de prescribir; el ingeniero estudia las condiciones antes de calcular una estructura. No hacerlo significaría sustituir el conocimiento por la intuición y convertir una decisión profesional en una apuesta.
Sin embargo, en el mundo de la seguridad ese principio muchas veces se olvida. Se instalan cámaras porque alguien considera que hacen falta, se contratan vigilantes porque ocurrió un incidente o se compran sistemas de control de acceso porque funcionaron en otra empresa. La organización acumula medidas sin haber respondido la pregunta que debería orientar todas las demás: ¿cuáles son realmente los riesgos que necesitamos controlar?
De allí nace uno de los mitos más costosos de nuestra actividad: creer que los estudios de seguridad son un desperdicio de dinero y que la experiencia de quien dirige la protección basta para determinar qué necesita la organización.
Cuando la solución aparece antes que el problema
El pirata de la seguridad suele sentirse cómodo ofreciendo respuestas inmediatas. Recorre una instalación y rápidamente comienza a señalar dónde colocar cámaras, qué puertas reforzar o cuántos vigilantes agregar. Puede reconocer vulnerabilidades reales y acertar en algunas de sus apreciaciones, pero el problema no consiste solamente en acertar. Consiste en poder justificar por qué una medida es necesaria y qué prioridad tiene frente a otras.
Además, suele comenzar por aquello que conoce, utiliza o vende. Si su especialidad son las cámaras, encontrará lugares donde instalarlas; si proviene de la vigilancia, probablemente descubrirá necesidades de más vigilantes. La solución termina condicionando la interpretación del problema.
Una recomendación basada exclusivamente en la costumbre o la impresión personal puede consumir recursos importantes mientras riesgos más graves permanecen ignorados. Pensemos en una empresa que instala cámaras adicionales, pero mantiene un acceso de proveedores por el que se puede entrar sin verificación. La inversión aumenta; la vulnerabilidad que facilita una intrusión permanece.
La experiencia profesional tiene un valor indiscutible: ayuda a formular preguntas, reconocer señales e interpretar hallazgos. Lo equivocado es utilizarla como sustituto del análisis. El verdadero profesional la emplea para comprender mejor la organización antes de recomendar cómo protegerla.
Conocer antes de proteger
El Estudio de Seguridad constituye precisamente ese proceso de conocimiento. No es un documento para justificar una decisión ya tomada ni una formalidad destinada a llenar un expediente. Es la base técnica sobre la cual debería construirse el sistema de protección de una organización.
Como he sostenido en Control de Riesgos – Manual para Estudios de Seguridad, estudiar una organización exige verla mucho más allá de sus paredes. El riesgo no comienza necesariamente en la puerta principal ni desaparece al terminar el perímetro físico. El entorno geográfico, las modalidades de criminalidad, las rutas de acceso y salida, las actividades vecinas y las condiciones que facilitan o dificultan una respuesta forman parte de la realidad que debe analizarse.
También es necesario comprender cómo funciona la propia organización: sus procesos, personas, activos, instalaciones y controles existentes. No todas sus áreas enfrentan las mismas amenazas ni producirían las mismas consecuencias si fueran afectadas. Un centro de datos, un almacén, un área de producción o un archivo sensible pueden coexistir dentro de un mismo espacio y requerir niveles de protección diferentes.
Por eso estudiar significa identificar amenazas y vulnerabilidades, examinar los controles y evaluar qué podría ocurrir si estos resultaran insuficientes. Solo entonces puede determinarse qué necesita mayor atención.
Administrar riesgos también significa decidir dónde no gastar
Los recursos nunca son ilimitados. Proteger absolutamente todo con el máximo nivel disponible sería inviable y, en muchos casos, innecesario. La administración profesional exige establecer prioridades según la probabilidad de los acontecimientos y la gravedad de sus consecuencias.
Sin esa evaluación puede producirse una paradoja peligrosa: una empresa aparentemente muy protegida, por la cantidad de vigilantes, cámaras y controles, mantiene expuesta precisamente la vulnerabilidad capaz de ocasionar su pérdida más importante. La cantidad de recursos utilizados nunca ha sido una medida suficiente de seguridad. Lo importante es su correspondencia con los riesgos identificados.
El análisis puede justificar nuevas tecnologías, modificaciones físicas o personal adicional. Pero también puede demostrar que una vulnerabilidad se corrige mejor cambiando un procedimiento, redistribuyendo recursos existentes, capacitando al personal o eliminando una práctica inadecuada.
Incluso puede concluir que aquello que inicialmente parecía indispensable no necesita comprarse. Un buen Estudio de Seguridad permite establecer dónde invertir y dónde no gastar.
De la evaluación a la decisión
El estudio adquiere verdadero valor cuando sus hallazgos se convierten en recomendaciones aplicables. Cada medida debe explicar qué riesgo pretende reducir, por qué resulta apropiada, qué recursos requiere y qué consecuencias podría tener postergarla.
Esto cambia la relación con la dirección de la empresa. El responsable de seguridad deja de presentarse como alguien que simplemente pide dinero y comienza a participar en la administración racional de los recursos, con argumentos que permiten comparar necesidades y establecer prioridades.
Pero recomendar no basta. La dirección debe decidir qué riesgos atender primero y aprobar los recursos correspondientes. El responsable de seguridad debe coordinar la ejecución de las medidas, junto con las áreas involucradas, asignando responsables y plazos. Después habrá que comprobar si los controles funcionan y si reducen el riesgo para el cual fueron establecidos.
Ante un peligro inmediato puede ser necesario adoptar medidas provisionales sin esperar a completar el estudio. Esa urgencia debe atenderse, pero no convierte la respuesta inicial en un diagnóstico suficiente ni elimina la necesidad de revisar la solución.
Cuando estudiar también puede convertirse en desperdicio
Sería igualmente equivocado afirmar que cualquier documento titulado “Estudio de Seguridad” representa automáticamente una buena inversión. Un trabajo superficial, elaborado mediante formularios repetidos para organizaciones diferentes o construido para justificar soluciones previamente seleccionadas, puede convertirse exactamente en aquello que este mito denuncia: un desperdicio de dinero.
Lo mismo sucede cuando un excelente análisis termina archivado sin que nadie convierta sus recomendaciones en acciones. El profesional no estudia para producir papeles. Estudia para producir conocimiento que permita decidir y actuar.
Además, ninguna evaluación debería considerarse válida indefinidamente. Cambian las operaciones, las instalaciones, el entorno, las tecnologías y las amenazas. El estudio debe servir como referencia para revisar periódicamente los riesgos y actualizar las medidas cuando esas condiciones cambien.
La seguridad comienza antes de comprar seguridad
El pirata busca qué colocar; el profesional necesita comprender qué ocurre y justificar qué debe hacerse. Esa diferencia determina si los recursos responden a las necesidades de la organización o a las preferencias de quien recomienda.
Considerar costoso un Estudio de Seguridad sin evaluar cuánto puede costar una decisión equivocada significa mirar solamente el precio y olvidar el riesgo. La improvisación también cuesta dinero. La diferencia es que normalmente descubrimos cuánto costó después de haberla pagado.
El legado del mito
Profesionalizar nuestra actividad exige que las decisiones de protección tengan un fundamento que pueda explicarse, revisarse y mejorarse. El legado de un buen estudio no es el documento que entrega el consultor, sino el criterio que deja en la organización para asignar recursos y responder a sus riesgos.
Frase doctrinaria
“En seguridad, una gran inversión no corrige la falta de diagnóstico que dio origen a una mala decisión”.
Rompiendo mitos… Construyendo profesionales
El verdadero profesional convierte el conocimiento del riesgo en decisiones justificadas y las recomendaciones en medidas que funcionan.
Video
Mito 11 en YouTube:
Carlos Enrique Pérez Barrios es Magíster en Seguridad y Defensa Nacional, Consultor Internacional en Seguridad, Director General de Global Security Academy, conferencista y articulista, y autor de las obras: ‘Control de Riesgos – Manual para Estudios de Seguridad‘; ‘El Factor M‘ y ‘Venezuela: Reconstrucción desde las Cenizas‘
