Un análisis de riesgos de seguridad convierte preocupaciones generales en decisiones justificadas: qué proteger, frente a qué situaciones, con qué controles y en qué orden actuar. La matriz ayuda a priorizar, pero no sustituye la observación del entorno, la verificación de medidas existentes ni la definición previa de criterios. Un proceso útil debe dejar trazabilidad, asignar responsables y revisarse cuando cambien las operaciones, la instalación o los incidentes.
Delimita el alcance, los objetivos y los criterios
El análisis empieza por concretar para qué se evalúa el riesgo. No es lo mismo revisar la seguridad de una recepción, un almacén, una instalación completa o un evento temporal. Un alcance demasiado amplio genera un inventario difícil de manejar; uno demasiado reducido puede dejar fuera dependencias decisivas, como accesos compartidos, horarios de apertura, proveedores o zonas de carga.
Define el objetivo de protección: personas, continuidad operativa, bienes físicos, información en soporte físico, reputación o cumplimiento de compromisos internos. Después, fija los límites temporales y espaciales, las personas que participarán y las fuentes de información disponibles. Conviene incluir a quienes conocen el funcionamiento real del lugar, no solo a quienes diseñan el procedimiento.
Antes de puntuar riesgos, establece los criterios de valoración. La escala de probabilidad debe describir qué significa que un evento sea raro, posible o frecuente en ese contexto. La de impacto debe indicar qué consecuencias diferencian una afectación menor de una grave: daño a personas, interrupción de la actividad, pérdida de activos, retrasos, costes de recuperación o efectos contractuales. Estas definiciones hacen comparables las valoraciones y evitan que cada participante interprete los niveles a su manera.
- Determina qué decisiones debe respaldar el análisis.
- Fija un periodo de referencia razonable.
- Define la tolerancia al riesgo: qué nivel requiere actuación, aprobación expresa o seguimiento.
- Registra supuestos e incertidumbres desde el inicio.
Identifica los activos, personas y áreas que debes proteger
Proteger una instalación no consiste únicamente en listar equipos o espacios. Un activo es cualquier elemento cuya pérdida, daño, indisponibilidad o uso indebido afectaría a los objetivos definidos. Puede ser una persona, una zona crítica, mercancía, efectivo, llaves, documentación, equipos de trabajo, registros de visitantes o la capacidad de operar con normalidad.
El inventario debe situar cada activo en su contexto. Para una persona, importan su exposición, horarios, tareas y posibilidad de pedir apoyo. Para un área, importan sus usos, accesos, visibilidad, ocupación y relación con otras zonas. Para un bien, interesan su valor, facilidad de traslado, criticidad para la operación y posibilidad de sustitución. No todos requieren la misma protección.
También deben identificarse las dependencias. Una sala puede contener un activo relevante, pero depender de que una puerta permanezca cerrada, de que el personal aplique un protocolo de entrega o de que la iluminación funcione durante determinados turnos. Si esas condiciones no aparecen en el inventario, el análisis puede centrarse en el objeto visible y omitir lo que realmente condiciona su protección.
Una forma práctica es agrupar activos por función y criticidad, y asociar a cada uno un propietario interno. Esa persona no tiene que resolver por sí sola el riesgo, pero sí validar que el activo está bien descrito y que sus consecuencias están valoradas con realismo.
Relaciona amenazas, vulnerabilidades y escenarios de riesgo
La diferencia entre los conceptos básicos evita análisis confusos. Una amenaza es una fuente o circunstancia con capacidad de causar daño, como una intrusión, un acto de violencia, un incendio, una pérdida de control sobre una llave o una interrupción del suministro. Una vulnerabilidad es una debilidad o condición que puede facilitar que esa amenaza produzca consecuencias: un acceso sin supervisión, una señalización ambigua, una rutina no aplicada o una puerta cuyo cierre no se verifica.
Un incidente es el hecho que ya ha ocurrido, por ejemplo, el acceso no autorizado a una zona. El riesgo, en cambio, es la posibilidad de que un escenario afecte a un objetivo, considerando su probabilidad y sus consecuencias. Por eso, un incidente puede aportar evidencia para el análisis, pero no es sinónimo de riesgo.
Formula escenarios completos en lugar de usar etiquetas genéricas como “robo” o “acceso indebido”. Por ejemplo: en una instalación con recepción y área de almacenamiento, un visitante podría acceder por error a una zona restringida si la separación física es poco clara y el control de acompañamiento no se aplica de forma constante. El activo afectado sería la mercancía y la continuidad de la operación; la amenaza, el acceso no autorizado; la vulnerabilidad, la combinación de delimitación y procedimiento insuficientes; y los controles existentes, el registro de visitas y la supervisión disponible.
El objetivo no es anticipar cada detalle imaginable, sino describir situaciones plausibles que permitan decidir medidas defensivas proporcionadas. Diferentes amenazas pueden aprovechar la misma vulnerabilidad, y una misma amenaza puede tener efectos muy distintos según el activo expuesto.
Punto clave:
La calidad de una valoración no depende de que varias personas coincidan rápidamente. Cuando existan opiniones distintas, conviene registrar el desacuerdo, revisar la evidencia y precisar el escenario antes de promediar puntuaciones. Esa discrepancia puede revelar que se están valorando consecuencias diferentes, controles no verificados o condiciones operativas que no eran visibles para todos los participantes.
Valora la probabilidad, el impacto y los controles existentes
La valoración debe separar tres elementos: probabilidad, impacto y eficacia de los controles existentes. La probabilidad no se deduce solo de si hubo incidentes antes. Debe considerar exposición, frecuencia de la actividad, oportunidades de materialización, características del entorno, cambios recientes y evidencia disponible. La ausencia de registros puede significar que el evento no ocurrió, pero también que no se detectó o no se documentó.
El impacto se valora por la consecuencia razonablemente previsible si el escenario llega a materializarse. Puede incluir lesiones, afectación a terceros, pérdida o deterioro de bienes, interrupción de procesos, retrasos, costes de recuperación y consecuencias organizativas. Es preferible describir el efecto antes de asignar una categoría: así resulta más fácil discutir la valoración y revisarla.
Revisa los controles en tres planos. Los físicos incluyen delimitaciones, cierres, distribución de espacios, iluminación o custodia. Los organizativos abarcan normas, formación, asignación de funciones, registros y respuesta ante incidencias. Los electrónicos pueden incluir detección, videovigilancia, control de accesos, comunicación o alertas. Ninguno debe darse por eficaz solo porque exista: hay que comprobar cobertura, estado, uso real, mantenimiento, coordinación con el personal y capacidad de respuesta.
En el ejemplo, el registro de visitas puede reducir la exposición, pero no eliminarla si no se verifica la identidad, si los visitantes circulan sin acompañamiento o si las zonas restringidas no están claramente diferenciadas. La evaluación debe reflejar ese funcionamiento real, no el procedimiento teórico.
Prioriza los riesgos con una matriz coherente
Una matriz de riesgos ordena prioridades, pero no es el análisis completo. Su utilidad depende de que los escenarios estén bien formulados, las escalas se hayan definido antes y la evidencia que sustenta cada valoración quede registrada. Multiplicar dos números sin ese trabajo previo solo da una apariencia de precisión.
Con una escala sencilla, por ejemplo de tres o cinco niveles, asigna una valoración de probabilidad y otra de impacto según los criterios fijados. Después, ubica el escenario en la matriz y compáralo con el umbral de tolerancia acordado. Los riesgos de mayor nivel suelen requerir una decisión prioritaria, pero dos riesgos con la misma puntuación no son necesariamente equivalentes.
Para ordenar acciones, añade criterios que la matriz no capta por sí sola:
- Gravedad potencial para las personas, incluso cuando la probabilidad sea baja.
- Velocidad con la que puede evolucionar el escenario.
- Interdependencias con otros procesos o áreas.
- Obligación de mantener una actividad esencial.
- Facilidad y plazo para implantar una mejora eficaz.
- Incertidumbre de la valoración y necesidad de obtener más datos.
Es recomendable distinguir entre el riesgo inherente y el riesgo residual. El inherente representa el escenario antes de considerar controles o suponiendo que todavía no son efectivos. El residual es el que permanece tras considerar los controles realmente implantados y verificados. Esta comparación permite entender qué aportan las medidas actuales y dónde subsisten exposiciones relevantes.
Define medidas de tratamiento proporcionales al riesgo
Tratar un riesgo significa elegir una respuesta y convertirla en acciones verificables. Las cuatro opciones habituales son reducir, evitar, transferir o aceptar. Reducir implica disminuir la probabilidad, el impacto o ambos mediante mejoras proporcionadas. Evitar supone eliminar la actividad o condición que origina el escenario cuando mantenerla no está justificado. Transferir puede consistir en compartir determinadas consecuencias mediante acuerdos o seguros, sin que ello elimine la necesidad de prevenir. Aceptar exige una decisión consciente, documentada y dentro del nivel de tolerancia definido.
Las medidas deben responder a la causa concreta. Si el problema es una zona con circulación no controlada, puede ser más útil redefinir recorridos, señalizar, asignar supervisión y verificar cierres que añadir tecnología sin cambiar la operación. Cuando se incorporen medios electrónicos, deben integrarse con procedimientos claros: quién recibe una alerta, cómo se comprueba, qué se registra y qué ocurre si el sistema no está disponible.
Cada medida necesita un responsable, un plazo, recursos y un criterio de cierre. También conviene fijar indicadores sencillos, como porcentaje de revisiones realizadas, incidencias de acceso detectadas, cumplimiento de rondas o tiempo de reposición de un elemento crítico. El indicador no sustituye la evaluación, pero permite comprobar si la medida se mantiene activa y si está produciendo el efecto esperado.
Las obligaciones sobre privacidad, videovigilancia, prevención laboral, licencias, seguros o contratación de servicios de seguridad dependen de la normativa aplicable. Deben comprobarse localmente antes de implantar una medida o modificar un procedimiento.
Documenta el riesgo residual y revisa el análisis
El resultado debe quedar en un registro comprensible para quien toma decisiones y para quien debe ejecutar las medidas. Como mínimo, cada escenario debería incluir el activo afectado, la amenaza, las vulnerabilidades, controles existentes, evidencia utilizada, valoración inherente, decisión de tratamiento, responsable, plazo, riesgo residual y fecha de próxima revisión.
El riesgo residual no significa que el problema esté resuelto ni que sea aceptable por defecto. Es la exposición que permanece después de aplicar y comprobar los controles. Debe compararse con la tolerancia aprobada: si sigue siendo demasiado alto, habrá que reforzar medidas, replantear la actividad o elevar la decisión a quien tenga autoridad para aceptarlo.
La revisión no debe depender únicamente de un calendario. Conviene actualizar el análisis cuando haya incidentes, cambios de horario, reformas, nuevas áreas, sustitución de personal clave, cambios en flujos de visitantes o mercancías, incorporación de equipos, fallos repetidos de controles o modificaciones de procesos. Un incidente no obliga necesariamente a rediseñar todo el sistema, pero sí a comprobar si los supuestos de la evaluación siguen siendo válidos.
Los errores más frecuentes son ampliar el alcance hasta hacerlo inabarcable, omitir activos menos visibles, puntuar por intuición, asumir que un control funciona sin verificarlo y archivar el análisis sin revisarlo. Un documento más breve, actualizado y ligado a decisiones reales suele ser más útil que una matriz extensa que nadie consulta.
Preguntas frecuentes
¿Puede hacerse un análisis de riesgos si no existen datos históricos de incidentes?
Sí. La falta de histórico no impide analizar riesgos, pero obliga a reconocer una mayor incertidumbre. Puede recurrirse a recorridos de inspección, entrevistas con personal que conoce la operación, registros de fallos, observación de flujos, pruebas documentales de controles, cambios previstos y situaciones comparables dentro de la propia organización.
En ese caso, la probabilidad debe expresarse con prudencia y acompañarse de la evidencia disponible. También es útil programar una revisión temprana para ajustar la valoración cuando se obtengan registros de incidentes, alertas, visitas, mantenimiento o incumplimientos de procedimientos.
¿Cuándo conviene usar un análisis cualitativo, semicuantitativo o cuantitativo?
El análisis cualitativo resulta adecuado cuando se necesita una primera priorización clara con categorías descriptivas, como bajo, medio y alto. El semicuantitativo usa escalas numéricas u ordinales para ordenar escenarios de forma más consistente, siempre que cada nivel esté definido. Suele ser práctico para instalaciones y operaciones de complejidad moderada.
El enfoque cuantitativo requiere datos suficientemente fiables sobre frecuencias, pérdidas, exposición y costes; puede ser útil para decisiones con gran impacto económico o para comparar alternativas de inversión. Si los datos son débiles, asignar cifras detalladas puede crear una precisión falsa. El método debe adaptarse a la decisión, no al revés.
¿Qué evidencias ayudan a justificar la valoración de un riesgo?
Ayudan las evidencias que relacionan el escenario con condiciones observables: planos y recorridos de la instalación, inventarios, horarios, registros de acceso o visitas, partes de incidencias, mantenimiento de equipos, comprobaciones de cierre, entrevistas con responsables, resultados de simulacros, documentación de procesos y fotografías de condiciones relevantes cuando su uso sea apropiado.
También son útiles los datos de indisponibilidad, pérdidas, retrasos o incumplimientos internos. La evidencia no tiene que ser perfecta, pero debe quedar identificada para que otra persona entienda por qué se otorgó una valoración y pueda revisarla si cambian las condiciones.
¿Cómo se relaciona el análisis de riesgos con un plan de seguridad?
El análisis de riesgos aporta la base para un plan de seguridad: identifica qué escenarios requieren respuesta, qué controles deben mantenerse o mejorarse y con qué prioridad. El plan transforma esa evaluación en organización práctica, con medidas, funciones, procedimientos, recursos, comunicación y seguimiento.
La relación debe ser bidireccional. El análisis orienta el contenido del plan, mientras que las comprobaciones del plan —incidencias, ejercicios, fallos de controles y cambios operativos— aportan información para actualizar la evaluación. Si no existe ese ciclo, el plan puede conservar medidas que ya no responden a los riesgos reales.