Cómo hacer una evaluación de riesgos de seguridad en una empresa

Una evaluación útil convierte información dispersa —incidentes, visitas a las instalaciones, fallos de proceso, cambios operativos y percepción de las áreas implicadas— en decisiones defendibles. El proceso debe ser proporcional: una empresa con una sola sede no necesita el mismo nivel de detalle que una organización con múltiples instalaciones, operaciones continuas, mercancía sensible o alta exposición pública.

La secuencia puede apoyarse en principios de gestión del riesgo como los recogidos en ISO 31000 y en técnicas de evaluación descritas por IEC 31010, adaptadas al contexto de cada organización. Lo relevante no es copiar una metodología, sino mantener una lógica coherente: definir qué se protege, comprender cómo puede verse afectado, estimar la exposición, seleccionar respuestas y comprobar si funcionan.

1. Delimitar el alcance y los objetivos de la evaluación.
2. Identificar activos, procesos y dependencias críticas.
3. Recopilar evidencias mediante entrevistas, revisión documental e inspección.
4. Formular escenarios de riesgo que unan amenaza, vulnerabilidad y consecuencia.
5. Valorar probabilidad, impacto y eficacia de los controles existentes.
6. Priorizar, decidir el tratamiento, asignar responsables y fijar plazos.
7. Revisar la evaluación cuando cambie el contexto o aparezca nueva información.

La matriz es solo una herramienta de síntesis. Si se puntúa antes de entender el escenario, puede dar una apariencia de precisión que no existe.

El alcance evita que la evaluación se convierta en una lista inabarcable o, en el extremo contrario, deje fuera los riesgos que comprometen la operación. Debe concretar sedes, áreas, franjas horarias, actividades, terceros, sistemas y horizonte temporal incluidos. También conviene definir qué queda fuera y por qué, para que la decisión sea transparente.

Un activo no es únicamente un bien de valor económico. Puede ser una persona, una instalación, una zona restringida, existencias, información, un sistema de control de accesos, una ruta logística, una llave maestra o la capacidad de seguir prestando un servicio. Su importancia depende de la función que cumple y de sus dependencias.

La prioridad debe partir de los objetivos críticos: proteger a las personas, evitar interrupciones relevantes, preservar información sensible, mantener la integridad de bienes o cumplir compromisos operativos. Para cada objetivo, resulta práctico preguntar qué procesos deben seguir funcionando, qué recursos los hacen posibles y cuánto tiempo puede tolerarse una interrupción.

• ¿Qué activos son difíciles de sustituir o recuperar?
• ¿Qué procesos afectan a seguridad, producción, atención, logística o continuidad?
• ¿Qué áreas concentran valor, información o exposición?
• ¿Qué cambios previstos pueden modificar el riesgo?

Esta fase también fija la tolerancia al riesgo: el nivel de exposición que la organización puede aceptar y quién tiene autoridad para aprobar excepciones o riesgos residuales.

La información más valiosa suele estar repartida entre quienes gestionan el trabajo diario. Seguridad, operaciones, mantenimiento, tecnología, recursos humanos, recepción, compras y responsables de sede pueden observar partes distintas del mismo riesgo. Las entrevistas deben buscar hechos, prácticas reales, variaciones por turno, incidencias repetidas y decisiones informales que no aparecen en los procedimientos.

La revisión documental aporta contexto: registros de incidentes, planes de emergencia, inventarios, planos, procedimientos de acceso, contratos con terceros, informes de mantenimiento, permisos de visitantes, registros de alarmas y resultados de pruebas. No se trata de acumular documentos, sino de contrastar si el control definido se aplica, se mantiene y deja evidencia verificable.

La inspección permite observar la relación entre diseño y operación. Debe recorrer accesos, perímetros, zonas de recepción y expedición, áreas críticas, espacios compartidos, iluminación, señalización, custodia de llaves o credenciales, recorridos de visitantes y puntos donde el proceso cambia fuera del horario habitual. En seguridad electrónica, interesa verificar cobertura útil, calidad de imagen para el propósito previsto, eventos sin atender, alimentación eléctrica, comunicaciones, configuración de permisos y mantenimiento.

Cuando se usen cámaras, identificación, controles de acceso, registros de actividad o datos personales, la evaluación debe incorporar la revisión de la normativa aplicable, las reglas internas y las condiciones de tratamiento de la información. Estos requisitos varían según la jurisdicción y el sector.

Conviene separar cinco conceptos que suelen mezclarse. Una amenaza es una posible fuente de daño, como una intrusión, un fraude, un incendio, una interrupción eléctrica o un uso indebido de credenciales. Una vulnerabilidad es una debilidad aprovechable o una condición que aumenta la exposición, por ejemplo, una puerta sin control efectivo, una autorización excesiva o una dependencia sin respaldo. El riesgo aparece cuando una amenaza puede aprovechar una vulnerabilidad y afectar a un objetivo.

Un incidente es la materialización de un evento, o una señal de que pudo producirse. Un control es una medida preventiva, disuasoria, detectiva, de respuesta o de recuperación que modifica la probabilidad, el impacto o ambos. Una cámara, por ejemplo, no elimina por sí sola un riesgo: su valor depende de la ubicación, la calidad necesaria, la supervisión, la conservación de evidencias y la capacidad de respuesta.

En lugar de listar amenazas de forma genérica, formule escenarios completos. Un escenario debe describir el activo afectado, el evento temido, la condición que lo hace posible y la consecuencia.

Ejemplo hipotético: en un almacén, la observación de que los transportistas acceden a una zona de carga durante cambios de turno no es todavía un riesgo priorizado. El escenario se concreta así: una persona no autorizada podría aprovechar la coincidencia de accesos y una validación inconsistente de visitantes para retirar mercancía o acceder a información de expedición. Las consecuencias pueden incluir pérdidas, retrasos, investigación interna y afectación a clientes. Esa formulación permite evaluar controles concretos, no reaccionar solo a una impresión.

La valoración combina juicio profesional y evidencias disponibles. La probabilidad no equivale a adivinar si ocurrirá un incidente; estima la posibilidad de que el escenario se materialice considerando exposición, historial, cambios recientes, atractivo del objetivo, capacidad de la amenaza y eficacia real de los controles. El impacto debe mirar más allá de la pérdida directa: daño a personas, parada operativa, incumplimientos, pérdida de información, costes de recuperación y deterioro de relaciones comerciales.

Puede utilizarse una escala cualitativa sencilla —baja, media, alta— o categorías más detalladas si la organización puede aplicarlas de forma consistente. La escala debe tener definiciones previas. “Alto” no puede significar una cosa para una sede y otra distinta para otra sin una justificación documentada.

La valoración inicial refleja el riesgo inherente, es decir, la exposición antes de considerar los controles. Después se analiza el riesgo residual: el que permanece tras verificar qué controles existen, cómo funcionan y cuáles son sus límites. Un procedimiento escrito que nadie aplica, una alarma sin mantenimiento o permisos de acceso nunca revisados no deben recibir el mismo peso que un control probado y supervisado.

La ciberseguridad debe evaluarse en conexión con la seguridad física cuando comparten activos o consecuencias: credenciales, sistemas de videovigilancia conectados, plataformas de gestión de visitantes, comunicaciones, copias de seguridad o continuidad de sistemas. No son disciplinas intercambiables, pero los fallos de una pueden amplificar el riesgo de la otra.

La prioridad no debe depender únicamente de multiplicar dos números en una matriz. Dos riesgos con la misma puntuación pueden exigir decisiones muy diferentes: uno puede amenazar la integridad de las personas, otro afectar una actividad sustituible; uno puede tener controles rápidos de implantar y otro requerir rediseño, presupuesto o coordinación con un tercero.

Para ordenar riesgos de manera útil, conviene establecer criterios complementarios antes de puntuar:

• gravedad para personas, continuidad, información, bienes y obligaciones aplicables;
• velocidad con la que puede producirse el daño;
• capacidad de detección y respuesta antes de que escale;
• dependencias con otros procesos, sedes, proveedores o sistemas;
• evidencias de incidentes, intentos o fallos recurrentes;
• riesgo residual frente a la tolerancia aprobada por la organización.

El resultado puede clasificarse en riesgos que exigen acción inmediata, riesgos que requieren un plan con fecha, riesgos que deben vigilarse y riesgos aceptables bajo condiciones definidas. La categoría debe explicar la decisión, no sustituirla.

En el ejemplo del almacén, la coincidencia de transportistas y cambios de turno puede adquirir prioridad elevada si la mercancía es crítica, la trazabilidad de expediciones es limitada y no hay forma rápida de detectar una retirada irregular. Si el acceso está segmentado, cada entrada queda validada y las excepciones se revisan, el riesgo residual puede ser menor. La diferencia no la marca el nombre de la amenaza, sino el escenario y la eficacia demostrable de los controles.

Tratar un riesgo significa elegir una respuesta consciente. Las opciones habituales son eliminar la actividad o condición que genera la exposición, reducir la probabilidad o el impacto mediante controles, transferir parte de las consecuencias mediante contratos o seguros, o aceptar el riesgo residual dentro de los límites autorizados. Transferir no elimina la responsabilidad de gestionar el riesgo ni sustituye los controles necesarios.

Las medidas deben responder a la causa del escenario. Si el problema es una autorización confusa, añadir más cámaras puede no ser la respuesta principal. Si una zona crítica carece de detección o la respuesta ante una alarma es insuficiente, puede ser necesario combinar diseño físico, gestión de accesos, procedimientos, supervisión y continuidad operativa.

Una selección proporcionada suele aplicar capas de control:

• organizativas: roles, autorizaciones, formación, supervisión y gestión de terceros;
• físicas: distribución de espacios, cerramientos, almacenamiento seguro y señalización;
• electrónicas: detección, control de accesos, videovigilancia, comunicaciones y monitorización;
• operativas: respuesta, escalado, investigación, recuperación y pruebas.

Antes de aprobar una medida, valore su efecto esperado, coste total de implantación y mantenimiento, impacto en la operación, dependencia de proveedores, facilidad de uso y evidencia que permitirá comprobar su funcionamiento. Los controles deben configurarse y mantenerse para el propósito definido; instalar tecnología sin gobernanza ni revisión puede crear una falsa sensación de control.

La evaluación debe quedar documentada de forma que otra persona pueda comprender la lógica de cada decisión. Para cada riesgo priorizado, el registro debería incluir el escenario, activos y procesos afectados, controles existentes, valoración inherente y residual, evidencias consideradas, tratamiento elegido, responsable, recursos necesarios, fecha objetivo e indicadores de seguimiento.

Asignar un responsable no significa trasladarle todo el riesgo. Significa designar a quien coordina la acción, informa del avance y eleva bloqueos. La aprobación del nivel de riesgo aceptado corresponde al nivel de autoridad que tenga capacidad real para asumir sus consecuencias. Las medidas que afectan a varias áreas necesitan además responsables colaboradores y un mecanismo de coordinación.

La revisión no debe esperar a que ocurra un incidente grave. Active una nueva evaluación, total o focalizada, cuando haya cambios como apertura o cierre de sedes, modificaciones de horario, obras, incorporación de tecnología, cambios de proveedor, reorganizaciones, nuevos procesos, incidentes relevantes o alteraciones del entorno de amenaza. También conviene revisar periódicamente los riesgos críticos y la eficacia de sus controles.

La documentación gana valor cuando se conecta con la gestión diaria: mantenimiento, permisos, formación, simulacros, auditorías internas, seguimiento de acciones e indicadores. Así, la evaluación deja de ser una fotografía estática y se convierte en un instrumento de gobierno y mejora.