El análisis de riesgos de seguridad ordena decisiones sobre activos, amenazas y vulnerabilidades para decidir dónde colocar controles y quién debe operarlos. Su resultado útil es una matriz que muestra la probabilidad, el impacto, las medidas existentes y el riesgo residual de cada escenario; así, seguridad, operaciones y protección civil comparten una misma base para priorizar correcciones.
Análisis de riesgos de seguridad: el alcance antes de puntuar
Una matriz pierde valor cuando empieza con calificaciones sin haber delimitado lo que se busca proteger. El primer paso consiste en reconocer activos físicos, personas, información, procesos y servicios que permiten operar. Cada activo necesita una ubicación, un dueño y una consecuencia concreta si queda expuesto. No basta enumerar cámaras, puertas o mercancía: el análisis debe explicar qué proceso se interrumpe, qué personas pueden quedar afectadas y qué dependencia vuelve crítica a una zona aparentemente secundaria.
Activos que cambian la prioridad de un escenario
La prioridad no corresponde automáticamente al objeto de mayor valor económico. Un cuarto de comunicaciones, una salida utilizada por varios turnos o el expediente que autoriza un embarque pueden tener consecuencias mayores que un equipo costoso con reemplazo disponible. Identificar esa relación permite distinguir entre una pérdida local y una interrupción que se propaga a otras áreas.
Dueño del activo y dueño de la decisión
El responsable del activo aporta cómo se usa y qué ocurre si falta; el responsable de seguridad traduce esa información en amenazas, controles y evidencia. Protección civil, mantenimiento y tecnologías de información participan cuando la condición involucra instalaciones, evacuación o sistemas digitales. La matriz debe indicar quién acepta una medida temporal y quién autoriza una corrección permanente, para que una incidencia no termine entre áreas sin seguimiento.
El perímetro también incluye flujos
Los puntos de carga, accesos de contratistas, salas de espera y rutas internas merecen revisión porque conectan personas, materiales e información. Un perímetro trazado sólo en el plano puede dejar fuera las transferencias que ocurren entre un vehículo, una recepción y un área restringida.
Cómo separar amenazas, vulnerabilidades y consecuencias
Una amenaza describe aquello que podría producir daño o interrupción: acceso no autorizado, sustracción, sabotaje, incendio, falla de un servicio o divulgación indebida de información. La vulnerabilidad señala la brecha aprovechable, como una credencial compartida, una cámara sin revisión, un equipo contra incendio inaccesible o una consigna ambigua. La consecuencia expresa el efecto sobre personas, activos y operación. Esas tres columnas deben quedar separadas para que la medida elegida responda a un problema identificable.
| Activo o proceso | Amenaza | Vulnerabilidad observada | Consecuencia posible | Control y evidencia | Riesgo residual |
|---|---|---|---|---|---|
| Andén de embarques | Retiro no autorizado de mercancía | Salidas sin cotejo entre orden y carga | Diferencia de inventario y disputa de entrega | Validación documental, registro de placas y revisión de salida | Se conserva ante colusión o datos incorrectos |
| Sala de servidores | Acceso indebido o daño intencional | Permisos sin revisión y puerta con llave compartida | Interrupción de comunicaciones y pérdida de registros | Lista de autorizados, bitácora de acceso y revisión de permisos | Permanece por acceso autorizado mal utilizado |
| Ruta de evacuación | Humo, fuego o evacuación | Materiales almacenados frente a una salida | Retraso en el desalojo y exposición de ocupantes | Recorridos, reporte inmediato y evidencia de liberación | Subsiste si el obstáculo reaparece entre recorridos |
| Área con inflamables | Ingreso de personas no autorizadas | Falta de control sobre visitas y contratistas | Exposición a materiales peligrosos o inicio de emergencia | Autorización previa, registro y acompañamiento definido | Continúa por incumplimiento individual |
| Centro de monitoreo | Pérdida de visibilidad operativa | Alertas sin responsable de recepción | Eventos sin atención dentro del turno | Escalamiento, prueba de comunicación y bitácora de atención | Depende de la disponibilidad de personal y sistemas |
Probabilidad e impacto sin una precisión ficticia
La probabilidad puede calificarse con una escala interna siempre que el equipo defina qué evidencia distingue una ocurrencia poco frecuente de una repetida. El impacto debe considerar primero a las personas y después la continuidad, los activos, la información y las obligaciones operativas.
Controles que reducen exposición y dejan evidencia
Los controles físicos limitan o detectan accesos; los tecnológicos registran o alertan; los administrativos definen autorizaciones, recorridos y respuestas. Un control sólo cuenta en la matriz cuando tiene un propósito específico, una persona encargada y una forma de comprobar que opera. Una cámara sin ángulo útil, una llave sin inventario o una regla que el turno desconoce no deben calificarse como barreras completas. Conviene valorar la combinación de controles, pues una sola medida puede fallar o quedar fuera de servicio.
Para comparar el alcance del servicio externo con las reglas que debe conservar el centro de trabajo, consulte proveedor de seguridad privada para empresas. SeguridadPrivadaMX puede participar en vigilancia y monitoreo, mientras la empresa define los activos, autoriza sus controles y conserva la conducción de sus procedimientos internos.
La seguridad patrimonial en empresas ayuda a delimitar activos y continuidad, mientras la prevención de pérdidas permite convertir hallazgos sobre inventario, movimientos y evidencia en controles operativos.
Los entregables que permiten usar el análisis después de la reunión son los siguientes:
- Inventario de activos, procesos y áreas incluidos, con su responsable.
- Matriz con amenaza, vulnerabilidad, impacto, probabilidad, control actual y riesgo residual.
- Lista de acciones priorizadas con responsable, fecha de revisión y evidencia esperada.
- Croquis o referencia de ubicaciones cuando la condición depende de accesos, rutas o equipos.
Riesgo de incendio dentro de la matriz de seguridad
El incendio debe aparecer como escenario propio porque puede afectar simultáneamente la integridad de las personas, las instalaciones, el inventario y la continuidad. En los centros de trabajo, la NOM-002-STPS-2010 pide clasificar el riesgo de incendio como ordinario o alto en el numeral 5.1. Esa clasificación no sustituye la matriz patrimonial, pero aporta un dato operativo para identificar áreas, actividades y medidas que deben coordinarse con la seguridad del inmueble.
La misma revisión debe comprobar que los controles de seguridad no bloqueen la respuesta. La NOM-002-STPS-2010 prohíbe en 7.10 el bloqueo, daño, inutilización o uso inadecuado de equipos y sistemas contra incendio; el 7.14 prohíbe colocar materiales u objetos que impidan el acceso a equipos, alarmas o sistemas fijos. En una matriz, esas condiciones pueden registrarse como vulnerabilidades con una corrección asignada, sin confundir la observación cotidiana con una revisión técnica de los equipos.
Protección civil, brigada y vigilancia tienen funciones distintas
El capítulo 8 de la NOM-002-STPS-2010 aborda el plan de atención a emergencias y el capítulo 9 trata las brigadas contra incendio. Seguridad puede apoyar con el resguardo de accesos, el aviso a las personas indicadas y el control de reingresos, pero no reemplaza las tareas asignadas a la brigada ni el plan. Para vincular escenarios, comunicaciones y medidas de respuesta, revise el plan de emergencia NOM-002 y la función de la brigada contra incendios.
Coordinación documentada entre áreas
El análisis debe registrar quién comunica el hallazgo y quién confirma su corrección para que la medida no quede sólo como una instrucción verbal.
Cómo hacer un análisis de riesgos de seguridad paso a paso
Una matriz se vuelve administrable cuando cada registro termina en una decisión. El equipo puede iniciar con los datos reunidos y corregirlos después de verificar el sitio, pero no debe marcar un control como concluido sin evidencia. La revisión periódica compara el riesgo inicial con el residual y confirma si la medida redujo la vulnerabilidad prevista. Cuando no la reduce, se modifica el control, se eleva la decisión o se ajusta el escenario para reflejar la condición real.
- Delimite el inmueble, procesos, turnos y activos que formarán parte del análisis.
- Recorra las áreas para registrar amenazas y vulnerabilidades observables, junto con los responsables locales.
- Describa impacto y probabilidad con criterios previamente acordados por el equipo.
- Documente los controles actuales y la evidencia que demuestra su aplicación.
- Califique el riesgo residual, asigne acciones y defina quién acepta cada exposición pendiente.
- Actualice la matriz al cambiar la operación, después de un incidente o cuando una prueba muestre que el control no funciona como se esperaba.
Preguntas frecuentes
¿Qué es un análisis de riesgo?
Un análisis de riesgo identifica los activos que se busca proteger, las amenazas que pueden afectarlos, las vulnerabilidades que facilitan el evento y sus posibles consecuencias. Después relaciona cada escenario con controles, responsables y evidencia para priorizar acciones. Su propósito no es eliminar toda exposición, sino decidir qué riesgos requieren corrección, cuáles se aceptan y cómo se revisará el resultado de las medidas aplicadas.
¿Cómo hacer un análisis de riesgo en una empresa?
Delimite el inmueble, procesos, turnos y activos incluidos; después recorra las áreas para registrar amenazas y vulnerabilidades observables. Defina impacto y probabilidad con criterios acordados, documente controles y evidencia disponible, y asigne responsables para las acciones pendientes. Finalmente, valore el riesgo residual y actualice la matriz cuando cambie la operación, ocurra un incidente o una prueba revele que un control no funciona como se esperaba.
¿Qué diferencia hay entre una amenaza y una vulnerabilidad?
La amenaza es el evento o actor que puede causar una afectación, como una intrusión, un incendio o una falla deliberada. La vulnerabilidad es la condición que facilita ese resultado, por ejemplo una puerta sin control, una ruta bloqueada o un procedimiento que nadie conoce. Separarlas evita corregir sólo el síntoma y permite asignar controles sobre la causa que sí puede modificarse.
¿La matriz de riesgos de seguridad debe incluir proveedores y visitantes?
Sí, cuando su ingreso, actividad o acceso a información pueda modificar la exposición del centro de trabajo. El análisis debe registrar qué áreas pueden visitar, qué autorización requieren, quién supervisa su estancia y qué sucede ante una alarma. No se trata de clasificar personas como riesgos por sí mismas, sino de revisar las condiciones de acceso, acompañamiento y comunicación que la operación necesita.
¿Con qué frecuencia se actualiza un análisis de riesgos de seguridad?
La periodicidad se define por los cambios reales del sitio, no por una fecha aislada. Debe revisarse tras un incidente, un simulacro, una ampliación, una modificación de procesos, un cambio de horarios o la incorporación de un activo crítico. También conviene contrastar la matriz con los reportes recurrentes, porque varios eventos menores pueden revelar una exposición que no se había valorado correctamente.
¿El riesgo residual significa que el control falló?
No. El riesgo residual es la exposición que permanece después de aplicar los controles definidos. Puede ser aceptable si la dirección conoce su efecto, existe un responsable y hay medidas de respuesta proporcionadas. Si el resultado supera lo que la empresa acepta, se agregan o rediseñan controles. Registrar el residual evita presentar una barrera parcial como si eliminara por completo la posibilidad de pérdida.
