Un análisis de riesgos de seguridad es el proceso de identificar amenazas y vulnerabilidades de una organización, estimar su probabilidad e impacto, priorizarlas y decidir cómo tratarlas. Con ISO 31000 se sigue un ciclo de comunicación y consulta, definición del alcance y los criterios, evaluación del riesgo (identificar, analizar y valorar), tratamiento, seguimiento y registro, que permite justificar con evidencia cada inversión en seguridad.
La mayoría de las empresas invierten en seguridad después de un incidente. Un análisis de riesgos invierte esa lógica: permite entender qué puede pasar, qué tan probable es, qué consecuencias tendría y qué medidas valen la pena antes de que ocurra. Esta guía explica cómo hacerlo con el enfoque de ISO 31000 aplicado a la seguridad física y operativa.
¿Qué es ISO 31000 y por qué sirve para seguridad?
ISO 31000 es la norma internacional de gestión del riesgo. Su versión vigente es la de 2018 y no es certificable: ofrece principios, un marco y un proceso que cualquier organización puede adaptar. Es útil para seguridad porque es agnóstica del sector y obliga a basar las decisiones en evidencia y en el contexto de cada operación.
- 8 principios (integración, estructuración, personalización, inclusión, dinamismo, mejora continua, mejor información disponible y factores humanos y culturales).
- 5 componentes del marco: liderazgo y compromiso, integración, diseño, implementación y adaptación y mejora.
- Un proceso: comunicación y consulta; alcance, contexto y criterios; evaluación del riesgo; tratamiento; seguimiento y revisión; registro e informe.
El proceso en 6 pasos aplicado a seguridad
- Define alcance, contexto y criterios. ¿Qué sedes, procesos y activos analizas? ¿Qué entorno los rodea? ¿Qué nivel de riesgo tolera la organización?
- Identifica los riesgos. Amenazas (hurto, intrusión, fraude, sabotaje, extorsión, afectación del personal, falla de sistemas, eventos naturales) y vulnerabilidades (accesos, procesos, tecnología, personas).
- Analiza los riesgos. Estima la probabilidad y el impacto de cada uno, considerando los controles que ya existen.
- Valora y prioriza. Compara cada riesgo con tus criterios y ordena: qué se trata ya, qué se monitorea y qué se acepta.
- Trata los riesgos. Elige medidas, responsables, plazos y presupuesto.
- Monitorea, revisa y registra. Define indicadores, revisiones periódicas y trazabilidad de decisiones.
En ISO 31000 esta actividad acompaña todo el proceso: involucra a operaciones, talento humano, jurídico, TI y a los responsables de cada proceso. Un análisis hecho solo desde seguridad suele perder riesgos importantes.
Paso 1: alcance, contexto y criterios
Sin un alcance claro, el análisis se vuelve interminable. Documenta:
- Alcance: instalaciones, procesos críticos, activos (personas, bienes, información, reputación) y horizonte de tiempo.
- Contexto externo: entorno geográfico, dinámica delictiva de la zona, normativa aplicable, clientes y proveedores.
- Contexto interno: estructura, cultura, tecnología, nivel de madurez de la seguridad y recursos disponibles.
- Criterios de riesgo: escalas de probabilidad e impacto y el nivel de riesgo aceptable para la alta dirección.
Paso 2: identificar riesgos de seguridad
Combina varias técnicas para no depender de una sola mirada:
- Inspección y recorrido de instalaciones (accesos, perímetro, iluminación, puntos ciegos).
- Revisión de incidentes históricos, minutas y reportes.
- Entrevistas y talleres con los dueños de los procesos.
- Análisis del entorno y del contexto delictivo de la zona.
- Revisión de controles existentes: guardas, CCTV, control de acceso, procedimientos.
Describe cada riesgo con una frase causal: “Debido a [causa/vulnerabilidad], puede ocurrir [evento], con consecuencia [impacto] sobre [activo]”.
Paso 3: analizar probabilidad e impacto con una matriz
La matriz de probabilidad por impacto es la herramienta más usada para priorizar. Un esquema común de 5x5 califica cada dimensión del 1 al 5 y multiplica:
| Puntaje (P × I) | Nivel | Respuesta típica |
|---|---|---|
| 1 a 4 | Bajo | Aceptar y monitorear |
| 5 a 9 | Moderado | Tratar con medidas razonables y revisar |
| 10 a 16 | Alto | Plan de tratamiento con responsable y plazo |
| 17 a 25 | Crítico | Acción inmediata y seguimiento de la alta dirección |
Los rangos son un ejemplo ilustrativo. Cada organización define los suyos en el paso de criterios.
Ejemplo ilustrativo de un riesgo
| Campo | Ejemplo |
|---|---|
| Riesgo | Ingreso no autorizado a la bodega por el acceso de proveedores |
| Causa | Verificación manual inconsistente y sin registro digital |
| Probabilidad / Impacto | 4 / 4 = 16 (Alto) |
| Controles actuales | Un guarda, minuta en papel, cámara sin monitoreo |
| Tratamiento | Control de acceso con registro digital, verificación por video y protocolo de proveedores |
| Responsable y plazo | Gerente de operaciones, 90 días |
| Indicador | Ingresos verificados / ingresos totales; incidentes de acceso |
Paso 4: valorar y priorizar
Ordena los riesgos de mayor a menor y decide con la dirección cuáles se tratan primero. Considera también la velocidad de materialización, la dependencia entre riesgos y el costo de tratarlos frente al costo de que ocurran. Aquí se separan los riesgos que exigen inversión de los que se manejan con procedimientos o capacitación.
Paso 5: tratar los riesgos
ISO 31000 contempla distintas opciones de tratamiento. En seguridad suelen traducirse así:
| Opción | Qué implica | Ejemplo en seguridad |
|---|---|---|
| Evitar | Eliminar la actividad o condición que genera el riesgo | Reubicar un almacenamiento fuera de una zona expuesta |
| Reducir probabilidad | Fortalecer prevención y disuasión | Control de acceso, iluminación, rondas, CCTV con analítica |
| Reducir impacto | Limitar las consecuencias si ocurre | Protocolos de respuesta, copias de seguridad, plan de continuidad |
| Compartir o transferir | Distribuir el riesgo con terceros | Seguros, contratos con proveedores especializados |
| Aceptar | Retener el riesgo de forma consciente y documentada | Riesgos bajos con costo de control desproporcionado |
Al elegir medidas, combina personas, procesos y tecnología. Una cámara sin monitoreo ni protocolo de reacción rara vez reduce el riesgo. Por eso las soluciones más efectivas integran vigilancia especializada, seguridad electrónica, monitoreo y portería remota y drones según el caso.
Paso 6: seguimiento, revisión y registro
- Define indicadores por riesgo (incidentes, tiempos de respuesta, cumplimiento de controles).
- Revisa el análisis cuando cambie el contexto: nueva sede, nuevo proceso, incidentes relevantes o cambios en el entorno, además de una revisión periódica.
- Registra decisiones, responsables y resultados en un registro de riesgos accesible para auditorías internas y externas.
- Reporta a la alta dirección con un tablero simple: riesgos críticos, avance de tratamientos y tendencias.
Errores frecuentes al analizar riesgos de seguridad
- Hacerlo una sola vez y archivarlo; el riesgo cambia con el entorno.
- Limitarse a una lista de amenazas sin estimar probabilidad e impacto.
- Calificar sin criterios definidos: cada persona usa su propia escala.
- Proponer controles sin responsable, plazo ni indicador.
- Ignorar a los dueños de proceso y a quienes operan en campo.
- Invertir en tecnología sin diseñar el procedimiento humano que la sostiene.
Qué entregables debe dejar un buen estudio de seguridad
- Alcance, contexto y criterios documentados.
- Registro de riesgos con causas, controles actuales y nivel de riesgo.
- Mapa o matriz de riesgos priorizada.
- Plan de tratamiento con medidas, responsables, plazos y presupuesto estimado.
- Indicadores de seguimiento y calendario de revisión.
- Resumen ejecutivo para la alta dirección.
Cómo lo aplica Custodiar
Custodiar Intel™ es la línea de consultoría, análisis de riesgos e inteligencia aplicada de Custodiar LTDA. Sus estudios de seguridad parten del conocimiento de tu operación, tu entorno y tus activos, y se conectan con la metodología Smart Protection Framework™ de Custodiar: identificar, diseñar, implementar, monitorear y mejorar. Así, las recomendaciones no quedan en un documento: se convierten en soluciones operativas con vigilancia, tecnología y monitoreo.
¿Quieres un análisis de riesgos para tu operación?
Custodiar Intel™ realiza estudios de seguridad y análisis de riesgos adaptados a tu entorno, tus activos y tu nivel de exposición, con recomendaciones priorizadas y accionables.
Conocer Custodiar Intel™ → Escríbenos por WhatsAppPreguntas frecuentes
¿Qué es un análisis de riesgos de seguridad?
Es la evaluación sistemática de las amenazas y vulnerabilidades de una organización para estimar su probabilidad e impacto, priorizarlas y definir medidas de tratamiento. Su resultado es un plan de acción basado en evidencia.
¿ISO 31000 es una certificación?
No. ISO 31000 es una norma de directrices: ofrece principios, marco y proceso para gestionar el riesgo, pero no se certifica. Las organizaciones la usan como referencia para estructurar su gestión.
¿Cada cuánto debo actualizar el análisis de riesgos?
Cuando cambie el contexto (nuevas sedes, procesos, incidentes relevantes o variaciones del entorno) y con una revisión periódica definida por tu organización. ISO 31000 enfatiza que la gestión del riesgo es dinámica.
¿Qué diferencia hay entre un análisis de riesgos y un estudio de seguridad?
El análisis de riesgos prioriza eventos según probabilidad e impacto; el estudio de seguridad suele abarcar además la revisión de instalaciones, controles, procesos y entorno para recomendar medidas concretas. En la práctica se complementan.
¿Cuánto tarda un análisis de riesgos?
Depende del alcance: número de sedes, complejidad de procesos y disponibilidad de información. Se define en una fase de diagnóstico inicial junto con el cronograma y los entregables.
¿Quién debe participar en el análisis?
Seguridad, operaciones, talento humano, jurídico, TI, calidad y los dueños de los procesos críticos. La participación de quienes operan en campo evita puntos ciegos.
Equipo Custodiar LTDAEmpresa colombiana de seguridad integral, vigilada por la Superintendencia de Vigilancia y Seguridad Privada, con más de tres décadas de trayectoria (desde 1990) y sede en Bogotá. Contenido elaborado por nuestro equipo con base en normativa y buenas prácticas del sector.
