Cuando nadie gobierna la seguridad: el coste de decidir por fragmentos.

En muchas organizaciones la seguridad no está desatendida. Hay controles, procedimientos, proveedores, responsables y presupuesto. Sin embargo, nadie puede explicar con claridad cómo encajan todas esas piezas ni quién decide cuando compiten distintas prioridades.

La seguridad existe, pero no está gobernada.

Rara vez se llega a esta situación por una decisión consciente. Suele aparecer poco a poco. Cada área resuelve los problemas que conoce, responde a sus urgencias y toma decisiones dentro de su ámbito. El resultado puede parecer razonable visto por departamentos y, al mismo tiempo, ser incoherente cuando se observa como un sistema.

Muchas decisiones razonables pueden producir un mal sistema

Mantenimiento decide sobre accesos e instalaciones. Tecnología protege sistemas y datos. Recursos Humanos interviene en altas, bajas y cambios de personal. Prevención organiza la respuesta ante emergencias. Operaciones contrata vigilancia o establece controles. Compras negocia proveedores, precios y renovaciones.

Cada área aporta una perspectiva necesaria. El problema no es que participen muchas personas. El problema aparece cuando no existe un criterio común que conecte sus decisiones con los riesgos y las prioridades del negocio.

Entonces nadie mantiene una visión consolidada: qué se protege, frente a qué, con qué medidas, quién responde, qué dependencias existen y qué consecuencias tendría que una pieza fallara.

El coste se esconde entre las piezas

El primer efecto de una gestión fragmentada son los vacíos y las duplicidades. Puede haber zonas o procesos sometidos a varios controles y otros que nadie ha evaluado. También puede ocurrir que dos medidas funcionen por separado, pero no compartan información, criterios de alarma o procedimientos de respuesta.

El segundo coste es económico. Las inversiones dejan de responder a una hoja de ruta y empiezan a depender del presupuesto disponible, del último incidente o de la propuesta de un proveedor. Se renuevan contratos por inercia, se incorporan soluciones sin comprobar su encaje y se corrigen síntomas sin actuar sobre la causa.

El tercero es operativo. Cuando ocurre algo, cada área observa solo su parte. La información tarda en reunirse, las decisiones se elevan tarde y las lecciones del incidente no siempre se trasladan al resto de la organización.

Y existe un cuarto coste, menos visible: la responsabilidad se diluye. Todos han cumplido con su cometido, pero nadie se siente dueño del resultado global.

Una empresa puede terminar gastando más y protegiéndose peor, no porque falten medidas, sino porque nadie las ha ordenado como un conjunto.

Tener medidas no equivale a tener un sistema

Un sistema de seguridad no se define por la cantidad de tecnología, procedimientos o proveedores que acumula. Se reconoce porque todas sus piezas responden a una misma lógica.

La organización sabe qué necesita proteger, conoce sus riesgos prioritarios, ha asignado responsabilidades, dispone de criterios para decidir y comprueba periódicamente si las medidas implantadas siguen siendo adecuadas.

Cuando esa lógica no existe, la seguridad crece por acumulación. Cada nueva necesidad añade otra capa, pero rara vez se revisa el conjunto. Con el tiempo, resulta difícil saber qué aporta valor, qué se solapa, qué ha quedado obsoleto y dónde permanece la verdadera exposición.

Gobernar no significa centralizarlo todo

Gobernar la seguridad no exige que una sola persona tome todas las decisiones ni que las áreas pierdan autonomía. Las decisiones deben seguir cerca de quienes conocen los procesos. Lo que necesitan es una dirección compartida.

Gobernar significa establecer quién mantiene la visión completa; con qué criterios se priorizan los riesgos; cómo se coordinan las áreas y los proveedores; qué decisiones requieren escalado; quién verifica la implantación; y qué información necesita recibir Dirección.

También significa conectar la seguridad con los cambios empresariales. Una ampliación, una nueva planta, un cambio de horarios, la entrada de un proveedor crítico, una reorganización interna o una nueva dependencia tecnológica pueden alterar la exposición de la empresa. Si la seguridad conoce esos cambios cuando ya se han producido, siempre llega tarde.

Cinco preguntas que Dirección debería poder responder

1. ¿Quién tiene hoy la visión completa de la seguridad?
Alguien debe poder explicar el conjunto, no únicamente una instalación, un contrato o una disciplina técnica.

2. ¿Con qué criterio se decide qué es prioritario?
La urgencia, el presupuesto disponible o la recomendación de un proveedor no deberían sustituir a una valoración de riesgo e impacto.

3. ¿Quién comprueba que las medidas encajan entre sí?
Implantar controles aislados no garantiza una respuesta coordinada cuando se produce un incidente.

4. ¿Cómo se convierten los incidentes en aprendizaje?
Registrar lo ocurrido no basta. Hay que identificar causas, revisar decisiones y trasladar las conclusiones allí donde puedan repetirse.

5. ¿Qué información llega a Dirección y cuándo?
Dirección no necesita recibir cada detalle operativo, pero sí conocer la exposición relevante, la evolución de los riesgos, el grado de ejecución y la preparación real de la organización.

Cuando estas preguntas no tienen una respuesta clara, el problema principal no suele ser técnico. Es un problema de gobierno.

Ordenar antes de volver a invertir

El primer paso no tiene por qué ser comprar más ni sustituir lo que ya existe. En muchos casos conviene empezar por hacer visible el sistema actual: decisiones, contratos, proveedores, procedimientos, responsables, dependencias e información disponible.

Después hay que identificar los riesgos que requieren atención, aclarar quién decide sobre ellos y establecer una hoja de ruta común. Pocas prioridades, responsables definidos, plazos realistas y una forma sencilla de comprobar avances.

Una función de Dirección de Seguridad —interna o externa— puede actuar como punto de integración. No sustituye a Tecnología, Prevención, Recursos Humanos, Operaciones o Compras. Les proporciona un marco común, coordina las dependencias y convierte cuestiones dispersas en decisiones que Dirección puede comprender y gobernar.

Ese es el cambio esencial: pasar de administrar medidas aisladas a dirigir un sistema.

El verdadero coste de la fragmentación

El coste de decidir por fragmentos no siempre aparece claramente en un presupuesto. Se descubre en inversiones que no reducen el riesgo, en vacíos que nadie había visto, en respuestas que llegan tarde y en decisiones que se vuelven difíciles de explicar cuando algo falla.

La seguridad madura cuando cada área conoce su papel, alguien conserva la visión completa y Dirección puede decidir con información suficiente.

Porque gobernar la seguridad no consiste en controlarlo todo. Consiste en conseguir que las decisiones importantes dejen de tomarse por separado.