Qué debemos observar: cómo priorizar los riesgos mediante ESRM
Cierro mi serie sobre GSX 2026 con una sesión que significa mucho para mí: Qué debemos observar: cómo priorizar los riesgos mediante ESRM. Uno de sus ponentes, Antonio Bellorin, es un buen amigo y antiguo cliente de la época en que trabajamos juntos en British American Tobacco en Venezuela. Actualmente, se desempeña como CSO en el Tecnológico de Monterrey, en México.
Ese vínculo personal hizo que esta sesión fuera especial. Su contenido la convirtió en una elección adecuada para cerrar la serie.
La conversación abordó una pregunta conocida por quienes lideran la seguridad: cuando las amenazas siguen multiplicándose, ¿cómo decidimos cuáles merecen nuestra atención? A través de la Gestión de Riesgos de Seguridad Empresarial, o ESRM por sus siglas en inglés, el panel exploró cómo vincular las prioridades de seguridad con los objetivos organizacionales, establecer responsabilidades claras y construir las relaciones necesarias para tomar decisiones informadas.
Mi principal aprendizaje fue que una priorización de riesgos útil comienza por comprender qué buscan lograr las personas.
Comenzar por los objetivos
Antonio describió una organización cuyas actividades abarcan la educación, la atención médica y la investigación, entre otras. En ese entorno, las prioridades de seguridad incluyen la protección de las personas, la seguridad en los viajes, la continuidad, la exposición a riesgos regulatorios y la reputación. Cada institución tiene responsabilidades distintas y enfrenta consecuencias distintas cuando algo sale mal.
Una conversación útil sobre riesgos debe tener en cuenta esas diferencias.
El enfoque de Antonio comienza por las personas responsables de los objetivos y los procesos. Ellas conocen las operaciones diarias, reconocen sus limitaciones y, con frecuencia, perciben problemas emergentes antes de que aparezcan en un informe formal.
Su relato sobre la creación de una función de seguridad en Reckitt lo ilustró bien. Las preguntas iniciales se centraban en lo que hacían sus colegas, en lo que exigían sus planes anuales y en lo que les impedía alcanzar sus metas. Esas conversaciones revelaron pérdidas recurrentes de carga y preocupaciones relacionadas con los viajes que se habían aceptado como parte de la actividad empresarial.
La lección es práctica: la función de seguridad capta la atención de las personas cuando les ayuda a resolver sus problemas. A medida que esos problemas se resuelven, los colegas muestran una mayor disposición a compartir información. Eso crea una base más sólida para identificar el siguiente riesgo.
La confianza determina lo que llega a conocer la función de seguridad
La confianza fue un tema recurrente en el panel. Un mapa de partes interesadas puede identificar a las personas con las que seguridad necesita relacionarse, pero la calidad de esas relaciones determina cuánta información útil se obtiene.
Las personas pueden compartir solo una parte de sus preocupaciones. Pueden suponer que el departamento de seguridad ya cuenta con un proceso. Pueden haber normalizado una pérdida recurrente o creer que reportarla no servirá de mucho.
Escuchar con atención, formular preguntas bien fundamentadas y brindar apoyo útil puede cambiar esa situación.
Los ejemplos del panel sobre cadenas de suministro mostraron por qué esto importa. Una organización puede tener poca presencia directa en un lugar afectado por una interrupción y, aun así, depender de componentes que transitan por ese lugar. Sin una comprensión clara de esas dependencias, un informe de inteligencia puede pasar por alto la consecuencia operativa más importante.
Para mí, esta fue una de las observaciones más valiosas de la sesión. La inteligencia de seguridad resulta útil cuando alguien puede explicar cómo un acontecimiento afecta una operación, una decisión o un objetivo específico.
Las prioridades necesitan criterios compartidos
Incluso cuando existen buenas relaciones, los líderes de seguridad enfrentan demandas que compiten entre sí. Varias partes interesadas pueden tener preocupaciones legítimas al mismo tiempo, mientras que los recursos siguen siendo limitados.
Antonio describió tres factores para establecer prioridades: impacto, exposición y velocidad.
El impacto se refiere a las consecuencias para las personas, la continuidad y la reputación. La exposición se relaciona con las vulnerabilidades y las condiciones que hacen posibles esas consecuencias. La velocidad se relaciona con la rapidez con que evoluciona una situación y con el tiempo disponible para actuar.
Estos factores ayudan a convertir una preocupación general en una decisión sobre su urgencia.
El panel también abordó la importancia de acordar las definiciones de impacto antes de que ocurra un incidente. Uno de los ejemplos fue una tabla de impacto de cinco niveles que abarcaba personas, bienes y operaciones. Contar con definiciones compartidas ofrece a las partes interesadas una base para analizar la gravedad y asignar recursos.
Esas definiciones también deben estar abiertas a revisión. Cuando la reacción de una parte interesada parece mucho más intensa de lo que indica la evaluación del riesgo, la seguridad debe investigar la causa de esa diferencia. La evaluación puede haber pasado por alto una dependencia o una consecuencia operativa.
Un marco de gestión se vuelve más útil a medida que la organización aprende de su aplicación.
Las responsabilidades deben mantenerse claras.
La explicación de Antonio sobre la gobernanza reforzó un principio central de ESRM: las personas que deben responder por los objetivos organizacionales deben participar en las decisiones sobre los riesgos que los afectan.
Seguridad aporta inteligencia, metodología, opciones de mitigación y una visión del conjunto de la organización. Los líderes operativos aportan el conocimiento de sus actividades y asumen la responsabilidad de las decisiones en su ámbito de autoridad.
Su descripción de cómo se presentan los perfiles de riesgo de cada institución, junto con los respectivos responsables de dichos riesgos, hizo tangible esa rendición de cuentas. En la conversación participan los líderes, quienes deben explicar la exposición y la respuesta propuesta.
Este enfoque requiere que la información circule en ambas direcciones. La alta dirección establece la orientación estratégica; los equipos operativos aportan los detalles necesarios para comprender lo que sucede en la práctica.
Antonio también compartió una reflexión franca sobre lo que haría de otra manera: escuchar, en paralelo, tanto a los líderes estratégicos como a los equipos operativos. Conocer ambas perspectivas desde el principio ayuda a comprender mejor la organización y a comprobar sus supuestos antes de que estos se incorporen a sus prioridades.
La atención es un recurso limitado
La sesión volvió repetidamente a la presión de gestionar demasiadas preocupaciones a la vez. Priorizar implica decidir qué riesgos requieren una intervención inmediata y cuáles pueden mantenerse bajo seguimiento rutinario.
Los riesgos de menor prioridad también necesitan responsables definidos y criterios claros para elevarlos al nivel correspondiente. Su situación puede cambiar a medida que aumenta la exposición, se comprenden mejor las consecuencias o se aceleran los acontecimientos.
Los líderes también necesitan información adecuada para tomar las decisiones que deben tomar. Comunicar cada novedad con la misma urgencia dificulta identificar cuáles realmente requieren acción. Los umbrales claros ayudan a comprender cuándo responder a nivel local, cuándo elevar un asunto a otro nivel y qué necesita saber la dirección.
Las reflexiones finales del panel llevaron esta disciplina al plano personal. La conversación destacó el ejercicio, el tiempo en familia y la importancia de concentrarse en el siguiente problema que se puede resolver. Mantener un buen criterio también requiere cuidar a quien toma las decisiones.
Una reflexión personal para cerrar
Me alegra cerrar esta serie con la contribución de Antonio. Nuestra amistad y nuestro vínculo profesional dan a este artículo un significado personal. Su perspectiva desde el Tecnológico de Monterrey también sitúa la conversación en un contexto en el que las decisiones de seguridad afectan el aprendizaje, la atención médica y la vida cotidiana de una comunidad diversa.
La sesión me deja una pregunta clara para que los líderes de seguridad la lleven a su próxima conversación:
¿Qué estás tratando de lograr y qué podría impedirte conseguirlo?
Escuchar atentamente la respuesta es el punto de partida para una priorización de riesgos útil. También es una reflexión apropiada para cerrar mi serie sobre GSX 2026.