RISK CONSULTING CENTER S.A.S. Julio - 2017

EL IMPACTO DE LO ALTAMENTE IMPROBABLE EN LA GESTIÓN DE LA SEGURIDAD EMPRESARIAL

¿Cómo Mitigar Incidentes de Seguridad desde la Gestión de Riesgos?

Por: Francisco M. Andrade C.* MGR

Tras los incidentes y atentados terroristas que se han presentado durante este año en la ciudad de Bogotá, se abre una vez más la discusión sobre la vulnerabilidad de la ciudad ante el incremento de estas acciones criminales que comprometen la confianza y tranquilidad ciudadana.

Los Cisnes Negros

Cuando en 1606 los europeos descubrieron a Australia, sin pensarlo, también se encontraron con un animal nunca antes visto. Antes de esta fecha existía la certeza de que todos los cisnes eran blancos, pero entonces, un cisne negro (cygnus atratus) se alzó frente a sus ojos. Los cisnes negros son aves que representan hechos sin precedentes, cuyo plumaje desafía lo que damos por cierto. Nassim Nicholas Taleb en su libro “The black swan. The impact of the highly improbable”, afirma que es posible identificar un cisne negro como un evento con tres características: 1. El evento es sorprendente, no habia ocurrido hasta

entonces, y muy pocos (o nadie) podrian haber pensado que podria ocurrir.

2. El impacto es enorme, extremo (positivo o negativo).

3. Una vez ocurrido, la explicacion de por que ocurrio y el mecanismo de como podria haber sido predicho es relativamente simple.

Frente a tal rareza de animal, cualquiera pensaría que nace esporádicamente. Pero los cisnes negros emergen más frecuentemente de lo que creemos.

“Su aliado estratégico para la protección integral y generación de valor de su empresa"

www.riskconsultingcenter.com

Lo Improbable, la Incertidumbre y la Seguridad Seguramente algunas veces nos hemos preguntado: ¿Qué más nos hace falta para poder evitar este tipo de incidentes?, ¿En donde estamos fallando?, ¿Acaso es inevitable poder anticiparnos a situaciones que comprometan la integridad de las personas y de la seguridad en general?, o quizas, ¿Somos lo suficientemente arrogantes para creer entender un mundo totalmente impredecible?. A partir de estos cuestionamientos es que nos enfocamos a analizar y entender la relación que tienen los cisnes negros con la seguridad empresarial, y como la improbabilidad e incertidumbre se diluyen a traves de la gestión de los riesgos.

Interesados en comprender la dinámica de los cisnes negros en la obra de Nassim Taleb, encontramos una pregunta que nos ha llamado poderosamente la atención: ¿por qué los seres humanos permanecemos ciegos frente a su presencia?, o mejor aún, ¿estamos padeciendo de miopia estrategica? Es decir, ¿porqué nos enfocamos en lo urgente y no en lo importante, sin proyectar las grandes tendencias o cambios que estan por venir?. Podemos decir que su libro es una fuerte crítica a los “científicos sociales”, que en su opinión, operan bajo la falsa creencia de poder medir la incertidumbre simplemente con estadísticas. El principal mensaje que podemos extraer de los cisnes negros es aprender a reemplazar parte del tiempo que dedicamos a tratar de pronosticar, a empezar a prever un futuro cada vez más complejo. El énfasis debe estar en la prevención.

Los “cisnes negros” son los grandes riesgos que cada dia afectan a las empresas y personas. Son reales, pero también previsibles. La gestión de los riesgos nos ayuda a identificarlos y entenderlos antes de que ocurran, preparandonos para afrontarlos, y fortalecer nuestras organizaciones apropiadamente.

2

RISK CONSULTING CENTER S.A.S.

Junio - 2017

Incidentes recientes en Bogotá 1. 17 de Junio de 2017, hacia las cinco de la tarde se escuchó una fuerte explosión en uno de

los baños de mujeres del segundo piso del centro comercial Andino. Tres mujeres las víctimas fatales del ataque terrorista, y otras nueve personas heridas fueron atendidas en centros hospitalarios.

2. 11 de Abril de 2017, Tragedia en centro comercial Santafé. Tras ser tomada como rehén, Claudia Johana Rodríguez, de 40 años, fue asesinada por su expareja, quien fue identificado como Julio Alberto Reyes. El agresor fue herido por la Policía y, posteriormente, falleció.

3. 19 de Febrero de 2017, activación de un artefacto explosivo en la esquina de la carrera 5ª con calle 27 (sector de La Macarena), en donde perdió la vida el patrullero del Esmad de la Policía Nacional, Albeiro Garibello Alvarado, y resultaron heridos otros 25 uniformados. Una semana después, la guerrilla del Eln aceptó la autoría de este atentado.

4. 18 de Enero de 2017, una explosión se registró en el edificio contiguo a la sede de la DIAN en la calle 35 con carrera séptima. En ese lugar integrantes de una organización no identificada dejaron un petardo panfletario de bajo poder que causó alarma entre los habitantes y traseúntes de la zona. La explosión, de connotaciones meramente propagandísticas de acuerdo con la Policía, tiene las mismas características de estallidos ocurridos entre el 2015 y el 2016 en las cuales dejaron panfletos publicitarios de organizaciones no reconocidas. Un día después se presentó un nuevo ataque en la sede de la DIAN del norte de Bogotá ubicada en la calle 75 con carrera 16.

5. 07 de Marzo de 2016, mientras se movilizaba un bus de la Armada Nacional, en el sector de Guaymaral, fue activado un artefacto explosivo, tras lo cual diez personas resultaron heridas.

Los “cisnes negros” son los grandes riesgos que afectan a las empresas y

personas cada día.

Son reales, pero también previsibles y la Gestión del Riesgo nos ayuda a verlos

antes de que ocurran y prepararnos para afrontarlos, fortaleciendo así las

empresas.

Algunas organizaciones siguen sin prestar la debida atención a los riesgos. La conciencia del peligro de la aparición de cisnes negros no se traduce necesariamente en la acción. Una encuesta realizada por el corredor de seguros Willis, encontró que sólo el 5 por ciento de los encuestados consideran que sus directivos prestan atención significativa a los riesgos de tipo “cisne negro”. Sin embargo, al mismo tiempo, más del 30 por ciento pensaba que su empresa era vulnerable a impactos severos de eventos tipo “cisne negro”.

Tal vez un factor importante del rechazo de los directivos a enfrentar estos tipos de riesgos radica en la sensación de impotencia frente a la incertidumbre. De hecho, la posibilidad de enfrentarse a peligros en la escala de un evento tipo “cisne negro” puede conducir fácilmente a la inadecuada toma de decisiones e impactos negativos para la organización.

Abordar la cuestión como una amenaza monolítica es, quizás, el tipico error que se presenta en las organizaciones. El fortalecimiento de las técnicas de mitigación de riesgo existentes y las estrategias de gestión de riesgos en el tejido cultural de la empresa pueden ayudar a reducir proporcionalmente su magnitud de percepción, mientras que los planes de continuidad establecidos, y los preparativos para las fallas, demostrarán su valor en caso de que se presente el peor escenario posible. Los eventos tipo “cisne negro”, aunque pueden ser poco frecuentes, peligrosos e impactantes, por su previsibilidad, pueden, y deben ser gestionados.

Comprender la Incertidumbre que generan los Riesgos,

¿ Miopia o Ceguera Estrategica?

3

RISK CONSULTING CENTER S.A.S.

Junio - 2017

1

Un “Cisne Negro” desde la visión de Riesgos se puede definir como una amenaza u oportunidad que no ha ocurrido antes (y que además ni siquiera se contempla), cuyo impacto es muy grande (Ejemplos Negativos: Ataque de las Torres Gemelas. Positivos: Boom de internet y la web 2.0). Así mismo tenemos el “Cisne Gris”, descrito como un suceso que se sabe que puede ocurrir, pero es muy poco probable (ejemplo, un Tsunami, un terremoto, etc.). Conceptual y metodológicamente, podemos decir que independientemente de la metodología de análisis para la apreciación o valoración de riesgos que se implementen, estas se convierten en un valioso insumo para la toma de decisiones estratégicas y operacionales, teniendo en cuenta aspectos como el nivel de riesgo que se asume (Apetito al riesgo), estrategias de protección, etc.). En un mapa de calor o de riesgos, los ubicamos por su nivel de probabilidad de ocurrencia y el nivel de impacto o positivo o negativo.

https://hs.coresecurity.com/hs-fs/hub/41102/file-1735018590-png/images/heatmap2_higher_res.png?t=1496775323111

Sin embargo, cuando se trata de reflexionar respecto a la seguridad empresarial y su relacion con los recientes incidentes y actos terroristas que hemos vivido en la capital de Colombia, esto nos lleva a que pensemos seriamente en incidentes tipo “Cisnes Negros o Grises” como acontecimientos “raros”, pero en conjunto, ocurren con regularidad. Por esta razón, es probable que los Cisnes Negros se vuelvan más comunes de lo que pensamos, razón por la cual recomendamos pensar que para la implementación y desarrollo de la lógica de análisis de riesgos tipo “Cisne Negros o Grises”,

Gestiónando Riesgos para

enfrentar los Cisnes…

2

debemos entender que con metodologías estándar de Análisis de Riesgos, los cisnes negros no entrarían siquiera en el mapa de riesgos o lo harían como mucho a un nivel en el que la mayoría de organizaciones lo despreciarían. La cuestión es: ¿Vale la pena modificar las metodologías de Análisis de Riesgos actuales para introducir este tipo de “fenómenos raros” y darles un tratamiento adecuado? Es complejo poder predecir de forma sencilla eventos tipo “Cisne Negro o Gris”, pero sí podemos proyectar el nivel de impacto o consecuencia, y usar estrategias para la mitigación del impacto. Es ahí donde se vuelve relevante y oportuno implementar la Continuidad de Negocio, y tener actualizados y a punto todos los planes que esto conlleva. No podemos predecir lo que no podemos imaginar, pero sí podemos establecer lo que es normal, y detectar cuándo hay un cambio del estado de normalidad (aunque todavía no haya ocurrido ningún evento con gran impacto), y activar las alertas para tener preparadas las medidas de contención y reacción. Para esto, lo primero que debemos hacer es predecir estos fenómenos y situarlos correctamente en un Mapa de Riesgos con una metodología acorde. Estadísticamente, los “Cisnes Negros o Grises” no tienen frecuencia a priori, por lo tanto, se vuelve complejo su estudio a través de técnicas estadísticas. Los humanos no tenemos capacidad de predecir sucesos raros porque estamos acostumbrados a pensar “determinísticamente”, es preciso recurrir a los modelos de simulación matemáticos de tipo dinámicos y estocásticos. Ejemplo habitual de este tipo de modelos es la predicción meteorológica, dinámico porque varía en el tiempo y estocástico porque tiene una componente de azar a pesar de existir reglas. Por otra parte, la Teoría del Caos establece que pequeñas perturbaciones en este tipo de sistemas pueden producir consecuencias tremendamente diferentes que las mismas perturbaciones en sistemas deterministas.

“El planear para lo inesperado, claramente nos da la oportunidad de anticiparnos a los incidentes. Algunas

posibilidades son demasiado remotas para justificar los gastos en cuanto a tiempo, dinero y recursos humanos,

pero se deben evaluar los beneficios del costo de intentar predecir lo impredecible”.

4

RISK CONSULTING CENTER S.A.S.

Junio - 2017

1. Para obtener un apreciación de riesgos objetiva y adecuada que permita el entendimiento de la amenaza y de sus riesgos, primero debemos realizar un análisis preciso del contexto (interno y externo) del o de los escenarios en donde operan los dispositivos de seguridad. Seguidamente, debemos realizar un exhaustivo listado de amenazas con su correspondiente ficha técnica, no basándonos en lo que ya ha ocurrido, sino incluyendo lo que posiblemente puede llegar a ocurrir (Cisnes Grises). Para este caso y complementariamente, sugerimos utilizar metodologías como la prospectiva estratégica, la cual facilita la generación de escenarios futuros que permiten entrever posibles incidentes que afecten la seguridad y tranquilidad de las personas y escenarios que protegemos.

2. Si queremos sacar a la luz los Cisnes Negros o Grises, desde lo técnico y metodológico sugerimos no basarnos simplemente en la frecuencia de aparición de eventos para poder determinar la probabilidad. En lo posible, debemos realizar estimaciones mucho mas precisas basadas en la aplicación de modelos matemáticos que nos permitan una valoración más objetiva y confiable de la probabilidad. Así mismo, recomendamos dar mayor relevancia al Impacto antes que a la Probabilidad. No usar directamente la fórmula habitual de R = P x I, sino dar un mayor peso al Impacto. ¿Que tal usar I al cuadrado?

3. Realizar auditorías periódicas de 1ª y 2ª parte para identificar y evidenciar en los sistemas de seguridad qué debilidades o vulnerabilidades existen, los cuales nos permitan inferir amenazas ocultas con potencialidad de gran impacto (Por ejemplo, accesos a las facilidades y de los sistemas, debilidades o ausencias de control de áreas comunes o espacios privados durante algunos períodos de tiempo, o por cambios de turno de vigilantes, mantenimiento de sistemas, etc.). De estas debilidades y amenazas, así como la comprensión de las fortalezas y oportunidades, a través de la metodología FODA podemos diseñar e implementar estrategias de seguridad para contener los riesgos y las amenazas tipo Cisnes Negros o Grises.

4. En sistemas y entornos realmente críticos, utilizar test de intrusión, listas de chequeo, detección de intenciones o acciones que indiquen ingeniería social, etc., con equipos de seguridad internos y externos especialmente entrenados para este tipo de fines.

5. Contratar personal de seguridad con aptitudes y competencias “Sanamente Paranoicas”, o “Situacionalmente Concientes”. Según Mica Endsley, la conciencia situacional se define como la percepción de los elementos existentes en el entorno en un volumen de tiempo y espacio, la comprensión de su significado, y la proyección de su estatus en el futuro cercano, tomando como modelo el bucle OODA o Ciclo de BOYD: Observación → Orientación → Decisión → Actuación, los cuales nos permiten tener competencias capaces de detectar cambios relevantes que pueden conducir a incidentes graves.

https://en.wikipedia.org/wiki/OODA_loop

6. Implementar sistemas de detección temprana, planes y protocolos de reacción inmediata. Para ello, es vital desarrollar capacidades para la identificación temprana de la posible materialización de un incidente de alto impacto en una facilidad o sistema de seguridad, y poder controlarlo antes de que pase a un nivel más severo (Contener el desastre). Para ello, por lo menos debemos haber esbozado una idea o proyección de lo que puede llegar a ocurrir (Previsión).

7. Definir los niveles de Alerta y medidas de protección, revisando dinámicamente la estimación de probabilidad de materialización de incidentes tipo “Cisnes Negros o Grises”. Una vez identificado un grado de anomalía sustancial, se deberán subir los niveles de alerta (Prevención).

La Prevención a través de la Administración de Riesgos

https://www.desafiojoven.com.ar/articulos/209.html

5

RISK CONSULTING CENTER S.A.S.

Junio - 2017

1

Nuestra naturaleza indica que somos deterministas, ya que es lo que nos hace prevenir los riesgos que asumimos de manera cotidiana. Normalmente pensamos que todo lo que nos rodea se rige por una serie de patrones o secuencias que, aunque complejos, pueden llegar a ser predecibles. Sin embargo, la teoría del caos dice que hay sistemas que, aunque similares, con diferencias mínimas en las condiciones iniciales, acaban siendo no deterministas (el llamado efecto mariposa). Hay personas especialmente dotadas para captar cambios sutiles de comportamiento en patrones aparentemente deterministas. Otras, sin embargo, no detectan estos cambios hasta que están muy avanzados y difícilmente abordables. Por eso es que los animales son más intuitivos que los humanos ante catástrofes naturales. Seguramente nos hemos preguntado: ¿Se puede saber que algo distinto, importante, está ocurriendo o va a ocurrir? Si es así, ¿cómo?, evitando cometer errores del Pensamiento Determinista. Dado que la probabilidad de un suceso está condicionada por las causas que la desencadenan, una vez que se ha dado una de estas causas, la probabilidad de que el suceso ocurra es mayor. ¿Es esto válido? Sí, pero hay que tener cuidado de no caer en el principio de la “Navaja de Ockham” o pensamiento de que la causa más probable es siempre la que realmente ocurre, aunque así sea a menudo. Pensamiento Lateral (romper el determinismo): ¿Se nos están escapando causales que conllevan grandes impactos?. Desde el pensamiento lateral propendemos por evitar los fallos por la falta de consideración de todas las causas que pueden incidir en un fenómeno por muy absurdas que parezcan. Para ello, es vital producir buenas ideas mediante técnicas como lluvia de ideas (braimstorming), ya que a menudo podemos padecer de miopía o ceguera estratégica, por lo que es preciso incluir opiniones no viciadas. Finalmente, es clave entender que a veces las cosas más simples escapan de nuestro pensamiento de adultos condicionados. Como norma general, a la hora de considerar riesgos, hay que introducir siempre el: Y SI... o el; QUE PASA SI… Pero a la hora de tomar protecciones con coste elevado, hay que tener en cuenta la relación Costo – Beneficio. Hay que tener en cuenta que las buenas prácticas y los buenos procedimientos son más rentables que el uso indiscriminado de recursos. Adoptar medidas de contingencia para minimizar el impacto, y desarrollar capacidades de “sexto sentido” o sistemas de alerta para detectar cuando “algo no va bien” y tomar acciones preventivas, sin caer en el pánico. Hasta ahora hemos hablado de efectos negativos, pero los efectos positivos (Riesgos Positivos u Oportunidades) son muy rentables, y hay que saber detectarlos y explotarlos. Para esto, es preciso evitar pensar que si se repite algo mal cien veces, al final saldrá bien. Eso

2

sólo ocurre jugando a los dados. Desterrar la idea de que cuando más fallas, más cerca estás del éxito. Introducir pequeños cambios en la realización de las cosas, a veces pueden conducir a un éxito rotundo. Como dice Osho el secreto del éxito es: Atención, Atención y más Atención. Recordemos que una cosa es ver, otra es mirar y otra observar.

Conclusión

Los Cisnes Negros o Grises para algunos son impredecibles y para otros son predecibles, inesperados y catastróficos. No sabemos cuándo van a ocurrir, qué forma tomarán, dónde atacarán, a quién incidirán o cómo se resolverán. Pero podemos estar preparados para responder. Los principios y protocolos presentados aquí pueden ayudar a guiar la respuesta de su organización a un evento tipo “Cisne Negro o Gris”, implementándolos de manera proactiva, estos enfoques y directrices pueden posicionar a su organización para recuperarse lo más rápido y eficazmente posible. Trabajando con los equipos de liderazgo y operaciones de su organización, Risk Consulting Center SAS puede ayudarle a crear, mejorar y validar sus procesos de seguridad con el fin de mitigar riesgos potenciales. Ofrecemos Consultoría, Asesoría y Capacitación, que le ayudarán a: Evaluar su apetito de riesgo e identificar los riesgos relacionados con sus operaciones; Evaluar y entender si las características de su organización se alinean con los principios de la respuesta efectiva a los Cisnes Negros o Grises, identificando los protocolos ya existentes, así como los que están faltando; Desarrollar iniciativas para cerrar las brechas de principios y protocolos específicos de su organización; Facilitar los recursos necesarios para las capacitaciones y los apoyos de gestión del cambio necesarios para lograr su visión; Apoyar la implementación de las iniciativas de mejora que puedan ayudar a su organización a responder a los eventos de Cisnes Negros o Grises con la mayor rapidez y eficacia posible, minimizando su impacto y agilizando su recuperación. Los beneficios de este tipo de enfoques son significativos y claros: La protección de la vida humana, la salud, el bienestar y la protección y/o mejora reputacional. Los Cisnes Negros siempre estarán con nosotros. Son inesperados y a menudo inevitables. Sin embargo, aplicando los principios y protocolos presentados aquí, los líderes podrán equiparse y prepararse para responder a los Cisnes Negros.

El Pensamiento Humano, ¿Determinista o Lateral ?

RISK CONSULTING CENTER S.A.S.

Junio - 2017

Somos una empresa orgullosamente Colombiana, constituida con la misión de brindar soluciones integrales en el ámbito de la protección empresarial a través de la Gestión y Administración de Riesgos. La cada vez mayor complejidad del entorno en el que operan las organizaciones, y las mayores exigencias por parte de sus grupos de interés, da lugar a que estén cada vez más expuestas a todo tipo de riesgos en contextos externos e internos. Es creciente el número de organizaciones que han descubierto las ventajas que se esconden tras una gestión coherente de los riesgos y orientan su gestión global al riesgo, por lo que necesitan disponer de herramientas que faciliten la implementación de un sistema de gestión en el que los riesgos se conviertan en elementos claves para otros sistemas de gestión particulares. Por decirse de otra manera, se trataría de la integración vertical de los riesgos. Es importante tener en cuenta que la estructura de alto nivel acordada en el seno de ISO en el año 2012 indico que todas las normas de sistemas de gestión, tanto nuevas como en revisión, se establezcan con una misma estructura, términos y definiciones. En este marco común, la gestión de riesgos se constituye como uno de los ejes principales. Con ello se consigue una integración horizontal de la gestión del riesgo en todos y cada uno de los sistemas tradicionales y futuros. Para nosotros será un placer poder prestarles nuestros servicios, los cuales son desde ya una prioridad para todo nuestro equipo de profesionales, quedando enteramente a su disposición con la más inquebrantable voluntad de servicio como aliado estratégico para el cumplimiento de sus objetivos.

Diseñamos y desarrollamos servicios especializados en:

Formación, Diseño, Implementación, Desarrollo y Seguimiento, a través de Capacitaciones, Consultorías, Asesorías, Auditorías e Investigaciones, que integren y

faciliten la gestión transversal e integral de la Administración de Riesgos en su organización.

No dude en contactarnos para obtener más información acerca de nuestro portafolio de productos. Nuestro equipo estará atento a cada uno de sus requerimientos con el fin de proporcionarles un servicio oportuno y de alta calidad.

Teléfonos:

Cel. 311 8095576 / (57+1) 804 4859

Bogotá D.C. – Colombia

E-mails:

francisco.andrade@riskconsultingcenter.com servicio.cliente@riskconsultingcenter.com

@riskconsultingcenter

(*) FRANCISCO MIGUEL ANDRADE CRUZ, Bogotá, Colombia. Administrador de la Seguridad Integral y Especialista en Alta Gerencia – UMNG. Maestría en Gestión de Riesgos UAN - ESPAÑA.

Consultor en Seguridad Privada - SVSP. Licencia Profesional en Seguridad y Salud en el Trabajo – SDSB. Experto en seguridad corporativa y auditor en sistemas de gestión integral. Experiencia en dirección y gerencia de departamentos y empresas del sector seguridad. Profesor universitario de posgrados. Gerente General de la firma de consultoría RISK CONSULTING CENTER S.A.S.

Contamos con Licencia Nacional para la prestación de servicios en Seguridad y Salud en el Trabajo por parte de la Secretaria Distrital de Salud de Bogotá.

www.riskconsultingcenter.com

Siganos en Redes Sociales: