Gobernanza, cultura de seguridad, continuidad de las actividades y proyecto final

1La política de seguridad y de gestión de riesgos

La política, adoptada por la junta, fija el marco que aplican todos los países y servicios:

• principios (deber de cuidado, aceptación, derecho de retirada, igualdad de trato, ningún pago a las partes en el conflicto);
• apetito de riesgo y umbrales por categoría;
• funciones y responsabilidades, desde la dirección hasta los puntos focales;
• requisitos mínimos: evaluación de riesgos, plan de seguridad, formación, notificación de incidentes, gestión de crisis;
• posición sobre las cuestiones sensibles (escoltas armadas, guardias armados, rescates, comunicación en caso de secuestro);
• seguimiento: informes, auditorías, revisiones.

Unas normas mínimas por nivel de riesgo hacen operativa la política. Ejemplo: en todo país clasificado como de riesgo alto, un asesor de seguridad dedicado, un plan revisado cada 6 meses, una formación avanzada para todo el personal expuesto, un ejercicio de crisis anual y comunicaciones satelitales en cada base.

2La función de la junta y de la dirección

La junta directiva no gestiona la seguridad en el día a día, pero tiene la responsabilidad última sobre ella:

• adopta la política y el apetito de riesgo;
• recibe un informe periódico (al menos anual, trimestral para los riesgos principales);
• se le informa sin demora de los incidentes graves y de las crisis;
• verifica que los recursos sean suficientes y que se dé seguimiento a las auditorías.

La dirección rinde cuentas con un cuadro de mando sencillo: incidentes por categoría y gravedad, tasa por cada 100 empleados, países por encima del umbral, cumplimiento de las normas mínimas (planes actualizados, formaciones, ejercicios), recomendaciones con retraso, madurez.

Ejemplo de lectura. 12 países; 10 tienen un plan de seguridad actualizado (83 %); 7 han realizado un ejercicio de crisis en el año (58 %); 3 países tienen riesgos residuales por encima del apetito. La junta pide para esos 3 países una decisión explícita: medidas adicionales, reducción de actividades o aceptación motivada y temporal del rebasamiento.

3Auditar la seguridad

Las auditorías de seguridad (internas, entre pares o externas) verifican que el dispositivo existe y funciona:

• documentos: evaluación de riesgos, plan, procedimientos, listas de contactos, registro de incidentes;
• prácticas: controles de llamada efectivos, cuadernos de movimientos, registros de visitantes, pruebas de radio;
• conocimientos: entrevistas con el personal (¿conocen el plan, el nivel de seguridad, el procedimiento en caso de incidente?);
• equipos: estado de los vehículos, comunicaciones, botiquines, reservas de hibernación;
• equidad: medidas reales para el personal nacional y los socios.

Ejemplo de muestra. El auditor entrevista a 30 empleados: 27 conocen el nivel de seguridad actual (90 %), 18 saben qué hacer si un colega no responde a un control de llamada (60 %), 9 han participado en un ejercicio en el año (30 %). Los procedimientos escritos existen, pero su apropiación es baja: la formación y los ejercicios pasan a ser prioritarios.

4La cultura de seguridad

Los procedimientos mejor redactados fracasan sin una cultura de seguridad: un conjunto de comportamientos compartidos en el que la seguridad se ve como un medio para hacer el trabajo, no como un obstáculo.

Sus señales:

• los incidentes y los cuasi incidentes se notifican, y los errores se debaten sin miedo;
• los responsables aplican las normas que imponen;
• cada persona puede decir «no» o «alto» sin que se burlen de ella ni la sancionen;
• el personal nacional participa en los análisis y en las decisiones;
• la seguridad se trata en las reuniones de programa, no solo entre especialistas;
• la calidad de los programas y el comportamiento personal se reconocen como medidas de seguridad.

La cultura se ve en lo que ocurre cuando un responsable con prisa quiere saltarse una norma. Si nadie se atreve a decir nada, la cultura de seguridad es débil.

5La continuidad de las actividades

El plan de continuidad de las actividades prepara a la organización para mantener sus funciones esenciales pese a una perturbación grave: pérdida de una oficina, corte prolongado de Internet, ciberataque, pandemia, evacuación, salida repentina de personas clave.

Etapas:

• Identificar las funciones críticas: pago de los salarios, de los proveedores y de las transferencias a los beneficiarios, abastecimiento de los centros de salud, comunicaciones con los equipos, informes a los donantes con vencimiento.
• Fijar para cada una un plazo máximo de interrupción: por ejemplo, 24 horas para las comunicaciones de emergencia, 7 días para la nómina, 30 días para los informes a los donantes.
• Prever las soluciones alternativas: oficina alternativa, acceso a distancia, copias de seguridad, delegaciones de firma, proveedores de reserva, existencias.
• Designar suplentes para las funciones clave y documentar los accesos esenciales (sin compartir contraseñas en claro).
• Probar el plan al menos una vez al año.

Ejemplo. El sistema de nómina está alojado en un servidor de la oficina de la capital. Plazo máximo tolerado: 7 días. Si la oficina queda inaccesible, la restauración a partir de la copia de seguridad externa tarda 3 días, lo que respeta el plazo, siempre que la copia sea reciente y esté probada: la última es de hace 5 semanas. Acción: copia de seguridad diaria automatizada, prueba trimestral de restauración.

6Proyecto final: un marco de gestión de riesgos para un país

El proyecto final del Mini MBA Seguridad y gestión de riesgos consiste en redactar, para un país o una zona reales (solo con datos públicos, nunca con información confidencial de una organización) o ficticios pero realistas, un marco de gestión de riesgos de 6 a 10 páginas:

• 1. Análisis del contexto: actores, dinámicas, escenarios, indicadores.
• 2. Evaluación de riesgos: amenazas, vulnerabilidades por perfil, matriz, riesgos inherentes y residuales, comparación con el umbral.
• 3. Estrategia: combinación de aceptación, protección y disuasión, y estrategia de acceso y de negociación.
• 4. Plan de seguridad resumido: niveles, procedimientos clave, comunicaciones, planes de contingencia (evacuación médica, hibernación, reubicación, secuestro).
• 5. Personas: deber de cuidado equitativo, salud, bienestar, salvaguarda interna, seguros.
• 6. Riesgos de la organización: extracto del registro (fiduciario, cumplimiento, PSEA, digital, reputación).
• 7. Socios, presupuesto y gobernanza: reparto del riesgo, presupuesto de seguridad, cuadro de mando, continuidad de las actividades.

Criterios de evaluación: calidad del análisis, coherencia entre riesgos y medidas, realismo y proporcionalidad, equidad entre personal y socios, respeto de los principios humanitarios, claridad. El proyecto forma parte del examen del tercer mes.