Evaluar los riesgos: amenazas, vulnerabilidades, probabilidad e impacto

1Amenaza, vulnerabilidad, riesgo

Tres nociones que no deben confundirse:

• Amenaza: lo que puede causar un daño (asalto a un vehículo, secuestro, bombardeo, artefacto explosivo, disturbio, enfermedad, accidente de tráfico).
• Vulnerabilidad: el grado de exposición de la organización o de una persona a esa amenaza, según su ubicación, sus desplazamientos, su perfil, sus bienes, sus procedimientos, su aceptación.
• Riesgo: la combinación de la probabilidad de que una amenaza se materialice contra nosotros y del impacto si se materializa.

Una misma amenaza no crea el mismo riesgo para todos. Ejemplo: la amenaza de secuestro con rescate pesa más sobre los perfiles percibidos como «rentables» (personal internacional de determinadas nacionalidades, cuadros nacionales de alto nivel, personas cuya familia se percibe como acomodada). La vulnerabilidad también depende de los procedimientos: unos desplazamientos previsibles, siempre a las mismas horas, aumentan la vulnerabilidad de todos.

2La matriz probabilidad × impacto

El método más extendido califica cada riesgo en dos escalas de 1 a 5:

• Probabilidad: 1 muy improbable, 2 improbable, 3 posible, 4 probable, 5 muy probable (en un periodo definido, por ejemplo 12 meses).
• Impacto: 1 insignificante, 2 menor (daños materiales limitados), 3 moderado (heridas leves, interrupción breve), 4 grave (heridas graves, pérdida de bienes importantes, suspensión), 5 crítico (fallecimiento, secuestro, retirada del país).

Puntuación = probabilidad × impacto, de 1 a 25. Niveles habituales: de 1 a 4 bajo, de 5 a 9 medio, de 10 a 16 alto, de 20 a 25 muy alto (los umbrales varían según las organizaciones y deben ponerse por escrito).

Observación: el accidente de tráfico tiene a menudo una puntuación tan alta como las amenazas vinculadas a la violencia, y es más fácil de reducir.

3Riesgo residual y umbral aceptable

El riesgo inherente es el riesgo antes de las medidas; el riesgo residual es el que queda tras las medidas previstas. La decisión se toma sobre el riesgo residual, comparado con el umbral aceptable fijado por la dirección para la actividad considerada.

Ejemplo. Asalto en el eje norte: inherente 4 × 4 = 16. Medidas: desplazamientos en dos vehículos, horarios variables, nada de dinero ni de bienes de valor visibles, comunicación con control de llamada cada hora, actualización diaria del estado de la carretera por el foro de ONG, regla de no resistencia. Probabilidad estimada reducida a 2 (la vulnerabilidad baja), impacto reducido a 3 (no resistencia, asistencia rápida). Residual: 2 × 3 = 6, nivel medio.

Si el umbral aceptable para las actividades de distribución es «medio», la actividad puede continuar con estas medidas. Si las medidas no permiten bajar por debajo del umbral, hay que cambiar la actividad (modalidad, lugar, socio) o suspenderla.

Una medida escrita pero no aplicada no reduce ningún riesgo. La evaluación debe decir quién aplica qué y cómo se verifica.

4Los límites de la calificación

La matriz es útil, pero engañosa si se toma por una medida exacta:

• Las calificaciones son juicios, no medidas. Dos personas pueden calificar de forma distinta; se busca un consenso argumentado, con el personal nacional.
• Los acontecimientos raros y catastróficos (ataque a un hotel, atentado contra una base) tienen una probabilidad baja pero un impacto extremo: una puntuación de 1 × 5 = 5 los clasifica como «medios» cuando exigen planes específicos.
• Los riesgos acumulados: varios riesgos medios combinados pueden constituir una situación inaceptable.
• Los riesgos evolucionan: una evaluación sin fecha o de hace ocho meses en un contexto inestable ya no tiene valor.

Buena práctica: vigilar de forma especial cualquier amenaza de impacto 5, sea cual sea su probabilidad, y prever para cada una un plan de contingencia (secuestro, ataque armado, evacuación médica).

5Perfiles y seguridad inclusiva

Las personas no están expuestas de la misma manera según su perfil: nacionalidad, origen étnico o clan, religión, género, orientación sexual e identidad de género, discapacidad, edad, apariencia, idioma. Un mismo lugar puede ser seguro para una persona y peligroso para otra.

Un enfoque inclusivo de la seguridad (desarrollado en particular por el GISF) consiste en:

• tener en cuenta los perfiles en la evaluación de riesgos, sin obligar a nadie a revelar información personal;
• permitir que cada persona comunique de forma confidencial preocupaciones relacionadas con su perfil;
• adaptar las medidas (alojamiento, desplazamientos, destinos), sin excluir automáticamente a personas de determinados puestos;
• formar a los responsables en estas cuestiones.

Ejemplo. Un empleado nacional de un grupo étnico minoritario no puede cruzar determinados puestos de control sin riesgo. En lugar de excluirlo del proyecto, el equipo adapta los itinerarios, lo asigna a zonas donde su perfil no está expuesto y prevé un alojamiento seguro en caso de tensión.

6Redactar la evaluación

Una evaluación de riesgos de seguridad útil contiene:

• la zona y el periodo cubiertos, la fecha y los autores;
• un resumen del contexto (remisión al análisis);
• la tabla de amenazas con probabilidad, impacto y puntuación inherente;
• para cada riesgo alto o muy alto: medidas, responsables, riesgo residual;
• la comparación con el umbral aceptable por tipo de actividad;
• las decisiones y recomendaciones (continuación, adaptación, suspensión);
• la fecha de la próxima revisión y los desencadenantes de una revisión anticipada.

La valida el director de país (y la sede por encima de cierto nivel de riesgo) y se explica al personal afectado. También sirve de base para el presupuesto de seguridad y para el consentimiento informado del personal.