Definimos riesgo como la probabilidad de que una amenaza se materialice y genere daños. Conocer el riesgo, analizar nuestras vulnerabilidades y establecer la planificación adecuada, en los niveles estratégico y técnico-operativo es nuestro objetivo fundamental.
El Sistema de Planeamiento de Protección de Infraestructuras Críticas es el más completo y riguroso para afrontar el daño intencionado. Nos ofrece, además, la garantía de una integración real de los diversos elementos que nos procuran protección y seguridad. De forma conjunta, estos elementos, nos darán la medida de nuestras capacidades de contención, mitigación y respuesta a la agresión.
Debemos conocer las generalidades del análisis de riesgo. Para, a continuación, enfocar a los que son objeto genuino de nuestra materia: aquéllos generados intencionadamente por el ser humano.
En nuestro caso, la tarea previa de identificar los riesgos sobre los que trabajaremos está realizada ya. Nuestra Estrategia de Seguridad Nacional nos habla de ellos: terrorismo, crimen organizado, proliferación de armas de destrucción masiva y ciberamenazas.
Partir del Método Mosler nos marcará un camino. Conocemos que su utilidad fundamental está en su aplicación al riesgo de origen natural. Pero es una buena guía para conocer lo que es el riesgo. Y en ello incluimos los elementos y criterios para su determinación y las diferentes fases del análisis.
Es conveniente realizar, asimismo, un recorrido similar y breve por el riesgo tecnológico. Meseri y Septri nos ayudarán a perfilar una visión más completa de riesgo. Veremos que el daño económico es un factor más a considerar, a tratar específicamente y a contener.
En la misma dirección, a continuación, daremos paso al riesgo antrópico, en sus generalidades. El Método Marina será un buen hilo conductor. Todo ello será la antesala al elemento central que conforma nuestro criterio analítico para el estudio de los riesgos: la ISO 31000.
En ISO 31000 riesgo es el efecto de la incertidumbre en la consecución de los objetivos. El riesgo y su gestión deben estar incluidos en los procesos de gobierno y la cultura organizacional de nuestra entidad. Tendremos una guía sobre directrices, de aplicación y utilidad, en cualquier tipo de entidad independientemente del tamaño y sector. Probabilidad e impacto son conceptos claves en el análisis y evaluación de riesgo, y en ISO 31000 también. Pero además este modelo nos ofrece una respuesta a qué hacer con los riesgos. Es decir, nos ofrece una respuesta para la gestión de riesgos y ésta es ETRA: eludir, transferir, reducir o asumir.
Con MAGERIT cerraremos el círculo analítico. Es otra herramienta fundamental que debemos conocer en profundidad.
Si realizamos un buen trabajo analítico allanaremos el camino pendiente de recorrer en la planificación. En la briega con los Planes de Seguridad del Operador y los de Protección Específicos aplicaremos lo aprendido en la fase de análisis/evaluación/gestión de riesgos. Lo pondremos en valor para el diseño del planeamiento.
En el PSO el operador establecerá los criterios de su Política General de Seguridad. Una política que ha de servir para todas y cada una de las instalaciones de las que dispone. Mientras que el Plan de Protección Específico estará circunscrito a la instalación o instalaciones designadas como críticas por CNPIC.
Conoceremos en profundidad los documentos sobre Contenidos Mínimos de los PSO y los PPE de la Secretaría de Estado de Seguridad. Seguiremos las Guías de Buenas Prácticas para la elaboración de los Planes de Seguridad del Operador y de Protección Específico. Todo ello encaminado siempre a contener esa incertidumbre que marca el riesgo.
No podemos obviar el Plan de Apoyo Operativo (PAO) que es el paso que finaliza el ciclo del planeamiento. El PAO debe ser realizado por las Fuerzas y Cuerpos de Seguridad con competencia para ello. Apoya el Plan del Acción elaborado por el operador para una instalación designada crítica.
Ricardo Vidal es Coordinador y Tutor del Curso
de Análisis de Riesgos y Planes de Seguridad en Infraestructuras Críticas
