El Método Mosler es uno de los más utilizados en el sector de la seguridad privada. Es un método muy versátil que nos servirá para evaluar distintos tipos de riesgo: naturales, tecnológicos, antrópicos. El objeto del método Mosler es la identificación, análisis y evaluación de aquellos factores que pueden tener influencia en la materialización de un riesgo. Con la información que obtenemos mediante la aplicación del Mosler podremos calcular probabilidad y consecuencias (o impacto) del riesgo.
Cada una de las fases del método se apoya en los resultados obtenidos en las fases anteriores; es, por tanto, un método secuencial. Esto también significa que el trabajo a realizar ha de ser, por fuerza, ordenado, y que no podemos obviar ninguno de los pasos. Las distintas variables (criterios) del Mosler han de ser valoradas para, a partir de ellas, obtener nuevas variables y posteriormente realizar el cálculo.
El método Mosler tiene cuatro fases:
- Definición de riesgos
- Análisis de riesgos
- Evaluación del riesgo
- Clasificación del riesgo
Definición de riesgos
Si vamos a trabajar con Mosler, lo primero es definir los riesgos. Es decir, tenemos que empezar por conocer a qué riesgos está expuesta el área que queremos proteger, confeccionando una lista de los mismos. Ya sabemos que el riesgo puede ser de distinto tipo, desde un terremoto a un robo o una intrusión, etc. Pues esos riesgos con los que tenemos que trabajar tienen que estar perfectamente definidos, debemos poder apreciar todas sus características porque eso nos va a ayudar en una correcta obtención de información.
Definir un riesgo es establecer claramente a qué nos referimos, conocer qué alcance puede tener si se materializa, determinar si se puede mezclar con otro riesgo o generar un efecto dominó, etc. En definitiva, se trata de delimitarlo en todos los aspectos posibles. Es un aspecto muy importante porque de esa delimitación precisa saldrá una búsqueda de datos de mayor precisión. El riesgo, cualquiera que sea sobre el que estemos trabajando, incide sobre un o unos bienes, un o unos activos, que son los que queremos proteger; estos bienes a proteger pueden ser personas, instalaciones, información, medioambiente, etc. Y decimos que los queremos proteger; pero ¿de qué? Pues de los daños. Hay que investigar también los daños que se puedan llegar a producir en cada caso. Por lo que al definir un riesgo no solo trabajaremos sobre el riesgo en sí, sino también sobre el bien a proteger y el daño a evitar.
Análisis de riesgos
Una vez realizada la definición pasamos a la segunda fase, la de Análisis de Riesgos. Aquí empezamos a buscar datos (antecedentes, estadísticas, etc.). Con los datos que vayamos obteniendo nos iremos a trabajar con las tablas del Mosler que nos permitirán ir cuantificando distintos aspectos. Las tablas nos van a ir ofreciendo una valoración numérica de las variables que este método impone. Las tablas de Mosler nos exige contestar a los siguientes criterios:
- Criterio de Función (F): mide las consecuencias negativas o daños que puedan alterar la actividad.
- Criterio de Sustitución (S): mide facilidad pueden reponerse los bienes.
- Criterio de Profundidad o Perturbación (P): mide la perturbación y efectos psicológicos que produce el daño.
- Criterio de extensión (E): mide el alcance de los daños a nivel geográfico.
- Criterio de agresión (A): mide la probabilidad de que el riesgo se manifieste.
- Criterio de vulnerabilidad (V): mide el hecho de que si se manifiesta el riesgo, efectivamente, produzca daños.
Si hemos hecho una buena definición de riesgos, y hemos empezado a buscar datos sobre ese riesgo, sobre sus antecedentes, si hemos tenido esa incidencia nosotros mismos en la organización, …, nos estaremos acercando al cómo afecta el daño en nuestros activos, a la frecuencia de aparición del riesgo y también al cuánto (no únicamente en términos económicos) de esos daños que ocasiona la manifestación del riesgo. Así que empezamos a dar valores esos seis criterios, valores comprendidos entre 1 y 5, puesto que estamos en una Escala Penta.
Al ir otorgando las puntuaciones correspondientes a cada criterio nos quedará algo como esto:
Evaluación de riesgos
Hicimos primero la definición de riesgos y ya hemos visto los criterios del análisis, donde vamos estableciendo valores entre 1 y 5 en cada uno de ellos. Y ¿ahora qué? Bueno, pues entramos en la Fase 3, la fase de Evaluación del Riesgo. ¿Qué es evaluar un riesgo? Pues es, sencillamente, otorgar valores numéricos, derivados como ya se ha dicho de la fase anterior. Esos valores nos van a ayudar a eliminar nuestra subjetividad, nuestra propia tendencia individual con respecto al riesgo.
Hemos de averiguar el Carácter del Riesgo (C) y lo haremos estableciendo la Importancia del Suceso (I) y los Daños Ocasionados (D).
Para calcular la Importancia del Suceso tenemos que volver un momento hacia atrás y recuperar los criterios de Función y Sustitución. Porque la Importancia del Suceso es el producto de los coeficientes de Función y Sustitución. Multiplicamos, por tanto, ambos criterios: I = F x S.
¿Y los Daños Ocasionados? Pues para obtenerlo tenemos que multiplicar el criterio de Profundidad por el de Extensión: D = P x E.
Con estos dos pasos ya podemos calcular el Carácter del Riesgo, ya que es la suma de los dos elementos que acabamos de calcular, es decir, es la suma de la Importancia del Suceso más los Daños Ocasionados: C = I + D.
Así que, como vemos, de la utilización de los cuatro primeros criterios obtenemos Importancia del Suceso, Daños Ocasionados y Carácter del Riesgo. Es, como dijimos, un método que se aplica de forma secuencial. Podemos ver que los tres nuevos elementos giran en torno a el daño y a los activos o bienes a proteger.
Tenemos que trabajar ahora sobre la probabilidad de ocurrencia. Teníamos otros dos criterios: el de Agresión y el de Vulnerabilidad. De ellos proviene la probabilidad. De un lado, la probabilidad de que se produzca el suceso (criterio de Agresión) y de otro la posibilidad de que una vez materializada la amenaza se produzca efectivamente un daño (criterio de Vulnerabilidad). Bueno, pues con esto, con Agresión y Vulnerabilidad obtenemos el Cálculo de la Probabilidad: Probabilidad es igual a Agresión por Vulnerabilidad, PR = A x V.
Hemos podido ver que de los seis criterios iniciales de la fase de análisis obtenemos, secuencialmente, el Carácter del Riesgo y la Probabilidad. Pues bien, aún queda un último paso en esta Fase 3, la de Evaluación del Riesgo. Este último paso, que cierra esta fase, es cuantificar, estimar el riesgo que estamos considerando. Y para ello, también de forma secuencial, utilizaremos el Carácter del Riesgo y la Probabilidad: su multiplicación nos dará ese resultado que buscamos en la Evaluación del Riesgo, ER = C x PR.
Con este resultado finaliza la fase 3, la fase de Evaluación de Riesgos.
Clasificación de riesgos
Aquí lo que hacemos es clasificar en función de los valores que hemos obtenido en la fase 3 para los riesgos examinados. Los valores de la fase 3 estarán siempre comprendidos entre 2 (el mínimo) y 1250 (el máximo). Y dispondremos de una tabla como la siguiente:
Es muy fácil de interpretar: si el valor que hemos obtenido en la Evaluación para un riesgo concreto está entre 2 y 250 estamos ante un riesgo muy bajo, si lo está entre 251 y 500 es bajo, etc. Es decir, la evaluación de riesgo por sí misma no es suficiente, sino que tenemos que trasladarla a la clasificación para que podamos realmente ver la situación del mismo.
La clasificación nos ayuda a establecer medidas que debemos adoptar para mitigar o eliminar el riesgo: este es el objetivo final, el establecimiento de medidas, o dicho de otro modo, la toma de decisiones para el tratamiento de los riesgos. Y de nuevo trabajamos ordenadamente; es decir, cuanto tengamos todos los valores de la evaluación y esté asignada la clasificación de riesgo (muy bajo, bajo, medio, alto o muy alto) los debemos ordenar de mayor a menor. Y tener siempre en consideración en cuanto al tratamiento de los riesgos (aunque esto será objeto de otro artículo) al menos estas dos cuestiones:
- que siempre debemos atender aquéllos que, aunque tengan una baja probabilidad de ocurrencia, generen consecuencias graves, y
- que si para combatir un riesgo no podemos establecer acciones preventivas deberemos adoptar medidas correctoras.
Ambas cuestiones demuestran la importancia de comprender un riesgo y de comprender sus consecuencias.
Esto que hemos visto hasta aquí se debe hacer de forma ordenada. Insistimos en ello. Además creo recomendable trabajar -recordemos que la tabla es siempre la misma- primero sobre los riesgos naturales, luego los tecnológicos y finalmente sobre los antrópicos o humanos.
Ricardo Vidal
Autor del Curso Análisis de Riesgo: Método Mosler
Director de Seguridad Dpto. nº 967
Coordinador Nacional para la Protección de Infraestructuras Críticas
de la Asociación Nacional de Directores de Seguridad Siglo XXI
Miembro de Observatorio Nacional OSIC
