Un reporte mensual de seguridad suele llegar con rondines cumplidos, puestos cubiertos, accesos registrados e incidentes atendidos. Todo eso es necesario para supervisar un servicio. Ninguno de esos datos, por sí solo, le dice a la dirección si el negocio está más o menos expuesto que hace un trimestre.

La actividad es fácil de contar y de auditar. El efecto exige una línea base, un responsable de leerlo y una conversación entre seguridad, operaciones y finanzas que muchas organizaciones no tienen agendada. El resultado es predecible: el comité recibe volumen y lo interpreta como desempeño.

En las entrevistas del piloto preguntamos cómo comprueba cada empresa que su gasto en seguridad produce resultados. Publicaremos lo que encontremos, incluso si contradice este planteamiento.

Muchas compras de seguridad comparan ofertas con una misma unidad: horas-guardia por puesto. Es una unidad verificable y por eso se usa. Su límite es que solo permite comparar precio, porque el alcance ya quedó decidido antes de escuchar a los proveedores.

¿Qué riesgo queremos reducir, y cómo sabremos si se redujo? Si las bases no lo dicen, ninguna oferta puede demostrar que lo reduce mejor que otra.

¿Estamos comprando presencia, capacidad de respuesta o anticipación? Son cosas distintas, con costos distintos. Mezclarlas en una sola tarifa impide saber qué se está pagando.

¿Qué información nos debe entregar el proveedor cada mes para decidir mejor? El reporte es parte del servicio. Si no se pide en la licitación, no se recibe en la operación.

Estas preguntas no sustituyen la comparación de precio ni el cumplimiento legal. Ordenan la conversación para que el precio se compare contra algo más que horas.

La conversación sobre combinar guardias y tecnología suele plantearse como sustitución: cuántos puestos puede reemplazar una cámara. Esa pregunta deja fuera lo que determina el resultado, que es el proceso entre la detección y la respuesta.

Tres puntos donde se rompe la cadena

Un sistema genera alertas, pero nadie tiene asignado decidir cuáles importan. El volumen crece, la atención baja y la alerta relevante se pierde entre las irrelevantes.

El centro remoto ve el evento y llama al sitio. En el sitio, el guardia no sabe qué se espera de él ni con qué autoridad actúa. La tecnología acortó la detección y el proceso alargó la respuesta.

El incidente se atiende y se cierra. Nadie revisa por qué ocurrió ni ajusta la configuración, los rondines o el protocolo. El siguiente incidente encuentra el mismo sistema.

Antes de invertir en más dispositivos, conviene dibujar la cadena completa en un solo sitio: quién detecta, quién decide, quién actúa, en cuánto tiempo y quién revisa después. Si una de esas casillas está vacía, la inversión adicional amplifica el problema.

¿Qué empresas han logrado integrar ambas capacidades y qué cambiaron en su organización para lograrlo? Es uno de los temas candidatos para el primer Pulso del Riesgo Corporativo.