Estar bien protegido es una afirmación que debe poder discutirse y revisarse. Proponemos un expediente breve por riesgo prioritario que permita distinguir lo que la empresa sabe, lo que supone y lo que todavía necesita comprobar.

Una empresa puede operar sin incidentes graves y, aun así, desconocer si sus controles críticos funcionarían. También puede registrar más eventos porque mejoró su capacidad para detectarlos. Por eso, una evaluación de protección necesita especificar qué actividad se protege, frente a qué eventos, durante qué periodo y con qué límites.

El documento de apertura del Observatorio plantea que la facilidad para verificar presencia física podría desplazar la evaluación de resultados [1]. Esa hipótesis no supone que la vigilancia sea innecesaria ni que la tecnología la sustituya de forma automática. El problema aparece cuando el cumplimiento del servicio se utiliza como única evidencia de protección.

La dirección debería poder reconstruir por qué se eligió una medida, qué resultado se esperaba y qué información justificaría cambiarla. Si esa explicación depende de una sola persona o no puede contrastarse con registros, la continuidad del conocimiento se vuelve parte del riesgo.

Esta nota desarrolla una propuesta de revisión. No presenta una certificación, una escala de madurez ni resultados de empresas entrevistadas. Su utilidad debe probarse en operaciones concretas antes de convertirla en una exigencia general.

En lugar de empezar con un inventario de equipos, conviene elegir una interrupción relevante para el negocio y reunir la evidencia que permitiría tomar una decisión. El siguiente expediente puede mantenerse en una página y actualizarse cuando cambien la operación o los supuestos.

La primera es de diseño: explicar por qué el control podría interrumpir el escenario. La segunda es de ejecución: comprobar que estuvo disponible y se aplicó. La tercera es de desempeño: examinar qué ocurrió en pruebas y eventos reales. Un control bien diseñado puede fallar por mantenimiento; uno aplicado puntualmente puede resultar insuficiente para el escenario.

Una prueba favorable aumenta la confianza respecto de las condiciones ensayadas. No demuestra que se cubran todas las variantes. Deben registrarse también los escenarios no probados y las dependencias externas, como comunicaciones, transporte o decisiones de terceros.

Considérese un centro de distribución hipotético cuya preocupación principal es una salida no autorizada de mercancía. El expediente no se completaría al comprobar que todos los puestos estuvieron cubiertos. También requeriría revisar cómo se autorizan las salidas, qué ocurre ante una discrepancia y si una persona distinta puede validar la excepción.

La reunión debería terminar con una decisión delimitada: mantener el esquema, corregir una falla, realizar una prueba adicional o aceptar temporalmente una exposición. Registrar el motivo evita que la revisión se reduzca a un intercambio de impresiones.

• ¿Qué evidencia reciente sostiene que el control funciona en las condiciones de nuestra operación?
• ¿Qué supuesto, si cambiara, obligaría a revisar la decisión?
• ¿Qué parte de la conclusión proviene de una prueba y cuál del juicio de los responsables?

Describa una ocasión en que la evidencia le llevó a mantener una medida de protección pese a la presión por modificarla, o a cambiarla pese a que seguía cumpliendo el contrato.

1. [1] Uribe Maza, Jorge. El punto ciego de la protección empresarial. Documento de apertura, 2 de octubre de 2026. Consultar fuente

Las estadísticas nacionales permiten dimensionar la victimización y sus costos. Su uso en una empresa requiere distinguir el periodo observado, la unidad de análisis y el alcance de cada cifra. Ningún promedio nacional determina por sí solo un presupuesto de protección.

Fuente de los tres datos: INEGI, ENVE 2024, cuadro 1 [1]. El costo comprende daños directos y medidas de prevención; no incorpora todos los impactos indirectos. La percepción corresponde a un periodo distinto del de victimización.

Estas cifras justifican preguntar cómo afecta la inseguridad a la operación y qué registros internos existen para evaluarla. No identifican cuánto debería gastar una empresa concreta ni permiten inferir que una medida preventiva sea eficaz.

La unidad de observación del cuestionario es el establecimiento [2]. Una cadena con varias sucursales necesita cuidar esa diferencia antes de comparar sus datos corporativos. El total del grupo y el resultado de una instalación no describen la misma exposición.

Para utilizar una cifra pública en un comité, conviene acompañarla de una pregunta verificable dentro de la organización. Así se evita que el contexto general termine funcionando como justificación automática de una compra.

La ENVE pregunta por medidas adoptadas y por su gasto en las preguntas 2.8 a 2.10 [2]. Por tanto, la agenda del Observatorio no debe presentarse como si esa información fuera inexistente. El interés complementario es estudiar la secuencia de decisiones y su evaluación.

Si una empresa destina menos recursos que otra y registra menos pérdidas, todavía no sabemos si su protección es más eficiente. Podría enfrentar menor exposición, operar en otro sector o utilizar un criterio de registro diferente. El contraste solo se vuelve informativo cuando se documentan esas diferencias.

Del mismo modo, convertir un costo agregado en una supuesta tarifa recomendada para cada empresa confunde una estimación descriptiva con una regla de asignación. La elección de controles requiere una evaluación propia.

Cada cifra que llegue a una presentación directiva debería conservar cinco datos: fuente, año de publicación, periodo observado, población cubierta y unidad de medida. Cuando se comparen montos a través del tiempo, también debe indicarse si son nominales o están expresados en precios de un año base.

La actualización no consiste en cambiar la fecha del título. Cuando aparezca una nueva edición, será necesario verificar definiciones, coberturas y comparabilidad antes de reemplazar las cifras. Esta nota utiliza expresamente la edición 2024 y no presenta sus resultados como una medición de 2026.

Un registro mínimo podría separar el evento, el proceso afectado, el daño directo, la interrupción y las medidas tomadas. Cuando un importe no se pueda estimar, debe permanecer como desconocido o como intervalo sustentado. Asignarle cero produciría una falsa precisión.

¿Qué estadística externa ha cambiado una decisión de protección en su empresa y qué información interna utilizó para comprobar que era pertinente?

1. [1] INEGI. ENVE 2024. Comunicado 780/24 y nota técnica, 10 de diciembre de 2024. Cuadro 1, p. 4; resultados sectoriales, p. 5. Consultar fuente
2. [2] INEGI. ENVE 2024. Cuestionario principal. Unidad de observación, p. 1; preguntas 2.8 a 2.10, p. 5. Consultar fuente

Cero incidentes registrados describe un resultado, pero no explica sus causas. Antes de premiar un esquema, reducir recursos o declarar resuelto un riesgo, conviene revisar si la actividad expuesta y la capacidad de registro permanecieron comparables.

Una dirección recibe el reporte anual y observa que no hubo incidentes graves. La conclusión puede ser alentadora, pero es incompleta si no sabemos qué se estuvo observando. ¿La instalación operó el mismo número de horas? ¿Se mantuvieron las rutas y el volumen? ¿Los responsables utilizaron la misma definición de incidente?

La ausencia de eventos puede ser compatible con controles eficaces, con menor exposición o con una combinación de circunstancias favorables. También puede coexistir con fallas de detección. Este conjunto de posibilidades no prueba que el resultado sea engañoso; obliga a examinar qué explicación cuenta con respaldo.

Cuando se habilita un canal de reporte o se revisan registros que antes no se consultaban, el número de incidentes detectados puede aumentar. Penalizar automáticamente ese aumento podría desincentivar el registro. El análisis debe separar el momento en que ocurrió el evento del momento en que se descubrió.

La pregunta relevante es si contamos con evidencia consistente para interpretar el resultado. El Observatorio propone evaluar la calidad del registro junto con la cifra, sin convertir más reportes en una señal automática de deterioro ni en una prueba de mejora.

Supóngase, únicamente como ejercicio, que una operación registró dos incidentes en 100 mil movimientos durante un año y uno en 20 mil al siguiente. El conteo cayó a la mitad. Sin embargo, la tasa pasó de 2 a 5 incidentes por cada 100 mil movimientos. La diferencia ilustra por qué el denominador importa; con tan pocos eventos no demuestra una tendencia estadística ni una falla del proveedor.

Si el segundo año no hubiera registrado ninguno, tampoco sería correcto concluir que la probabilidad futura se volvió cero. Un evento infrecuente puede no aparecer durante el periodo observado. La prudencia consiste en complementar el historial con pruebas y con revisión del escenario.

Cuando sea posible, conviene contrastar el reporte de seguridad con inventarios, devoluciones, incidencias de transporte y registros de operación. Las diferencias deben investigarse antes de sumar las bases: un mismo evento puede aparecer varias veces y una merma no es necesariamente un delito.

Una formulación útil sería: no se registraron incidentes de la categoría definida durante el periodo; se revisó esta proporción de operaciones y se aplicaron estas verificaciones. Los límites de cobertura permanecen identificados. Esa descripción permite valorar el resultado sin atribuirle una explicación que no está demostrada.

El reconocimiento al equipo puede considerar mejoras observables: registros más completos, corrección de fallas, pruebas realizadas o reducción de tiempos. No necesita apoyarse en una afirmación sobre todos los daños que supuestamente se evitaron.

• Confirmar que la definición y el denominador son comparables con el periodo anterior.
• Revisar al menos un control crítico mediante una prueba segura y autorizada.
• Documentar las zonas sin información y la acción para reducirlas.

¿Ha cambiado alguna vez su interpretación de un periodo sin incidentes al revisar otros registros o probar un control? ¿Qué modificó después?

1. [1] Uribe Maza, Jorge. El punto ciego de la protección empresarial. Documento de apertura, 2 de octubre de 2026. Consultar fuente

Autorizar un gasto y aceptar el riesgo que permanece son decisiones distintas. Esta nota propone dejar explícita la segunda, con responsabilidades adaptadas al gobierno de cada organización, para que las restricciones presupuestales no se conviertan en una aceptación tácita.

La contratación de un servicio no elimina las decisiones sobre el riesgo. Después de instalar un equipo o reforzar un turno permanecen escenarios no cubiertos, dependencias de terceros y límites de respuesta. Alguien debe conocer esos límites y decidir si son compatibles con la operación.

Puede ocurrir que Seguridad advierta una exposición, Finanzas solicite reducir el costo y Operaciones necesite mantener una actividad. Si no se define quién resuelve el desacuerdo, la decisión puede quedar implícita en la demora. La falta de autorización para una medida no equivale por sí misma a una aceptación informada de sus consecuencias.

El Orange Book británico vincula la definición de apetito de riesgo con la autoridad de gobierno y con responsabilidades claras [1]. Lo usamos como referencia conceptual. Su ámbito público y su contexto institucional no se trasladan automáticamente a una empresa mexicana.

La propuesta del Observatorio es más acotada: toda decisión relevante sobre protección debería poder asociarse con un responsable, una justificación y una fecha o condición de revisión. La asignación concreta dependerá de los órganos y facultades que la empresa ya tenga establecidos.

Esta distribución es una propuesta de trabajo, no una descripción de obligaciones legales. En una organización pequeña, una persona puede asumir varios papeles; conviene conservar la distinción entre las decisiones aunque coincidan sus responsables.

Considérese una mejora que no puede ejecutarse hasta el siguiente periodo de mantenimiento. Una aceptación temporal útil documentaría el escenario, los controles provisionales, la autoridad que decide y el evento que obligaría a detener o revisar la actividad. La fecha de vencimiento evita que una excepción termine operando indefinidamente.

El registro también debe explicar qué información faltaba. Si una estimación depende de supuestos discutidos, el desacuerdo no debería desaparecer al aprobar el acta. Mantenerlo visible permite verificar después cuál supuesto resultó razonable.

El expediente de una decisión puede contener: actividad afectada, escenario, consecuencias, alternativas evaluadas, controles actuales, riesgo que permanece, razón de la elección, responsable y fecha de revisión. Los términos deben permitir que alguien ajeno a la reunión entienda por qué se decidió continuar.

Aceptar un riesgo dentro de la organización no autoriza incumplir obligaciones aplicables ni renunciar a la protección de las personas. Cuando la decisión involucre deberes regulatorios o contractuales, debe intervenir el área competente. Esta nota no sustituye esa evaluación.

• ¿Quién puede aceptar esta exposición y hasta qué límite?
• ¿Qué opción quedó descartada y por qué?
• ¿Cuándo debe volver la decisión a una autoridad superior?

Piense en una recomendación de seguridad que no fue aprobada. ¿Cómo quedó documentada la decisión y quién asumió la responsabilidad de revisarla?

1. [1] HM Treasury y Government Finance Function. The Orange Book. Management of Risk: Principles and Concepts. Secciones A3, A4, D6 y D13 a D15. Consulta del 20 de octubre de 2026. Referencia del sector público británico, no norma obligatoria para empresas mexicanas. Consultar fuente

El valor del activo perdido puede explicar solo una parte de la afectación. Para evaluar una interrupción es necesario separar el daño directo, los gastos incrementales y el margen que no se recuperará, además de identificar consecuencias todavía inciertas.

Antes de poner un importe a una interrupción, conviene definir el proceso afectado, el inicio del daño, la recuperación parcial y el restablecimiento. Una operación puede volver a producir antes de resolver su atraso de entregas. Confundir esos momentos dificulta reconocer dónde se concentra la consecuencia.

El análisis de impacto en el negocio vincula funciones críticas con los escenarios que pueden afectarlas. El NIST desarrolla esta relación como apoyo para priorizar riesgos [1]. Aquí se adapta esa lógica a un ejemplo operativo; los importes y el procedimiento de cálculo que siguen son una construcción ilustrativa del autor.

Una venta retrasada y finalmente realizada no equivale a una venta definitivamente perdida. Tampoco es correcto sumar toda la facturación interrumpida como si fuera una pérdida económica neta. El cálculo requiere considerar los costos variables que no se incurrieron y los gastos adicionales que sí generó la recuperación.

Conviene mantener un registro separado de daños a personas y consecuencias no monetizadas. Que no exista un importe confiable no significa que carezcan de importancia. Su evaluación debe influir en la decisión aunque no se incorporen a una suma.

Un centro de distribución sufre una interrupción por un evento de seguridad. Parte de sus pedidos se recupera después. Para el ejercicio, se supone que quedan ventas definitivamente perdidas por 600,000 pesos y que el margen de contribución de esas ventas habría sido de 30 %. Todos los importes son hipotéticos, expresados en MXN y sin IVA.

Se asume que cada partida es independiente, que el daño directo está fuera del cálculo del margen y que los gastos de recuperación no fueron incluidos en los costos variables empleados para calcularlo. Cambiar cualquiera de estos supuestos obliga a revisar la suma.

No se agrega la facturación de los pedidos recuperados, ni toda la nómina fija, ni un porcentaje arbitrario por reputación. Si hay indemnizaciones o recuperaciones, deben mostrarse aparte y reconocer su grado de certeza. El costo bruto del evento y su carga neta para la empresa responden preguntas diferentes.

Si las ventas definitivamente perdidas fueran 300,000 pesos, con el mismo margen y las demás partidas constantes, la afectación sería de 290,000 pesos. Si fueran 900,000 pesos, sería de 470,000. El rango no representa probabilidades: muestra la sensibilidad del resultado a un supuesto que debe verificarse.

El ejercicio tampoco demuestra cuánto conviene gastar para evitar el evento. Para comparar una inversión se necesitarían la exposición, la frecuencia plausible, el efecto esperado del control, su costo total y las consecuencias que no pueden reducirse a dinero.

• Operaciones reconstruye la interrupción y la recuperación efectiva.
• Comercial identifica pedidos perdidos y diferidos sin contabilizarlos dos veces.
• Finanzas valida margen, gastos incrementales y recuperaciones.
• Seguridad documenta el evento y los controles involucrados.

Después de un incidente, ¿quién reúne el costo completo y qué parte de la afectación suele quedar fuera del reporte que recibe la dirección?

1. [1] Quinn, S. y colaboradores. Using Business Impact Analysis to Inform Risk Prioritization and Response. NIST IR 8286D, actualización de febrero de 2025. Referencia conceptual sobre impacto y priorización, con origen en gestión del riesgo de información. Consultar fuente

Un presupuesto se vuelve examinable cuando permite explicar qué financia, por qué se eligió y qué ocurriría si se modificara. Esta nota propone ordenar la discusión sin asumir que gastar más mejora la protección ni que gastar menos siempre significa eficiencia.

El presupuesto anterior es una referencia útil, pero no responde por sí mismo si cambió la operación. Una nueva ruta, un proceso automatizado o una modificación de horarios puede alterar qué necesita protegerse. La revisión debería comenzar por esos cambios y por las decisiones que siguen sin resolverse.

También conviene separar las obligaciones y los compromisos vigentes de las mejoras opcionales. Esa distinción evita tratar todo el presupuesto como si pudiera reducirse en la misma proporción. Identificar una obligación no exime de revisar cómo se cumple, pero sí cambia el tipo de alternativa disponible.

Una partida puede financiar control de accesos, revisión de excepciones, capacidad de respuesta o recuperación. Cuando varias capacidades se agrupan en una sola tarifa, la empresa necesita entender qué parte sostiene cada resultado y qué dependencias podrían volverlo inviable.

La trazabilidad presupuestal propuesta en el documento de apertura consiste en vincular gasto, riesgo y resultado esperado [1]. Esa trazabilidad no demuestra rentabilidad. Su valor inicial es permitir que la dirección revise los argumentos y detecte asignaciones que ya no tienen una justificación vigente.

La primera es justificar el gasto solo por antigüedad: siempre ha estado ahí. La segunda es utilizar un incidente reciente como prueba suficiente de que cualquier refuerzo será eficaz. La tercera es comparar precios sin revisar si las alternativas cubren el mismo resultado y trasladan costos a otras áreas.

Esas situaciones son riesgos de decisión, no una descripción de su frecuencia en México. El trabajo de campo del Observatorio deberá explorar cuándo aparecen, qué restricciones las explican y qué empresas logran evitarlas.

Si no es posible financiar todo, conviene presentar las consecuencias de cada combinación de medidas. Una reducción transversal puede dejar componentes que ya no funcionan juntos. El comité debería conocer qué capacidad pierde, qué riesgo permanece y qué medida temporal podría sostener la operación.

Cuando una mejora puede probarse en pequeña escala sin aumentar indebidamente la exposición, el presupuesto puede incluir una etapa de prueba. Deben fijarse por anticipado la duración, la evidencia esperada, el costo y las condiciones para ampliar, corregir o detener la iniciativa.

No todas las medidas permiten un experimento. Algunas responden a obligaciones o a riesgos que no admiten retirar controles. En esos casos, la comparación puede apoyarse en ejercicios autorizados, revisión de diseño y evidencia de operación, explicando sus limitaciones.

• La alternativa elegida y las razones para descartar las demás.
• El costo total y los supuestos que podrían modificarlo.
• El riesgo que permanece y la autoridad que lo acepta.
• La fecha o el evento que activará una nueva revisión.

¿Qué información fue decisiva en la última ampliación o reducción de su presupuesto de seguridad? ¿Qué resultado acordaron revisar después?

1. [1] Uribe Maza, Jorge. El punto ciego de la protección empresarial. Documento de apertura, 2 de octubre de 2026. Consultar fuente

Los seis indicadores del documento de apertura son un punto de partida, no un índice validado. Esta nota detalla cómo registrarlos y leerlos. Cada empresa deberá acordar responsables, fuentes, periodicidad y umbrales antes de utilizarlos para evaluar desempeño.

Un tablero de protección necesita combinar evidencia sobre la evaluación del riesgo, el destino de los recursos y el funcionamiento de los controles. Los resultados aislados pueden inducir conclusiones equivocadas: una evaluación reciente puede ser superficial y un tiempo de detección breve puede coexistir con una respuesta insuficiente.

Se conservan los seis indicadores de «El punto ciego de la protección empresarial» [1]. Aquí se propone su operacionalización. No corresponde sumarlos ni asignarles pesos iguales: utilizan unidades diferentes y responden preguntas distintas. El primer uso debería ser identificar decisiones y vacíos de información.

• Mostrar el numerador y el denominador junto con cada porcentaje. Sin población elegible, el indicador no es interpretable.
• Distinguir cero, no aplica y dato no disponible. Si el denominador es cero, el porcentaje no se calcula.
• Conservar la definición y documentar cualquier cambio que rompa la comparación temporal.

Los casos sin cronología completa deben contarse y reportarse por separado. Excluirlos silenciosamente puede mejorar el indicador sin mejorar la operación. El tablero debería mostrar tanto el resultado como la cobertura de información que lo sostiene.

Elaboración del autor a partir de las definiciones iniciales [1]. Los porcentajes son descriptivos. Para varios sitios, primero debe acordarse una unidad común y evitar sumar horas de procesos que se superponen.

La anticipación documentada no estima todo lo que el sistema dejó de detectar. Los casos desconocidos no forman parte de su denominador. Por eso debe interpretarse junto con la calidad del registro y con pruebas independientes de los controles.

Ejemplo hipotético: una empresa identifica 20 controles críticos, prueba 10 y observa que 8 cumplen. El desempeño entre los probados es 80 %, pero la cobertura de prueba es 50 %. Los otros 10 permanecen sin verificación en ese ejercicio. Presentar únicamente el 80 % ocultaría esa diferencia.

La selección de controles también importa. Probar primero los más fáciles puede dar una imagen favorable. Conviene registrar el criterio de selección y justificar por qué la revisión cubre los escenarios prioritarios. Las pruebas deben ejecutarse sin exponer a personas ni interrumpir indebidamente la operación.

En la primera reunión, los responsables acuerdan definiciones y fuentes. En las siguientes, revisan consistencia y completitud antes de fijar metas. Solo cuando los datos sean utilizables corresponde discutir umbrales y acciones. La duración de cada etapa dependerá de la frecuencia de eventos y del acceso a registros.

Cada indicador debería terminar en una pregunta de decisión: qué se mantiene, qué se corrige y quién verifica el cambio. Si durante varias reuniones no modifica ninguna conversación, conviene revisar su pertinencia o su calidad.

¿Cuál de estos indicadores podría reconstruir hoy con evidencia y cuál requeriría cambiar la forma en que su empresa registra o comparte información?

1. [1] Uribe Maza, Jorge. El punto ciego de la protección empresarial. Documento de apertura, 2 de octubre de 2026. Consultar fuente

La comparación debe comenzar con el resultado requerido y sus restricciones. El costo, la cobertura, la respuesta, la dependencia operativa y la capacidad de verificación permiten evaluar opciones sin dar por hecho que una cámara sustituye un puesto o que más presencia resuelve el problema.

Ante una falla en el control de salidas, una empresa podría considerar más personal, automatización de validaciones o un cambio en las autorizaciones. La comparación se vuelve prematura si todavía no se sabe en qué parte del proceso aparece la discrepancia y quién debe resolverla.

El resultado podría formularse como verificar que toda salida tenga autorización válida y atender excepciones antes de liberar la mercancía. Esa formulación no decide la tecnología ni la plantilla. Permite examinar qué combinación puede cumplir la función bajo los horarios, flujos y restricciones reales.

El ensayo «Vigilancia física y protección remota» propone revisar detección, decisión, respuesta y aprendizaje [1]. Esta nota toma esa cadena como punto de partida para comparar inversiones. Una capacidad aislada no asegura el resultado cuando depende de otra que no está disponible.

Conviene incluir desde el inicio a quienes operarán el cambio. Un diseño que funciona en una demostración puede necesitar mantenimiento, capacitación o soporte que no se contemplaron. Identificar esas dependencias es parte de la comparación, no una objeción posterior al proyecto.

Cada propuesta debería declarar su horizonte de evaluación y los recursos que supone disponibles. Una opción con menor pago inicial podría necesitar atención adicional del personal interno. Otra podría exigir una transición más larga. Si esos costos permanecen fuera, el precio visible no representa la decisión completa.

No todos los criterios deben convertirse en una puntuación. Algunos son condiciones necesarias: una alternativa que no cubra el horario requerido o no pueda operar dentro de las restricciones aplicables no se vuelve aceptable por ser barata. Los criterios de exclusión deben fijarse antes de recibir las ofertas.

Para una validación de salidas, el ejercicio puede incluir autorizaciones válidas, excepciones y fallas simuladas bajo supervisión. Debe observarse tanto la detección como la respuesta y el efecto sobre el flujo. La prueba no requiere divulgar vulnerabilidades reales ni interrumpir controles indispensables.

Antes de comenzar, conviene acordar qué resultado permitirá ampliar el despliegue, cuál exigirá corregirlo y cuál llevará a detenerlo. Si las condiciones se redefinen después de ver los resultados, la prueba pierde utilidad como apoyo a la decisión.

• ¿Qué parte del resultado depende de recursos que no están incluidos?
• ¿Qué evidencia recibiré para verificar el desempeño sin depender solo del proveedor?
• ¿Qué ocurre si falla un componente y cuánto tarda la recuperación?
• ¿Qué se necesita para cambiar de solución sin perder información ni continuidad?

En su última inversión de protección, ¿qué diferencia apareció entre el desempeño esperado y el observado? ¿Qué parte dependía de la organización y qué parte de la solución contratada?

1. [1] Observatorio de Riesgo Corporativo. Método y reglas, Panel Fundador y ensayo «Vigilancia física y protección remota». Versión del 20 de octubre de 2026.

Una comparación regional es útil si el lector puede saber qué poblaciones, periodos y conceptos se están comparando. Esta nota propone una ficha de comparabilidad y explica por qué una primera agenda latinoamericana debe comenzar con esas condiciones, antes de elaborar rankings.

Dos cifras pueden tener la misma unidad y describir realidades distintas. Antes de afirmar que las empresas de un país enfrentan más riesgo que las de otro, es necesario preguntar qué empresas entraron en cada medición, cuándo se observó el fenómeno y qué se clasificó como pérdida o gasto de protección.

Las Enterprise Surveys del Banco Mundial utilizan, en su componente formal, muestras estratificadas y cubren empresas registradas con cinco o más trabajadores en los sectores elegibles. Su metodología distingue encuestas formales, de microempresas e informales [1]. No corresponde mezclar esos componentes sin revisar su cobertura.

Por su parte, la ENVE mexicana identifica al establecimiento como unidad de observación [2]. El hecho de que dos fuentes se refieran a empresas no garantiza que sus poblaciones ni sus unidades sean equivalentes.

La utilidad depende de la pregunta. Evaluar una nueva localización, entender costos empresariales y comparar prácticas de gobierno requieren evidencia diferente. Un indicador nacional de victimización no sustituye el análisis de una ruta, una instalación o una cadena de suministro.

El Banco Mundial recomienda cautela al comparar encuestas que siguieron metodologías diferentes [1]. Sus descripciones de indicadores permiten revisar cómo se construye cada medida [3]. La ficha anterior es una propuesta editorial del Observatorio para documentar esas decisiones.

Si los datos de dos países corresponden a periodos diferentes, pueden presentarse como observaciones históricas con sus fechas. No deberían encabezarse como una fotografía simultánea de la región. Cuando la diferencia temporal comprometa la pregunta de análisis, es preferible no ordenar los países.

La incertidumbre también importa. Una pequeña diferencia entre estimaciones no basta para declarar una posición superior o inferior. Cuando no se disponga de la información necesaria para valorar esa diferencia, la limitación debe acompañar la interpretación.

El primer producto regional puede ser un inventario de fuentes, definiciones y años disponibles. Después, una comparación limitada a indicadores suficientemente compatibles. Esa secuencia permite identificar dónde existe evidencia y dónde sería necesario producir información nueva.

Para el Observatorio, México constituye el punto de partida del trabajo de campo. La ambición latinoamericana no convierte la evidencia mexicana en evidencia regional. La extensión a otros países requeriría adaptar el reclutamiento, documentar contextos y probar que las preguntas conservan su significado.

Si una fuente reporta costos de seguridad entre todas las empresas y otra solo entre las que pagaron por seguridad, la diferencia puede provenir del denominador. Convertir ambos porcentajes en una clasificación atribuiría al país lo que en realidad podría ser una diferencia de construcción del indicador.

Si su empresa opera en varios países, ¿qué práctica de protección puede comparar de manera razonable y cuál necesita interpretar por separado debido al contexto local?

1. [1] Banco Mundial. Enterprise Surveys. Methodology, sección Formal Sector Enterprise Surveys. Consulta del 20 de octubre de 2026. Consultar fuente
2. [2] INEGI. ENVE 2024. Cuestionario principal. Unidad de observación, p. 1; preguntas 2.8 a 2.10, p. 5. Consultar fuente
3. [3] Banco Mundial. Enterprise Surveys Indicator Descriptions. Definiciones y universos de los indicadores. Consulta del 20 de octubre de 2026. Consultar fuente

El Panel Fundador examinará decisiones concretas de protección con un protocolo común. Su propósito inicial es probar preguntas y construir descripciones comparables dentro del grupo participante. No pretende estimar la situación de todas las empresas de México ni ofrecer una certificación.

La pregunta central es cómo una empresa transforma su comprensión del riesgo en decisiones de protección y cómo revisa sus resultados. Interesa reconstruir una decisión reciente: el problema identificado, las alternativas, la autoridad que resolvió, la evidencia disponible y los cambios posteriores.

El Observatorio busca reunir un Panel Fundador de quince directivos [1]. Esa cifra describe una meta de participación, no entrevistas realizadas. El reclutamiento por invitación corresponde a un estudio exploratorio; sus respuestas no deben extrapolarse como porcentajes nacionales.

El documento de apertura plantea que la falta de métricas de resultado podría favorecer medidas cuya ejecución es fácil de verificar [2]. Las entrevistas deberán buscar también experiencias contrarias: organizaciones que midan resultados y mantengan una presencia física importante, o que anticipen riesgos con recursos de registro limitados.

Una entrevista útil no exige que el participante comparta el planteamiento. Conviene empezar con hechos y decisiones antes de pedir una opinión sobre la hipótesis. Entregar los ensayos con anticipación puede orientar la conversación, pero también influir en las respuestas; el protocolo debería registrar qué materiales conoció cada participante.

La tabla desarrolla las dimensiones anunciadas en «Método y reglas» [1]. No asigna puntajes. La comparabilidad inicial dependerá de aplicar definiciones comunes y registrar diferencias de contexto, no de suponer que todas las empresas necesitan los mismos controles.

Se propone clasificar cada afirmación como declaración del participante, referencia a documentación no revisada o evidencia revisada con autorización. La falta de documento no prueba que una práctica no exista. Una declaración consistente tampoco se convierte automáticamente en una verificación independiente.

No se necesitan planos, claves, rutas específicas ni vulnerabilidades explotables. Si se requiere contraste documental, debería utilizarse la mínima evidencia necesaria y, cuando sea posible, una versión desidentificada. La publicación debe describir sus límites sin exponer a la organización.

El protocolo debe precisar uso de la información, registro o grabación, responsables de acceso, conservación y supresión. La autorización para participar y la autorización para grabar o compartir materiales con herramientas externas deben tratarse por separado. Ninguna transcripción identificable debería enviarse a otro agente sin el acuerdo correspondiente.

La desidentificación requiere revisar combinaciones de sector, tamaño, ubicación, cargo y hechos singulares. La supresión de nombres no basta. Las afirmaciones públicas sobre confidencialidad deben corresponder con el procedimiento realmente implementado.

El primer informe podrá describir patrones dentro del grupo entrevistado, desacuerdos, casos contrastantes y límites del método. Deberá informar cuántas entrevistas se completaron, cómo se seleccionaron y qué parte de la evidencia pudo revisarse. La validación del resumen por el participante no convierte el relato en un resultado causal.

Un puntaje de madurez requerirá trabajo adicional sobre preguntas, escalas y ponderaciones. Hasta entonces, conviene presentar perfiles descriptivos. El patrocinio de Grupo IPS debe permanecer visible y la participación separada de cualquier propuesta comercial, como establecen las reglas del Observatorio [1].

Cuénteme una decisión reciente sobre protección que haya sido difícil de tomar. ¿Qué opciones consideraron y qué evidencia les permitiría saber hoy si acertaron?

1. [1] Observatorio de Riesgo Corporativo. Método y reglas, Panel Fundador y ensayo «Vigilancia física y protección remota». Versión del 20 de octubre de 2026.
2. [2] Uribe Maza, Jorge. El punto ciego de la protección empresarial. Documento de apertura, 2 de octubre de 2026. Consultar fuente

Un reporte mensual de seguridad puede llegar con rondines cumplidos, puestos cubiertos, accesos registrados e incidentes atendidos. Todo eso es necesario para supervisar un servicio. Ninguno de esos datos, por sí solo, le dice a la dirección si el negocio está más o menos expuesto que hace un trimestre.

Conviene distinguir tres tipos de indicador, porque responden preguntas distintas. La actividad registra qué se hizo: horas, rondines y revisiones; responde si el servicio se prestó. El cumplimiento mide qué tanto se ajustó a lo pactado: protocolos aplicados, tiempos de respuesta y auditorías; responde si se prestó bien. El efecto busca saber qué cambió en el negocio: interrupciones registradas, pérdidas, tiempo de recuperación y resultados de pruebas de controles críticos; responde si sirvió, con límites de atribución que deben declararse.

La actividad es fácil de contar y de auditar. El efecto exige una línea base, un responsable de leerlo y una conversación entre seguridad, operaciones y finanzas que no siempre está en la agenda. El riesgo es que el comité reciba volumen y lo interprete como desempeño.

Una interrupción que no ocurrió no se puede contar directamente. Atribuirla a una medida exige un método que compare contra lo que habría pasado sin ella. Por eso conviene empezar por lo observable: eventos registrados con su denominador, controles probados y el tiempo que tomó recuperar la operación.

Antes de cambiar proveedor o presupuesto, una dirección general puede hacer tres preguntas a su área de seguridad. ¿Cuáles son los tres eventos que más dañarían la operación este año y qué indicador nos avisaría a tiempo? ¿Cuál era la situación hace doce meses, para poder comparar? ¿Quién en la dirección revisa ese indicador y qué decisión ha cambiado por él?

El Observatorio preguntará a los directivos del Panel Fundador cómo comprueban que su gasto en seguridad produce resultados. Publicaremos lo que encontremos, incluso si contradice este planteamiento.

Muchas compras de seguridad usan como unidad las horas-guardia por puesto. Es una unidad verificable y por eso se usa. Con un alcance fijo se puede comparar precio, calidad, cumplimiento y capacidad del proveedor. Lo que ya no entra en la comparación son las alternativas para lograr el resultado, porque el alcance quedó decidido antes de escuchar al mercado.

¿Qué riesgo queremos reducir, y cómo sabremos si se redujo? Si las bases no lo dicen, ninguna oferta puede demostrar que lo reduce mejor que otra.

¿Estamos comprando presencia, capacidad de respuesta o anticipación? Son capacidades distintas, con costos distintos. Mezclarlas en una sola tarifa impide saber qué se está pagando.

¿Qué información nos debe entregar el proveedor cada mes para decidir mejor? El reporte es parte del servicio. Si no se pide en la licitación, difícilmente se recibe en la operación.

Estas preguntas no sustituyen la comparación de precio ni el cumplimiento legal. Ordenan la conversación para que las ofertas se comparen contra un resultado y no solo contra horas.

La conversación sobre combinar guardias y tecnología suele plantearse como sustitución: cuántos puestos puede reemplazar una cámara. Esa pregunta deja fuera lo que determina el resultado, que es el proceso entre la detección y la respuesta.

Un sistema genera alertas, pero nadie tiene asignado decidir cuáles importan. El volumen crece, la atención baja y la alerta relevante se pierde entre las irrelevantes.

El centro remoto ve el evento y llama al sitio. En el sitio, el guardia no sabe qué se espera de él ni con qué autoridad actúa. La tecnología acortó la detección y el proceso alargó la respuesta.

El incidente se atiende y se cierra. Nadie revisa por qué ocurrió ni ajusta la configuración, los rondines o el protocolo. El siguiente incidente encuentra el mismo sistema.

Antes de invertir en más dispositivos, conviene dibujar la cadena completa en un solo sitio: quién detecta, quién decide, quién actúa, en cuánto tiempo y quién revisa después. Si una de esas casillas está vacía, la inversión adicional puede amplificar el problema en lugar de resolverlo.

¿Qué empresas han logrado integrar ambas capacidades y qué cambiaron en su organización para lograrlo? Es uno de los temas candidatos para el primer Pulso del Riesgo Corporativo.