El riesgo de la terciarización de la seguridad: cuando delegas la función pero no el riesgo

Terciarizar la seguridad física es una decisión operativa legítima. Reduce costos fijos, transfiere la gestión de personal y permite acceder a especialización que sería costosa de desarrollar internamente. Muchas organizaciones lo hacen bien.

El error no es terciarizar. El error es creer que al terciarizar la función también se terciariza el riesgo. No funciona así. El riesgo permanece en la organización que lo genera, independientemente de quién gestione la respuesta.

Lo que se terciariza y lo que no

Cuando contratas una empresa de seguridad, terciarizas la ejecución de los procedimientos de seguridad física. No terciarizas la responsabilidad por los incidentes que ocurran en tus instalaciones. No terciarizas el conocimiento de tus vulnerabilidades específicas. No terciarizas la cultura de seguridad de tu organización. Y no terciarizas la capacidad de aprender de los incidentes.

He investigado incidentes en organizaciones que terciarizaron su seguridad y luego descubrieron que no tenían registros de incidentes anteriores, no conocían los procedimientos que se estaban aplicando y no podían demostrar qué controles existían. Habían terciarizado también el conocimiento.

Los riesgos específicos de la terciarización mal gestionada

El primero es la pérdida de conocimiento institucional: cuando el personal de seguridad rota frecuentemente —como ocurre en muchas empresas de seguridad privada— el conocimiento de las vulnerabilidades específicas de tu operación se pierde con cada rotación. El segundo es la alineación de incentivos: la empresa de seguridad está incentivada a renovar el contrato, no necesariamente a reportar todos los incidentes que podrían cuestionar su desempeño.

Cómo terciarizar bien

• ▸Mantén internamente la función de supervisión y diseño de controles — terciariza la ejecución, no la estrategia.
• ▸Exige reportes de incidentes en tiempo real y con acceso directo a los datos.
• ▸Define indicadores de desempeño que midan resultados, no actividades.
• ▸Mantén un registro interno de todos los incidentes, independientemente de quién los gestione.
• ▸Realiza auditorías independientes del desempeño del proveedor de seguridad.