La ocasión no hace al ladrón, el diseño sí

Hay una creencia que persiste en casi todas las organizaciones que han sufrido un fraude interno: "No lo vimos venir porque era una persona de confianza." La frase es comprensible. También es, en términos de gestión de riesgos, completamente inútil.

Porque el problema no era la persona. Era el diseño.

El Triángulo del Delito: tres condiciones, una convergencia

La Teoría de las Actividades Rutinarias, desarrollada por Lawrence Cohen y Marcus Felson en 1979, propone algo elegante en su simplicidad: para que ocurra un delito, deben converger en el mismo tiempo y lugar tres elementos.

• ▸Un agresor motivado — alguien con la disposición o necesidad de actuar.
• ▸Un objetivo adecuado — algo con valor, accesible y sin protección suficiente.
• ▸La ausencia de un guardián capaz — nadie que observe, disuada o intervenga.

Elimina cualquiera de los tres y el delito no ocurre. Aquí está la clave estratégica que muchas organizaciones ignoran: la motivación del agresor es, en gran medida, incontrolable para la empresa. No puedes entrar en la cabeza de cada empleado, proveedor o contratista y modificar sus necesidades económicas, sus presiones personales o sus valores.

Lo que sí puedes controlar es el objetivo y el guardián. Es decir: puedes diseñar el entorno para que el objetivo sea menos accesible y para que la presencia del guardián sea real, visible y creíble.

Eso es exactamente lo que la mayoría de las organizaciones no hace.

Seguridad cosmética: el control que existe en papel

Existe un fenómeno que en la práctica llamo seguridad cosmética: controles que están documentados, aprobados y auditados, pero que en la operación real no funcionan. Políticas que nadie lee. Procedimientos que se saltan porque "siempre lo hemos hecho así". Cámaras que graban pero nadie revisa. Sellos de seguridad que se abren sin consecuencia.

La auditoría placebo es su versión institucional: una revisión que genera un reporte impecable, pero que no detecta las grietas reales porque está diseñada para confirmar cumplimiento, no para encontrar vulnerabilidades.

El resultado es un sistema que comunica, sin quererlo, exactamente lo contrario de lo que pretende: "nadie está mirando de verdad."

El periodo de observación: antes del robo, hay un aprendizaje

Los infractores no atacan al azar. Antes de actuar, observan. Aprenden los ritmos del sistema: cuándo hay supervisión y cuándo no, qué controles se aplican de verdad y cuáles son decorativos, dónde están los puntos ciegos.

Este periodo de observación puede durar semanas o meses. Y durante todo ese tiempo, la organización tiene la oportunidad de interrumpirlo. No porque detecte al infractor, sino porque diseña un entorno donde no hay nada que aprender: los controles son consistentes, impredecibles y visiblemente reales.

La seguridad efectiva no depende de atrapar al infractor después del hecho. Depende de diseñar un entorno donde la oportunidad nunca se materialice.

La biología del atajo: el jinete, el elefante y el protocolo

Jonathan Haidt propuso una metáfora que cambió la forma en que entiendo el comportamiento humano en las organizaciones: el jinete y el elefante. El jinete es el pensamiento racional, deliberado, el que sigue protocolos. El elefante es el sistema emocional e intuitivo, el que busca el camino de menor resistencia.

Cuando un protocolo de seguridad tiene demasiada fricción —demasiados pasos, demasiado tiempo, demasiado esfuerzo— el elefante simplemente busca el atajo. No por malicia. Por biología. El cerebro humano está diseñado para conservar energía cognitiva, y cuando el camino correcto es el más difícil, el Sistema 1 de Kahneman toma el control sin que nadie lo note.

Esto genera lo que llamo la Paradoja del Chavo del Ocho: el daño no viene de la mala intención, sino de la comodidad. El empleado que salta el paso de verificación no está planeando un fraude. Está ahorrando tres minutos. Pero ese ahorro de tres minutos es exactamente la grieta que alguien más estaba esperando.

Productos calientes: lo que te van a robar hoy

No todos los activos son igualmente atractivos para un infractor. Los criminólogos Ronald Clarke y Derek Cornish desarrollaron el acrónimo CRAVED para describir las características de los "hot products": Concealable (fácil de ocultar), Removable (fácil de mover), Available (disponible), Valuable (valioso), Enjoyable (disfrutable) y Disposable (fácil de vender o usar).

En el contexto latinoamericano, prefiero el acrónimo V.I.V.A.: Valor, Inercia (qué tan fácil es moverlo), Visibilidad (qué tan expuesto está) y Acceso (qué tan fácil es llegar a él). La clave no es eliminar el valor del producto —eso es imposible. La clave es aumentar la fricción en los otros tres factores.

Un producto de alto valor con baja visibilidad, alta inercia y acceso restringido es un objetivo poco atractivo. El mismo producto con alta visibilidad, baja inercia y acceso fácil es una invitación.

El Efecto Cucaracha: cuando cerrar una grieta solo mueve el problema

Hay un error frecuente en la gestión de vulnerabilidades: cerrar un punto de acceso sin entender el sistema completo. Cuando se elimina una oportunidad sin modificar el entorno general, el comportamiento delictivo no desaparece. Se desplaza. Busca la siguiente grieta disponible.

Esto es el desplazamiento del delito, y es la razón por la que las intervenciones puntuales raramente resuelven el problema de fondo. La cucaracha no muere cuando cierras una rendija. Encuentra otra.

La prevención situacional efectiva no trabaja punto por punto. Trabaja sobre el sistema completo: reduce la oportunidad de forma integral, no cosmética.

El arquitecto del entorno: tu verdadero rol

Ronald V. Clarke, el padre de la Prevención Situacional del Delito, propone algo que reencuadra completamente el rol del profesional de seguridad: no eres un psicólogo que intenta cambiar la ética de las personas. Eres un arquitecto del entorno que diseña espacios donde hacer lo correcto es el camino más fácil.

Eso significa construir barandales, no cercas. Los barandales guían el comportamiento sin restringir la autonomía. Las cercas generan resentimiento, creatividad para saltarlas y, eventualmente, una cultura de cumplimiento mínimo.

• ▸Diseña procesos donde el paso correcto tenga menos fricción que el atajo.
• ▸Haz visible que los controles funcionan — comunica los resultados internamente.
• ▸Elimina los puntos ciegos antes de que alguien los mapee.
• ▸Varía los patrones de supervisión para que sean impredecibles.
• ▸Cierra vulnerabilidades de forma sistémica, no puntual.