Por Ing. Juan Esteban Suaterna Cabrera

En muchas organizaciones, la seguridad todavía habita una paradoja incómoda. Es indispensable cuando ocurre una crisis, pero marginal cuando se diseña la estrategia. Se le exige proteger activos críticos, preservar la continuidad y reducir pérdidas, pero rara vez se le reconoce como una capacidad capaz de influir en la creación de valor. Esa brecha no es menor. Es, en realidad, una de las expresiones más evidentes de un modelo de gestión que sigue tratando la seguridad como una función de contención, cuando el contexto actual exige entenderla como una capacidad de articulación empresarial.

Ese cambio de mirada no responde a una moda discursiva. Responde a una transformación profunda del entorno competitivo. Los marcos contemporáneos de gestión del riesgo ya no entienden el riesgo solamente como exposición a pérdidas, sino como una variable inseparable del logro de objetivos, la asignación de recursos y la toma de decisiones. ISO 31000 establece que la gestión del riesgo debe integrarse en la gobernanza, la estrategia, la planificación, la gestión, la información y la cultura organizacional, y además señala que una aplicación adecuada incrementa la probabilidad de alcanzar objetivos y mejora la identificación de oportunidades y amenazas. En la misma línea, COSO ERM insiste en que el riesgo debe considerarse tanto en la formulación de la estrategia como en el impulso del desempeño. El mensaje de fondo es contundente: el riesgo ya no es una conversación periférica; es una conversación sobre negocio.

La implicación para la seguridad corporativa es profunda. Si el riesgo es una variable estratégica, entonces la seguridad no puede seguir operando como un conjunto de controles desconectados, ni como un catálogo de respuestas activadas por eventos pasados. Debe evolucionar hacia una lógica de sistema: una arquitectura capaz de traducir la incertidumbre en criterios de decisión, los controles en capacidades organizacionales y la protección en habilitación del desempeño. En otras palabras, la seguridad madura deja de medirse solo por su capacidad de reaccionar y empieza a valorarse por su capacidad de anticipar, integrar y sostener la operación en escenarios de alta complejidad. Esa evolución es coherente con la literatura sobre resiliencia organizacional, que ha mostrado que la resiliencia no es una cualidad improvisada en la crisis, sino el resultado de una gestión estratégica y operativa deliberada.

El problema es que muchas compañías todavía administran la seguridad desde una lógica fragmentada. Los riesgos se evalúan en un lenguaje, los controles se implementan en otro y la estrategia corporativa se formula en un tercero. Bajo ese esquema, la organización invierte en dispositivos, procedimientos, vigilancia, automatización o analítica, pero no siempre consigue demostrar cómo esas decisiones protegen el flujo de ingresos, fortalecen la continuidad, reducen volatilidad operacional o contribuyen a la ejecución de la estrategia. El resultado es predecible: la seguridad se percibe como necesaria, pero no como decisiva. Y cuando una función no logra demostrar su contribución al desempeño, termina atrapada en el territorio más frágil del presupuesto: el de los costos que siempre deben justificarse.

Aquí es donde una propuesta como el Óberon Security Intelligence Framework (OSIF) adquiere relevancia conceptual. Su aporte no consiste simplemente en ordenar prácticas de seguridad, sino en corregir una fractura de diseño que ha acompañado al sector por décadas: la separación entre gestión del riesgo, implementación de controles y objetivos estratégicos del negocio. OSIF parte de una premisa que hoy tiene pleno respaldo en los marcos de referencia más sólidos: la seguridad genera valor cuando logra conectar de manera trazable el riesgo que amenaza el negocio, el control que trata ese riesgo y el objetivo estratégico que debe preservarse o habilitarse. Vista así, la seguridad deja de ser un universo operativo y se convierte en una arquitectura de alineación.

Esa alineación importa porque modifica la naturaleza de la conversación ejecutiva. Cuando la seguridad se formula únicamente desde el lenguaje técnico, suele hablar de incidentes, brechas, amenazas o dispositivos. Cuando se formula desde el lenguaje de negocio, habla de continuidad operativa, estabilidad del ingreso, confiabilidad del servicio, integridad del activo, resiliencia reputacional y protección de la capacidad de ejecución. No es un cambio retórico; es un cambio de gobernanza. De hecho, la evidencia académica sobre enterprise risk management muestra que los esquemas más robustos de gestión del riesgo se asocian positivamente con el desempeño de la firma, y que la fortaleza de la supervisión a nivel de gobierno corporativo amplifica ese efecto. Es decir, no basta con “tener gestión de riesgos”; lo decisivo es su calidad, su integración y su capacidad de influir en la conducción del negocio.

Desde esa perspectiva, uno de los aportes más poderosos de una visión integral como OSIF es que reordena el papel de los controles. En muchas organizaciones, los controles siguen entendiéndose como barreras aisladas, casi siempre justificadas por cumplimiento, auditoría o reacción a un incidente previo. Sin embargo, los marcos modernos muestran algo más sofisticado. COSO ha insistido en que los controles internos tienen valor más allá del cumplimiento y del reporte financiero, porque ayudan a una organización a articular su propósito, definir sus objetivos y crecer con confianza e integridad. NIST, por su parte, subraya que los controles deben ser flexibles, adaptables y gestionados como parte de un proceso organizacional de administración del riesgo, orientado a proteger operaciones, activos y misión. El punto central es que el control deja de ser una medida defensiva para convertirse en una capacidad de aseguramiento del desempeño.

Ese tránsito es especialmente relevante en sectores intensivos en operación, dispersión geográfica, exposición reputacional o criticidad de activos, como hidrocarburos, retail, inmobiliario, logística, infraestructura o manufactura. En esos entornos, la seguridad no puede limitarse a “evitar pérdidas”; debe contribuir a estabilizar la operación, aumentar la visibilidad sobre eventos críticos, reducir tiempos de respuesta, anticipar desviaciones, mejorar la calidad de la información para decidir y proteger condiciones mínimas para el crecimiento. En otras palabras, debe ser leída como una función de soporte a la competitividad. La literatura reciente sobre la integración entre balanced scorecard y enterprise risk management refuerza precisamente esa idea: el riesgo no debe tratarse como un apéndice de control, sino como un componente que se articula con los sistemas de dirección y medición estratégica.

En este punto aparece una tensión que el mundo corporativo ya no puede seguir posponiendo: la diferencia entre incorporar tecnología y construir capacidad. Durante años, el sector seguridad ha tendido a equiparar modernización con adquisición tecnológica. Cámaras más sofisticadas, sensores más precisos, plataformas más completas, motores analíticos más poderosos. Sin embargo, la tecnología por sí sola no corrige una mala arquitectura de gestión. Sin un modelo que conecte datos, riesgo, decisiones y objetivos, la tecnología se convierte en acumulación de capacidad instalada, pero no necesariamente en inteligencia útil. Los marcos contemporáneos de gestión del riesgo insisten justamente en la necesidad de procesos repetibles, medibles y alineados con el propósito organizacional; sin esa columna vertebral, la digitalización de la seguridad corre el riesgo de producir más información, pero no mejor dirección.

Por eso, una de las discusiones más relevantes para la alta dirección no debería ser cuánta tecnología incorporar, sino bajo qué lógica integrarla. La videoanalítica, la sensorización, la analítica predictiva y las plataformas de business intelligence pueden transformar el papel de la seguridad, pero solo cuando están subordinadas a una tesis de negocio. Su valor aparece cuando permiten detectar patrones, correlacionar señales tempranas, priorizar riesgos, asignar recursos con mejor criterio y reducir incertidumbre en decisiones operativas y estratégicas. Ahí la tecnología deja de ser una promesa de modernización y se convierte en un habilitador de gobierno.

En este contexto, la medición de madurez deja de ser un ejercicio cosmético y pasa a ser una herramienta de transformación. Un índice como OSMI (Óberon Security Maturity Index) resulta especialmente valioso porque permite observar algo que muchas organizaciones no logran ver con claridad: que la evolución de la seguridad no depende solo de más inversión, sino de mayor integración. La madurez no es tener más controles, sino tener controles mejor conectados con el mapa de riesgos, los procesos críticos, la cultura de decisión y los objetivos de negocio. Desde esa óptica, pasar de un modelo reactivo a uno proactivo no significa únicamente responder antes; significa rediseñar la función de seguridad para que opere como un sistema de inteligencia aplicada.

Ese matiz es importante porque en el mundo corporativo todavía existe una tendencia a sobrevalorar la reacción rápida y subvalorar la anticipación estructurada. Sin duda, la capacidad de respuesta seguirá siendo indispensable. Pero la literatura y la práctica convergen en un punto: las organizaciones más sólidas no son necesariamente las que mejor resisten el impacto, sino las que mejor convierten la gestión del riesgo en una capacidad continua de adaptación.

Visto así, el debate sobre ROI y payback en seguridad también necesita madurar. Durante años, el sector ha tenido dificultades para defender financieramente sus inversiones porque muchas iniciativas se han presentado como gasto preventivo difuso, con beneficios importantes, pero poco trazables. El problema no es que la seguridad no genere retorno; el problema es que con frecuencia se modela sin suficiente conexión con variables de negocio. Cuando los controles se asocian explícitamente con la reducción de volatilidad operacional, la preservación de ingresos, la disminución de pérdidas, la continuidad de activos críticos, la eficiencia de respuesta o la mejora en la toma de decisiones, entonces el retorno empieza a hacerse visible. No siempre bajo la lógica simple de “ingreso nuevo”, pero sí bajo una lógica ejecutiva mucho más rigurosa: protección del valor, aseguramiento del desempeño y reducción de fricciones que erosionan la rentabilidad.

En esa discusión, el mayor desafío no es técnico, sino intelectual. El sector seguridad ha sufrido durante mucho tiempo una marginación conceptual: se le ha pedido operar con disciplina, pero no siempre pensar estratégicamente; ejecutar con velocidad, pero no necesariamente influir en la dirección del negocio. Superar esa condición exige elevar su lenguaje, fortalecer su metodología y conectarlo con las grandes conversaciones de la empresa: estrategia, gobierno, desempeño, resiliencia y creación de valor. Ese es, quizá, el punto más potente de un marco como OSIF: no intenta dignificar la seguridad por retórica, sino por diseño. La ubica donde debe estar: en la intersección entre incertidumbre, control y propósito corporativo.

La conclusión es clara. En un entorno donde el riesgo es más interdependiente, más dinámico y más costoso de interpretar, la seguridad no puede seguir siendo administrada como una suma de recursos de protección. Debe ser concebida como una capacidad estratégica de lectura, articulación y ejecución. Una capacidad que integra buenas prácticas, despliega controles con sentido, aprovecha la tecnología como habilitador, mide su madurez y demuestra su impacto sobre objetivos concretos del negocio. Cuando eso ocurre, la seguridad deja de ser una función que el negocio tolera y se convierte en una función que el negocio necesita para competir mejor.

Ahí está la verdadera transformación. No en hacer más seguridad, sino en construir una seguridad capaz de hablar el lenguaje de la empresa sin perder rigor técnico; una seguridad que no solo reduzca exposición, sino que aumente capacidad; una seguridad que no llegue después de la estrategia, sino que contribuya a hacerla viable.

Base conceptual utilizada

El artículo está apoyado en principios de ISO 31000, COSO ERM, COSO Internal Control, NIST RMF / SP 800-53, literatura académica sobre ERM y desempeño empresarial, estudios sobre resiliencia organizacional y hallazgos recientes del World Economic Forum sobre el entorno global de riesgos.