Análisis de riesgos de seguridad para obra, planta y CEDIS

Respuesta rápida: el análisis de riesgos de seguridad es un método para identificar activos críticos, amenazas y vulnerabilidades, valorar la probabilidad y el impacto de cada escenario, y convertir el resultado en controles con responsable y plazo. En una obra, planta o CEDIS permite decidir qué atender antes: un tapial vulnerable, el resguardo de diésel, la recepción de cable o el acceso de contratistas. ISO 31000 y la NMX-SAST-31000-IMNC orientan el proceso; la matriz 5×5 es un ejemplo didáctico, no una obligación normativa.

Qué es un análisis de riesgos de seguridad y qué no es

El análisis de riesgos de seguridad patrimonial estudia pérdidas intencionales que pueden afectar la continuidad de una obra o instalación: robo, intrusión, sabotaje, fraude interno, extorsión o vandalismo. Parte de un activo que importa a la operación, identifica quién o qué podría afectarlo y revisa las condiciones que facilitan el evento. El resultado útil no es una lista de temores, sino una prioridad explícita que permite asignar controles y comprobar después si redujeron la exposición.

Una auditoría de seguridad es el servicio de revisión en sitio que aplica ese método y verifica controles existentes. Incluye recorridos, entrevistas y evidencia de accesos, iluminación, bitácoras o inventarios; el análisis es la parte que convierte esa evidencia en calificaciones y decisiones. Por eso una auditoría profesional debe entregar un informe, una matriz y un plan de tratamiento, no solo una recomendación para contratar más vigilancia.

Conviene separar cuatro conceptos. El activo es aquello que quieres proteger, como maquinaria, cable, diésel, información o una bodega. La amenaza es un evento o actor capaz de causar pérdida; la vulnerabilidad es la debilidad aprovechable, como un hueco en el tapial o una salida sin autorización; el riesgo reúne probabilidad y consecuencia. Esa distinción evita atribuir al guardia decisiones que corresponden al residente o al almacenista.

Marco para una auditoría de seguridad: ISO 31000, NMX e IEC 31010

ISO 31000 propone establecer alcance, contexto y criterios; identificar, analizar y valorar riesgos; tratarlos, darles seguimiento y comunicarlos. Su adopción nacional idéntica es la NMX-SAST-31000-IMNC-2018. Ambas son directrices aplicables a cualquier organización y no constituyen una certificación; úsalas como lenguaje común para documentar por qué un riesgo se acepta, se reduce o se escala a dirección.

IEC 31010 orienta la selección de técnicas para evaluar riesgos. En una obra funcionan, por ejemplo, el recorrido diurno y nocturno, entrevistas estructuradas, listas de verificación, análisis de escenarios y técnicas como la matriz de probabilidad y consecuencia. La referencia ASIS SRA también contempla contexto, identificación, análisis, evaluación, tratamiento y seguimiento, con hallazgos y recomendaciones como parte del informe.

Para el diseño físico, ISO 22341 aporta pautas de prevención del delito mediante diseño ambiental. Los principios clásicos de CPTED —vigilancia natural, control natural de accesos, refuerzo territorial y mantenimiento— sirven para ordenar observaciones del sitio, pero no sustituyen una valoración completa. La seguridad física, tecnológica y operativa debe responder a la criticidad de cada activo, no a un catálogo fijo de equipos.

Alcance y criterios antes de calificar riesgos

Define primero el sitio, el periodo que analizarás, la fase de obra y los activos incluidos. Una evaluación para excavación no produce las mismas prioridades que una para instalaciones: cambian maquinaria, combustible, cable, cuadrillas y entregas. También establece quién decide el apetito de riesgo, qué pérdidas son tolerables y qué evidencia necesitas para sostener una calificación frente a compras, dirección y el responsable de seguridad.

Antes de usar números, escribe las escalas de probabilidad e impacto. El ejemplo siguiente corresponde a una obra de 18 meses. Cada organización debe adaptar sus rangos a su operación y dejarlos fijos durante la evaluación; así, un cambio posterior en la calificación queda explicado por un cambio real en el entorno o en el control.

Nivel	Probabilidad: frecuencia esperada	Impacto: consecuencia
1	Raro: no se espera en los 18 meses	Insignificante: pérdida menor absorbida por caja chica, sin retraso
2	Improbable: 1 o 2 veces en 18 meses	Menor: reposición sin afectar la ruta crítica, retraso menor a 1 día
3	Posible: de 3 a 6 veces en 18 meses, alrededor de una por trimestre	Moderado: retraso de 1 a 6 días o reposición crítica
4	Probable: de 7 a 18 veces en 18 meses, alrededor de una al mes	Mayor: retraso de 7 a 30 días, pérdida de equipo mayor o lesión
5	Casi cierto: más de 18 veces en 18 meses, semanal o más frecuente	Grave: paro de más de 30 días, pérdida de maquinaria pesada o lesión grave

Para conservar la trazabilidad de una obra de 18 meses, agrega al expediente una hoja de criterios con los umbrales temporales aprobados: menos de 1 día, de 1 a 6 días, de 7 a 30 días y más de 30 días. Un retraso de 1 día, otro de 6 días y un paro de más de 30 días no justifican el mismo tratamiento. Una vez que el equipo valide esas definiciones, no las modifiques durante la misma evaluación; de otro modo, la comparación entre riesgos deja de ser consistente.

Inventario y criticidad de activos en obra

No todos los bienes merecen el mismo control. Para priorizarlos, combina impacto en la operación, dificultad de reposición y atractivo por reventa o portabilidad. La fórmula siguiente es un ejemplo didáctico: criticidad = impacto de 1 a 5 × dificultad de reposición de 1 a 5 × atractivo de 1 a 3. Sirve para exponer por qué el cable puede requerir atención antes que una retroexcavadora, aunque esta última tenga mayor valor aparente.

Activo	Impacto	Reposición	Atractivo	Criticidad	Prioridad
Cable de cobre en carretes	4	3	3	36	1
Diésel en tanque de obra	4	2	3	24	2
Retroexcavadora	5	4	1	20	3
Herramienta eléctrica menor	3	2	3	18	4
Acero de refuerzo	3	2	2	12	5
Planos y documentación	3	2	1	6	6

Registra también activos menos visibles: remisiones, listas de cuadrillas, llaves, credenciales, dispositivos y documentación. En la retroexcavadora, el atractivo bajo refleja que el riesgo principal es el daño o vandalismo, no el robo; esa diferencia cambia las medidas. Si la operación incluye entradas de carga o resguardo de almacenes, integra al responsable de recepción para que la evaluación no se limite al perímetro.

Identificación de amenazas y vulnerabilidades

El recorrido debe ocurrir con la operación real. De día, revisa perímetro, accesos, almacén, patio de maquinaria y tanque de diésel; de noche, observa iluminación, puntos ciegos, rondines y la respuesta ante una anomalía. Entrevista al residente, almacenista, caseta, operadores y supervisión, y contrasta sus respuestas con bitácoras, diferencias de inventario e incidentes. La ENVE puede ser una lista de partida: extorsión, robo o asalto de bienes, robo hormiga, corrupción, fraude, robo en tránsito, robo de vehículo y daños a instalaciones aparecen entre sus amenazas medidas.

La cifra oculta reportada por la ENVE es de 90.3 %, por lo que no debes estimar la probabilidad solo con denuncias o estadísticas públicas. Los registros internos aportan señales más cercanas: horas de acceso, faltantes repetidos, remisiones incompletas, alarmas y variaciones entre inventario físico y documental. Documenta además las condiciones del entorno, como una nueva vialidad o un predio vecino desocupado, porque pueden alterar el acceso y la vigilancia natural.

• Recorre el sitio en operación diurna y nocturna, con plano o croquis para ubicar accesos y zonas sin visibilidad.
• Compara entrevistas con bitácoras, remisiones, inventarios y reportes de incidentes.
• Formula escenarios concretos: quién entra, qué activo alcanza, qué barrera falla y qué consecuencia operativa produce.
• Confirma el flujo de decisión: el guardia verifica documentos, mientras el residente o almacenista autorizan el material.

Matriz 5×5: probabilidad, impacto y riesgo residual

Multiplica probabilidad por impacto después de acordar los criterios. En este ejemplo, 1–4 es bajo y se monitorea; 5–9 es medio y requiere control con responsable; 10–16 es alto y se trata antes de la siguiente fase; 20–25 es crítico y se escala de inmediato a dirección. El riesgo inherente es la exposición antes de controles nuevos; el residual es la exposición esperada tras aplicar las medidas y comprobar su operación.

Riesgo	P	I	Inherente	Tratamiento	P’	I’	Residual
Robo de cable	4	4	16 alto	Reparar tapial, iluminar, monitoreo nocturno y rondines	2	4	8 medio
Desvío de diésel	4	3	12 alto	Llave, bitácora por equipo y supervisión sin aviso	2	3	6 medio
Salida de herramienta	3	3	9 medio	Inventario por cuadrilla y revisión en caseta	2	3	6 medio
Entrega incompleta firmada	3	2	6 medio	Conteo contra remisión antes de firmar	1	2	2 bajo

La tabla ilustra un cambio de probabilidad, no una garantía de que el evento desaparecerá. Una cámara o un rondín no reducen por sí mismos el impacto de perder material crítico; para eso podrías ajustar entregas, resguardo o disponibilidad de inventario. Mantén evidencia de cada control para que, si el residual sigue alto, dirección decida si acepta, transfiere o amplía el tratamiento.

Procedimiento práctico: calcular y tratar el robo de cable

Aplica este ejercicio a un riesgo concreto antes de extenderlo al resto de la matriz. Supón que el almacén guarda carretes de cobre, el tapial tiene huecos y hubo intrusiones en el entorno. Se estima una ocurrencia probable, alrededor de 1 vez al mes, así que P = 4. Si la pérdida interrumpe el cableado y genera un retraso de 1 a 4 semanas, I = 4; el riesgo inherente es 4 × 4 = 16, banda alta.

1. Repara el tapial, ilumina el almacén y coloca los carretes en un contenedor cerrado antes de iniciar instalaciones.
2. Define rondines con registro y monitoreo nocturno; asigna al residente la verificación de cierre y al proveedor la evidencia operativa.
3. Después de comprobar los controles, recalifica la probabilidad como improbable: P = 2; conserva I = 4 porque el cable sigue siendo crítico.
4. Calcula 2 × 4 = 8, banda media, y programa seguimiento mensual para verificar que no regresen los huecos, fallas de iluminación o accesos no registrados.

El plan de tratamiento puede evitar, reducir, transferir o aceptar un riesgo. Para las capas físicas y operativas de disuadir, detectar, retrasar y responder, integra la seguridad perimetral al diseño de controles. Si el escenario involucra visitas, proveedores o vehículos, el control de acceso vehicular ayuda a convertir el acceso en evidencia verificable; si deriva en protección personal durante traslados, delimita el alcance contractual de escoltas. Cuando el análisis justifique patrullaje con perro, define funciones, bienestar y límites del binomio canino sin convertirlo en una solución genérica.

CPTED y controles para reducir oportunidades

CPTED lleva la evaluación al espacio físico. Revisa si el tapial permite ver o ingresar, si hay una ruta clara desde caseta al acceso, si el almacén queda oculto, si los materiales están ordenados y si las luminarias funcionan en horarios reales. Un acceso único, líneas de visión despejadas, señalización operativa y mantenimiento reducen oportunidades; no reemplazan el inventario, las consignas ni las decisiones de autorización.

Relaciona cada control con la vulnerabilidad que atiende y con el responsable que lo sostiene. Una pluma no corrige una remisión que nadie coteja; una cámara no sustituye la custodia de llaves; un rondín sin bitácora no permite verificar cobertura. Para escenarios con alerta y supervisión remota, define también el alcance de botón de pánico y de videovigilancia sin asumir que toda tecnología tiene la misma capacidad de respuesta.

Análisis de riesgos de seguridad y Programa Interno de Protección Civil

El análisis patrimonial y el Programa Interno de Protección Civil usan palabras parecidas, pero tienen objetos distintos. El PIPC es un instrumento de planeación y operación para mitigar riesgos y atender emergencias o desastres en cada inmueble; el análisis de seguridad se concentra en pérdidas intencionales y continuidad patrimonial. No sustituyas uno con el otro ni presentes una matriz de robo como cumplimiento del programa de protección civil.

Aspecto	Análisis de riesgos de seguridad	Programa Interno de Protección Civil
Objeto	Robo, intrusión, sabotaje, fraude interno y extorsión	Sismo, incendio, inundación, fuga y evacuación
Componentes	Activos, amenazas, vulnerabilidades, matriz y tratamiento	Plan operativo, continuidad y contingencias
Responsable típico	Dirección, seguridad patrimonial y residente	Unidad Interna de Protección Civil
Punto de contacto	Sabotaje y vandalismo	Fenómeno socio-organizativo
Entregable	Informe de auditoría, matriz y plan	Programa Interno ante la autoridad aplicable

Coordina ambos documentos cuando una condición toca personas y patrimonio, pero conserva responsables, evidencias y objetivos propios. El Programa Interno de Protección Civil desarrolla los componentes de emergencia; la seguridad privada en obra permite revisar cómo cambian los controles por fase sin repetir el inventario de riesgos.

Entregables y revisión de una auditoría de seguridad

Pide un expediente que permita actuar y dar seguimiento. Debe contener un resumen ejecutivo de riesgos altos y críticos, alcance y escalas, inventario con criticidad, plano o croquis con accesos y puntos ciegos, matriz inherente y residual, evidencias y plan de tratamiento con responsables. Los indicadores y una revisión documentada cierran el ciclo: sin ellos, el informe deja de servir en cuanto cambian la operación o la fase de obra.

• Resumen ejecutivo, criterios, alcance y participantes de la revisión.
• Inventario de activos, plano del sitio y evidencia de hallazgos.
• Matriz con riesgo inherente, residual, responsable, plazo y control verificable.
• Revisión completa ante cambio de fase, incidente relevante, cambio de entorno o conforme al calendario fijo de la empresa; revisión parcial ante un turno o acceso nuevo.

Una revisión parcial basta cuando se modifica un proceso delimitado, como un acceso o turno; actualiza toda la matriz cuando cambia el inventario crítico o la fase. Vincula los hallazgos de entradas y salidas con prevención de pérdidas para que compras, almacén y caseta compartan registros y no cierren cada uno su propia versión del incidente.

SeguridadPrivadaMX: auditoría y tratamiento de riesgos de seguridad

SeguridadPrivadaMX ofrece auditoría de seguridad sin costo con recorrido e informe de hallazgos, además de consultoría para auditoría y prevención de pérdidas. Su propuesta puede pasar del diagnóstico a consignas escritas, supervisión en campo, bitácora digital e informes mensuales; esa secuencia es útil para implementar y revisar un plan de tratamiento; la empresa aclara que su auditoría no es una certificación de normas.

En obra, sus servicios incluyen vigilancia nocturna, control de acceso de cuadrillas, validación de remisiones, resguardo de maquinaria, cámaras con monitoreo remoto nocturno y reporte diario al residente. El guardia verifica documentos, pero el residente conserva la autorización del material; esa separación debe figurar en la matriz. La empresa declara contar con permiso de la SSC de la Ciudad de México, registro federal ante la DGSP, REPSE y póliza de responsabilidad civil; pide los documentos y la modalidad aplicable antes de contratar.

Para comparar proveedores y líneas disponibles, consulta las demás empresas de seguridad privada. SeguridadPrivadaMX atiende obras, industria, bodegas y centros de distribución en Ciudad de México y municipios del Estado de México, con guardias, monitoreo, seguridad electrónica, control de acceso, custodia de mercancías y consultoría.

Fuentes

• ISO 31000 — ISO
• NMX-SAST-31000-IMNC — Secretaría de Economía
• IEC 31010 — ISO
• ISO 22341 — ISO/TC 292
• Ley General de Protección Civil — Cámara de Diputados
• ENVE — INEGI

Preguntas frecuentes

¿Qué norma se usa para un análisis de riesgos en México?

La referencia es ISO 31000, adoptada en México de forma idéntica como NMX-SAST-31000-IMNC-2018, Gestión del riesgo — Directrices. Es una guía de principios y proceso, no certificable.

¿Cuál es la diferencia entre análisis de riesgos y auditoría de seguridad?

El análisis es el método para identificar, calificar y priorizar riesgos. La auditoría es la revisión en sitio que aplica ese método, verifica controles y entrega un informe con plan de tratamiento.

¿Cómo funciona una matriz 5×5?

Se califica probabilidad e impacto de 1 a 5 y se multiplican; un riesgo con probabilidad 4 e impacto 4 vale 16 y cae en banda alta. Define las escalas por escrito antes de calificar para comparar resultados.

¿El análisis de riesgos de seguridad sustituye al Programa Interno de Protección Civil?

No. El PIPC atiende emergencias y desastres; el análisis de seguridad patrimonial atiende robo, intrusión, sabotaje y fraude. Coordínalos porque ambos pueden tocar sabotaje y vandalismo.

¿Cada cuánto se actualiza en una obra?

Actualízalo al pasar de obra negra a instalaciones, después de un incidente relevante y cuando cambie el entorno o la operación. También fija una periodicidad de revisión completa para el sitio.

¿Qué es CPTED?

Es la prevención del delito mediante el diseño ambiental: iluminación, líneas de visión, accesos controlados y mantenimiento. ISO 22341 aporta pautas para aplicarlo en entornos construidos nuevos y existentes.