Amenaza y Riesgo: Cual Es La Diferencia?

La pregunta en el título de esta pieza es la que a menudo surge y fue puesta en evidencia durante una reciente conversación con un colega que trabaja para un contratista de defensa. Él había leído un informe en el que yo había evaluado que había una alta amenaza de ataques con cohetes contra un aeropuerto de Afganistán. Posteriormente él había trasladado el nivel de riesgo de su organización del aeropuerto a ‘alto’ y prohibió todos los viajes a través de ese lugar, teniendo un significativo impacto en su capacidad para trasladar personal dentro y fuera del país. Como académico en mi carrera en las sombras, me cambié a modo de profesor y diserté sobre la diferencia entre «amenaza» y «riesgo». Él entendió el punto y ajustó el nivel de riesgo, lo que permitió su organización para reanudar los viajes a través del aeropuerto.

Entonces, ¿cuál es la diferencia? En pocas palabras, la ‘amenaza’ es una función de la capacidad del enemigo y la intención de llevar a cabo los ataques, mientras que el «riesgo» es una función de la probabilidad de que la organización va a estar involucrada en un ataque (ya sea como un objetivo deliberado o sólo por estar en el lugar equivocado en el momento equivocado) y el daño que tal ataque podría causar. Aún más, simplemente, ‘amenaza’ = capacidad x intención, mientras que el «riesgo»  x = probabilidad x daño.

La valoración de las amenazas tiene en cuenta una amplia gama de factores. Para evaluar la capacidad, analizan la calidad de los resultados anteriores, las tendencias actuales, comando y control (C2), el apoyo logístico y el grado en que un grupo puede crear sus propias oportunidades de ataque. La intención es establecido por los resultados anteriores (es decir, si que de hecho han atacado al menos una vez y luego la intención es clara), la retórica pública y si un grupo crea sus propias oportunidades o simplemente reacciona a los acontecimientos. En el ejemplo del aeropuerto, el grupo insurgente local había estado llevando a cabo una o dos ataques con cohetes al día durante varios días. La capacidad y el propósito fueron, por tanto, bastante claros – el grupo tenía el apoyo logístico y el C2 necesario para llevar a cabo estos ataques y estaban atacando cada vez que querían. Los ataques rara vez causaron víctimas o daños, pero esto tenía más que ver con la naturaleza dispersa del aeropuerto que cualquier falta de capacidad técnica – a los insurgentes habían conseguido golpear el mismo bloque de alojamiento en dos ocasiones distintas, lo que demuestra cierto grado de experiencia . El hecho de que los ataques con cohetes se habían llevado a cabo con regularidad durante varios años, indica que la intención de llevar a cabo más ataques fue similarmente muy elevado. Como resultado de todos estos factores, se evaluó  que la amenaza era alta, es decir, estaba casi seguro de que los insurgentes llevaría a cabo nuevos ataques con cohetes contra la base.

Entonces, habiendo establecido el nivel de amenaza, ¿qué pasa con el riesgo? Esto es, por supuesto, informado por la evaluación de las amenazas, que identifica el tipo y nivel de riesgo que probablemente tendrá  enfrentarse. Como ya he mencionado, el riesgo es una función de la probabilidad y el daño, es decir, la probabilidad de un evento en particular y qué daño puede este generar a la organización. Hay toda una industria construida en torno a las evaluaciones de riesgos, así que no intentaremos resumirlo aquí, pero continuaré con el ejemplo del aeropuerto para ilustrar mi punto. El “daño” era relativamente fácil de evaluar. Si un empleado era asesinado o resulta herido en un ataque con cohetes contra el aeropuerto está claro que sería devastador para él y su familia. Además de eso, la misión de su empresa no podría seguir adelante si no llegara a su lugar de trabajo y la reputación de la empresa sufriría como consecuencia de la muerte o lesiones del empleado. La probabilidad es igualmente sencilla. La gran mayoría de los ataques consistieron en uno o dos cohetes disparados al aeropuerto durante la tarde o noche. La mayoría de los cohetes cayeron en zonas abiertas y lejos de los edificios terminales y pistas de aterrizaje. Desde que usualmente el horario de vuelos significaba que el empleado llegaba a la mitad de la noche y sólo pasaba una o dos horas en el aeropuerto, las posibilidades de estar allí durante un ataque eran extremadamente bajas. Sumandole a todo esto los factores de mitigación aplicadas por los militares y la propia empresa, el riesgo real resultó estar dentro de la tolerancia de la empresa.

Hay, por desgracia, una tendencia a tratar de cuantificar el riesgo y reducir el proceso de cálculo matemático que proporciona un resultado objetivo. Cuando se trata de llevar a cabo evaluaciones de amenazas y riesgos en zonas de guerra también hay un elemento muy subjetivo. Usted nunca tiene acceso a toda la información que necesita, ya sea porque es clasificada o simplemente porque no está disponible. Gran parte de la evaluación de la amenaza se basa en la opinión y el juicio subjetivo, aunque sea apoyada por una investigación diligente y los mejores datos disponibles. Pero el mayor problema con tratar de evaluar el riesgo en un ambiente hostil es que hay un elemento de puro azar. Como lo mencionó elocuentemente un ex oficial de EE.UU de las Fuerzas Especiales en un reciente artículo:

“El Caos del que conozco, tiene poco que ver con un atasco del tráfico … o rápidos de agua blanca. No hay muchas oportunidades en esos sistemas, pero … no reinan. En la guerra, el azar es el  rey supremo. Inclinamos la cubierta a nuestro favor. Disparamos mejor. Tenemos mejores armas. Nos comunicamos mejor que nuestro enemigo. Damos orden a las variables que podemos. Pero sólo tenemos algunas cartas. No siempre podemos controlar dónde o cómo entrar en los rápidos, ni siquiera saber dónde están los rápidos. La guerra no es un caos perfecto, ya que tenemos un poco de control. Pero esta malditamente cerca. “

En resumen, incluso la mejor evaluación del riesgo y medidas de mitigación dejan un cierto grado de riesgo residual, ya sea porque no se puede mitigar totalmente en contra de todos los riesgos o por el elemento del azar. Pero, como muestra este ejemplo, entender la diferencia entre «amenaza»  y «riesgo» puede ayudar a tomar decisiones que mantendrán a su gente segura y evitar gastos innecesarios. Si quieres saber más, por favor no dude en preguntarme. Como mi colega contratista de defensa testificará, puedo seguir durante horas