Gestión estratégica de seguridad en la empresa - Anetcom

86
los indicadores y métricas de seguridad de la organización. Esta actividad es
vital, puesto que si se realiza de forma incorrecta producirá un Cuadro de
Mandos no usable o que aporta información escasamente significativa.
Por otra parte, los indicadores deben estar bien calculados. Es decir, todos y
cada uno de los indicadores han de tener claramente definidas las fuentes de
información de las que se parte para su cálculo, la fiabilidad de las mismas,
el proceso por el cual las fuentes producen el indicador y la frecuencia con la
que se dispone de un nuevo valor para el indicador. Además, cada una de
estas actividades respecto de un indicador debe ser correcta y eficiente, por
cuanto que un fallo en la integridad en el procesamiento de un indicador
impacta con total seguridad en el resto del CMS, produciendo una visión
deformada de la realidad de la organización y pudiendo motivar la toma de
decisiones erróneas.
El CMS incluye también las zonas de alarma en los indicadores seleccionados.
Al igual que las zonas rojas del cuentarrevoluciones del coche, se trata
de rangos de valores de los indicadores seleccionados que reflejan situaciones
no aconsejables en la organización y habitualmente se definen en base a
umbrales. Una vez que un indicador alcanza estos umbrales, el CMS emite
alertas al personal oportuno para solicitar la atención del posible problema
detectado y determinar el curso de acción adecuado ante esta variación
detectada. Esta alerta detectada no tiene porqué corresponder con una acción
puntual, que se detecta y se trata en tiempo real, sino que pueden existir
diversos tipos de umbrales para diversos horizontes temporales. De esta forma,
el CMS debe ser capaz de permitir detectar tendencias en la organización
que, eventualmente, puedan derivar en situaciones no deseadas: incidentes,
alertas, ineficiencias, etc. Por la misma razón, en un mismo CMS y
sobre un mismo indicador se pueden establecer tantos umbrales como se estime
necesario, modulando en cada uno de ellos la gravedad del problema y la
prioridad con la que esta alarma ha de ser atendida.
En este contexto, es adecuado preguntarse si el CMS ha de ser el único Cuadro
de Mandos que exista en la organización, supeditando cualesquiera otras
herramientas similares a él, o si por el contrario, debe el CMS supeditarse a
ellas. La respuesta no es inmediata, puesto que depende definitivamente de
las herramientas concretas existentes, sus finalidades y operativas. En todo
caso, parece deseable que el total de Cuadros de Mando de la compañía sean