2016 / estudio de seguridad corporativa · seguridad corporativa 2016. anÁlisis 3 estudio...

2016 / Estudio de

Seguridad Corporativa

2 SEGURIDAD CORPORATIVA 2016. ANÁLISIS

ESTUDIO SEGURIDAD CORPORATIVA 2016

Nota:A los efectos del presente documento, se entiende por Seguridad Corporativa el con-junto de acciones destinadas a proteger, y en su caso, recuperar los activos de las organizaciones frente a riesgos de cualquier naturaleza. Dichos activos incluyen, entre otros: personas, equipos, conocimiento, información y reputación, así como las infraes-tructuras y medios necesarios para el ejercicio de la actividad industrial o empresarial.

Por su propia naturaleza quedan fuera del objeto de este estudio las empresas provee-doras de servicios y tecnología de seguridad.

ÍNDICE

Introducción 3

Sectorización 4

Organización y Gestión 7

Estrategia 13

Presupuestos 18

Amenazas 21

Cualificación Profesional 23

Retos y Tendencias 26

Operadores Críticos 27

Conclusiones generales 30

SEGURIDAD CORPORATIVA 2016. ANÁLISIS 3


INTRODUCCIÓN

El grado de protección de los bienes de una entidad determina su fortaleza y su fiabilidad a la hora de prestar servicios. Pero la complejidad de los riesgos y amenazas que pueden afec-tar a dichos activos se incrementa cada día y los recursos asignados a esta función tienden a ser cada vez menores. Por otra parte, la falta de estándares nacionales e internacionales de referencia hace que la misión, los objetivos y la estructura de los órganos responsables de la Seguridad Corporativa dependan fuertemente de las características propias de cada organización (sector de producción, ámbito regional de sus operaciones, modelos organiza-tivos aplicados, valores y cultura corporativa).

En consecuencia, es necesario delimitar con claridad este espacio como paso previo a su estudio. Así, la Fundación Borredá define la Seguridad Corporativa como el conjunto de acciones destinadas a proteger y, en su caso, recuperar los activos de las organizaciones frente a riesgos de cualquier naturaleza. Dichos activos incluyen, entre otros: personas, ins-talaciones, equipos, conocimiento, información y reputación, así como las infraestructuras y los medios necesarios para el ejercicio de la actividad industrial o empresarial.

Desde esa perspectiva, la Fundación Borredá y Deloitte han llevado a cabo este Estudio de Seguridad Corporativa para tomar el pulso a la evolución y madurez de las empresas españolas en materia de gestión de la Seguridad Corporativa, así como para conocer su estado actual y fijar referencias que permitan analizar su evolución histórica. Además, el estudio recopila las expectativas y tendencias en Seguridad Corporativa de las principales compañías españolas e identifica los problemas que afectan a los directores de Seguridad.

El cuestionario consta de una serie de preguntas fijas y relativas a la organización y ges-tión, estrategia, presupuestos, amenazas, cualificación profesional y retos y tendencias de las empresas españolas en esta área. En esta ocasión, considerando la incidencia que la normativa sobre Protección de Infraestructuras Críticas está teniendo en la cultura de se-guridad de las empresas, en el estudio se han incluido algunas cuestiones referidas a ope-radores críticos y estratégicos.

Asimismo, los resultados de esta tercera edición parten de una muestra de cien empre-sas españolas. El grado de participación entre las organizaciones ha sido elevado, con un 54 por ciento, incrementándose la participación en 13 puntos porcentuales con respecto al último estudio correspondiente al año 2014.

Por su propia naturaleza quedan fuera del objeto de este estudio las empresas proveedo-ras de servicios y tecnología de seguridad.



SECTORIZACIÓN

Como paso previo al análisis de los resultados de las preguntas referentes a Seguridad Cor-porativa, se han estudiado algunas características generales de los panelistas.

Figura 1: Su empresa es

Individual35%

Matriz o holding44%

Filial nacional4%

Filial extranjera17%

Con el fin de formar una idea sobre el tamaño de las empresas que han realizado el cues-tionario, se han analizado aspectos como la configuración, la facturación, el número de centros de empleo y de empleados y el sector de actividad principal. Según las respuestas obtenidas, casi la mitad de las empresas consideradas (44%) presentan configuración de empresa matriz o holding.

Figura 2: Número de centros de empleo

De 0 a 10056%

De 101 a 1.00019%

De 1001 a 5.00013%

Más de 5.0016%

NS/NC7%

El número de centros de empleo de las organizaciones encuestadas es inferior a 100 en el 56% de las empresas, y oscila entre 101 y 1.000 en el 19% de las mismas.

25%

20%

15%

5%

10%

0%



Por otro lado, la facturación durante el año 2015 del 22% de las empresas se ha movido entre los 1.001 y los 5.000 millones de euros, manteniéndose con respecto a la del año 2014.

Hay que tener en cuenta que a esta pregunta han contestado un 54% de los panelistas.

Figura 3: Facturación del año 2015 en millones de euros

Más de 100.000€

2%

De 50.001a 100.000 €

2%

De 5.001 a 50.000€

7%

De 1.001 a 5.000€

22%

De 101 a 1000€

13%

Menos de 100€

2%

Figura 4: Comparativa de la Facturación en 2015 y 2014 en millones de euros.

2015 2014

2%

10%

Menos de 100 €

13%

7%

De 101 a 1.000 €

22% 22%

De 1.001 a 5.000 €

13%

7%

De 5.001 a 50.000 €

2% 2%

De 50.001 a 100.000 €

2%

7%

Más de 100.000 €

25%

20%

15%

5%

10%

0%



Por último, el número de empleados varía entre 1.001 y 10.000 en el 52% de las empresas. Sólo un 6% de éstas cuenta con un número de empleados superior a los 100.000.

Asimismo, se han analizado los sectores en los que se enmarca la actividad de las em-presas encuestadas. Principalmente, la actividad de estas empresas está enfocada a los sectores del Sistema Financiero y Tributario, y Transporte. No obstante, al igual que en los resultados del cuestionario realizado durante 2014, la diversidad de sectores que engloba el espectro de panelistas en esta edición consigue reflejar el estado de las empresas a nivel general en materia de Seguridad Corporativa.

Figura 5: Número de empleados de la empresa

60%

50%

40%

30%

10%

20%

0%Menos de

1.000De 1.001 a

10.000De 10.001 a

40.000De 40.001 a

100.000Más de100.000

NS/NC

15%

52%

20%

4%6%

4%

Figura 6: Sector al que pertenece su empresa

30%

25%

20%

15%

5%

10%

0%Sistema

Financiero y Tributario

Transporte Energía Alimentación Tecnologías de la Información y las Comunicaciones

Otros

26%

20%

9%7%

6%

Agua

4%

Industria Nuclear

2%

Salud

2%

20%



Por último, se ha observado que en torno al 40% de los panelistas cotiza en algún merca-do, ya sea español, extranjero o ambos.

ORGANIZACIÓN Y GESTIÓN

Tal y como se ha comentado en la introducción del presente documento, la falta de están-dares nacionales e internacionales de referencia sobre Seguridad Corporativa hace que la misión, los objetivos y la estructura organizativa de esta función dependan fuertemente de las características propias de cada organización. En este sentido, es relevante señalar que el 96% de los panelistas ha indicado que cuenta con un responsable de Seguridad Corpora-tiva, de los cuales un 85% dirige un departamento de Seguridad dado de alta en la Unidad Central de Seguridad Privada del Cuerpo Nacional de Policía. De estos resultados se des-prende que la dirección de las empresas entiende la necesidad gestionar a nivel directivo la Seguridad Corporativa. Por ello, a estas empresas que cuentan con un Responsable de Seguridad Corporativa, se ha dirigido una serie de preguntas para conocer la categoría a nivel profesional de este cargo.

Figura 7: ¿Cotiza su empresa en bolsa?

No57%

Sí, nacional20%

Sí, nacional y extranjera11%

Sí, extranjera9%

NS/NC2%



En primer lugar, se ha preguntado acerca del nivel profesional del responsable de Segu-ridad Corporativa, obteniendo en un 83% de los casos, que el nivel que ostenta es el de Director de Departamento o Área, con puesto en el Consejo de Dirección en el 24%, lo cual indica la importancia que las empresas otorgan a esta área.

A continuación, se ha preguntado acerca de la formación académica de los responsables de Seguridad Corporativa. Se ha observado que en la mayoría de los casos cuentan con título universitario (87%) e incluso un gran porcentaje de ellos, postgrado (35%), lo cual re-fleja que la tendencia a asignar este rol a personas con formación académica universitaria o superior va en aumento.

Figura 8: ¿Qué nivel profesional ostenta el responsable de Seguridad Corporativa?

Post-Grado35%

Diplomatura (incluye ingeniería técnica)

17%

Bachiller7%

Otros4%

NS/NC2%

Figura 9: ¿Qué formación académica tiene el responsable de Seguridad Corporativa?

Grado35%

Director de departamento/área59%

Responsable de Seguridad17%

Director de departamento/área, con puesto en el Consejo de Dirección

24%



Por último, se ha preguntado acerca de los superiores del responsable de Seguridad Cor-porativa. Lo más frecuente, en el 63% de los casos, es que el responsable de Seguridad Corporativa reporte al director general de su organización. Para el resto, existe variedad en las figuras a las que reportan siendo todas ellas de nivel directivo y destacando el reporte directo a presidencia en el 19% de los casos.

En cuanto al número de empleados internos dedicados a las tareas de Seguridad Corpo-rativa, la casuística es muy amplia, pero principalmente la mayoría de las empresas (55%) cuentan con un grupo reducido, menos de 11 trabajadores internos, incluso menos de 6 el 22%. A destacar que un 15% de empresas cuentan con más de 50 trabajadores.

Figura 10: ¿A quién reporta el responsable de Seguridad Corporativa?

60%

70%

50%

40%

30%

10%

20%

0%Consejo de Dirección

2%

Presidencia

19%

Director General

63%

Director Operaciones

11%

DirectorRecursos

9%

NS/NC

2%

Otros

13%

De 1 a 533%

De 6 a1122%

De 21 a 5019%

Más de 5015%

De 12 a 2015%

Figura 11: Señale cuántas personas trabajan en Seguridad Corporativa en su organización (personal interno a tiempo completo)



No obstante, el 39% de los panelistas cuenta con más de 50 personas externas para fun-ciones de Seguridad Corporativa. Salvo en el 6% de los casos, todas las empresas hacen uso de personal externo para estas tareas.

Se ha elaborado un listado de posibles actividades del ámbito de Seguridad Corporati-va. Casi la totalidad de las empresas (>90%), considera que las actividades relacionadas

Más de 10026%

De 1 a 520%

De 12 a 2013%

De 21a 5013%

De 51 a 10013%

De 6 a 119%

Ninguno6%

Figura 12: Indique con qué personal externo cuenta de forma recurrente en apoyo de las funciones incluidas en Seguridad Corporativa (personal externo contratado)

90%

100% 93% 91% 89%85% 85%

81% 80%

19%

Figura 13: ¿Qué actividades son responsabilidad del área de Seguridad Corporativa?

60%

70%

80%

50%

40%

30%

10%

20%

0%

78%

69% 67% 65%57% 57% 57%

54%

44% 43%

33%

24%

Segu

ridad

del p

erím

etro

y ge

stión

de ac

ceso

sGe

stión

de in

ciden

tes y

ge

stión

de cr

isis

Vigil

ancia

, rece

pción

y ge

stión

de al

arm

asPo

lítica

s, pr

oced

imien

tos y

cu

mpli

mien

to no

rmat

ivoOp

erac

ión de

los s

istem

as de

se

gurid

adFo

rmac

ión, c

ultur

a y

conc

iencia

ción

Dise

ño e

impla

ntac

ión de

la

arqu

itectu

ra de

segu

ridad

Gesti

ón de

recu

rsos y

pr

esup

uesto

sPla

nifica

ción

Inte

ligen

cia de

se

gurid

ad y

fraud

eGe

stión

de rie

sgos

Gesti

ón de

terce

ros

(ries

gos y

segu

ridad

)Es

colta

y pr

otec

ción d

e pe

rsona

sPr

otec

ción d

e sist

emas

y co

mun

icacio

nes

Prot

ecció

n y pr

even

ción

de fu

gas d

e inf

orm

ación

Gobie

rno,

resp

onsa

bilida

d, m

étric

as e

infor

mes

Innov

ación

Prev

enció

n de r

iesgo

s lab

orale

s (sa

fety

)

Análi

sis fo

rens

e

Análi

sis de

códig

o y

gesti

ón de

vulne

rabil

idade

s



con la seguridad del perímetro y gestión de accesos, y la gestión de incidentes y de crisis son responsabilidad del área de Seguridad Corporativa, seguido muy de cerca de la vigi-lancia, recepción y gestión de alarmas, con un 89%. Cabe destacar, en comparación con los resultados del cuestionario realizado en 2014, el incremento en un 13% del porcentaje de las empresas que consideran la gestión de incidentes y crisis como responsabilidad del área de seguridad. Asimismo, destaca que el 33% de los panelistas ha indicado que la innovación es responsabilidad de la Seguridad Corporativa y en un 81%, la formación, cultura y concienciación, actividades que en 2014 no habían sido consideradas por las empresas.

A destacar, que un porcentaje similar a la a edición anterior (19%) asume las responsabilidades de riesgos laborales.

Para completar la visión de las actividades desarrolladas desde Seguridad Corporativa, se han analizado las funciones que las empresas subcontratan y se ha observado que los servicios de vigilancia de seguridad sigue siendo uno de los servicios contratados por la práctica totalidad de las empresas encuestadas (93%).

El bajo nivel de subcontratación que se observa en algunas funciones relacionadas con la ciberseguridad podría indicar el grado de desarrollo de este área.

Figura 14: ¿Qué funciones relacionadas con la gestión de la Seguridad Corporativa ha subcontratado?

60%

70%

80%

90%

100%

50%

40%

30%

10%

20%

0%

93%

Serv

icios

de vi

gilan

cia de

se

gurid

ad

69%

Rece

pción

y ge

stión

de

alarm

as

61%

Cons

ultor

ía y a

seso

ram

iento

56%

Trans

porte

de fo

ndos

54%

Inves

tigac

ión pr

ivada

52%

Dise

ño e

imple

men

tació

n de

siste

mas

de se

gurid

ad

48%

Audit

orías

(seg

urida

d, có

digo,

cum

plim

iento…

)

46%

Serv

icio d

e esco

lta y

de

prot

ecció

n de p

erso

nas

44%

Oper

ación

de si

stem

as de

se

gurid

ad

35%

Impla

ntac

ión de

soluc

iones

de

segu

ridad

28%

Serv

icios

de in

telig

encia

19%

Hack

ing ét

ico

17%

Perit

aje fo

rens

e

15%

Análi

sis de

vulne

rabil

idade

s13%

SOC

6%

SEIM



En cuanto al apoyo del área de Seguridad Corporativa al resto de departamentos en la prestación de determinados servicios o asesoramiento, la gran mayoría de empresas ha indicado que los requerimientos son acordados junto con las áreas de negocio (50%) y que se ofrece apoyo a todos por igual (41%). Este hecho da idea de la importancia cobrada por las áreas de seguridad y su transversalidad en la organización.

Los requerimientos son acordados junto con las áreas

de negocio50%

Los requerimientos son fijados por áreas de negocio

4%

Se ofrece a todos por igual41%

NS/NC6%

Figura 15: ¿Solicitan el resto de áreas de su organización servicios o asesoramiento de Seguridad Corporativa para apoyar las actividades de negocio?



ESTRATEGIA

Se ha analizado la estrategia definida y puesta en marcha por las distintas organizaciones con respecto a la Seguridad Corporativa.

La gran mayoría de los encuestados (87%) ha indicado que la estrategia definida por su empresa con respecto a la Seguridad Corporativa, incluye la implantación de las medidas necesarias en materia de seguridad en función de los riesgos. Cabría considerar como una cierta falta de proactividad el hecho de que un 11% de las empresas solo adopta medidas una vez sufridos los ataques o por exigencias legales.

Figura 16: ¿Cómo definiría a su organización en materia de seguridad?

Se implementan las medidas necesarias en función de los riesgos

87%

Se implementan las medidas necesarias en función de los ataques

9%

Se implementan únicamente las medidas exigidas por imperativo legal

2%NS/NC

2%



Con respecto a cómo es percibida la Seguridad Corporativa por parte de cada una de las organizaciones, un 78% de las empresas lo perciben como un valor añadido. En la misma línea señalada en el punto anterior hay que destacar que aún existe un 15% de empresas que considera la seguridad una exigencia legal.

Figura 18: ¿Cómo se percibe la seguridad corporativa por parte de su organización?

En ciertos casos se percibe como

valor añadido78%

Se percibe como un requerimiento legal

15%

Se percibe como un centro de costes

15%NS/NC

2%

Asimismo, se ha observado que los riesgos se analizan de forma sistemática y recurren-te en más de la mitad de los casos (69%), lo que supone un incremento del 16% frente al análisis realizado en 2014. Sólo un 2% los analizan de forma reactiva ante la ocurrencia de incidente. Estos resultados reflejan la tendencia de las empresas a actuar de forma proacti-va, estableciendo las medidas necesarias que prevengan o mitiguen la materialización de amenazas que puedan afectar a la organización a través del análisis continuo.

Figura 17: ¿Se analizan los riesgos de seguridad como paso previo a la aprobación de nuevos productos, servicios o instalaciones?

No se analizan como paso previo, sólo cuando el producto, servicio o instalación ya está

funcionando y se detectan riesgos potenciales2%

Sí, puntualmente cuando se identifican riesgos que

potencialmente podrían afectar al producto, servicio o instalación

24%

Sí, se analizan los riesgos de forma sistemática y recurrente y se adoptan medidas desde el área

de seguridad corporativa30%

Sí, se analizan los riesgos de forma sistemática y recurrente, los

resultados se elevan a la Dirección y se solicitan los recursos necesarios

39%

NS/NC4%

Sólo se analizan de forma reactiva ante incidentes

2%



60%

Figura 19: Indique el nivel de capacidad ejecutiva que se otorga al responsable de Seguridad Corporativa

Participa en la elaboración de los

presupuestos y decide las inversiones

y proveedores que contrata

54%

Participa en la elaboración de los presupuestos y

únicamente propone las inversiones y proveedores

que contrata

26%

Se le asigna un presupuesto y decide

las inversiones y proveedores que

contrata

9%

Se le asigna un presupuesto y propone

unas inversiones y proveedores determinados

7%

NS/NC

4%

Se le asigna un presupuesto y

unas inversiones y proveedores

predeterminados

6%

50%

20%

30%

40%

0%

10%

El responsable de Seguridad Corporativa y otros responsables de Seguridad (seguridad de la información, “safety”, etc.) no reportan al mismo responsable en el 74% de los casos.

Por otra parte, en cuanto al nivel de capacidad ejecutiva que se otorga al responsable de Seguridad Corporativa, un 80% participa en la elaboración de los presupuestos y más de la mitad de los encuestados (54%) ha señalado que decide las inversiones y proveedores que contrata, mientras que en un 26% de los casos, el responsable de Seguridad Corporativa sólo tiene la capacidad de proponer las inversiones y proveedores. Este hecho nos da una visión de la importancia que está alcanzando la figura del responsable de Seguridad, ad-quiriendo poco a poco una mayor capacidad ejecutiva dentro de las organizaciones.

Figura 20: ¿Qué nivel de coordinación tiene el responsable de Seguridad Corporativa con otros responsables de Seguridad (seguridad de la información, “safety”, etc…)?

Reportan a distintos responsables, pero

comparten de manera formal (a través de un

comité, por ejemplo) los riesgos y amenazas

48%

Coordina a todas las áreas de seguridad

22%

Reportan a distintos responsables, pero

comparten de manera informal los riesgos y

las amenazas

20%

Reportan al mismo responsable, pero

no comparten presupuestos ni

recursos

11%

NS/NC

2%

Reportan a distintos responsables y no

comparten riesgos ni amenazas

6%

50%

20%

30%

40%

0%

10%



Sin embargo, se observa que, reporten o no a la misma persona, el 68% comparten ame-nazas y riesgos, ya sea de manera formal o informal. Asimismo, en un 22% de los casos, el responsable de Seguridad Corporativa coordina a todas las áreas de Seguridad.

En todo caso, cabe destacar que como paso previo a la integración efectiva de las áreas de seguridad física y lógica se crean órganos tipo comité en los que se comparten formal-mente los riesgos y amenazas, con tendencia al alza (el anterior estudio era un 30%).

Figura 21: Indique las principales dificultades que encuentra su organización para desarrollar una política/estrategia de Seguridad Corporativa (señale 3 únicamente)

30%

35%

40%

45%

25%

20%

15%

5%

10%

0%

41%

Com

plejid

ad de

las

amen

azas

/ries

gos

24%

Com

plejid

ad

regu

lator

ia o l

egal

22%

Falta

de vi

sibilid

ad e

influe

ncia

en la

orga

nizac

ión

22%

Falta

de pr

esup

uesto

o re

curso

s

19%

Com

plejid

ad de

im

plant

ación

17%

Falta

de cl

arida

d en l

a misi

ón ,

roles

y re

spon

sabil

idade

s17%

Falta

de pe

rsona

l cua

lifica

do

en se

gurid

ad

17%

No ha

y difi

culta

des

15%

Falta

de im

plica

ción d

e la A

lta

Dire

cción

11%

Inex

isten

cia de

una

regu

lación

lega

l que

lo ex

ija

4%

Otro

s (ind

icar)

2%

NS/N

C

Por último, se ha elaborado un listado con posibles dificultades a la hora de desarrollar la estrategia de Seguridad Corporativa. La principal dificultad que han señalado las empresas es la complejidad de riesgos y amenazas. No sorprende esta coincidencia general toda vez que esa es la dificultad de la situación a todos los niveles en estos momentos, en el que las amenazas se multiplican y evolucionan vertiginosamente. Un alto porcentaje, entre el 20% y 25%, también encuentran como dificultades la complejidad legal, falta de visibilidad o influencia en la organización y la falta de presupuestos o recursos.



En comparación con el análisis efectuado durante 2014, se ha observado que la falta de presupuestos o recursos ya no es considerada como la principal dificultad, pasando a una cuarta posición, reduciéndose de un 37% a un 22%, siendo el motivo principal el repunte económico tras los primeros años de la crisis económica.

La constante disminución de quienes consideran que no hay dificultades (31% en 2013, 24% en 2014 y 17% en 2016) sugiere una mayor toma de conciencia por parte de los respon-sables de Seguridad Corporativa a la hora de valorarlas.

Figura 22: Comparativa entre las principales dificultades detectadas por las empresas

30%

35%

40%

45%

25%

20%

15%

5%

10%

0%

Com

plejid

ad de

las

amen

azas

/ries

gos

Com

plejid

ad

regu

lator

ia o l

egal

Falta

de vi

sibilid

ad

e infl

uenc

ia en

la

orga

nizac

ión

Falta

de

pres

upue

sto o

recu

rsos

Com

plejid

ad de

im

plant

ación

Falta

de cl

arida

d en

la m

isión

, role

s y

resp

onsa

bilida

des

Falta

de pe

rsona

l cu

alific

ado e

n seg

urida

d

No ha

y difi

culta

des

Falta

de im

plica

ción d

e la

Alta

Dire

cción

Inex

isten

cia de

una

regu

lación

lega

l que

lo

exija

Otro

s (ind

icar)

NS/N

C

17%

41%

36%

24%

2016 2014 2013

24%

18%

15%

22%

15%

37%

22%

28%

19%

34%

24%

17% 18%

7%

17%

10%

24%

17%

31%

20%

15%

3%

20%

11%13%

5%4%3% 2%2%

0%



PRESUPUESTOS

Se ha analizado el presupuesto destinado a labores de Seguridad Corporativa en 2015.

Figura 23: Señale qué presupuesto ha dedicado su organización a la Seguridad Corporativa sin incluir servicios de vigilancia y escolta (sistemas de seguridad, HW y SW de seguridad,

consultoría, auditorías, etc.) en 2015

De 0 a 500.000 € De 500.001 a 1.500.000 €

De 1.500.001 a 3.000.000 €

Más de3.000.000 €

NS/NC

20%17% 17%

30%

17%20%

25%

30%

35%

0%

10%

15%

5%

El 30% de las organizaciones encuestadas ha dedicado en 2015 más de 3 millones de euros a las actividades de Seguridad Corporativa, sin tener en cuenta los servicios de vi-gilancia y escolta. Este hecho refleja, de nuevo, la tendencia a considerar cada vez más importante la Seguridad Corporativa en las empresas.



Figura 24: Señale qué presupuesto ha dedicado su organización a servicios de vigilancia de seguridad (vigilantes, escoltas, transporte de fondos, operaciones de sistemas de seguridad,

etc.) en 2015

De 0 a 500.000 € De 500.001 a 2.500.000 €

De 2.500.001 a 5.000.000 €

De 5.000.001 a 10.000.000 €

Más de 10.000.000 €

NS/NC

7%

28%

13%

6%

28%

19%20%

25%

30%

0%

10%

15%

5%

En lo que respecta a los servicios de vigilancia y escolta, un 28% de las empresas ha con-testado que tienen un presupuesto entre 500.001 y 2.500.000 euros, y otro 28%, que dispo-nen de más de 10.000.000€, incrementándose en un 13% las empresas que destinaban este mismo presupuesto en 2013. Es significativo que el porcentaje de empresas que destinan más de diez millones de euros al año a este concepto se duplica en cada estudio, aunque conviene tener en cuenta que un porcentaje alto de la muestra se refiere a empresas del sector financiero, grandes consumidoras de estos servicios.

50%

De 0 a 500.000€

7%12%

14%

28% 29%

44%

13%17%

15%

6%

15%

8%

28%

15%

8%

19%12%

13%

De 500.001 a2.500.000€

De 2.500.001 a5.000.000€

De 5.000.001 a10.000.000€

Más de 10.000.000€ NS/NC

25%

20%

30%

45%

40%

35%

0%

15%

10%

5%

Figura 25: Comparativa del presupuesto dedicado por las empresas a servicios de vigilancia de seguridad

2016 2014 2013



Comparando los presupuestos destinados a seguridad corporativa de 2015 y 2014, se ha observado que los presupuestos de 2015 han aumentado frente a 2014. Esta situación po-dría deberse a dos motivos principalmente: la importancia que está adquiriendo dentro de la organización la Seguridad Corporativa y la mejoría macroeconómica que se ha producido en los últimos años tras el periodo de crisis vivido. Destaca que alrededor de un 20% de los panelistas indican que el presupuesto se ha visto aumentado notablemente (más del 10%), triplicando el porcentaje de los casos en los que había aumentado en 2013.

Figura 27: Comparativa de variaciones de presupuestos de Seguridad Corporativa en 2015 y 2014

Ha aumentado notablemente(más del 10%)

17%

5%

30% 29% 30% 32%

17%

27%

2%

7% 6%

0%

Ha aumentado ligeramente

(menos del 10%)

Se ha mantenido igual

Ha disminuido ligeramente (menos

del 10%)

NS/NCHa disminuido notablemente (más del 10%)

20%

25%

30%

35 %

0%

5%

10%

15%

% Evolución 2015 frente a 2014 % Evolución 2014 frente a 2013

30% 30%

Figura 26: ¿Cuál ha sido la evolución del presupuesto de su organización en seguridad corporativa en 2015 respecto a 2014?

Ha aumentado notablemente(más del 10%)

17%

Ha aumentado ligeramente

(menos del 10%)

Se ha mantenido igual Ha disminuido ligeramente (menos del

10%)

11%

NS/NC

6%

Ha disminuido notablemente (más

del 10%)

2%

20%

25%

30%

0%

5%

10%

15%



AMENAZAS

Existen elementos que pueden suponer una amenaza sobre los bienes y recursos de una empresa. Es conveniente identificarlos para poder prevenirlos porque, una vez que se ma-terializan, no sólo se incurre en costes económicos directos, sino también indirectos (repu-tacionales, legales, operativos, etc.).

Figura 28: ¿Cúales son las cinco amenazas que más le preocupan?

60%

70%

50%

40%

30%

10%

20%

0%

70%

54%

39%35% 33% 31% 31% 28%

22% 20% 19% 17% 17% 17% 15% 13% 13%

7%2%

Cibe

ram

enaz

asTe

rror

ismo

Frau

de e

xter

noCr

imen

org

aniz

ado

Robo

/hur

to e

xter

noPé

rdid

a de

info

rmac

ión

sens

ible

Ataq

ue a

los s

istem

as

corp

orat

ivos

Ries

gos

repu

taci

onal

esIn

cend

ioDa

ños f

ísico

s a

infra

estr

uctu

ras

Sabo

taje

s ext

erno

sAc

tivism

o/Ha

cktiv

ismo

Espi

onaj

e in

dust

rial y

vu

lner

ació

n de

los .

..Ro

bo/h

urto

inte

rno

Ataq

ues a

los s

istem

as

de co

ntro

l y ..

.Sa

bota

jes i

nter

nos

Frad

ude

inte

rno

Fallo

de

sum

inist

ros

prim

ario

sCa

tást

rofe

s nat

ural

esLa amenaza referente a la Seguridad Corporativa que más preocupa a los panelistas son

las ciberamenazas (70%) seguidas por el terrorismo (54%). Estas amenazas han ganado protagonismo en estos últimos años frente a otras señaladas como preocupantes por las empresas en el cuestionario realizado en 2014, como es el caso del incendio, considerada como la principal preocupación (61%) y que actualmente sólo es señalada en el 22% de los casos. Este cambio se debe, por un lado, a los continuos avances tecnológicos que está viviendo la sociedad y, como consecuencia de ello, el incremento de las amenazas y vulne-rabilidades a las que están expuestos los sistemas, y por otro, la alarma terrorista que está viviendo nuestra sociedad en estos últimos años.

En todo caso, cabe señalar una mayor concienciación de los responsables de seguridad corporativa en cuanto a la globalidad de los riesgos frente a otros de carácter más inmediato y directo.



En ocasiones, los incidentes de seguridad no sólo provocan un impacto económico direc-to. En concreto, el 54% de los panelistas ha sufrido además un impacto económico indirec-to debido a costes de oportunidad, pérdida de clientes, etc. Y un 67% han experimentado un impacto operativo negativo, traducido en retrasos o pérdidas de productividad. Es des-tacable cómo el impacto reputacional sigue considerándose la mayor causa de pérdidas, al margen de las directamente económicas, derivadas de incidentes de seguridad; concreta-mente, el 80% de las empresas lo señalan como causa de daños en la imagen corporativa de su organización.

Hay que resaltar que esta pregunta concreta sólo fue eludida por un 4% de los panelistas, mientras que en la edición anterior lo hizo un 34%. Esto indica claramente una mejora de la capacidad de análisis de los efectos producidos por los incidentes.

Figura 29: Comparativa de las principales amenazas que más preocupan en 2016 y 2014

Incendio

22%

61%

33%

46%

Robo / Hurto externo

35%41%

Crimen organizado/Cibercrimen

31%

41%

Fuga de información sensible

17%

39%

Robo/hurto interno

40%

50%

60%

70 %

0%

10%

20%

30%

Figura 30: Además de las económicas, ¿se han estimado otras pérdidas derivadas del incidente de seguridad?

Impacto reputacional (daño a la imagen

corporativa)

Impacto operativo (retrasos, pérdidas de productividad)

Impacto económico indirecto (coste de oportunidad,

pérdida de clientes)

Impacto legal (sanciones

administrativas, condenas judiciales)

Impacto contractual (garantías,

indemnizaciones)

NS/NC

80%

67%

54%50%

39%

4%

40%

50%

60%

70%

80%

0%

20%

30%

10%

2016 2014



CUALIFICACIÓN PROFESIONAL

La formación en Seguridad Corporativa permite dar a conocer los riesgos inherentes a la misma, así como concienciar a los empleados de la importancia de proteger los bienes y recursos de las empresas.

Figura 31: Comparativa de los principales incidentes no económicos que provocan pérdidas en la empresa

Impacto reputacional(daño a la imagen

corporativa)

80%

37% 38%

Impacto operativo (retrasos, pérdidas de

productividad)

67%

34% 31%

Impacto económico indirecto (coste de

oportunidad, pérdida de clientes)

54%

24%

49%

Impacto legal (sanciones

administrativas, condenas judiciales))

50%

24%18%

Impacto contractual (garantías,

indemnizaciones))

39%

12%15%

50%

40%

60%

80%

70%

0%

30%

20%

10%

2016 2014 2013

Figura 32: ¿Existen planes específicos para la formación en Seguridad Corporativa?

Sí76%

No22%

NS/NC2%

Se ha observado que el 76% de las empresas encuestadas dispone de planes de formación específicos para su personal en materia de seguridad, porcentaje similar al obtenido en la encuesta realizada en 2014. Este hecho indica que las empresas quieren que sus emplea-dos conozcan los riesgos para poder prevenirlos, confirmando de nuevo la importancia que se confiere a la Seguridad Corporativa.



Un 26% de panelistas ha dedicado hasta 10.000 euros de presupuesto para dicha forma-ción en 2015. Asimismo, se ha observado una ligera tendencia al crecimiento de este presu-puesto con respecto a años anteriores, pasando de un 30% en 2013 a un 41% de empresas que destinan de 10.001 hasta 50.000 euros del presupuesto a formación en Seguridad Corporativa.

Asimismo, se ha observado que la tendencia es que todas las empresas dediquen parte de su presupuesto a la formación, reduciéndose a la mitad aquellas que no se lo dedicaban 2013, concretamente, del 12% al 6% de empresas. No obstante, llama la atención la existencia de un 13% de panelistas que eluden la pregunta, generando cierta duda sobre la fiabilidad de estos porcentajes.

Figura 33: Señale qué presupuesto ha dedicado su organización a la formación anteriormente mencionada en 2015

0€ De 1 a 10.000 € De 10.001 a 20.000 €

De 20.001 a 50.000 €

Más de 50.000 €

NS/NC

6%

26%

22%19%

15%13%

20%

25%

30%

0%

10%

15%

5%

Figura 34: Comparativa de variaciones de presupuestos dedicados a formación en Seguridad Corporativa

0€ De 1€ a 10.000€ De 10.001€ a 20.000€

De 20.001€ a 50.000€

Más de 50.000 €

NS/NC

6%

12%

26%

34%

22%

15%

13%

19%

10%

15% 15% 15%

25%

20%

30%

35%

0%

15%

10%

5%

2016 2014



Entre las principales carencias que perciben las empresas respecto al personal interno cuando necesitan incorporar profesionales al departamento de Seguridad, destaca la falta de profesionales formados en materia de seguridad integral en la que coinciden cerca de 3 de cada 4 de los encuestados (70%). Muy por debajo, alrededor del 25% de los panelistas, consideran la falta de idiomas y de experiencia profesional tanto en el ámbito de ciberse-guridad como en seguridad patrimonial, como otras de las carencias que se encuentran al incorporar nuevos profesionales.

Figura 35: Señale las carencias que percibe respecto al personal interno cuando precisa incorporar profesionales al departamento de Seguridad (señale 3 únicamente)

60%

70%

50%

40%

30%

10%

20%

0%

70%

26% 24%22%

17% 17%

11%

6% 6% 4% 2%

Falta de profesionales formados en materia de

seguridad integral

Falta de experiencia

profesional en el ámbito de

ciberseguridad

Falta de experiencia profesional

en seguridad patrimonial

Falta de técnicos

superiores en el ámbito de

ciberseguridad

Falta de técnicos de grado medio

en el ámbito de seguridad patrimonial

Falta de técnicos superiores

en el ámbito de seguridad patrimonial

No detecto carencias en los

profesionales de seguridad

NS/NC Falta de técnicos de grado medio en el ámbito de ciberseguridad

Otros (indicar)

Falta de idiomas

Figura 36: Señale las carencias que percibe respecto del personal operativo externo contratado por su organización para prestar servicios de seguridad (señale 3 únicamente)

60%

50%

40%

30%

10%

20%

0%

54% 52%

28%24%

22%

13%9%

4%4%

Falta de especialización

Falta de dotación de medios

tecnológicos

Escasa experiencia

Escasa formación

básica

No detecto carencias en el

personal operativo

Falta de preparación

física

NS/NC Otros (indicar)

Falta de formación continua

En esta misma línea, las principales carencias que perciben las empresas con respecto al personal operativo externo contratado son la falta de especialización y de formación continua, con un 54% y 52%, respectivamente. Es destacable que un 22% de las empresas consideran que tienen una escasa formación básica.



RETOS Y TENDENCIAS

En base a la valoración actual de tendencias que hacen las empresas, se han analizado los retos a los que se enfrentan.

Los panelistas han indicado que, actualmente, el principal aspecto que está impactando negativamente sobre el sector de la seguridad son las ciberamenazas (81%), el cual ha cre-cido casi el doble en los últimos años. Con ello, la tendencia ha variado dado que en 2014 la situación de crisis en la que estaba inmersa el país hacía que el mayor impacto negativo en el sector fuera la reducción de presupuesto (76%), aspecto que baja al segundo puesto en 2016 con un 48%.

Figura 37: ¿Qué tendencias actuales considera que están ya causando un impacto mayor en el sector de la seguridad?

60%

70%

80%

90%

50%

20%

30%

40%

0%

10%

81%

Ciberamenazas

48%

Reducción de

presupuesto

s

41%

Cambios

normativ

os”

30%

Regulación PIC

30%

Aspectos s

ociales

derivados d

e la

crisis

económica

28%

Internacionaliz

ación

19%

Adquisiciones,

fusiones o

absorci

ones

empresariales

2%

NS/NC

Figura 38: En caso de que su organización sea internacional, ¿qué nivel de coordinación tiene con los responsables de Seguridad Corporativa de otros países?

No es aplicable a mi organización

Reportan a distintos responsables y no

comparten riesgos ni amenazas

Reportan a distintos responsables pero

comparten de manera informal los riesgos y

las amenazas

Reportan a distintos responsables pero comparten

de manera formal (por ejemplo a través de un comité) los

riesgos y amenazas

Reportan al mismo responsable pero

no comparten riesgos ni amenazas

Reportan al mismo responsable y

comparten riesgos y amenazas

NS/NC

37%

4%6%

13%

2%

20% 19%20%

25%

30%

35%

40%

0%

10%

15%

5%

Esta pregunta afecta al 63% de las empresas encuestadas por ser internacionales. Se ha observado que casi en la mitad de los casos, los responsables de Seguridad Corpo-



rativa de los distintos países están coordinados y reportan al mismo responsable, mien-tras que, en un 20% de los casos, aunque reportan a distintos responsables, comparten los riesgos y amenazas.

Los aspectos que las empresas internacionales consideran que necesitan mejorar están relacionados con la colaboración entre países. En concreto, se ha destacado principalmente la necesidad de coordinación con Fuerzas y Cuerpos de Seguridad de los países destino (26%) y de mejora a la hora de disponer de información sobre riesgos en los países destino (26%), seguido muy de cerca de la necesidad de adaptarse a las regulaciones nacionales y locales de los diferentes países, con un 22%.

OPERADORES CRÍTICOS

Para todas aquellas empresas que hayan sido o estiman que pueden ser declaradas como operador crítico por el Ministerio del Interior, se han analizado principalmente las difi-cultades que tienen para adaptarse y el impacto que esto genera en su organización. En concreto, un 92% de las empresas encuestadas ha afirmado encontrarse en alguna de las dos situaciones.

Figura 39: Señale tres aspectos que en su opinión necesitan mejorar en el ámbito internacional

30%

25%

20%

15%

5%

10%

0%

26%

Coor

dina

ción c

on fu

erza

s y c

uerp

os de

segu

ridad

de

los p

aíses

desti

no

26%

Info

rmac

ión so

bre

riesg

os en

los p

aises

de

stino

26%

NS/N

C

22%

Adap

tació

n a re

gulac

iones

na

ciona

les y

locale

s en l

os

paíse

s des

tino

19%

Segu

ridad

en el

inte

rcam

bio

de in

form

ación

17%Re

fere

ncias

sobr

e los

pr

ovee

dore

s de s

ervic

ios de

los

paíse

s des

tino

15%

Apoy

o de l

os Es

tado

s a la

s em

pres

as en

el ex

terio

r

13%

Apoy

o de s

u org

aniza

ción y

or

gani

smos

a ex

patri

ados

y/o

viajer

os fr

ecue

ntes

13%

Coor

dina

ción p

úblic

a in

tern

acion

al

11%

Prov

eedo

res d

e solu

cione

s gl

obale

s/int

erna

ciona

les

9%

Inte

rope

rabi

lidad

entre

pl

ataf

orm

as te

cnoló

gicas

en

el en

torn

o de s

u org

aniza

ción

4%

N/A



Figura 40: ¿Qué aspectos de la regulación PIC le crean mayores dificultades de adaptación? (Señale 2 únicamente)

Análisis de riesgos

26%

Elaboración de planes

32%

Incorporación de la ciberseguridad al modelo de seguridad integral

40%

Otros

8%

20%

25%

30%

35%

40%

0%

10%

15%

5%

La cuestión que genera una mayor dificultad de adaptación a las empresas es la incorpora-ción de la ciberseguridad al modelo de seguridad integral (40%), seguido de la elaboración de planes (32%) y el análisis de riesgos (26%). Hay que destacar que una de las opciones ofreci-das hacía referencia a las relaciones con el Ministerio del Interior, sin que fuera contemplada por ninguno de los panelistas. Se evidencia así el buen clima que la Administración ha sabido crear en este ámbito y el éxito de su estrategia para interactuar con los operadores. Hay que tener en cuenta que a esta pregunta han contestado un 66% de los panelistas

Figura 41: Valore el principal impacto para su organización que ha supuesto su entrada en el sistema PIC

Incremento de costes

Mayor cercanía y colaboración de la

Administración

Acceso a información

sensible

Mejora de la resiliencia

Cambios estructurales en la organización

Mayor coordinación con la Seguridad

Pública

29%

Mayor concienciación de la Alta Dirección en

seguridad

32%

10%

3% 3%

10%13%

20%

25%

30%

35%

0%

10%

15%

5%

En cuanto al mayor impacto que ha supuesto para las empresas encuestadas su entrada en el sistema PIC se encuentran la mayor concienciación de la Alta Dirección en materia de seguridad (32%) y el incremento de costes (29%). Este resultado puede deberse principal-mente a las obligaciones que adquieren las empresas al ser nombradas como operadores críticos y la necesidad en muchos de los casos, de llevar a cabo acciones que les permitan cumplir con la regulación PIC, y la consecuente involucración y apoyo por parte de la Alta Dirección. Desde este punto de vista sólo puede calificarse como muy positivo este hecho toda vez que este compromiso se exetenderá con facilidad a toda la organización.



Entre los diferentes aspectos positivos que consideran estas empresas en su relación con la Administración se encuentran la guía y colaboración en la incorporación al Sistema PIC y el intercambio de información, señalado por un 42% de los panelistas, seguido del apoyo en materia de ciberseguridad (36%) que reciben por parte de la Administración. También destaca el apoyo operativo de las Fuerzas y Cuerpos de Seguridad, aspecto señalado por un 26% de las empresas. Se confirma así lo acertado de la estrategia seguida por el Ministerio del Interior.

Figura 42: Destaque tres aspectos positivos en la relación de los operadores críticos con la Administración

Guía y colaboración en la incorporación al

Sistema PIC

42% 42%

Intercambio de información

36%

Apoyo en materia de ciberseguridad

26%

Apoyo operativo de las Fuerzas y Cuerpos de

Seguridad

20%

Desarrollo de sinergias con los organismos

reguladores sectoriales

14%

Sensibilidad y flexibilidad al

diseñar el marco de relaciones

Participación en la toma de

decisiones

10%

20%

25%

30%

35%

40%

45%

0%

10%

15%

5%

Por último, más de la mitad de las empresas consideran que el arraigo del concepto de seguridad integral en su organización está en progreso. Sólo el 2% lo considera nulo en su organización.

Figura 43: ¿Cuál es el arraigo del concepto de seguridad integral en su organización?

En progreso52%

Maduro24%

NS/NC12%

Poco10%

Nulo2%



CONCLUSIONES GENERALES

Se ha dirigido un cuestionario a un total de 100 empresas españolas. El grado de participa-ción entre las empresas ha sido elevado, con un 54%, incrementándose la participación en 13 puntos porcentuales con respecto al año 2014. En base a los resultados de las encuestas, se ha observado que casi la totalidad de las empresas (78%) consideran la Seguridad Cor-porativa como un valor añadido para su organización, contando la mayoría de ellas (96%) con la figura del responsable de Seguridad Corporativa, el cual, en el 75% de los casos ostenta el cargo de director de Departamento o Área. Para estos puestos, las organizacio-nes suelen recurrir a personas con formación académica universitaria (87%) e incluso de postgrado (35%).

El número de empleados internos dedicados a las tareas relacionadas con la Seguridad Corporativa varía en función del sector de actividad de cada empresa, pero siempre se apo-ya en personal externo. Asimismo, la práctica totalidad de las empresas (93%) subcontrata el servicio de alguna función asociada al área de Seguridad Corporativa.

En cuanto a la cualificación profesional, el 76% de las empresas cuenta con planes forma-tivos para el personal del área de Seguridad Corporativa que refuerzan los conocimientos de los riesgos y promueven la importancia de la responsabilidad sobre su gestión y sobre la definición de estrategias específicas. Estas estrategias incluyen la planificación de me-didas de seguridad y el análisis de riesgos así como el reporte de los resultados obtenidos. Destaca también el hecho de que el 70% de las empresas consideran que existe una falta de profesionales formados en materia de seguridad integral.

Además, en las empresas existe un alto grado de coordinación entre el área de Seguridad Corporativa y el resto de departamentos, ya que los requerimientos son acordados entre las diferentes áreas (50%) y el área de Seguridad Corporativa brinda apoyo a todos los depar-tamentos por igual (41%).

Como paso previo a la integración efectiva de las áreas de seguridad física y lógica, se observa una tendencia al alza de creación de órganos tipo comité en los que se comparten formalmente los riesgos y amenazas.

Por último, los panelistas potencialmente afectados por la Ley de Protección de Infraes-tructuras Críticas consideran la incorporación de la ciberseguridad al modelo de seguridad integral (40%) y la elaboración de los planes exigidos (34%) como principales dificultades de adaptación a dicha regulación. Esta adaptación está suponiendo una mayor conciencia-ción de la Alta Dirección en materia de seguridad (32%) y un incremento de costes (29%). Asimismo, más de la mitad de ellos reconoce que actualmente el arraigo del concepto de seguridad integral está en progreso en su organización.

Estudio: Seguridad Corporativa 2016Edición: 2016 (Tercera)Edita:Fundación BorredáRegistro de Fundaciones nº 1.461 (Orden ECD/1304/2012 de 16 de abril, BOE nº 118)Calle Alcalá 61 2º Derecha. 28009 Madrid. Tel + 34 91 309 04 54www.fundacionborreda.org© 2016: Fundación Borredá y Deloitte Advisory, S.L.

Fundación Borredá y Deloitte Advisory, S.L. no autorizan la reproducción total o parcial de los textos e ilustraciones del estudio sin previa autorización por escrito. Fundación Borredá y Deloitte Advisory, S.L. autorizan la consulta, visualización y utilización de los contenidos de informe siempre y cuando se cite la fuente.

Esta publicación contiene exclusivamente información de carácter general, y ni Deloitte Touche Tohmatsu Limited, ni sus firmas miembro o entidades asociadas (conjuntamente, la “Red Deloitte”), pretenden, por medio de esta publicación, pres-tar un servicio o asesoramiento profesional. Ninguna entidad de la “Red Deloitte” se hace responsable de las pérdias sufridas por cualquier persona que actúe ba-sándose en esta publicación.

www.deloitte.es

2016 / estudio de seguridad corporativa · seguridad corporativa 2016. anÁlisis 3 estudio...

Documents