Cómo el congreso METRICS define su marco de referencia mundial para anticipar, decidir, actuar y reconstruir ante riesgos complejos

Prefacio

El marco de referencia METRICS busca ofrecer indicadores comparables y métodos auditables que permitan a empresas, sectores, administraciones locales y países responder a preguntas concretas:

• ¿A qué riesgos estamos realmente expuestos?
• ¿A partir de qué umbral puede volverse crítica la situación?
• ¿Cuánto tiempo tenemos para decidir?
• ¿Cuáles son los eslabones más frágiles de nuestra cadena de decisión?
• ¿Qué efectos en cadena puede desencadenar una crisis?
• ¿Cuánto tiempo se necesita para restablecer las funciones esenciales?
• ¿Qué decisiones reducen más nuestra exposición?
• ¿Cómo se compara nuestro nivel de preparación con el de otras organizaciones o territorios?

Cinco pilares, un riesgo sistémico común

El marco de referencia METRICS abarca cinco grandes familias de riesgos:

• Conflictos armados
• Terrorismo
• Crisis sanitarias
• Crisis financieras
• Catástrofes naturales

El marco de referencia se basa en:

• Un vocabulario común para la previsión, la crisis y la etapa posterior
• Métodos de medición
• Indicadores clave de rendimiento y resiliencia
• Umbrales de alerta y puntos de inflexión
• Mapas de dependencias
• Escenarios de propagación y efectos en cadena
• Comparaciones por sector, territorio y tipo de organización
• Protocolos de evaluación y toma de decisiones
• Herramientas para evaluar la continuidad de las actividades
• Indicadores de retorno a la normalidad
• Un barómetro que se actualiza periódicamente
• Recomendaciones basadas en las lecciones aprendidas

Las organizaciones se enfrentan a riesgos que se propagan entre los ámbitos físico, digital, sanitario, social y geopolítico. Una alerta informática puede interrumpir la actividad de un hospital, una sequía puede afectar a la energía y la seguridad alimentaria, una operación hostil puede aprovechar una catástrofe, mientras que una crisis sanitaria puede debilitar las cadenas logísticas y la continuidad del Estado. En este contexto, la gestión sectorial genera puntos ciegos. A menudo detecta la señal demasiado tarde, separa la previsión de la decisión y trata el análisis posterior a la crisis como un ejercicio documental.

El marco de referencia METRICS es una arquitectura integrada del riesgo basada en seis funciones continuas: observar, evaluar, anticipar, decidir, actuar y aprender. Reúne datos de campo, sensores, observación de la Tierra, fuentes abiertas, telemetría digital, datos sanitarios y conocimientos especializados. Convierte esta información en escenarios probabilísticos, umbrales de decisión y acciones verificables. El marco trata las previsiones como estimaciones. La previsión se convierte en un instrumento calibrado que explicita los supuestos, la confianza y el coste de los errores.

La principal contribución del marco de referencia METRICS reside en conectar cuatro dimensiones temporales que suelen abordarse por separado: la anticipación estratégica, la previsión operativa, la gestión del riesgo durante los acontecimientos y la reconstrucción tras la crisis. El modelo se aplica a las amenazas militares e híbridas, las emergencias sanitarias, el terrorismo, la ciberseguridad, las catástrofes naturales, los delitos medioambientales y las interrupciones de las infraestructuras críticas. También define un protocolo de evaluación basado en la calidad probabilística, el tiempo útil de anticipación, el valor para la decisión, la equidad, la trazabilidad y la rapidez de recuperación.

Palabras clave riesgo sistémico, anticipación, previsión, resiliencia, inteligencia, alerta temprana, gestión de crisis, reconstrucción, inteligencia artificial, observación espacial

1 Introducción

El riesgo contemporáneo es menos una lista de peligros que una red de dependencias. Las infraestructuras eléctricas dependen de las telecomunicaciones, las telecomunicaciones de la energía, los hospitales de ambas y las operaciones civiles y militares de cadenas logísticas compartidas. La Oficina de las Naciones Unidas para la Reducción del Riesgo de Desastres describe este fenómeno como un riesgo sistémico cuyos efectos se propagan entre sectores y territorios.^[3] Su informe mundial de 2025 estima que el coste anual de las catástrofes supera los 2,3 billones de dólares cuando se incluyen los efectos indirectos y los daños a los ecosistemas.^[4]

Una organización puede disponer de excelentes sensores y seguir siendo vulnerable si no sabe convertir una señal en una decisión. El reto científico y operativo consiste, por tanto, en conectar tres elementos distintos. El primero es el conocimiento de la amenaza, que describe lo que puede ocurrir. El segundo es la previsión, que estima lo que puede suceder a continuación y con qué confianza. El tercero es la acción, que elige una medida pese a la incertidumbre, los costes y las restricciones. El análisis posterior a la crisis completa esta cadena al medir los daños, restablecer las funciones esenciales y corregir los modelos.

¿Cómo mejora el marco de referencia METRICS la anticipación y la previsión sin borrar las diferencias entre un conflicto, una epidemia, un atentado, una intrusión informática o una catástrofe natural? El marco se apoya en una arquitectura común para los datos, la confianza, los escenarios y la decisión, complementada con módulos específicos para cada ámbito.

2 Método y alcance

El trabajo sigue un método de síntesis conceptual orientado a la decisión. Vincula la ciencia del riesgo, los sistemas de alerta temprana, la resiliencia civil, la salud internacional, la ciberseguridad, el análisis de amenazas y la observación espacial. La base documental combina trabajos revisados por pares y marcos institucionales reconocidos. El concepto de riesgo se aborda desde una perspectiva que integra acontecimientos, consecuencias, incertidumbres y calidad del conocimiento, conforme a los avances recientes de la ciencia del riesgo.^[1]

Este enfoque no constituye un ensayo experimental ni una prueba de eficacia sobre el terreno. Ofrece un modelo verificable. Cada componente puede validarse con archivos, ejercicios, simulaciones y, posteriormente, despliegues controlados. Esta distinción es esencial. Un artículo de diseño puede proponer mecanismos, indicadores e hipótesis, pero no debe presentar un rendimiento futuro como un resultado ya observado.

El alcance abarca los riesgos intencionados, accidentales y naturales. También incluye situaciones compuestas, por ejemplo, una campaña de desinformación durante una epidemia, un ciberataque contra una infraestructura durante una tormenta, un sabotaje encubierto por un accidente industrial o una operación militar que perturba la distribución de medicamentos. El método prioriza, por tanto, las relaciones de dependencia, los efectos en cascada y las decisiones sujetas a restricciones.

3 Fundamentos científicos del marco

3 1 El riesgo como sistema dinámico

El riesgo no puede reducirse al producto de una probabilidad por una consecuencia. Esta fórmula sigue siendo útil para comparar opciones sencillas, pero oculta la calidad variable de los datos, las incertidumbres profundas, las interacciones y los comportamientos adaptativos. En un sistema complejo, una intervención modifica a veces la propia amenaza. Un adversario cambia de táctica, una población reacciona a la alerta, un virus evoluciona, un mercado desplaza sus flujos y una red informática modifica su tráfico.

El análisis debe representar al menos cinco componentes: amenaza, exposición, vulnerabilidad, consecuencia y capacidad de respuesta. La resiliencia no designa únicamente la resistencia. Abarca la preparación, la absorción del impacto, la continuidad de las funciones críticas, la recuperación y la adaptación. Los requisitos de resiliencia de la Alianza Atlántica recogen esta continuidad entre preparación, resistencia, respuesta y recuperación rápida, con especial atención a las dependencias civiles que también sostienen las operaciones militares.^[8]

3 2 Señales débiles y transiciones críticas

Algunos sistemas producen indicios antes de una transición importante. Un aumento de la varianza, una recuperación más lenta tras una perturbación, una concentración geográfica inusual o una ruptura de la correlación pueden indicar que un régimen se aproxima a un umbral crítico. La literatura muestra que estas señales pueden aparecer en ecosistemas, mercados, sistemas fisiológicos y otras dinámicas complejas, aunque recuerda que el punto exacto de ruptura sigue siendo difícil de prever.^[2]

En el marco de referencia METRICS, una señal débil no es, por tanto, una información misteriosa o aislada. Es una desviación medible respecto de una base de referencia, cuyo valor depende de su repetición, de su coherencia con otras fuentes y de su proximidad a un mecanismo causal plausible. El sistema propuesto debe conservar tanto las señales descartadas como las confirmadas, porque los falsos positivos y los falsos negativos informan sobre la calidad del modelo.

3 3 Anticipación, previsión, decisión y análisis posterior

La anticipación explora varios futuros plausibles en un horizonte amplio. Busca rupturas, vulnerabilidades y opciones que sigan siendo útiles en varios escenarios. La previsión estima un acontecimiento o un estado en un horizonte definido. Debe ofrecer una probabilidad, un plazo, un territorio, un nivel de confianza y las variables que podrían invalidar la estimación. La gestión del riesgo elige después una respuesta. La fase posterior a la crisis mide los efectos, organiza la recuperación, determina las responsabilidades cuando es posible y transforma la experiencia en capacidad.

Tabla 1 Dimensiones temporales del marco de referencia METRICS

4 Arquitectura integrada del marco de referencia METRICS

La arquitectura propuesta se basa en una cadena continua que conserva el vínculo entre la señal inicial, la evaluación, la decisión y el resultado. Esta trazabilidad evitaría dos fallos frecuentes. El primero se produce cuando el modelo genera una alerta sin explicar su fundamento. El segundo aparece cuando la organización actúa pero no mide si la acción ha reducido el riesgo.

4 1 Observar

La función de observación recopilaría datos heterogéneos sin suponer que una única fuente posee la verdad. Podría integrar imágenes ópticas y de radar, mediciones atmosféricas, navegación por satélite, sensores locales, registros de seguridad, datos epidemiológicos, flujos logísticos, fuentes abiertas e informes humanos. La diversidad de fuentes mejora la cobertura, pero también aumenta el riesgo de contradicción, manipulación y correlaciones engañosas.

Cada dato debe ir acompañado de su procedencia, hora, posición cuando sea pertinente, nivel de sensibilidad e indicación de calidad. La observación espacial resulta especialmente útil cuando el acceso al terreno es peligroso, imposible o disputado. Permite comparar una situación actual con una base histórica, también para cambios del terreno, incendios, inundaciones, buques, instalaciones industriales y daños a los ecosistemas.^[9]

4 2 Evaluar

La evaluación transforma un flujo bruto en conocimiento. Busca duplicados, incoherencias temporales, fallos de sensores, manipulaciones y sesgos de cobertura. Asigna un nivel de confianza a la fuente y a la información, y distingue después el hecho observado, la inferencia y la hipótesis. Esta separación debe seguir siendo visible hasta llegar a quien toma la decisión.

En entornos hostiles, la evaluación incluye la lucha contra el engaño. Las imágenes pueden ser antiguas, las cuentas digitales estar coordinadas, las posiciones falsificadas y los registros técnicos incompletos. Una alerta sensible debe, por tanto, apoyarse en una convergencia suficiente o activar una recopilación adicional. La falta de confirmación no siempre implica ausencia de amenaza, especialmente cuando el adversario controla parte de los rastros.

4 3 Anticipar

La anticipación construye escenarios a partir de mecanismos, tendencias y rupturas. Puede utilizar grafos de dependencia, modelos de propagación, simulaciones basadas en agentes, análisis de escenarios y talleres de contraste crítico. El objetivo no es elegir un único futuro. Es identificar las decisiones que conservan su valor cuando varios futuros siguen abiertos.

Un escenario útil describe un desencadenante, una cadena de efectos, indicadores precursores, los actores implicados y las opciones disponibles. También precisa qué haría cambiar el análisis. Esta disciplina reduce el sesgo retrospectivo y facilita la revisión cuando aparece nueva información.

4 4 Decidir

El módulo de decisión convertiría una previsión en una elección. Dos alertas con la misma probabilidad pueden justificar respuestas distintas si difieren las consecuencias, el coste del retraso, la reversibilidad de la acción o la equidad. El sistema debe mostrar, por tanto, la probabilidad, pero también las pérdidas esperadas, las opciones, los efectos secundarios y las reglas de escalada.

Los modelos pueden mejorar determinados juicios, pero el valor de la predicción depende de su incorporación a una función de decisión explícita. Los estudios sobre la combinación de predicciones algorítmicas y decisiones humanas muestran que la evaluación debe tener en cuenta las decisiones anteriores que produjeron los datos observados y los resultados que permanecen invisibles.^[11] En el marco de referencia METRICS, la decisión final debe, por tanto, seguir siendo atribuible, impugnable y documentada.

4 5 Actuar

Una alerta solo tiene valor si una organización puede actuar a tiempo. Cada umbral debe vincularse a una medida, un responsable, un recurso, un canal de comunicación y una condición de cese. Las medidas pueden incluir la protección de una instalación, la conmutación de un servicio a un sistema alternativo, el refuerzo de la vigilancia, la movilización de recursos médicos, la evacuación, la segmentación de una red o la preservación de pruebas.

Los sistemas mundiales de alerta temprana contemplan cuatro capacidades inseparables: conocimiento del riesgo, observación y previsión, difusión de la alerta y preparación para responder.^[5] El marco de referencia METRICS adopta esta lógica y añade un registro operativo que permite seguir la ejecución, las desviaciones y los efectos reales.

4 6 Aprender

El aprendizaje posterior a la crisis comienza durante la crisis. Las decisiones, las hipótesis, los cambios de umbral, los datos no disponibles y los efectos imprevistos deben registrarse a medida que se actúa. Tras la estabilización, el análisis compara las previsiones con los resultados, identifica las vulnerabilidades reveladas y mide el tiempo de recuperación de las funciones esenciales.

El análisis de la experiencia produce tres cambios concretos. Corrige los datos y los modelos. Modifica los procedimientos y las responsabilidades. Orienta las inversiones en resiliencia. Sin este vínculo presupuestario y organizativo, las lecciones aprendidas siguen siendo una memoria sin efecto.

5 Aplicaciones en los ámbitos prioritarios

El núcleo de la arquitectura seguiría siendo común, pero variarían las señales, los modelos y las reglas de decisión. La tabla siguiente resume las principales categorías de información. Las secciones posteriores precisan los usos y los límites.

Tabla 2 Señales y usos por ámbito

5 1 Defensa, seguridad y amenazas híbridas

En el ámbito militar, la anticipación debe combinar las intenciones probables, las capacidades observadas, la logística, el terreno, las infraestructuras civiles y el entorno informativo. Una concentración de medios no tiene el mismo significado según la disponibilidad de combustible, las rutas, la meteorología, la doctrina y las restricciones políticas. El modelo debe, por tanto, separar capacidad, intención y oportunidad.

Las amenazas híbridas aprovechan las interfaces entre paz, crisis y conflicto. Una campaña de desinformación puede preparar un sabotaje, amplificar una escasez o reducir la aceptación de una medida sanitaria. El marco de referencia METRICS prevé un grafo que conecta las narrativas, los acontecimientos físicos, las perturbaciones digitales y los movimientos logísticos. El objetivo no es automatizar una atribución política, sino indicar las convergencias, las alternativas y el grado de respaldo probatorio.

Tras la crisis, las prioridades se centran en la continuidad de la autoridad, el restablecimiento de los servicios esenciales, la reparación de las infraestructuras, la preservación de pruebas y la evaluación de la capacidad residual. Los marcos de resiliencia civil insisten en la continuidad del gobierno, de los servicios a la población y del apoyo civil a las operaciones militares.^[8]

5 2 Crisis sanitarias

La alerta sanitaria se beneficia de combinar datos cuyos retrasos y sesgos difieren. Las consultas ofrecen una imagen clínica, los laboratorios confirman con retraso, las aguas residuales pueden detectar circulación de patógenos antes de las hospitalizaciones, la movilidad informa sobre la propagación potencial y el absentismo señala a veces una perturbación más amplia. Una fusión prudente permite reducir la dependencia de un único indicador.

La previsión debe proporcionar trayectorias y no una sola curva. Estima los ingresos, las necesidades de cuidados intensivos, las existencias, el personal disponible y los efectos de posibles medidas. Las hipótesis biológicas y de comportamiento son explícitas. Los intervalos de confianza se amplían con el horizonte temporal. El Reglamento Sanitario Internacional modificado en 2024 refuerza el marco mundial de preparación y respuesta, manteniendo la responsabilidad de los Estados respecto de las medidas nacionales.^[7]

Tras la crisis, el marco de referencia METRICS ayuda a estructurar el análisis del exceso de mortalidad, los retrasos asistenciales, las interrupciones del suministro de medicamentos, la fatiga de los equipos y las desigualdades territoriales. La recuperación no se limita al descenso de casos. Incluye la recuperación del sistema sanitario, el seguimiento de los efectos diferidos y la preparación para las siguientes oleadas.

5 3 Terrorismo y violencia organizada

El riesgo terrorista exige especial prudencia, porque los acontecimientos son infrecuentes, los datos incompletos y las consecuencias de una clasificación errónea pueden ser graves. El sistema propuesto debe priorizar el análisis de comportamientos y redes pertinentes frente a las categorías identitarias. También debe distinguir entre indicadores de amenaza, vulnerabilidades de los objetivos y viabilidad operativa.

Los datos financieros, las comunicaciones públicas, los desplazamientos, las compras y los reconocimientos de instalaciones pueden contribuir a una evaluación, pero ninguno de estos rastros basta por sí solo. Los métodos de cartografía de la financiación del terrorismo recomiendan múltiples fuentes, cuantitativas y cualitativas, procedentes de los servicios competentes, el sector privado, las estadísticas y la información abierta.^[12]

La acción debe seguir siendo proporcionada y estar sujeta a control. El marco de referencia METRICS ayuda a priorizar una comprobación, reforzar temporalmente la protección de una instalación o proponer una revisión humana. No debe convertir una puntuación opaca en una prueba. Tras un acontecimiento, la plataforma propuesta podría apoyar la reconstrucción cronológica, el análisis de la red, la protección de las víctimas, la continuidad de los servicios y la identificación de señales que se pasaron por alto o se interpretaron mal.

5 4 Ciberseguridad

La ciberseguridad proporciona grandes volúmenes de datos, pero el ruido es considerable. Una detección eficaz combina identidades, activos, vulnerabilidades, acontecimientos, dependencias y contexto de negocio. Un comportamiento inusual adquiere prioridad cuando afecta a un activo crítico, una identidad privilegiada o una cadena de ataque coherente.

El marco de ciberseguridad del NIST organiza la gestión en torno a la gobernanza, la identificación, la protección, la detección, la respuesta y la recuperación.^[6] El marco de referencia METRICS conecta estas funciones con otros ámbitos. Así, una intrusión que comprometa un sistema informático podría evaluarse según sus posibles efectos sobre un hospital, una cadena de transporte, una operación de seguridad o una alerta a la población.

Tras un incidente, la plataforma propuesta conservaría la cronología, las decisiones de contención, las imágenes forenses, las pruebas y las dependencias afectadas. Seguiría la restauración por orden de criticidad y verificaría que los controles corregidos redujeran realmente la exposición. La recuperación debe incluir la rotación de secretos de autenticación, la validación de copias de seguridad, la vigilancia reforzada y la información a las partes afectadas.

5 5 Catástrofes naturales y cambio climático

Las catástrofes naturales resultan de la interacción entre un peligro, la exposición y la vulnerabilidad. La misma crecida produce efectos distintos según la urbanización, la calidad de los edificios, el acceso al transporte, la hora y la capacidad de evacuación. Las proyecciones climáticas indican que los riesgos aumentan con el calentamiento y que algunos cambios pueden volverse abruptos o irreversibles.^[10]

El marco de referencia METRICS explica cómo combinar las observaciones meteorológicas, hidrológicas, sísmicas y espaciales con los datos de población, infraestructuras y vulnerabilidad. La previsión se convertiría en una previsión de impacto. No indicaría solamente dónde subirá el agua o dónde avanzará el fuego. Estimaría qué carreteras, hospitales, redes y poblaciones se verán probablemente afectados.

Después del acontecimiento, las imágenes comparativas y los informes de campo aceleran la evaluación de daños. El sistema propuesto priorizaría los accesos, las búsquedas, la atención sanitaria, el restablecimiento de la energía y la reanudación de las comunicaciones. La reconstrucción debe reducir la vulnerabilidad futura; de lo contrario, reproduce el riesgo que acaba de materializarse.

5 6 Delitos medioambientales y riesgos industriales

Los delitos medioambientales se prestan a una vigilancia independiente, porque las declaraciones pueden compararse con cambios observables. La expansión de una mina, una deforestación, un vertido térmico, una pluma de emisiones, un vertedero, una mancha de hidrocarburos o la actividad de un buque pueden dejar rastros espaciales y temporales. Los datos de radar siguen siendo útiles de noche y a través de las nubes, mientras que los datos ópticos y espectrales caracterizan la cobertura del suelo, la vegetación o determinados marcadores atmosféricos.^[9]

El valor operativo procede de la fusión. Una imagen aislada muestra una anomalía, pero su combinación con permisos, rutas, volúmenes declarados, datos meteorológicos, sensores locales y navegación puede sustentar una hipótesis más sólida. En el ámbito marítimo, la fusión del radar con sistemas cooperativos de seguimiento ayuda a detectar buques que dejan de transmitir voluntariamente.

Tras un incidente, el marco de referencia METRICS ayuda a delimitar la zona afectada, estimar la deriva de una contaminación, documentar la cronología y apoyar la reparación. Las pruebas deben conservar su procedencia e integridad si se destinan a un control administrativo o judicial.

5 7 Infraestructuras críticas y cadenas logísticas

Las infraestructuras críticas constituyen el tejido común de las crisis. Un fallo energético puede interrumpir las telecomunicaciones, el transporte, el agua, los pagos y la atención sanitaria. El modelo debe representar las dependencias técnicas, contractuales, geográficas y humanas. También debe identificar los recursos escasos que condicionan la recuperación, por ejemplo, transformadores, componentes, equipos especializados o rutas alternativas.

La previsión se apoya aquí en grafos y simulaciones de propagación. Se introduce un fallo en el modelo para estimar los servicios afectados, la duración probable y las opciones alternativas. Los ejercicios permiten comparar estos resultados con la reacción real de los operadores. Tras la crisis, la prioridad es la restauración secuenciada de las funciones que reducen más rápidamente las consecuencias humanas y económicas.

6 Métodos analíticos

6 1 Fusión de datos y grafos de conocimiento

Un grafo de conocimiento conecta a las personas autorizadas, las organizaciones, los activos, los lugares, los acontecimientos, las vulnerabilidades y las fuentes. Permite seguir una relación hasta la prueba que la respalda y evitar que se fusionen personas homónimas u objetos mal identificados. Las reglas de calidad deben conservar las contradicciones en lugar de borrarlas.

La fusión puede combinar métodos probabilísticos y simbólicos. Los modelos probabilísticos estiman la verosimilitud de un estado a partir de datos imperfectos. Las reglas simbólicas aplican restricciones conocidas, por ejemplo, una imposibilidad temporal o una incompatibilidad geográfica. El conocimiento experto humano interviene en los casos ambiguos, los nuevos modos de actuación y las consecuencias sensibles.

6 2 Previsión probabilística

Una previsión utilizable debe ser probabilística y estar calibrada. Si a cien acontecimientos se les asigna una probabilidad del sesenta por ciento, unos sesenta deberían producirse durante un periodo suficientemente amplio y en condiciones comparables. La calibración protege frente al exceso de confianza. La discriminación mide la capacidad de separar situaciones de alto y bajo riesgo. Ambas cualidades son necesarias.

Los métodos posibles incluyen series temporales, modelos bayesianos, árboles, redes neuronales, modelos de supervivencia, grafos y simulaciones. La elección depende del volumen, el mecanismo, la frecuencia de los acontecimientos y la necesidad de explicación. Los acontecimientos infrecuentes exigen validaciones adaptadas, escenarios sintéticos controlados y especial atención a los cambios de los datos a lo largo del tiempo.

6 3 Simulación y gemelos operativos

Un gemelo operativo representa las funciones esenciales, los recursos, las dependencias y las restricciones. No pretende reproducir cada detalle del mundo. Permite probar decisiones, por ejemplo, el cierre de una carretera, la pérdida de un centro de datos, la llegada masiva de pacientes o la indisponibilidad de un equipo. Los resultados sirven para preparar los planes y elegir redundancias.

Las simulaciones se vuelven peligrosas cuando se confunden con predicciones. Exploran las consecuencias de reglas e hipótesis. Su valor depende de la transparencia de los parámetros, del análisis de sensibilidad y de la comparación con acontecimientos o ejercicios observados.

6 4 Inteligencia humana e inteligencia artificial

La inteligencia artificial puede acelerar la clasificación, detectar patrones, resumir grandes volúmenes y proponer escenarios. No posee automáticamente el contexto institucional, la legitimidad ni la responsabilidad necesarios para una decisión sensible. El marco de referencia METRICS debe definir qué decisiones puede recomendar el sistema, cuáles puede ejecutar bajo supervisión y cuáles exigen una autoridad humana.

El dispositivo propuesto también debe proteger el juicio humano frente a la automatización pasiva. Quien decide debería ver las razones principales, las fuentes, las incertidumbres, las alternativas y las consecuencias de un error. Para las decisiones de gran trascendencia, una revisión de contraste o una doble validación reduce el riesgo de depositar una confianza injustificada en una puntuación.

7 Decisión en condiciones de incertidumbre

La decisión en condiciones de incertidumbre compara el coste de actuar demasiado pronto con el de actuar demasiado tarde. Un umbral bajo aumenta las alertas y las falsas alarmas. Un umbral alto reduce el ruido, pero puede pasar por alto un acontecimiento grave. El umbral adecuado varía con la gravedad, la reversibilidad, el tiempo disponible para actuar y las personas afectadas. Debe definirse antes de la crisis y ajustarse después conforme a reglas conocidas.

En el marco de referencia METRICS, una matriz de decisión asocia cada nivel de confianza con un conjunto de medidas proporcionadas. Una información preliminar puede activar una recopilación reforzada. Una convergencia media puede justificar un preposicionamiento discreto. Una convergencia elevada y consecuencias importantes pueden activar una respuesta completa. Esta progresión conserva la capacidad de actuar sin presentar una hipótesis como un hecho.

Las decisiones deben poder revisarse. Cada acción recibe una duración, un responsable, criterios de mantenimiento y criterios de cese. La reversibilidad protege frente a respuestas que se vuelven permanentes cuando el riesgo ha cambiado. Las medidas que afectan a las libertades, la salud o el acceso a un servicio requieren una justificación y un control reforzados.

8 Acciones posteriores a la crisis

8 1 Evaluación rápida y continuidad

En las primeras horas, el marco de referencia METRICS ayuda a elaborar una imagen común de los daños, las personas afectadas, los servicios interrumpidos y los accesos disponibles. Se compararían las fuentes espaciales, aéreas, locales y digitales. La prioridad correspondería a las funciones cuya interrupción genera las consecuencias más graves o bloquea la respuesta de otros sectores.

La continuidad se basa en objetivos de servicio, soluciones alternativas y recursos ya identificados. El sistema propuesto seguiría el traslado a una instalación de respaldo, la restauración de una copia de seguridad, la entrega de existencias, el redespliegue de un equipo y el retorno progresivo al funcionamiento normal.

8 2 Prueba, atribución y responsabilidad

Las crisis intencionadas y algunos accidentes exigen una cadena de pruebas. Los datos deben conservar la fuente, la fecha, la integridad, las transformaciones y las identidades de las personas que han accedido a ellos. Una atribución debe distinguir la certeza técnica, la evaluación de inteligencia y la decisión política o judicial. El marco de referencia METRICS facilita esta disciplina sin pretender sustituir a las autoridades competentes.

8 3 Reconstrucción y reducción del riesgo futuro

La reconstrucción debe corregir las vulnerabilidades reveladas. Reproducir de forma idéntica una infraestructura expuesta restablece el servicio, pero conserva el riesgo. Las decisiones de reconstrucción comparan rapidez, coste, sostenibilidad, redundancia y equidad territorial. El informe mundial sobre riesgos subraya que las inversiones que integran la resiliencia pueden evitar una parte importante de las pérdidas futuras.^[4]

8 4 Análisis verificable de la experiencia

El análisis de la experiencia compara la cronología prevista con la real. Examina las señales disponibles, las que se detectaron, las que se ignoraron, las decisiones tomadas, los retrasos y los efectos. No busca únicamente identificar una falta. Mide las condiciones que hicieron probable el error, por ejemplo, un dato inaccesible, una responsabilidad ambigua, un umbral mal definido o una capacidad insuficiente.

9 Evaluación científica e indicadores

Un sistema de riesgo no debe evaluarse únicamente por su tasa de detección. Un modelo que alerta sobre todo detecta todos los acontecimientos, pero se vuelve inutilizable. La evaluación debe abarcar la calidad de las probabilidades, el tiempo útil de anticipación, el valor de las decisiones, el impacto en las personas, la robustez y la recuperación.

Tabla 3 Indicadores de rendimiento propuestos

La validación seguiría cuatro niveles. El primero utiliza archivos y oculta parte de los datos para comprobar la previsión. El segundo reproduce crisis en ejercicios. El tercero despliega el sistema en observación silenciosa sin influir en las decisiones. El cuarto mide su efecto en condiciones operativas controladas. Esta progresión reduce el riesgo de introducir una herramienta no evaluada en una función crítica.

Los umbrales y los modelos deben supervisarse tras el despliegue. Un deterioro de la calibración, un cambio de comportamiento, un nuevo sensor o una evolución normativa pueden reducir la fiabilidad de un modelo. El rendimiento es, por tanto, una propiedad que se sigue a lo largo del tiempo, no una certificación adquirida de una vez para siempre.

10 Gobernanza, seguridad y ética

10 1 Gobernanza de las responsabilidades

El marco de referencia METRICS debe definir quién posee el dato, quién valida el modelo, quién fija los umbrales, quién recibe la alerta y quién autoriza la acción. Los roles varían según el ámbito, pero la cadena de responsabilidad debe seguir siendo explícita. Un comité común de riesgos podría dirimir las dependencias entre sectores y mantener una doctrina coherente.

10 2 Seguridad y soberanía de los datos

Los datos sobre riesgos pueden exponer las vulnerabilidades de una organización o de un territorio. La arquitectura propuesta aplicaría minimización, control de acceso, cifrado, separación de entornos, registro de actividad y reglas de conservación. Los propios modelos sensibles estarían protegidos, porque su estructura puede revelar los criterios de vigilancia o facilitar su elusión.

10 3 Derechos, equidad y proporcionalidad

Los sistemas aplicados a la salud, la seguridad o el terrorismo pueden afectar a personas que no representan ninguna amenaza. Los datos indirectos pueden reproducir desigualdades históricas. La gobernanza debe prohibir las variables sin justificación, medir las diferencias de rendimiento, ofrecer vías de recurso cuando sea posible y someter los usos sensibles a validación humana.

La proporcionalidad exige que la intensidad de la respuesta corresponda a las pruebas y a las consecuencias. Una puntuación baja puede justificar una observación adicional, pero no una medida intrusiva. Esta regla protege a las personas y también mejora la calidad operativa al evitar que las alertas poco informativas consuman recursos.

11 Hoja de ruta del marco de referencia METRICS

La implantación podría comenzar con un alcance limitado que demostrara la cadena completa entre señal, decisión y resultado. El primer caso debe contar con datos accesibles, una decisión frecuente, un responsable identificado y la posibilidad de medir el efecto. Una catástrofe natural recurrente, un incidente informático en un servicio definido o una interrupción logística suelen ofrecer buenas condiciones de partida.

Tabla 4 Trayectoria de implantación

12 Límites actuales del marco de referencia METRICS

El marco propuesto ofrece una gramática común a los distintos ámbitos sin pretender que sus modelos sean intercambiables. La misma arquitectura podría conservar una prueba, evaluar una fuente, producir un escenario y registrar una decisión. Sin embargo, los mecanismos biológicos, militares, hidrológicos, delictivos y digitales exigen datos y validaciones propios.

La principal dificultad reside en la gobernanza de los datos, las responsabilidades, la confianza entre socios, la capacidad de actuar y la disciplina de medición. Un sistema muy preciso sigue siendo inútil si la alerta llega después de la ventana de actuación, si nadie dispone de medios para responder o si los equipos no comprenden por qué se ha superado el umbral.

La segunda limitación atañe a los adversarios y a los entornos cambiantes. Los actores hostiles aprenden los criterios de detección y adaptan su comportamiento. Las crisis sanitarias y climáticas también modifican las relaciones observadas. El marco de referencia METRICS debe tener en cuenta los cambios de los datos, el engaño, la incertidumbre y la posibilidad de que el propio modelo se convierta en un objetivo.

La tercera limitación es ética. Cuantos más ámbitos conectara la plataforma propuesta, más intrusiva podría volverse. El valor de una visión integrada no justifica una recopilación ilimitada. La finalidad, la minimización, el acceso controlado y la proporcionalidad deben formar parte del diseño técnico y de los criterios de evaluación.

13 Conclusión

El marco de referencia METRICS conecta la anticipación, la previsión, la gestión del riesgo y las acciones posteriores a la crisis en una misma arquitectura de decisión y resiliencia. Una cadena de evidencias acorta el tiempo entre una señal creíble y una respuesta proporcionada y permite medir si esa respuesta ha producido el efecto esperado.

El marco aborda los riesgos complejos mediante datos de varias fuentes, modelos calibrados, conocimiento experto, umbrales explícitos y resultados verificables. Permite trabajar de forma transversal en defensa, salud, terrorismo, ciberseguridad, catástrofes naturales, daños ambientales e infraestructuras críticas.

El siguiente paso consiste en elegir un caso operativo, identificar la decisión que se quiere mejorar, fijar una referencia medible y llevar a cabo un piloto por fases. La credibilidad del marco de referencia METRICS depende de su capacidad para demostrar una mejor anticipación, decisiones más rápidas, acciones más seguras y plazos de recuperación más breves.

Referencias

1 Aven T. Risk assessment and risk management. Review of recent advances on their foundation. European Journal of Operational Research. Volumen 253. 2016. Páginas 1 a 13. DOI 10.1016 j.ejor.2015.12.023.

2 Scheffer M. Bascompte J. Brock W. y otros. Early warning signals for critical transitions. Nature. Volumen 461. 2009. Páginas 53 a 59. DOI 10.1038 nature08227.

3 Oficina de las Naciones Unidas para la Reducción del Riesgo de Desastres. Our World at Risk. Transforming Governance for a Resilient Future. Global Assessment Report. 2022.

4 Oficina de las Naciones Unidas para la Reducción del Riesgo de Desastres. Resilience Pays. Investing and Financing for Our Future. Global Assessment Report. 2025.

5 Oficina de las Naciones Unidas para la Reducción del Riesgo de Desastres. Early Warnings for All. Plan ejecutivo y cadena mundial de alerta temprana. 2023 a 2027.

6 National Institute of Standards and Technology. The NIST Cybersecurity Framework 2.0. NIST CSWP 29. 2024. DOI 10.6028 NIST.CSWP.29.

7 Organización Mundial de la Salud. Reglamento Sanitario Internacional de 2005 modificado en 2014, 2022 y 2024. Versión en vigor desde septiembre de 2025.

8 Organización del Tratado del Atlántico Norte. 2026 Resilience Baseline Requirements. 2026.

9 Agencia Espacial Europea. Environmental Crimes Use Cases. Referencia ESA CICA USECASE 2026 3422. 2026.

10 Grupo Intergubernamental de Expertos sobre el Cambio Climático. Climate Change 2023. Synthesis Report. Sexto Informe de Evaluación. 2023.

11 Kleinberg J. Lakkaraju H. Leskovec J. Ludwig J. Mullainathan S. Human Decisions and Machine Predictions. Quarterly Journal of Economics. Volumen 133. 2018. Páginas 237 a 293. DOI 10.1093 qje qjx032.

12 Oficina de las Naciones Unidas contra la Droga y el Delito. Guidance Manual for Terrorist Financing Risk Assessments. 2025.

13 Organización Internacional de Normalización. ISO 31000 Risk management Guidelines. 2018.