Por qué la formación no reduce el riesgo (y qué es lo que realmente lo reduce)
Un curso completado no cambia el comportamiento. La verdadera diferencia está entre saber y actuar en el momento de tomar una decisión. Eso es lo que realmente reduce el riesgo humano.
· 6 min
Cada año, las organizaciones invierten en formación obligatoria. Los empleados ven los vídeos, superan los cuestionarios y obtienen el certificado. Las tasas de finalización aumentan. Y el riesgo sigue exactamente donde estaba. No es una paradoja: es el defecto estructural de la forma en que la mayoría de las empresas abordan el riesgo humano.
La brecha entre el saber y el hacer
El problema no es que la gente no sepa qué es lo que entraña un riesgo. La mayoría sabe perfectamente que no debería hacer clic en un enlace sospechoso, compartir una contraseña o saltarse un control. La diferencia no está entre quienes saben y quienes no saben: está entre saber algo en teoría y actuar de otra manera en la práctica, bajo presión y con las prisas por terminar una tarea.
Un curso completado indica si una persona ha visto un contenido. No indica si su comportamiento ha cambiado.
Los propios estudios del sector lo confirman. La verdadera brecha no está en el conocimiento, sino en el comportamiento que persiste a pesar de ese conocimiento. Las personas completan la formación y siguen haciendo lo mismo.
El riesgo se concentra
Hay un dato que cambia la forma de abordar el problema: una pequeña parte de las personas genera la mayor parte de la exposición. No porque tengan malas intenciones, sino porque están más expuestas, más distraídas y son más blanco de ataques. Formar a todo el mundo de la misma manera, con el mismo contenido, pasa por alto esta concentración.
- 68 % En las infracciones interviene un factor humano (Verizon DBIR 2024)
- 8 % / 80 % El 8 % de las personas es responsable del 80 % de los incidentes (Mimecast)
¿Qué es lo que realmente reduce el riesgo?
Hay tres cosas que un curso por sí solo no consigue: medir la exposición real (dónde está realmente el riesgo, en qué comportamientos y en qué personas), entrenar el comportamiento en el momento de la decisión en lugar de explicarlo de forma abstracta, y demostrar con datos que el riesgo ha disminuido. La formación solo llena la cabeza de nociones. El cambio solo se produce cuando se entrena el comportamiento allí donde realmente importa.
Es la diferencia entre una organización que puede demostrar que se han completado una serie de cursos y otra que puede demostrar que el riesgo, una vez medido, ha disminuido. La primera ha cumplido con sus obligaciones. La segunda se ha protegido.