Securitatea fizică nu mai este doar o problemă operațională, ci o componentă strategică esențială pentru continuitatea afacerii, reputația brandului și conformitatea legală. În acest context, două concepte fundamentale, adesea confundate dar fundamental distincte, joacă roluri vitale:

Analiza Riscului la Securitate Fizică (ARSF) și Auditul de Securitate Fizică (ASF).

Deși ambele contribuie la obiectivul final de a îmbunătăți  securitateafizica  a unei organizații, ele diferă semnificativ în ceea ce privește scopul, metodologia, momentul aplicării și rezultatele generate. Înțelegerea clară a acestor diferențe, dar și a punctelor comune și a modului în care se completează reciproc, este esențială pentru orice lider de afaceri sau profesionist în securitate care dorește să implementeze o strategie de protecție robustă și eficientă din punct de vedere al costurilor.

Acest articol explorează diferențele, asemănările și avantajele fiecăruia, oferind o perspectivă clară pentru profesioniștii din domeniul securității și business.

Analiza de risc reprezinta procesul prin care se identifica elementele ce pot genera incidente de securitate. De asemenea, se evalueaza atat probabilitatea de producere a acestora cat si consecintele evenimentelor.

În România, realizarea ARSF este o obligație legală , conform Legii nr. 333/2003 privind paza obiectivelor, bunurilor, valorilor și protecția persoanelor și a normelor metodologice de aplicare (HG nr. 301/2012).

ARSF se efectueaza periodic

• cel puţin odată la 3 ani, pentru corelarea cu dinamica parametrilor interni şi externi care generează şi/sau modifică riscurile la securitatea fizică a unităţii;
• în cel mult 60 de zile de la producerea unui incident de securitate la unitatea respectivă;
• în cel mult 30 de zile de la modificarea caracteristicilor arhitecturale,  funcţionale sau a obiectului de activitate al unităţii.

Metodologia ARSF implică, de obicei, colectarea de informații prin interviuri, inspecții la fața locului, analiza documentației existente (planuri, politici, documentatie legala de securitate, contracte servicii de securitate, rapoarte de incidente anterioare), analiza datelor statistice privind criminalitatea locală sau specifică industriei și, adesea, utilizarea unor cadre de lucru  sau metodologii standardizate.

Rezultatul final este,  un Raport de Evaluare a Riscului, cu un continut si capitole impuse de legislatie si o grila de evaluare a riscului ( 12 grile diferite pentru categorii de obiective, grile impuse si limitate din perspectiva analizei si cuatificarii riscurilor de securitate, care detaliază activele, amenințările, vulnerabilitățile, nivelurile de risc calculate.

Raportul de analiza a riscurilor include un capitol impus unde sunt tratatate:

• stabilirea cerinţelor, măsurilor şi mecanismelor de securitate pentru sistemul ce urmează a fi implementat, de ordin structural, tehnic, tehnologic şi operaţional;
• estimarea costurilor de securitate, în funcţie de măsurile de securitate propuse şi nivelul de risc asumat;
• concluziile raportului, în care se propun una sau mai multe opţiuni de tratare a riscurilor în vederea încadrării în domeniul acceptabil al riscului de securitate fizică, menţionând concret dimensionarea dispozitivului de pază, zonele sau punctele controlate prin mijloace electronice de supraveghere video, efracţie, control acces şi alarmare, elementele de protecţie mecanofizică, precum şi alte măsuri.

Important de retinut :  Beneficiarul, conform normelor legale în vigoare, are obligaţia să implementeze, în termen de 60 de zile de la primirea documentaţiei, măsurile menţionate în Raport.

Auditul de securitate fizică se concentrează pe evaluarea eficacității măsurilor de securitate fizică deja existente. Scopul său este de a verifica dacă politicile, procedurile și echipamentele de securitate implementate funcționează conform cerințelor și standardelor, identificând eventualele deficiențe și propunând soluții de îmbunătățire.

Nu este efectuat in urma unor cerinte legale ci mai degraba in baza unor proceduri interne de audit si de eficientizare bugete si masuri de securitate. Auditul de securitate se realizează periodic sau ori de câte ori este necesară o verificare a eficienței sistemului de securitate, fără a fi neapărat legat de modificări structurale sau de context,

Auditul răspunde la întrebări precum:

• Sunt politicile și procedurile de securitate fizică actualizate, comunicate și respectate?
• Controalele de securitate fizică implementate (ex: sisteme de control acces, supraveghere video, alarme de efracție, iluminat de securitate, personal de pază) funcționează conform specificațiilor și obiectivelor stabilite?
• Sunt aceste controale eficiente în atingerea scopului pentru care au fost implementate?
• Organizația respectă cerințele legale, reglementările specifice industriei și standardele interne sau internaționale relevante (ex: cerințe din Legea 333/2003, standarde ISO 27001 pentru controalele fizice, TAPA pentru lanțul de aprovizionare, PCI DSS pentru protecția datelor cardurilor etc.)?
• Există lacune sau neconformități în implementarea sau mentenanța măsurilor de securitate?
• Sunt înregistrările și documentația de securitate (ex: jurnale de acces, înregistrări video, rapoarte de patrulare, registre de mentenanță) complete, corecte și păstrate corespunzător?

Obiectivele principale ale ASF includ:

• Verificarea conformității cu politicile interne, standardele externe și obligațiile legale.
• Evaluarea eficacității operaționale a controalelor de securitate implementate.
• Identificarea neconformităților, a deficiențelor și a zonelor de îmbunătățire.
• Furnizarea unei asigurări obiective managementului și altor părți interesate (ex: autorități de reglementare, asiguratori, clienți) cu privire la starea actuală a securității fizice.
• Validarea faptului că investițiile în securitate au fost utilizate corespunzător și au generat rezultatele așteptate.

Metodologia ASF implică de obicei examinarea documentației (politici, proceduri, rapoarte anterioare, planuri de securitate, contracte de servicii), inspecții detaliate la fața locului (verificarea funcționării echipamentelor, observarea practicilor de securitate), interviuri cu personalul relevant (de la paznici la manageri), testarea funcțională a sistemelor de securitate (ex: testarea alarmelor, verificarea acoperirii camerelor) și analiza înregistrărilor și a datelor de audit. Rezultatul este un Raport de Audit, care prezintă constatările (findings), identifică neconformitățile (non-conformities) sau punctele slabe, evaluează nivelul de conformitate și eficacitate și, de obicei, include recomandări pentru acțiuni corective sau preventive.

Nu exista un raport standard sau o grila standard impusa de un organism sau prin lege.

În ciuda diferențelor, ERSF și ASF împărtășesc și câteva puncte comune importante:

• Obiectiv General Comun: Ambele procese urmăresc, în final, îmbunătățirea nivelului general de securitate fizică a organizației și reducerea expunerii la pierderi.
• Domeniu de Aplicare: Ambele se concentrează pe aspectele fizice ale securității – protecția perimetrului, controlul accesului, supravegherea, siguranța personalului etc.
• Necesitatea Expertizei: Atât ARSF, cât și ASF necesită cunoștințe specializate în domeniul securității fizice, înțelegerea amenințărilor, a tehnologiilor de securitate și a standardelor relevante. În România, ARSF trebuie realizată de evaluatori de risc autorizați. Auditurile necesită, de asemenea, auditori calificați și independenți.
• Bazate pe Colectarea de Date: Ambele procese se bazează pe colectarea și analiza riguroasă a informațiilor, fie că sunt date despre amenințări și vulnerabilități (ARSF), fie date despre performanța și conformitatea controalelor (ASF).
• Contribuția la Îmbunătățirea Continuă: Ambele generează recomandări care, dacă sunt implementate, contribuie la ciclul de îmbunătățire continuă a securității

Este esențial de înțeles că ERSF și ASF nu sunt procese mutual exclusive, ci complementare și interconectate, fiind parte din managementul securității fizice:

1. ARSF stabilește baza: Evaluarea riscului identifică ce trebuie protejat, care sunt amenințările și vulnerabilitățile majore și ce tipuri de masuri sunt necesare pentru a reduce riscul la un nivel acceptabil. Definește „ce ar trebui să fie”.
2. Implementarea controalelor: Pe baza recomandărilor ARSF, organizația implementează măsurile de securitate fizică (politici, proceduri, tehnologii, personal).
3. ASF verifică realitatea: Auditul intervine pentru a verifica dacă aceste controale au fost implementate corect, dacă funcționează eficient și dacă sunt conforme cu cerințele stabilite. Verifică „ceea ce este” în raport cu „ceea ce ar trebui să fie”.

Într-un program de securitate matur, ARSF și ASF se desfășoară ciclic. O evaluare inițială a riscului ghidează implementarea, auditurile periodice verifică starea curentă, iar rezultatele auditurilor (alături de monitorizarea continuă a mediului de amenințări) informează următoarea actualizare a evaluării riscului și ajustarea strategiei de securitate.

Concluzie: Două Fețe ale Aceleiași Monede – Securitatea Robustă

În concluzie, deși Analiza Riscului la Securitate Fizică (ARSF) și Auditul de Securitate Fizică (ASF) sunt distincte ca scop, metodologie și moment de aplicare, ele sunt ambele indispensabile pentru construirea și menținerea unui management de securitate fizică eficient și reziliente.

O organizație care se bazează doar pe evaluarea riscului fără a verifica implementarea și eficacitatea prin audit riscă să aibă o strategie de securitate care arată bine pe hârtie, dar eșuează în practică. Invers, o organizație care efectuează doar audituri fără o evaluare prealabilă a riscului riscă să verifice conformitatea unor controale care poate nu adresează cele mai semnificative amenințări sau vulnerabilități, irosind resurse pe aspecte secundare.

Prin urmare, integrarea armonioasă a ambelor procese – evaluarea periodică și strategică a riscurilor și auditul regulat și riguros  – este esențială. Această abordare duală permite organizațiilor nu doar să îndeplinească obligațiile legale și să protejeze activele, ci și să construiască o cultură a securității proactive, să optimizeze investițiile și să asigure continuitatea și succesul afacerii pe termen lung într-o lume plină de incertitudini. Investiția în ambele procese nu este un cost, ci o componentă fundamentală a managementului responsabil și a rezilienței organizaționale.