Guía de gestión de crisis: Qué hacer en los primeros 60 minutos

La hora dorada: El margen entre la resiliencia y el colapso

En el ámbito de la medicina de emergencias, existe un concepto denominado la hora dorada: ese intervalo crítico donde la intervención médica tiene las mayores probabilidades de evitar la muerte. En el mundo de la seguridad corporativa, el reloj corre con la misma crueldad. Cuando estalla una crisis, ya sea un ciberataque masivo, un accidente industrial o un escándalo reputacional, los primeros 60 minutos dictan si la organización mantendrá el control del relato o si será devorada por el caos mediático y operativo.

Gestionar una crisis no es simplemente apagar fuegos; es una disciplina de precisión. En un entorno hiperconectado, el silencio ya no es una opción y la lentitud se interpreta como culpabilidad o incompetencia. Esta guía detalla el protocolo táctico para navegar ese primer impacto, priorizando la seguridad humana y la integridad de los activos antes de que la narrativa se escape de nuestras manos.

Minutos 0-10: Verificación y activación del núcleo duro

El mayor error en el minuto cero es el pánico o, peor aún, la negación. La primera fase consiste en el triaje de información. No necesitamos todos los detalles, pero sí confirmar que el evento es real y determinar su escala inicial.

• Confirmación del incidente: Validar la fuente. ¿Es un rumor en redes sociales o una alerta interna del SOC? ¿Hay vidas en peligro?
• Activación del Comité de Crisis: No se convoca a toda la empresa. Se notifica al núcleo duro: CEO, Director de Seguridad (CSO), Legal y Comunicación. El uso de canales de comunicación redundantes (fuera de la red corporativa si esta está comprometida) es vital.
• Establecimiento del Puesto de Mando: Ya sea una sala física o un canal de alta seguridad cifrado, el equipo debe tener un espacio único de toma de decisiones para evitar la fragmentación de la respuesta.

Minutos 10-30: Contención operativa y protección de personas

Una vez que el equipo está alerta, la prioridad absoluta es la seguridad física y digital. Si la crisis involucra un riesgo para la integridad de los empleados o clientes, todas las demás consideraciones pasan a segundo plano. En el caso de crisis digitales, como un ataque de ransomware, este es el momento de aislar sistemas críticos para evitar la propagación.

Es fundamental entender que en estos 20 minutos se toman decisiones con información incompleta. Aquí es donde el entrenamiento previo y los simulacros pagan dividendos. No se busca la perfección, sino la mitigación del daño inmediato. Si hay heridos, los servicios de emergencia deben ser coordinados por un enlace específico, mientras el resto del equipo se enfoca en el impacto de negocio.

Minutos 30-45: Construcción del holding statement

A los 30 minutos, el mundo exterior probablemente ya sabe que algo ocurre. Los periodistas empezarán a llamar y los empleados compartirán fragmentos de información en sus perfiles personales. El vacío de información se llena con especulación; por ello, la empresa debe ocupar ese espacio con un holding statement o declaración de espera.

¿Qué debe incluir esta declaración inicial?

• Reconocimiento: Confirmar que la empresa es consciente de la situación.
• Acción inmediata: Explicar brevemente qué se está haciendo para resolverlo (ej. Se han activado los protocolos de seguridad).
• Compromiso: Prometer una actualización en un tiempo determinado (ej. Daremos más detalles en dos horas).
• Empatía: Si hay afectados, expresar preocupación genuina sin admitir responsabilidades legales prematuras.

Este mensaje no busca dar respuestas definitivas, sino demostrar que hay un adulto al mando. La transparencia en este punto no significa revelar secretos, sino ser honesto sobre lo que se sabe y lo que aún se está investigando.

Minutos 45-60: Alineación interna y preparación de la fase de recuperación

Antes de que termine la primera hora, el flujo de comunicación interna es tan crucial como el externo. Los empleados son los primeros embajadores de la marca; si se sienten ignorados o asustados, la crisis se filtrará de forma descontrolada. Se debe enviar un mensaje breve a toda la plantilla indicando que la situación está bajo manejo y recordando la política de no hablar con la prensa.

Finalmente, al cerrar los primeros 60 minutos, el Comité de Crisis debe realizar una evaluación de situación (SitRep) para definir los objetivos de las próximas cuatro horas. ¿Necesitamos contratar consultores externos? ¿Hay que notificar a los reguladores? ¿Cuál es el impacto financiero estimado? La transición de la respuesta reactiva a la gestión estratégica comienza aquí.

Análisis crítico: Por qué fallan las organizaciones

La mayoría de las empresas no fallan por falta de voluntad, sino por parálisis por análisis. En la era de la inmediatez, esperar a tener el 100% de los datos antes de hablar es un suicidio reputacional. Las organizaciones que sobreviven son aquellas que aceptan la vulnerabilidad, actúan con rapidez ética y mantienen una estructura de mando clara donde las jerarquías tradicionales se aplanan en favor de la agilidad operativa.

Preguntas Frecuentes (FAQs)