El incidente ya ocurrió. Lo que pase en las siguientes veinticuatro horas define si tu empresa va a aprender algo o solo va a acumular otra historia contada distinta por cada persona que la vivió. Una investigación de incidente de seguridad no es un tribunal ni una cacería de culpables: es un procedimiento para establecer hechos, entender por qué fallaron las defensas y corregir para que no se repita. En América Latina la mayoría de las empresas del sector investiga “a criterio del supervisor de turno”; esta plantilla ordena ese criterio en pasos concretos, aplicables desde una garita de urbanización hasta una planta industrial.

Una advertencia previa: si el incidente involucra un posible delito, personas heridas o riesgo legal, la prioridad es reportar a la autoridad competente y no contaminar su trabajo. La investigación interna corre en paralelo y se limita a lo operativo; para las implicaciones legales, asesórate. Esto no es asesoría legal.

Paso 0 — Asegurar la evidencia (las primeras horas)

La evidencia se degrada rápido: el video se sobreescribe, la memoria se reacomoda, la escena se limpia. Antes de cualquier análisis:

Exporta y respalda el video de todas las cámaras relevantes, con margen amplio antes y después del hecho. No confíes en “luego lo bajamos”: los sistemas reciclan grabación.
Congela el reporte original, sin editar. El primer relato del guardia — escrito en caliente, con sus fotos y su hora — es la pieza más valiosa de toda la investigación. Si el reporte vive en un libro de novedades digital, ya tiene hora exacta, autor y evidencia adjunta, y nadie puede “mejorarlo” después. Esa inalterabilidad, que en el día a día parece un detalle, aquí es la columna vertebral.
Fotografía la escena tal como quedó: puertas, cerraduras, objetos movidos, marcas. Fotos generales primero, detalles después.
Lista a las personas presentes — guardias, empleados del cliente, testigos externos — con nombre y contacto, antes de que se dispersen.
Recolecta los registros del sistema: marcaciones de asistencia, rondas cumplidas y sus horas, alertas generadas, comunicaciones de radio si quedaron registradas.

El reporte en caliente: lo que el guardia registró en el momento, con foto y hora, antes de que la memoria empiece a editar la historia.

Paso 1 — Construir la línea de tiempo

La línea de tiempo es el esqueleto de los hechos: cada evento con su hora, ordenado, con su fuente al lado. “23:41 — última ronda registrada en el punto 4 (registro del sistema). 23:58 — vehículo se detiene frente al acceso (cámara 2). 00:07 — guardia reporta ruido en bodega (novedad en la app).”

Dos reglas la mantienen honesta: cada dato lleva su fuente (video, registro, testimonio — y los testimonios pesan menos que los registros), y los huecos se marcan como huecos en lugar de rellenarse con suposiciones. Los huecos son hallazgos: si nadie puede decir qué pasó entre las 00:10 y las 00:40, eso ya te está diciendo algo sobre tu cobertura.

Aquí es donde la operación digitalizada paga su inversión: las marcaciones, las rondas con puntos de control y los recorridos con ubicación GPS entregan horas objetivas que anclan todo lo demás. Sin ellas, la línea de tiempo entera flota sobre memorias.

Paso 2 — Entrevistas separadas

Se entrevista a cada persona por separado y lo antes posible, antes de que las versiones se contaminen entre sí en el chat del turno. El tono lo es todo: esto no es un interrogatorio. La frase de apertura correcta es alguna variante de “queremos entender qué pasó para corregir el sistema, no buscar a quién castigar” — y tiene que ser verdad, porque la primera vez que una investigación termine en castigo automático, será la última vez que alguien te cuente lo que realmente vio.

Técnica básica: preguntas abiertas (“cuéntame tu turno desde el inicio”), cero preguntas sugestivas (“¿viste al hombre de la moto?” contamina; “¿qué viste?” no), y registro escrito de cada entrevista con fecha y firma o confirmación del entrevistado.

Paso 3 — Causa raíz: ¿la persona, la consigna o el diseño?

Aquí se separan las investigaciones serias de las cacerías. Ante cada falla detectada, pregunta en orden:

¿Falló la persona? ¿El guardia sabía qué debía hacer, podía hacerlo y no lo hizo? Ese es el único caso donde la causa es individual — y aun así vale preguntar por qué: ¿fatiga por turnos dobles?, ¿falta de entrenamiento?
¿Falló la consigna? ¿Existía una instrucción escrita para esta situación? ¿Era conocida, clara, realista? Una consigna que nadie ha leído es una consigna que no existe.
¿Falló el diseño del puesto? ¿Un solo guardia para un perímetro que exige dos? ¿Punto ciego sin cámara ni ronda? ¿Relevo que deja la puerta sin cobertura veinte minutos? El diseño falla en silencio hasta que un incidente lo ilumina.

La experiencia del sector es incómoda pero consistente: la mayoría de los incidentes con investigación honesta termina en las categorías 2 y 3. Culpar al guardia es rápido, barato y casi siempre garantiza la repetición del incidente con otro guardia.

Paso 4 — Acciones correctivas con nombre y fecha

Una investigación sin acciones correctivas es un archivo. Cada acción se escribe con tres campos obligatorios: qué se hace, quién es responsable y para cuándo. “Mejorar la iluminación del acceso norte — jefe de operaciones — antes de fin de mes.” “Reescribir la consigna de recepción de proveedores y difundirla en los tres turnos — supervisor del servicio — esta semana.”

Las acciones vagas (“reforzar la vigilancia”, “estar más atentos”) se prohíben por inútiles: nadie puede cumplirlas ni verificarlas.

Del reporte al cierre: el incidente avanza por estados en el panel, con su evidencia y su seguimiento, hasta que las acciones correctivas se cumplen.

Paso 5 — Cierre, comunicación y seguimiento

El incidente se cierra cuando las acciones se ejecutaron, no cuando el informe se escribió. El cierre incluye: informe final breve (hechos, causa raíz, acciones), comunicación al cliente en lenguaje claro — los clientes perdonan incidentes; no perdonan enterarse tarde o a medias —, retroalimentación al equipo involucrado, y una fecha de verificación posterior: ¿las correcciones siguen vivas un mes después, o el puesto volvió a la costumbre?

La plantilla de investigación de incidente de seguridad en una lista

Conclusión

Investigar bien es un hábito organizacional, no un talento: evidencia primero, línea de tiempo con fuentes, entrevistas limpias, causa raíz sin chivos expiatorios y correcciones con dueño. Y todo se vuelve diez veces más fácil cuando la operación ya registra su día a día en digital, porque la mitad de la investigación — quién, dónde, cuándo — ya está escrita antes de empezar. Si quieres ver cómo ese registro se construye turno a turno, explora CGuardPro o escríbenos.

Cómo Investigar un Incidente de Seguridad: Plantilla Paso a Paso