Pérdidas primarias y secundarias

En FAIR la magnitud de la pérdida se separa en dos. La pérdida primaria es el costo directo de que el activo pierda su confidencialidad, su integridad o su disponibilidad: lo que le pasa a la empresa por sí sola. La pérdida secundaria nace de la reacción de terceros (clientes, autoridades, medios, la propia cadena de suministro) ante el evento, y le cuesta además a la empresa.

La clave de la clasificación es quién origina el costo, no el tipo de gasto. Un mismo tipo de costo, por ejemplo honorarios de asesoría, puede ser primario o secundario según lo que lo provocó. Existen seis formas de pérdida (productividad, respuesta, reemplazo, reputación, ventaja competitiva y multas y sentencias) y cualquiera puede aparecer en las dos columnas.

Abre SELECT * FROM partidas_del_incidente_2025. La columna origen dice qué provocó cada costo y la última dice dónde lo puso el área financiera. Una de las partidas tiene un origen que es una reacción de un tercero y, sin embargo, está contada como primaria.

Un número mal clasificado contamina dos estimaciones: infla la magnitud primaria, que se da por segura en todo evento, y esconde la secundaria, que depende de la reacción. Con la partida corregida se vuelve a sumar solo lo que de verdad es un efecto directo en la empresa.

La pérdida secundaria no ocurre en cada evento: depende de que alguien reaccione. FAIR la modela con una frecuencia de eventos de pérdida secundaria, que no es una cantidad por año sino una probabilidad condicional: dado un evento de pérdida primaria, qué fracción de las veces aparece una pérdida secundaria. Con pocos datos es una estimación gruesa, pero parte de lo observado.

Abre SELECT * FROM eventos_de_perdida_previos.

Sumar la pérdida secundaria a la primaria como si ocurriera siempre exagera la magnitud en los eventos pequeños y esconde el riesgo de cola de los que llaman la atención de las autoridades o de la prensa. Por eso el modelo la trata con su propia probabilidad y su propio rango.