Physical security risk analysis model: what the document should actually contain

Căutarea „model de analiză de risc la securitate fizică” a explodat în ultimele luni. Se înțelege de ce: documentul e obligatoriu, sună birocratic, iar reflexul firesc este să cauți un formular pe care să-l completezi.

Problema e că analiza de risc nu funcționează așa. Un model descărcat vă poate arăta structura, dar nu vă poate da conținutul — iar la un control se verifică exact conținutul.

Ce este, de fapt, documentul

Analiza de risc la securitate fizică stabilește, pentru un obiectiv concret, ce amenințări îl vizează, cât de vulnerabil este în fața lor și ce măsuri de protecție sunt proporționale cu riscul rezultat. Obligația vine din Legea 333/2003, în forma modificată de Government Emergency Ordinance 37/2026.

O precizare care schimbă mult: din mai 2026, analiza de risc este obligatorie doar pentru unitățile cărora normele metodologice le stabilesc minimum security requirements (art. 49)²). Celelalte implementează măsuri pe baza evaluării proprii, materializată într-o fișă de securitate (art. 49)⁹). Dacă înainte de a căuta un model vă întrebați dacă vă trebuie documentul, ăsta e primul lucru de lămurit — am explicat diferența în articolul Analiză de risc sau fișă de securitate?.

Pe baza ei se întocmește planul de pază și se proiectează sistemele tehnice. Dacă analiza e greșită, tot ce vine după ea e greșit — inclusiv bugetul pe care îl aprobați.

De ce un model completat nu ține

Un model descărcat de pe internet conține titlurile capitolelor. Nu conține:

• vecinătățile obiectivului dumneavoastră și ce riscuri aduc ele;
• fluxurile reale de persoane, mărfuri și valori prin clădire;
• programul de funcționare și momentele în care obiectivul e vulnerabil;
• istoricul de incidente din zonă și din obiectiv;
• starea reală a măsurilor existente — ce e montat, ce mai funcționează, ce e depășit;
• fotografiile și planurile care susțin fiecare afirmație.

Un document fără elementele astea se recunoaște instant: descrie o clădire generică. La verificare, întrebarea nu este „aveți analiză de risc?”, ci „pe ce vă bazați când spuneți că riscul este mediu?”. Un model completat nu are răspuns la a doua întrebare.

Mai este un aspect, care nu ține de conformitate, ci de bani: o analiză generică duce la măsuri generice. Fie supradimensionați și plătiți echipamente de care nu aveați nevoie, fie subdimensionați și rămâneți descoperit exact acolo unde conta.

Structura documentului, capitol cu capitol

Legea nu vă lasă să ghiciți. Instrucțiunea MAI nr. 9/2013, art. 7 alin. (1) spune că analiza de risc se materializează în trei componente:

• raportul de evaluare și tratare a riscurilor;
• grila de evaluare specifică obiectului de activitate;
• documentele-suport — chestionare, declarații și datele utilizate.

Grila și documentele-suport sunt exact partea pe care un model descărcat nu o poate produce: ele conțin datele obiectivului dumneavoastră. Iar raportul, ca să stea în picioare, trebuie să acopere:

1. Datele de identificare. Obiectivul, beneficiarul, evaluatorul și dovada calificării lui. Fără ultima parte, documentul nu produce efecte.

2. Descrierea obiectivului. Amplasament, vecinătăți, tip de construcție, compartimentare, căi de acces și evacuare, împrejmuire, iluminat exterior, program de funcționare. Aici se vede imediat dacă evaluatorul a fost pe teren.

3. Activitatea și valorile expuse. Ce se întâmplă în clădire și ce are de pierdut: bunuri, numerar, date, echipamente, dar și persoane. Un depozit de electronice și o clinică au profiluri de risc complet diferite, chiar dacă au aceeași suprafață.

4. Amenințările aplicabile. Nu o listă copiată, ci amenințările plauzibile pentru acel obiectiv, în acea zonă, cu acea activitate. Efracție, tâlhărie, vandalism, acces neautorizat, amenințare internă — fiecare argumentată.

5. Vulnerabilitățile. Ce lipsește și ce nu mai funcționează. Zone fără acoperire video, uși care nu se încuie, control de acces care nu jurnalizează, sistem de alarmă nelegat la dispecerat, proceduri pe care nu le respectă nimeni.

6. Estimarea riscului. Probabilitate și impact, cu metoda declarată explicit. Aici e diferența dintre un document tehnic și o opinie: dacă metoda nu e scrisă, rezultatul nu poate fi verificat de nimeni.

7. Măsurile propuse. Grupate pe categorii — mecanice, electronice, de pază, procedurale — și legate fiecare de vulnerabilitatea pe care o acoperă. O măsură care nu răspunde niciunei vulnerabilități identificate este, de obicei, un echipament vândut degeaba.

8. Concluziile. Încadrarea nivelului de risc și ce rămâne de făcut.

9. Anexele. Planuri, fotografii, fișe de evaluare. Partea pe care modelele descărcate n-o pot furniza deloc.

Cine îl poate întocmi

Doar un evaluator de risc la securitatea fizică înscris în Registrul Național al Evaluatorilor de Risc la Securitatea Fizică (RNERSF) — Instrucțiunea 9/2013, art. 8 alin. (1). Un document semnat de altcineva — de un instalator de sisteme, de un consultant fără atestat sau de firma dumneavoastră — nu produce efecte juridice, indiferent cât de bine arată.

Merită verificat înainte de a plăti: cereți numărul de înregistrare în registru și confirmați-l.

Când trebuie refăcută

OUG 37/2026 a rescris termenele. Potrivit art. 49³ din Legea 333/2003 în forma actuală, analiza se revizuiește:

• în cel mult 90 de zile from changing internal or external parameters;
• în cel mult 60 de zile from the occurrence of a relevant physical security incident;
• în cel mult 30 de zile from modifying architectural-constructive characteristics or from not implementing the established measures.

Observați ce a dispărut: revizuirea periodică la 3 ani din Instrucțiunea 9/2013 nu este preluată în textul ordonanței. Până la actualizarea normelor metodologice, situația rămâne de clarificat — iar recomandarea practică este să păstrați ciclul de trei ani ca bună practică.

Termenele noi sunt legate de evenimente, nu de calendar. O extindere a halei, o recompartimentare de birouri sau o efracție pornesc ceasul, iar cel mai scurt termen e de 30 de zile.

OUG 37/2026 a modificat Legea 333 exact în această direcție: accentul se mută de pe existența formală a documentului pe evaluarea reală a riscurilor. O analiză veche de cinci ani, pe o clădire care între timp s-a schimbat, e conformă doar pe hârtie.

Concluzia practică

Un model vă arată ce capitole trebuie să existe — și în asta e util, ca să știți ce primiți și ce să întrebați. Nu vă poate scuti însă de deplasarea în teren, pentru că tot ce dă valoare documentului se adună acolo.

Dacă vreți să știți dacă obiectivul dumneavoastră intră sub obligația legală, sau dacă analiza pe care o aveți mai descrie realitatea, ne trimiteți datele și vă spunem. Vedeți cum întocmim analiza de risc la securitate fizică — verificarea încadrării nu se tarifează.