Cómo adaptar los contenidos de concientización a la cultura de cada organización

En 2012 Metro Trains Melbourne dejó de insistir con el cartel de seguridad y sacó una canción con muñequitos de colores que mueren de maneras absurdas. Una de esas maneras era pararse al borde del andén. Dumb Ways to Die empezó como campaña de seguridad ferroviaria y terminó convertida en marca global de entretenimiento, con videojuegos propios; la campaña reporta además una caída del 21% en incidentes.

El mensaje de fondo era el de siempre. Lo que se rehizo fue el envase, y el envase estaba calibrado para la gente de Melbourne en 2012. Esa misma canción, con ese mismo humor negro, en otro lugar y con otra audiencia podía salir mal o directamente ofender.

Las organizaciones tienen ese problema todo el tiempo, aunque no lo llamen así. Alguien ve el programa de concientización que en la empresa vecina funcionó de maravilla, lo replica pieza por pieza y acá no pasa nada. La calidad del contenido no bajó en el traslado. Lo que quedó afuera fue la cultura de la organización que lo recibe, distinta de la del país donde está y de la del sector donde compite.

¿Qué significa adaptar la concientización a la cultura de una organización?

Adaptar la concientización a la cultura de una organización es ajustar el tono, los ejemplos, el canal y el formato del contenido a cómo esa organización trabaja y habla, dejando fijo el comportamiento que el programa quiere cambiar. Es una decisión de contenido, tomada antes de elegir la primera pieza.

Conviene separarla de dos cosas con las que se confunde seguido.

Una es el branding. Que el programa lleve el logo propio y viva en un dominio de la organización cambia mucho cómo se recibe, porque deja de parecer publicidad de un proveedor. Pero es la capa de arriba. El contenido puede tener el logo perfecto y seguir hablando de un mundo que la gente de esa empresa no reconoce.

La otra es el idioma. Tener el material en varios idiomas para una multinacional es imprescindible y no alcanza. Dos filiales que hablan el mismo español pueden tener culturas de trabajo opuestas, y a la inversa, dos plantas de la misma empresa en países distintos pueden parecerse muchísimo entre sí. El idioma se elige por país. La cultura se lee por organización.

La idea tampoco es una excentricidad nuestra. La guía NIST SP 800-50r1, de septiembre de 2024, presenta sus recomendaciones para construir un programa de aprendizaje en ciberseguridad como algo personalizable y aplicable al proceso de cada organización, con el objetivo explícito de desarrollar adentro una cultura de seguridad. Lo dice en general, sin decir cómo. La parte de cómo es la que nos toca.

¿Cómo se lee la cultura de una organización antes de elegir el contenido?

No hace falta una encuesta de clima. Hay cinco señales que ya están a la vista, y que se pueden observar en una semana de conversaciones con quien coordina cada área.

La primera es por qué canal se enteran las personas de lo que pasa. Cuenta el que se usa de verdad, más que el que figura en el organigrama. En algunas organizaciones es el correo, en otras un grupo de mensajería que nadie administra, en otras la reunión de los lunes y en otras quien reparte las tareas del día.

La segunda es cómo se nombran las cosas adentro. Cada organización tiene su vocabulario, y ese vocabulario es una contraseña. Si en tu empresa todo el mundo dice “el legajo” y el contenido dice “el expediente del colaborador”, ya perdiste medio segundo de atención en la traducción. Medio segundo suena a poco, y en una pieza de un minuto es una eternidad.

La tercera es qué pasa cuando alguien se equivoca. Es la señal más incómoda y la que más define el resultado. Donde el error se reporta sin drama, una simulación de phishing se recibe como un ejercicio y el momento educativo posterior se lee entero. Donde el error se tapa, la misma simulación se recibe como una trampa de la empresa, y lo primero que aprende la gente es a avisarse entre sí de que hay campaña (lo cual, dicho sea de paso, demuestra una capacidad de comunicación interna admirable).

La cuarta es quién tiene autoridad informal. La persona a la que el resto le cree no siempre firma el comunicado, y cuando el contenido llega por ella, llega distinto.

La quinta es cuánto tiempo real hay, y en qué momento. Es una restricción de puesto antes que una preferencia, y ya la miramos de cerca al hablar de audiencias que no trabajan frente a una pantalla.

Con las cinco señales sobre la mesa, la elección de contenido deja de ser una cuestión de gusto.

Señal cultural observada	Decisión de contenido que sugiere
La gente se entera por una persona antes que por un canal	Guion breve para contar en voz alta, en lugar de una pieza para reenviar
Vocabulario interno propio y muy marcado	Editar los ejemplos y los nombres de los sistemas antes de la primera campaña
El error se tapa	Empezar por contenido narrativo y dejar la simulación para más adelante
El error se reporta sin castigo	Simulación temprana, con el momento educativo como pieza central
Autoridad informal repartida por área	Piezas cortas que cada referente pueda presentar como propias
Jornada partida en huecos de minutos	Goteo continuo en dosis chicas, nunca la sesión de media hora
Cultura muy formal, sector regulado	Tono sobrio y ejemplos del propio sector, sin humor de relleno
Cultura informal, equipos jóvenes	Cómic, videojuego y competencia entre áreas

El cruce con qué formato sirve para qué comportamiento termina de cerrar la elección.

¿Qué parte del programa no se adapta?

El comportamiento que se busca, el criterio con el que se valida y la evidencia que hay que poder mostrar. Reportar un correo sospechoso en lugar de borrarlo, verificar por otra vía un pedido de pago que llegó apurado, no reutilizar la contraseña del trabajo en ningún otro lado. Eso es igual en un banco y en una empresa de logística, y no se negocia con la cultura de nadie.

Se adapta el envase. El reflejo que buscamos entrenar sigue siendo el mismo.

Vale marcar el riesgo de pasarse de rosca, que aparece rápido. Una organización que evita el conflicto puede empujar hacia contenido tan suave que nunca nombra el riesgo, y ahí la adaptación se comió el mensaje. La prueba es sencilla. Si al terminar la pieza la persona no sabe qué se espera que haga distinto mañana, el ajuste salió mal, por cómoda que la pieza se sienta.

¿Cómo se nota que la adaptación funcionó?

Se nota en tres movimientos, y ninguno es la calificación del examen.

La participación deja de depender del recordatorio. Cuando el contenido entra en la cultura, la gente lo completa sin que haga falta que la jefatura lo pida por tercera vez.

Sube el reporte voluntario de correos sospechosos. Es la conducta más sensible al clima interno de todas las que medimos, porque reportar expone a quien reporta.

Y la pregunta de validación deja de fallar siempre en el mismo punto. Cuando el mismo malentendido se repite en un área y no en las demás, el problema está en cómo tradujiste el ejemplo a esa área más que en lo que la gente sabe.

Conviene mirar varios meses seguidos antes de concluir algo. Un mes suelto puede ser una campaña interna que empujó los números, o una semana tranquila.

¿Qué resuelve la plataforma y qué queda de tu lado?

Los contenidos de SMARTFENSE se desarrollan con enfoque en el público objetivo de Latinoamérica, España, Portugal e Italia, con un proceso de regionalización en lugar de una traducción directa, y con la explicación del por qué en primer plano antes que el listado de qué hay que hacer. Esa capa cultural de región viene resuelta de fábrica.

Encima hay dos palancas concretas. Las variables permiten definir una vez un dato propio de la organización, como el número al que se reportan los incidentes, y que todos los contenidos que usan ese dato lo muestren ya ajustado. Y cualquier contenido se puede editar al 100%, así que el vocabulario interno entra sin pedir permiso a nadie. Los catálogos separados por audiencia del programa hacen el resto, porque en una misma organización la planta, la oficina y el equipo comercial son tres culturas que conviven bajo el mismo logo.

Lo que ninguna plataforma sabe es si en tu organización se puede hacer un chiste. Eso lo sabe quien trabaja ahí adentro, y es la parte del trabajo que no se automatiza.

Lo que viajó de Melbourne

De aquella canción no se exportó el humor negro. Se exportó la idea de mirar a la audiencia real antes de decidir el formato, que es una idea bastante menos pegadiza y bastante más útil.

Antes de la próxima campaña, prueba con una sola pregunta en la reunión de área. Si en esta organización alguien se equivoca con un correo raro, ¿qué hace? La respuesta te va a decir por dónde empezar, y suele ser distinta de la que el programa venía suponiendo.