Tony Gallo, socio gerente de Sapphire Risk Advisory Group – Serie de entrevistas

Pese a las estrictas regulaciones —sobre todo en materia de seguridad de tiendas e instalaciones—, la prevención de pérdidas sigue siendo un problema generalizado en los mercados de cannabis de los distintos estados. Las vulnerabilidades pueden adoptar muchas formas: políticas demasiado laxas de control de acceso y escaneo de credenciales, robos internos o, sencillamente, dejar abiertas las puertas exteriores, exponiendo el lugar a plagas y patógenos. Sin un sistema de seguridad específico y profesionales cualificados, los riesgos de pérdidas pueden surgir prácticamente en cualquier parte y acumularse más rápido que en el sector del cáñamo industrial.

Para profundizar en las estrategias de prevención de pérdidas probadas a lo largo del tiempo —y en cómo podrían cambiar las regulaciones de seguridad si una instalación se registra en la Lista III—, mycannabis.com conversó con Tony Gallo, socio gerente de Sapphire Risk Advisory Group.

Durante tus estudios para obtener la licenciatura en Justicia Penal en Kean University, ¿cómo recuerdas que se presentaban en los cursos el consumo de cannabis y quienes lo consumían? ¿Cómo se hablaba de las leyes y políticas anteriores sobre el cannabis?

Me gradué de la universidad en 1983, así que distinguiría la perspectiva de la justicia penal de aquella época de lo que entendemos hoy sobre el cannabis. En aquel entonces, la conversación predominante se centraba en la ilegalidad, la aplicación de la ley y las consecuencias de la posesión o distribución. Había mucho menos espacio para las distinciones que hacemos hoy entre pacientes que lo usan con fines médicos, consumidores adultos y propietarios de negocios con licencia.

No quisiera atribuir una postura concreta a un profesor o a un libro de texto sin revisarlo. Pero el cambio más importante en mi carrera ha sido pasar de considerar el cannabis principalmente desde una perspectiva de aplicación de la ley a ayudar a empresas legítimas a proteger a sus empleados, clientes y productos. Quienes consumen cannabis provienen de todos los ámbitos, y una seguridad eficaz empieza por tratar a las personas con profesionalismo y respeto.

¿Cómo te iniciaste en el campo de la prevención de pérdidas? ¿Cómo aplicaste tu título en Justicia Penal en esos puestos?

Empecé como detective de una tienda minorista en un centro comercial. Fue el mejor trabajo que he tenido… tenía poco más de 20 años, estaba rodeado de cientos de mujeres y me pagaban por hacer de policía del centro comercial. Ese trabajo sí me dio una comprensión de primera mano de los robos, las investigaciones, el comportamiento de los empleados y la realidad cotidiana de gestionar una tienda.

Mi formación en Justicia Penal me dio una base para observar comportamientos, evaluar pruebas, documentar incidentes y comprender la importancia de aplicar procedimientos de manera uniforme. Igual de importante fue saber que una sospecha y un hecho son dos cosas distintas.

A medida que aumentaron mis responsabilidades, mi enfoque dejó de limitarse a atrapar a alguien robando. Se centró en comprender por qué se había producido una pérdida y qué podía cambiar la empresa para evitar que volviera a ocurrir. Ese sigue siendo mi enfoque de la prevención de pérdidas y la seguridad.

Durante tus primeros puestos y luego en tu larga trayectoria en EZCorp, ¿cómo fue aumentando el uso de tecnologías de seguridad y sistemas de bases de datos dentro de tus funciones y responsabilidades? ¿Cómo ayudaron esos sistemas a reducir los problemas de prevención de pérdidas en la empresa para la que trabajabas?

A lo largo de mi carrera, la prevención de pérdidas dependió cada vez más de la información. Las cámaras, las alarmas, los controles de acceso, los registros de transacciones y los sistemas de informes nos daban una visión más amplia de lo que ocurría en una empresa.

En una empresa con varias sucursales, no se puede vigilar personalmente cada transacción ni revisar cada minuto de video. Se necesitan sistemas que ayuden a detectar excepciones: reembolsos inusuales, discrepancias de inventario, faltantes de efectivo o patrones que merezcan un análisis más detallado.

El verdadero valor está en conectar la información. Un informe de transacciones puede señalar algo inusual, el video puede aportar contexto y una investigación puede revelar si la causa fue un robo, un problema de capacitación o un procedimiento deficiente.

La tecnología ayuda a orientar la atención. Aun así, las personas con experiencia deben interpretar lo que significa y actuar. Un buen entrevistador especializado en robos seguía siendo la herramienta más importante que se podía tener en el departamento.

Después de casi dos décadas en EZCorp y de trabajar antes en otras empresas conocidas, ¿qué te llamó la atención de la posibilidad de aplicar tus conocimientos de prevención de pérdidas a los negocios de cannabis? ¿Se debió simplemente a que los estados empezaban a legalizar el cannabis con fines recreativos o también influyeron otros factores?

Me incorporé a la industria del cannabis en 2013, después de que me llamaran para hablar en un evento de una nueva empresa emergente llamado MJBiz. Como había dedicado la mayor parte de mi carrera a la seguridad en el comercio minorista de alto riesgo, la industria del cannabis era una evolución natural.

La industria del cannabis afronta desafíos conocidos en el comercio minorista, las casas de empeño, la joyería y otros entornos de alto riesgo: inventario valioso, exposición al efectivo, seguridad de los empleados, robos internos y la necesidad de contar con procedimientos operativos fiables. Además, tenía otro desafío: establecer esas protecciones en torno a un sistema regulatorio en desarrollo.

Mi experiencia me permitió contribuir de manera práctica. Estas empresas necesitaban medidas de seguridad que cumplieran los requisitos de los organismos reguladores y, a la vez, respaldaran sus operaciones cotidianas.

Durante más de 13 años, Sapphire Risk Advisory Group ha ayudado a más de 800 clientes del sector del cannabis en 38 estados. El objetivo siempre ha sido ayudarles a crear empresas seguras y conformes con la normativa, y capaces de prosperar.

Dado que anteriormente has ocupado puestos de prevención de pérdidas en grandes empresas minoristas, como Sears, ¿cuáles son las principales diferencias entre las funciones y responsabilidades de prevención de pérdidas en el comercio minorista tradicional y las que existen en las empresas de cannabis?

Los fundamentos son muy similares. Hay que proteger a las personas, controlar el inventario, llevar las cuentas del dinero e investigar las discrepancias.

La mayor diferencia está en lo que puede ponerse en riesgo cuando algo falla. En el comercio minorista tradicional, un faltante de inventario suele ser un problema financiero y operativo. Por ejemplo, la pérdida de un reloj o de prendas de vestir. En el sector del cannabis, ese mismo faltante puede exponer a la comunidad a una droga, del mismo modo que una pérdida en una farmacia puede quedar expuesta ante la sociedad, o el licor en una licorería

El cannabis también exige prestar atención a actividades que quizá nunca encuentre un minorista convencional: cultivo, cosecha, procesamiento, destrucción de residuos y traslados entre instalaciones con licencia.

Otra diferencia es lo pronto que debe incorporarse la seguridad a la conversación. Hay que tener en cuenta la distribución del espacio, la zona de recepción, el movimiento de los productos, el acceso de los empleados y el almacenamiento seguro antes de iniciar la construcción. Por eso les digo: «Primero, diseñar. Después, instalar».

Según tu experiencia, ¿qué tan eficaces son las regulaciones estatales sobre seguridad y prevención de pérdidas en el sector del cannabis? ¿Algunos mercados estatales tienen normas de seguridad más flexibles que otros?

Considero que las regulaciones establecen una base importante, pero superar una inspección no demuestra que una empresa tenga un programa eficaz de prevención de pérdidas.

Los requisitos varían según la jurisdicción y el tipo de licencia. Algunas normas especifican detalladamente los equipos y procedimientos; otras dejan más margen de decisión. Los requisitos locales pueden añadir otra capa. Sería prudente no calificar a todo un estado de «flexible» sin especificar qué requisito y qué tipo de operación estamos considerando.

El problema de fondo es que los requisitos sobre equipos, por sí solos, no pueden generar responsabilidad. Una empresa puede tener cámaras y, aun así, no revisar los incidentes. Puede contar con controles de acceso y, de todos modos, permitir que los empleados compartan sus credenciales.

Las regulaciones establecen obligaciones. La dirección debe convertirlas en prácticas cotidianas.

De los clientes del sector del cannabis con los que has trabajado a través de Sapphire Risk Advisory Group, ¿cuáles son los problemas de seguridad y prevención de pérdidas más habituales a los que se enfrentan? ¿Dónde suelen originarse y con qué rapidez pueden agravarse en una industria tan regulada como la del cannabis?

Los problemas en los que más me centro son las discrepancias de inventario, los controles de efectivo deficientes, el acceso excesivo de los empleados, los procedimientos inconsistentes y los sistemas de seguridad instalados, pero mal gestionados.

Estos problemas suelen comenzar con un pequeño atajo operativo. Alguien comparte sus credenciales de inicio de sesión. Se acepta una discrepancia en la recepción sin investigarla. Alguien hace un ajuste de inventario sin documentación justificativa. El acceso de un empleado despedido sigue activo.

Cuando esos atajos se vuelven habituales, la empresa pierde la capacidad de explicar qué ocurrió, quién participó y adónde fueron a parar los productos o el dinero.

En el sector del cannabis, la situación puede agravarse rápidamente. Un faltante sin explicación puede convertirse en una discrepancia de seguimiento, una investigación y, posiblemente, un problema de cumplimiento normativo. Suele ser mucho más fácil abordar la primera señal de alerta que reconstruir semanas de actividad después.

Más allá de los requisitos normativos, ¿qué estrategias eficaces y aplicables en general pueden utilizar las empresas de cannabis de todo tipo para minimizar los problemas de prevención de pérdidas?

Empieza por establecer responsabilidades claras. Cada empleado debe entender de qué se responsabiliza, a qué tiene autorización para acceder y cuándo debe informar de un problema.

Recomiendo controles prácticos: credenciales individuales, procedimientos de recepción documentados, conciliación periódica del inventario, revisión independiente de los movimientos de efectivo y requisitos de aprobación para ajustes, reembolsos y destrucción de productos.

La formación debe reflejar las tareas que los empleados realizan en realidad. Deben saber cómo responder ante una actividad sospechosa, un cliente amenazante, un robo o una falla del sistema de seguridad.

Por último, hay que poner a prueba el programa. Recupera grabaciones, comprueba la respuesta a las alarmas, revisa los permisos de acceso e investiga de inmediato las discrepancias. Una política escrita solo protege a la empresa si las personas la cumplen. Recomiendo encarecidamente que una empresa externa con experiencia realice una evaluación anual de los riesgos de seguridad. Te sorprendería lo que ven ellos y lo que tú no ves. 

Si un cultivo de cannabis autorizado por un estado solicitara registrarse conforme a la Lista III, ¿cómo aumentaría ese registro federal las necesidades de sus sistemas de seguridad y prevención de pérdidas?

Primero aclararía qué vía de registro federal corresponde. Sería engañoso decirles a todos los cultivadores con licencia estatal que registrarse en la Lista III exige automáticamente una nueva bóveda, más cámaras o un rediseño completo de la seguridad.

La norma federal de abril de 2026 estableció una vía de registro para los titulares de licencias estatales de marihuana medicinal que cumplan los requisitos. En virtud de esa vía, se considera suficiente cumplir los requisitos de seguridad física establecidos por la legislación estatal. Por eso es esencial distinguir entre las operaciones de cannabis medicinal y las de uso adulto, así como determinar qué categoría de registro corresponde.

El registro federal sigue implicando responsabilidades. La norma incluye especificaciones para las áreas de cultivo y disposiciones sobre el almacenamiento de las cosechas, el acceso de la DEA y la supervisión federal de la producción. Es necesario evaluar esas obligaciones en relación con los procedimientos vigentes de la operación.

Mi enfoque consistiría en revisar los requisitos concretos, identificar cualquier deficiencia y documentar cómo cumplirá la empresa con ellos. La inversión debería basarse en esa evaluación.

A medida que la industria del cannabis se expande a nuevos mercados estatales y sectores, ¿cómo cree que se mantendrán la seguridad y la prevención de pérdidas? De cara al futuro, ¿qué métodos fáciles de aplicar pueden utilizar esas nuevas empresas de cannabis?

La seguridad y la prevención de pérdidas seguirán siendo esenciales a medida que crezca la industria. Las operaciones de mayor envergadura, un mayor número de establecimientos y unas cadenas de suministro más complejas generan más oportunidades para que se produzcan errores, robos y fallos de rendición de cuentas.

Espero que la seguridad física, los sistemas de inventario, el monitoreo de transacciones y la ciberseguridad estén cada vez más conectados. Las empresas deberán saber tanto quién entró en una sala como quién modificó un registro de inventario o autorizó un pago.

Para quienes comienzan a operar, las medidas más útiles son sencillas: incorporar conocimientos especializados en seguridad al proceso de planificación, diseñar los sistemas en función de los flujos de trabajo reales, asignar responsabilidades, capacitar a los empleados y evaluar periódicamente el desempeño.

Mi consejo es crear un programa que el equipo pueda aplicar de manera constante. Comprar equipos es una decisión. Proteger la empresa es una responsabilidad diaria.

¡Gracias por acompañarnos, Tony! Para obtener más información sobre los servicios de Sapphire, visite su sitio web.