Una matriz de riesgos, a veces llamada matriz de evaluación de riesgos, funciona combinando estos dos factores, la probabilidad y el impacto, en una sola puntuación. Esta guía explica detalladamente cómo funciona dicha puntuación, cómo construir una matriz paso a paso y dónde encaja dentro de un proceso de riesgos más amplio.

Puntuación de riesgo = probabilidad × impacto

Una puntuación de probabilidad de 3 multiplicada por una puntuación de impacto de 4 genera una puntuación de riesgo de 12.

¿Cómo funciona una matriz de riesgos?

Una matriz de riesgos funciona evaluando cada riesgo en función de dos criterios: la probabilidad y el impacto. Al combinar ambos, se genera una puntuación de riesgo. Esa puntuación ubica el riesgo en un punto específico de la cuadrícula e indica la urgencia con la que requiere atención en comparación con todo lo demás en el registro.

El mecanismo es simple por diseño: dos números, multiplicados o sumados entre sí, caen en una casilla. El trabajo real ocurre antes, al decidir qué representan realmente esos números para un riesgo específico dentro de una organización determinada.

Probabilidad

La probabilidad representa qué tan factible es que un riesgo ocurra realmente, teniendo en cuenta los controles ya existentes. La mayoría de las organizaciones utilizan una escala cualitativa, por lo general del 1 al 5, que va desde "rara" o "poco probable" en un extremo, hasta "casi segura" en el otro.

No existe una única definición correcta de lo que significa cada nivel, y esa escala es solo un punto de partida. Una probabilidad "posible" para la interrupción de un proveedor crítico no se parece en nada a una probabilidad "posible" para un error menor de proceso. Cada organización debe definir su propia escala en sus propios términos, en lugar de importar la escala de otra persona sin cambios y esperar que encaje.

Impacto o severidad

El impacto refleja las consecuencias en caso de que un riesgo llegue a materializarse. Dependiendo de la organización, esto podría significar pérdidas financieras, interrupción operativa, exposición regulatoria, daño reputacional o una combinación de varios de estos factores a la vez.

Una escala de impacto útil plantea una pregunta concreta en cada nivel: cuánto costaría esto realmente, en términos que la organización ya supervise. Podría ser una cifra en euros, una cantidad de horas de inactividad o una consecuencia regulatoria definida, en lugar de una etiqueta vaga como "malo" o "peor" que signifique algo diferente para cada persona que la lea.

Puntuación y nivel de riesgo

La probabilidad y el impacto se combinan para formar una puntuación de riesgo, por lo general multiplicando ambos números. Un riesgo con una probabilidad de 3 y un impacto de 4 obtiene un 12, el cual cae dentro de la categoría que la organización haya definido para ese rango.

Ese rango importa más que la cifra pura. Algunas organizaciones utilizan tres franjas: bajo, medio y alto. Otras usan cuatro o cinco, añadiendo categorías como "crítico" en el nivel superior. No existe un punto de corte universal para determinar dónde termina el nivel "medio" y dónde empieza el "alto". Lo importante es que los umbrales se definan con antelación y se apliquen de manera coherente, sin ajustarlos a posteriori para que un riesgo específico parezca mejor o peor de lo que el proceso realmente determinó.

¿Qué es una matriz de riesgos de 5×5?

Una matriz de riesgos de 5×5 utiliza cinco niveles de probabilidad y cinco niveles de impacto, lo que crea 25 combinaciones posibles. Esto ofrece un nivel de detalle significativamente mayor que el de una matriz más simple. Hace que sea más fácil diferenciar un riesgo realmente urgente de uno que solo lo parece a primera vista.

Por lo general, cada casilla se agrupa en una franja. Un enfoque habitual utiliza los niveles bajo, medio, alto y crítico o extremo, lo que ofrece a quien lo lee una imagen codificada por colores de dónde se concentran los riesgos sin necesidad de revisar cada número individual en la cuadrícula.

Matriz de riesgos de 3×3 frente a 5×5

Una matriz de 3×3 utiliza tres niveles por eje en lugar de cinco, lo que genera 9 combinaciones posibles en lugar de 25. Es más sencilla de construir, más rápida de explicar a una sala llena de partes interesadas y resulta un punto de partida razonable para organizaciones más pequeñas o programas de riesgo en etapas iniciales que aún están desarrollando el hábito de puntuar los riesgos de forma constante.

Una matriz de 5×5 permite diferenciar mejor aquellos riesgos que, de otro modo, caerían en la misma categoría general. Dos riesgos que obtendrían la calificación de "alto" en una escala de 3×3 podrían situarse en casillas muy distintas (12 frente a 20) en una escala de 5×5, lo cual resulta relevante cuando un equipo solo puede abordar un número limitado de riesgos a la vez.

Ninguno de los dos formatos es universalmente mejor. Una matriz de 3×3 que un equipo utilice de forma constante trimestre tras trimestre supera a una matriz de 5×5 que luzca más sofisticada sobre el papel pero resulte demasiado detallada para que alguien la aplique de la misma manera dos veces.

Cómo crear y utilizar una matriz de riesgos

Construir una matriz de riesgos que realmente se utilice, en lugar de una que se cree una vez y se olvide, sigue una secuencia bastante constante:

1. Identificar los riesgos a evaluar. Recopile información a partir de incidentes, auditorías, revisiones de proveedores o aportaciones directas del equipo. El objetivo es contar con candidatos reales, no con una lista hipotética elaborada en una sola sesión de lluvia de ideas. Un registro que solo contiene los riesgos en los que alguien pensó durante una reunión tiende a pasar por alto precisamente los riesgos que más importan.

2. Definir los criterios de probabilidad e impacto. Redacte lo que significa realmente cada nivel para su organización antes de puntuar un solo riesgo con respecto a ellos. Omitir este paso es la razón más habitual por la que dos personas puntúan el mismo riesgo de forma diferente, ya que están utilizando en silencio definiciones distintas de "probable" sin darse cuenta.

3. Establecer la escala de puntuación y los umbrales. Decida cómo se combinan la probabilidad y el impacto para obtener una puntuación, y dónde se sitúan exactamente los límites entre las franjas de riesgo. Escriba los umbrales en un lugar visible para cualquiera que vaya a puntuar riesgos, no solo en la cabeza de una persona.

4. Evaluar cada riesgo en función de la probabilidad y el impacto. Puntúe de manera coherente e incorpore el criterio de más de una persona, especialmente para los riesgos de mayor relevancia. El punto ciego de un solo evaluador se convierte en el punto ciego de toda la organización si nadie más opina.

5. Graficar y priorizar los riesgos dentro de la matriz. La ubicación visual es todo el propósito del ejercicio. Debe hacer que los riesgos de mayor prioridad sean evidentes en cuestión de segundos, sin que nadie tenga que leer un párrafo explicativo primero.

6. Decidir cómo se abordarán los riesgos de alta prioridad. Aceptar, reducir, transferir o evitar: cada riesgo necesita una decisión real vinculada a él, no solo una puntuación en una cuadrícula sin ninguna acción de seguimiento.

7. Revisar las puntuaciones cuando cambien las circunstancias o los controles. Una matriz que nunca se revisa se aleja lentamente de la realidad, hasta el día en que ocurre un incidente en un riesgo que la matriz aún muestra como de baja prioridad.

Esa secuencia abarca la creación y aplicación de la matriz en sí. El proceso más amplio dentro del cual se integra (identificar, evaluar, tratar, monitorear y gobernar los riesgos a lo largo del tiempo) se analiza con más detalle en nuestra guía de marcos de gestión de riesgos, en lugar de duplicarse aquí.

Ejemplo de matriz de riesgos

Un ejemplo práctico permite concretar el funcionamiento. A continuación se muestra cómo se ubicarían cinco riesgos diferentes en una matriz de 5×5:

Hay varios detalles que vale la pena notar en esta tabla más allá de las puntuaciones puras. El escenario de una filtración de datos tiene una probabilidad menor que la interrupción de un proveedor, pero su impacto está calificado al máximo, lo que refleja las consecuencias regulatorias, financieras y reputacionales que tienden a acumularse una vez que la filtración se hace pública. Por el contrario, el error menor de proceso interno se clasifica como probable de volver a ocurrir, pero su impacto se mantiene lo suficientemente bajo como para situarse bien fuera de la zona de prioridad, exactamente donde debería estar.

Estas puntuaciones son ilustrativas, no prescriptivas. La probabilidad e impacto reales de una "interrupción de un proveedor crítico" dependen enteramente de la concentración de proveedores de la propia organización, los términos contractuales y los costes de cambio, no de un número extraído de una tabla de ejemplo redactada para un público general.

Riesgo Inherente vs Riesgo Residual en una matriz de riesgos

El riesgo inherente es el nivel de riesgo existente antes de aplicar cualquier control o medida de mitigación. El riesgo residual es aquel que permanece una vez que dichos controles ya están implantados y operando de forma efectiva.

Un mismo riesgo puede desplazarse de manera significativa dentro de la matriz en cuanto la mitigación surte efecto. Imagine el riesgo de la interrupción de un proveedor, el cual comienza con una probabilidad de 4 y un impacto de 5 con carácter inherente, antes de disponer de salvaguarda alguna. Tras formalizar un contrato con un proveedor de respaldo e implementar una supervisión activa, la probabilidad podría descender a 2 con carácter residual, mientras que el impacto se mantendría inalterado; al fin y al cabo, las consecuencias en caso de producirse el fallo no han cambiado, únicamente ha disminuido la probabilidad de que ocurra.

Ese desplazamiento constituye el verdadero propósito de registrar ambas cifras. Una matriz de riesgos que solo muestra el riesgo inherente le indica qué podría salir mal en el peor de los escenarios. Una que también refleja el riesgo residual le muestra algo distinto: si lo que la organización está haciendo al respecto resulta eficaz en la práctica o si tan solo lo parece sobre el papel.

¿Cuáles son los beneficios de una matriz de riesgos?

Utilizada correctamente, una matriz de riesgos aporta diversos beneficios concretos:

• Facilita la visualización de información de riesgos compleja. Una cuadrícula con casillas codificadas por colores comunica la prioridad mucho más rápido de lo que jamás podría hacerlo un texto explicativo, especialmente para alguien que observa el panorama de riesgos por primera vez.

• Crea una estructura coherente para comparar riesgos. Sin un marco compartido, distintas personas terminan evaluando la gravedad según su intuición y de forma inconsistente entre un riesgo y otro, incluso dentro del mismo equipo.

• Ayuda a priorizar adónde se destinan realmente los recursos limitados de mitigación. El presupuesto y la atención son finitos. Una matriz hace que las concesiones sean explícitas en lugar de implícitas, de modo que la decisión de centrarse en un riesgo en lugar de otro cuente con un motivo visible.

• Facilita la comunicación de la información sobre riesgos a la dirección. Un consejo de administración o equipo directivo puede examinar una matriz de una forma en la que no puede revisar un informe extenso de riesgos, lo cual resulta fundamental cuando el tiempo de atención para cada punto del orden del día se mide en minutos.

• Proporciona un lenguaje de puntuación común entre diferentes equipos. Los departamentos de TI, legal y operaciones pueden diferir sobre la puntuación exacta de un riesgo, pero al menos están debatiendo sobre los mismos dos números, en lugar de hablar sin entenderse mediante vocabularios completamente distintos.

• Ayuda a identificar riesgos que superan la tolerancia establecida por la organización. El apetito de riesgo definido solo adquiere significado cuando se compara con una puntuación real, en lugar de quedarse como una declaración abstracta en un documento de política que nadie consulta.

Nada de esto convierte las evaluaciones subyacentes en algo objetivo. Una matriz de riesgos organiza juicios subjetivos de manera coherente; no elimina la subjetividad de ellos, y tratarla como si lo hiciera es la razón por la que muchas matrices dejan discretamente de ser útiles.

¿Cuáles son las limitaciones de una matriz de riesgos?

Una matriz de riesgos es una herramienta útil, no un instrumento de precisión, y conviene hablar de manera directa sobre sus verdaderas deficiencias:

• Las calificaciones de probabilidad e impacto son inherentemente subjetivas. Dos evaluadores experimentados pueden puntuar exactamente el mismo riesgo de forma diferente sin que ninguno esté necesariamente equivocado. Simplemente están sopesando los mismos hechos a través de experiencias distintas.

• Riesgos diferentes pueden obtener puntuaciones idénticas a pesar de tener perfiles muy distintos. Una probabilidad de 3 con un impacto de 4, y una probabilidad de 4 con un impacto de 3, obtienen ambas una puntuación de 12. Sin embargo, representan tipos de exposición sustancialmente diferentes que merecen respuestas distintas, no la misma.

• Una puntuación simple puede generar una falsa sensación de precisión. Un único número ubicado en una casilla de color puede parecer más riguroso de lo que realmente fue el criterio utilizado para determinarlo. El propio formato de cuadrícula otorga un aire de objetividad que la estimación subyacente rara vez merece.

• Es posible que una matriz no capture dependencias complejas o riesgos que cambian rápidamente. Las puntuaciones estáticas tienen dificultades para reflejar riesgos que evolucionan con rapidez. También sufren para representar riesgos que solo cobran importancia cuando ocurren en combinación con otro evento simultáneo.

Contar con criterios de puntuación claros ayuda. De la misma manera, aplicar una metodología coherente y respaldar cada puntuación con evidencias resulta de gran utilidad. Nada de esto convierte a la matriz de riesgos en un sustituto del análisis cuantitativo profundo cuando realmente se requiere ese nivel de rigor, especialmente en el caso de riesgos con grandes consecuencias financieras o de seguridad asociadas.

Matriz de riesgos frente a registro de riesgos: ¿Cuál es la diferencia?

Una matriz de riesgos es principalmente una herramienta visual de evaluación y priorización. Un registro de riesgos contiene la información más amplia que realmente se necesita para gestionar un riesgo a lo largo del tiempo: una descripción, un responsable asignado, los controles existentes, las acciones de mitigación y el estado actual de revisión.

Ambos instrumentos no son alternativas entre las que haya que elegir. Un registro de riesgos sin una matriz dificulta apreciar la priorización de un vistazo, ya que todo se encuentra en filas de texto sin jerarquía visual. Una matriz sin un registro carece de constancia sobre quién es el responsable de un riesgo o qué se está haciendo concretamente al respecto, limitándose a mostrar su ubicación en una cuadrícula. La mayoría de los procesos de gestión de riesgos operativos utilizan ambos de forma conjunta, donde la matriz actúa como una capa de resumen visual situada por encima del detalle subyacente del registro.

Imagine el riesgo de una "interrupción de un proveedor crítico" con una puntuación de 15 en la matriz. La matriz indica al lector que se trata de un riesgo de alta prioridad que merece atención. No especifica quién es el responsable de solucionarlo, cómo se articula realmente el acuerdo con el proveedor de respaldo ni cuándo se probó dicha disposición por última vez. Ese nivel de detalle reside en la entrada correspondiente dentro del registro, detrás de la puntuación, y no en la propia cuadrícula.

¿Con qué frecuencia se debe actualizar una matriz de riesgos?

Una matriz de riesgos debe revisarse siempre que cambie el entorno de riesgo subyacente, en lugar de tratarse como un documento estático que se elabora una vez y solo se vuelve a consultar por pura rutina una vez al año.

Entre los detonantes habituales para una revisión se incluyen un nuevo incidente, un control recién implementado, un cambio de proveedores, una novedad regulatoria, una reorganización interna o, simplemente, nueva información que modifique la probabilidad o la gravedad real de un riesgo.

No existe una periodicidad de revisión universal que se adapte por igual a todas las organizaciones. La frecuencia adecuada depende del perfil de riesgo de la propia organización y de sus requisitos de gobernanza, y no de una buena práctica genérica tomada de una plantilla diseñada para un tipo de empresa totalmente distinto.

Cómo admite Formalize las matrices de riesgo y la evaluación de riesgos

La mayoría de las matrices de riesgo comienzan su vida en una hoja de cálculo, y eso funciona para una primera aproximación. La fricción aparece más adelante: nadie se responsabiliza de mantenerla actualizada y, en cuestión de un trimestre, la matriz colgada en la pared deja de coincidir con los cambios reales que han ocurrido desde entonces.

La plataforma Risk Intelligence de Formalize mantiene la matriz conectada con el resto del programa de riesgos:

• Matrices desde 3×3 hasta 7×7, configuradas según el tipo de riesgo, de modo que una categoría simple y una compleja no tengan que compartir la misma cuadrícula.

• Nombres de ejes personalizados, permitiendo renombrar la probabilidad y el impacto para adaptarse a la terminología que ya utilice un marco determinado.

• Puntuación por suma o multiplicación, ajustándose a la forma en que la propia metodología de la organización calcula la puntuación.

• Riesgos vinculados directamente a sistemas, proveedores, contratos y controles, para que la puntuación refleje lo que realmente ha cambiado y no lo que decía una hoja de cálculo el trimestre pasado.

• Flujos de aprobación, garantizando que las versiones de los riesgos requieran validación antes de su finalización.

Una nota de alcance transparente: al igual que la mayoría de las plataformas de riesgo, Formalize se adapta de forma natural a las metodologías estructuradas en torno a la probabilidad y el impacto. Los enfoques altamente especializados, como el modelado independiente de amenazas y vulnerabilidades habitual en algunos marcos de ciberseguridad, requieren actualmente una solución alternativa más que una integración nativa.