Matriz de riesgos y controles: qué es, cómo hacerla y qué debe contener la plantilla

Qué es una matriz de riesgos y controles

Una matriz de riesgos y controles (en inglés, risk and control matrix o RCM) es el registro en el que cada riesgo de la organización aparece junto a su causa, su consecuencia, su valoración antes de los controles, los controles que lo mitigan, lo eficaces que son esos controles, el riesgo que queda después y quién responde de cada cosa. Es, a la vez, un inventario, un cálculo y un reparto de responsabilidades.

Conviene distinguirla de dos documentos con los que se confunde a menudo:

• Una matriz de riesgos a secas suele quedarse en la valoración: riesgo, probabilidad, impacto y nivel. Dice dónde está la exposición, pero no qué la reduce.
• Un mapa de riesgos (o mapa de calor) es la representación gráfica de esa valoración: una cuadrícula de probabilidad por impacto en la que cada riesgo ocupa una casilla. Es una vista de la matriz, no un sustituto.

La matriz de riesgos y controles es la que une las dos mitades del trabajo. Sin la columna de controles no se puede explicar por qué un riesgo es medio y no alto; sin la de riesgo inherente no se puede demostrar que los controles aportan algo. La valoración en sí, con escalas y ejemplos de cálculo, está en la guía de riesgo inherente y riesgo residual; aquí nos centramos en el documento completo y en el proceso.

Para qué sirve y quién te la va a pedir

La matriz no es una obligación con nombre propio, pero casi todos los marcos exigen el trabajo que contiene. Algunos ejemplos:

Más allá de la norma, la matriz sirve para tres cosas muy prácticas: decidir dónde se invierte (qué riesgos siguen por encima de lo aceptable), repartir el trabajo (quién es dueño de cada riesgo y de cada control) y defender las decisiones ante quien las revise, sea un auditor interno, un certificador, un supervisor o un juez.

Qué columnas debe tener una plantilla de matriz de riesgos

Una plantilla útil no es la que tiene más columnas, sino la que permite seguir el hilo de cada riesgo de principio a fin. Estas son las que recomendamos, agrupadas en cinco bloques:

Dos detalles que marcan la diferencia. El primero: un riesgo puede tener varios controles y un control puede mitigar varios riesgos. En una hoja de cálculo eso obliga a repetir filas o a meter varios controles en una celda; en cualquier caso, cada vínculo entre control y riesgo debe poder leerse por separado, porque no todos los controles inciden igual en todos los riesgos. El segundo: la fecha y la versión de la metodología no son burocracia. Sin ellas, la matriz de este año no se puede comparar con la del anterior.

Cómo hacer una matriz de riesgos paso a paso

ISO 31000 describe el proceso de gestión del riesgo como una secuencia de fijar el contexto y los criterios, identificar, analizar y valorar los riesgos, tratarlos, y hacer seguimiento, registrar e informar. La matriz es el soporte de todo ese ciclo. En la práctica, se construye así:

1. 1

   Fija el alcance y la metodología

   Qué parte de la organización entra, qué escalas de probabilidad e impacto se usan, cómo se combinan, qué bandas convierten la puntuación en una decisión y cuál es el apetito de riesgo. Se aprueba antes de puntuar nada.
2. 2

   Describe la organización por actividades

   Áreas, procesos y actividades. «Compras» o «relación con la Administración» se evalúan mejor que «la empresa»: el riesgo vive donde se hace el trabajo.
3. 3

   Identifica los riesgos de cada actividad

   Parte de un catálogo (penal, de soborno, fiscal, de datos, TIC…) y quédate con lo que aplica. Redacta cada riesgo como un evento, con su causa y su consecuencia.
4. 4

   Valora el riesgo inherente

   Probabilidad e impacto sin contar los controles, con una justificación breve. Si dudas entre dos valores, la metodología debe decir cómo desempatar.
5. 5

   Inventaría y vincula los controles

   Para cada riesgo, los controles que lo mitigan, con responsable, frecuencia y evidencia. Un control que no deja rastro no debería reducir nada.
6. 6

   Evalúa la eficacia de cada control

   Si su diseño cubre la causa del riesgo y si se ejecuta como se describe. Un control bien pensado pero sin desplegar merece solo un crédito parcial.
7. 7

   Calcula el residual y compáralo con el apetito

   Lo que quede por encima del umbral necesita tratamiento; lo que quede por debajo se acepta de forma expresa, con nombre y fecha.
8. 8

   Plan de acción, seguimiento y revisión

   Acciones con responsable y fecha límite para cada residual que no se acepta. La matriz se revisa al menos una vez al año y siempre que cambien las actividades, la norma o pase un incidente.

Ejemplo de matriz de riesgos y controles

Una distribuidora industrial de unas 120 personas, con clientes públicos y privados, usa una escala de 1 a 5 para probabilidad e impacto. Sus bandas: de 1 a 4 es bajo, de 5 a 9 medio, de 10 a 16 alto y de 20 a 25 crítico. Ha fijado su apetito de riesgo en un residual de 9: lo que quede en 10 o más necesita un plan de acción. Este es un extracto de su matriz:

Tres cosas que enseña el ejemplo:

• El riesgo que más baja no siempre es el que menos preocupa. El pago a una cuenta suplantada pasa de 16 a 6. El soborno solo baja de 15 a 10, porque los controles reducen su probabilidad, pero su impacto (una condena a la empresa) sigue siendo máximo.
• Un control que no funciona no cuenta. La revisión trimestral de accesos está escrita en la política, pero no se hace: no reduce el riesgo R3 hasta que se implante y deje evidencia. Por eso va al plan de acción.
• Aceptar también es una decisión. Los residuales por debajo del apetito no desaparecen: alguien con nombre los acepta, y la matriz lo registra.

El mapa de riesgos (mapa de calor)

El mapa de riesgos coloca cada riesgo en una cuadrícula de probabilidad por impacto, coloreada según las bandas de la metodología. Es la forma más rápida de enseñar a una dirección dónde se concentra la exposición y, si se dibujan dos, cuánto la reducen los controles. Estos son los del ejemplo:

El mapa es útil, pero tiene límites que conviene conocer. IEC 31010, la norma que repasa las técnicas de apreciación del riesgo, recoge la matriz de probabilidad y consecuencia y advierte de que su resultado depende mucho de cómo se diseñen las escalas y de que puede agrupar en la misma casilla riesgos muy distintos. En la práctica:

• La multiplicación iguala lo que no es igual. Un riesgo de probabilidad 1 e impacto 5 puntúa lo mismo que uno de 5 × 1. Muchas metodologías añaden una regla para que un impacto catastrófico nunca quede en banda baja.
• El mapa no explica. Dice dónde está un riesgo, no por qué ni qué lo mueve. Siempre debe poder abrirse la fila de la matriz que hay detrás de cada punto.
• Los colores son una decisión. Dónde empieza el rojo es el apetito de riesgo de la organización, y debe estar aprobado, no elegido por estética.

Cómo evaluar la eficacia de los controles

La columna de eficacia es la que más se rellena de memoria y la que más mira un auditor. Evaluar un control supone responder dos preguntas por separado:

• Diseño: si el control, ejecutado tal como está descrito, ataca la causa del riesgo. Una formación anual sobre ética no tiene el mismo efecto sobre el fraude en pagos que una doble autorización.
• Funcionamiento: si se ejecuta de verdad, con la frecuencia prevista, y deja evidencia. Se comprueba con una muestra: las últimas autorizaciones, los registros de la conciliación, las bajas de accesos del trimestre.

Con esas dos respuestas, basta una escala corta (eficaz, parcialmente eficaz, no eficaz o no implantado) para que la reducción sea defendible. Lo importante es que la regla que traduce la eficacia en reducción del riesgo sea única y esté escrita: por ejemplo, que un control parcialmente eficaz aporte la mitad que uno eficaz, o que los controles preventivos actúen sobre la probabilidad y los correctivos sobre el impacto. Cómo aplicar esa regla al cálculo del residual se explica, con un simulador, en la guía de riesgo inherente y residual.

ISO 31000, COSO ERM e IEC 31010: qué aporta cada una

No hace falta elegir una sola referencia: se complementan, y la mayoría de las metodologías que vemos en empresas españolas toman piezas de varias.

• ISO 31000:2018 da los principios, el marco y el proceso de gestión del riesgo. Entiende el riesgo como el efecto de la incertidumbre sobre los objetivos y es aplicable a cualquier organización. Es una guía: no se certifica.
• COSO ERM (2017), publicado por COSO, el mismo comité que mantiene el marco de control interno de 2013, enlaza el riesgo con la estrategia y el desempeño en cinco componentes y veinte principios. Es la referencia habitual cuando la matriz forma parte del control interno o la revisa auditoría interna.
• IEC 31010:2019 no dice qué riesgos evaluar, sino con qué técnicas: entrevistas, análisis de escenarios, árboles de fallos, la propia matriz de probabilidad y consecuencia y muchas más, con sus ventajas y sus límites.

Las normas de sistemas de gestión (UNE 19601, ISO 37001, ISO/IEC 27001) añaden sus propios requisitos sobre la evaluación, pero dejan a la organización elegir el método. Lo que todas piden es que esté definido, se aplique igual a todos los riesgos y produzca resultados que otra persona pueda reproducir. Junsu describe estas normas con sus propias palabras: para aplicarlas, consulta el texto oficial.

Errores frecuentes al hacer una matriz de riesgos

• Riesgos genéricos. «Incumplimiento normativo» no es un riesgo evaluable; «pagar a un proveedor sin verificar su titularidad» sí.
• Puntuar solo el residual. Sin el inherente no hay forma de demostrar que los controles reducen algo ni de saber cuáles son críticos.
• Controles sin dueño ni evidencia. Un control que nadie ejecuta con nombre propio, o que no deja rastro, no resiste una prueba.
• Copiar la matriz de otra empresa. El catálogo se puede reutilizar; la valoración, no. La probabilidad y el impacto dependen de tus actividades.
• Cambiar la escala a mitad del ejercicio. Las puntuaciones dejan de ser comparables. Si la metodología cambia, se versiona y se vuelve a evaluar.
• Un documento que nadie actualiza. Una matriz revisada hace dos años no describe la empresa de hoy, y un auditor lo detecta en cuanto pregunta por la última actividad nueva.

De la hoja de cálculo a una herramienta

Una hoja de cálculo es un buen punto de partida para una primera matriz con pocas decenas de riesgos. Empieza a fallar cuando la mantienen varias personas, cuando los controles se comparten entre riesgos, cuando hay que conservar el histórico o cuando la misma matriz alimenta varias normas. Entonces aparecen las fórmulas que nadie entiende, las versiones que se pisan por correo y la pregunta sin respuesta de quién cambió qué.

Si estás empezando, estas plantillas de Excel (las mismas que admite Junsu para importar) te ayudan a ordenar las tres piezas de partida de la matriz:

• Plantilla de estructura de la empresa (áreas, subáreas y actividades)
• Plantilla de catálogo de riesgos
• Plantilla de controles

¿Tu matriz responde a una norma concreta? Sigue con la guía de compliance penal y UNE 19601, la de ISO 37001 antisoborno o la de la Declaración de Aplicabilidad ISO 27001. Y si quieres ver cómo se lleva en Junsu, mira el software de gestión de riesgos.

Preguntas frecuentes