Una matriz de riesgos es la herramienta que permite a una organización identificar, ponderar y priorizar los riesgos a los que está expuesta, para después definir qué controles aplicar sobre cada uno. No es un documento accesorio ni un entregable regulatorio aislado: es la base sobre la que se construye todo sistema de gestión de riesgos, de compliance o de auditoría interna. Un programa de integridad, un sistema de prevención de lavado de activos, un marco de seguridad de la información o una auditoría SOX dependen, en última instancia, de una matriz de riesgos correctamente construida.
El proceso de construcción tiene cinco etapas que deben respetarse en orden. La primera es la identificación de riesgos: enumerar las amenazas y vulnerabilidades a las que está expuesta cada área, proceso o actividad de la organización. La segunda es la caracterización de cada riesgo según su naturaleza (operativo, financiero, regulatorio, estratégico, reputacional, tecnológico). La tercera es la valoración, en la que se asigna a cada riesgo un nivel de probabilidad de ocurrencia y un nivel de impacto, habitualmente en una escala del 1 al 5. La cuarta es el mapeo del riesgo residual, que resulta de evaluar los controles existentes y determinar qué nivel de exposición queda una vez aplicados. La quinta es la priorización, que define sobre qué riesgos se actúa primero en función de su calificación final.
La herramienta visual más utilizada es el mapa de calor, que ubica cada riesgo en una grilla cuyos ejes son probabilidad e impacto. Los riesgos ubicados en la zona superior derecha, de alta probabilidad y alto impacto, exigen acción inmediata. Los de la zona inferior izquierda, de baja probabilidad y bajo impacto, pueden tolerarse. Las zonas intermedias requieren decisión caso por caso según el apetito de riesgo definido por la organización. Esta representación facilita la toma de decisiones a nivel directivo, pero su utilidad depende enteramente de que la valoración subyacente sea rigurosa.
Los marcos de referencia internacionales más utilizados son COSO ERM (Enterprise Risk Management) e ISO 31000 (Gestión del Riesgo). Ambos ofrecen principios y metodologías aplicables a cualquier tipo de organización, y pueden complementarse con normas específicas según el sector: ISO 27005 para riesgos de seguridad de la información, Resolución UIF N° 78/2023 para riesgos de lavado de activos en sujetos obligados del mercado de capitales, o las Normas de la CNV para empresas supervisadas por ese organismo.
Entre los errores más frecuentes al construir una matriz de riesgos, hay cuatro que concentran la mayoría de las observaciones en inspecciones y auditorías externas.
El primero es trabajar con una matriz genérica, descolgada de la realidad operativa de la organización. Importar una plantilla de otra empresa o copiar un modelo del sector sin adaptarlo al proceso real genera un documento formalmente correcto pero inútil para la toma de decisiones. Cada riesgo tiene que surgir del análisis de los procesos propios, no de un listado prefabricado.
El segundo es confundir riesgo con control. Un riesgo describe lo que puede salir mal (por ejemplo, “fuga de información confidencial de clientes”), mientras que un control describe la medida implementada para mitigarlo (por ejemplo, “cifrado de bases de datos”). Confundir ambos conceptos lleva a matrices que listan controles como si fueran riesgos, lo que impide luego evaluar la efectividad real del sistema.
El tercero es asignar valoraciones subjetivas sin criterios documentados. Decir que un riesgo tiene impacto “alto” sin haber definido previamente qué significa “alto” en términos cuantitativos o cualitativos vuelve la matriz inauditable. Cada escala debe tener su diccionario de valoración, de modo que dos analistas distintos aplicando el método lleguen a resultados comparables.
El cuarto es tratar la matriz como un documento estático. Una matriz de riesgos construida una vez y archivada pierde valor en pocos meses, porque los procesos cambian, aparecen nuevas amenazas y los controles se degradan. Requiere revisiones periódicas, en general anuales como mínimo, y actualizaciones ante cualquier cambio significativo en la operación.
La construcción de una matriz de riesgos útil exige, en resumen, tres condiciones: que esté anclada en los procesos reales de la organización, que utilice criterios de valoración documentados y consistentes, y que forme parte de un ciclo de revisión activo. Cuando se cumplen estas tres condiciones, la matriz deja de ser un entregable formal para convertirse en una herramienta efectiva de gestión.
