Le pidieron una matriz de riesgos y no sabe por dónde empezar: guía paso a paso

Le pidieron entregar una matriz de riesgos —un cliente, una licitación o un auditor— y hasta ahora esa gestión vivía en la cabeza de dos o tres personas, no en un documento. Es más común de lo que parece: casi todas las empresas manejan riesgos todos los días, pero muy pocas los tienen escritos en algún lado, y cuando pasa algo grave se descubre que "ya lo sabíamos" pero nunca quedó documentado. Esta guía es exactamente el camino para pasar de cero a una matriz de riesgos entregable, paso a paso.

1. Define el contexto antes de listar nada

El error más común es empezar a tirar riesgos sueltos sin acordar antes qué objetivos de la organización estás protegiendo. ISO 31000 lo llama "establecer el contexto": alcance (¿toda la empresa o un área puntual?), objetivos de negocio relevantes, y los criterios que vas a usar para calificar probabilidad e impacto. Sin este paso, dos personas pueden calificar el mismo riesgo de forma completamente distinta.

2. Identifica riesgos reales, no genéricos

Evita copiar una lista genérica de internet. Los riesgos que importan salen de:

• Entrevistas cortas con responsables de cada área (operaciones, finanzas, IT, RRHH).
• Revisión de incidentes que ya pasaron, aunque parezcan menores.
• Obligaciones legales, contractuales o regulatorias específicas de tu rubro.
• Dependencias críticas: un solo proveedor, un solo sistema, una sola persona con el conocimiento.

Para cada uno, redacta el riesgo como una situación concreta ("Pérdida de disponibilidad del sistema de facturación por falla del proveedor de hosting"), no como un título abstracto ("Riesgo tecnológico").

3. Analiza probabilidad e impacto por separado

Define una escala simple para ambos ejes — lo más común es 1 a 5. Para que sea consistente entre personas, es clave escribir qué significa cada número. Por ejemplo, para impacto:

• 1 (muy bajo): sin efecto relevante en la operación o las finanzas.
• 3 (medio): interrupción parcial, costo acotado, se resuelve en días.
• 5 (crítico): pérdida de continuidad del negocio, daño reputacional serio o incumplimiento legal grave.

Multiplicando probabilidad × impacto obtienes un score que te permite ordenar todos los riesgos de mayor a menor severidad — esa es, en esencia, tu matriz.

4. Prioriza y define tratamiento

No todos los riesgos necesitan un plan de acción inmediato. Con la matriz armada, sepáralos en:

• Críticos y altos: necesitan un plan de tratamiento con responsable y fecha.
• Medios: monitoreo periódico, tratamiento si empeoran.
• Bajos: aceptación consciente del riesgo, revisada cada tanto.

Para cada riesgo que decides tratar, documenta la estrategia (evitar, reducir, transferir o aceptar) y un plan concreto — quién hace qué y para cuándo. Esto es lo que separa una matriz útil de una planilla que se llena una vez y nunca más se abre.

5. Revísala, no la archives

ISO 31000 insiste en el monitoreo y revisión continua, y no es un capricho burocrático: los riesgos cambian cuando cambia el negocio (nuevos productos, nuevos proveedores, crecimiento del equipo). Una cadencia trimestral de revisión suele ser suficiente para la mayoría de las PyMEs.

Una plantilla no alcanza, pero es un buen punto de partida

Si estás por armar tu primera matriz, una planilla compartida puede servir para arrancar. El límite aparece rápido: nadie sabe qué versión es la vigente, no hay historial de cambios, y asignar responsables por celda no escala. Herramientas como Ryskos digitalizan exactamente este proceso — desde un diagnóstico guiado que sugiere los riesgos típicos de tu industria, hasta el seguimiento de cada plan de tratamiento con su responsable y su vencimiento.