Riesgo residual: qué es y cómo calcularlo con ejemplos

Casi todas las matrices de riesgos empiezan igual: alguien lista los riesgos, les pone probabilidad e impacto, multiplica y arma un ranking. Hasta ahí, todo bien. El problema aparece cuando la dirección pregunta lo obvio: "¿y después de todo lo que hicimos, cuánto riesgo nos queda?". Esa respuesta es el riesgo residual, y es la columna que separa una matriz que sirve para decidir de una que solo sirve para diagnosticar una vez.

Qué es el riesgo residual

El riesgo residual es el nivel de riesgo que permanece después de aplicar los controles y los planes de tratamiento. Es lo que queda cuando ya hiciste todo lo que pensabas hacer: el backup automático, el doble proveedor, la cláusula contractual, la capacitación del equipo.

Se contrapone al riesgo inherente: el nivel que tendría ese mismo riesgo si no existiera ningún control. La diferencia entre uno y otro es, literalmente, el valor que aportan tus controles. Si esa diferencia es cero, tenés un control que existe en el papel pero no mueve la aguja.

Un tercer concepto que conviene tener a mano: el riesgo objetivo o riesgo aceptable, que es el nivel al que la organización quiere llegar según su apetito de riesgo. El trabajo de gestión consiste en cerrar la brecha entre el residual actual y ese objetivo.

Cómo se calcula, paso a paso

No hay una fórmula única obligatoria. Lo que sí exige ISO 31000 —y lo que un auditor va a mirar— es que el método sea explícito, consistente y aplicado igual a todos los riesgos. El camino más usado en PyMEs es este:

• 1. Calculá el riesgo inherente. Probabilidad × impacto, típicamente en escalas de 1 a 5. Un riesgo con probabilidad 4 e impacto 5 da un inherente de 20.
• 2. Identificá los controles que ya existen. Solo los que están funcionando de verdad, no los que están escritos en un procedimiento que nadie ejecuta.
• 3. Estimá la efectividad de esos controles. Por ejemplo, en cuatro niveles: nula (0%), baja (25%), media (50%), alta (75%). Evitá el 100%: el riesgo cero no existe.
• 4. Aplicá la reducción. Riesgo residual = riesgo inherente × (1 − efectividad). Un inherente de 20 con controles de efectividad media queda en 10.
• 5. Compará contra el apetito de riesgo. Si el residual sigue por encima del umbral aceptable, hace falta un plan de tratamiento adicional.

Una variante igual de válida —y más intuitiva para equipos que recién arrancan— es reevaluar directamente probabilidad e impacto con los controles puestos, en lugar de aplicar un porcentaje. El resultado es el mismo: un segundo score, más bajo que el inherente, que representa la exposición real.

Tres ejemplos concretos

Ejemplo 1 — Caída del proveedor de hosting. Probabilidad 3, impacto 5: inherente 15 (crítico). Controles existentes: backups diarios verificados y un plan de restauración probado. Efectividad estimada: media-alta. El impacto no cambia demasiado, pero la duración de la caída sí, así que el residual baja a alrededor de 6 (medio). Sigue por encima del umbral para un sistema que factura, entonces se agrega un plan de tratamiento: infraestructura replicada en otra región. Residual proyectado: 4.

Ejemplo 2 — Fuga de datos por acceso indebido de un ex empleado. Probabilidad 4, impacto 4: inherente 16. Controles: procedimiento de baja de accesos documentado, pero sin verificación posterior. Efectividad: baja, porque nadie audita que la baja se haya ejecutado. El residual queda en 12: casi no bajó. Ese número es la señal de alarma. El tratamiento no es escribir otro procedimiento, sino agregar una revisión trimestral de cuentas activas contra la nómina.

Ejemplo 3 — Incumplimiento contractual de un proveedor crítico. Probabilidad 2, impacto 5: inherente 10. Controles: contrato con SLA y penalidades, y evaluación anual del proveedor con evidencia actualizada. Efectividad alta. Residual: 3, por debajo del apetito definido. Acá la decisión correcta es aceptar el riesgo residual y dejarlo documentado con responsable y fecha de revisión, no seguir invirtiendo en controles.

Los errores que más se repiten

• Suponer que el tratamiento ya se ejecutó. El residual "proyectado" (después del plan) y el residual "actual" (con lo que hay hoy) no son lo mismo. Mezclarlos hace que la matriz muestre una exposición que todavía no existe.
• Contar controles que no funcionan. Un procedimiento sin dueño ni evidencia de ejecución tiene efectividad nula, por bien redactado que esté.
• Llevar el residual a cero. Si un riesgo queda en cero, casi siempre es un error de método. Siempre queda exposición.
• No dejar registro de las aceptaciones. Cuando el residual es aceptable, esa decisión necesita responsable, fecha y justificación. Es lo primero que pide un auditor.
• Calcularlo una vez y archivarlo. El residual cambia cuando cambian los controles, el negocio o los proveedores. Sin revisión periódica, el número envejece mal.

Por qué es difícil sostenerlo en una planilla

En Excel el riesgo residual arranca bien y se degrada rápido. Hay que mantener dos scores por riesgo, recordar recalcular cuando se cierra un plan de acción, y conservar el historial para poder mostrar la evolución. Como nada de eso es automático, la columna termina desactualizada y deja de reflejar la realidad justo cuando alguien la necesita.

En Ryskos el residual se calcula solo a partir de la mitigación asociada a cada plan de tratamiento, y queda registrado el historial del score para ver la evolución en el tiempo. Cuando el equipo cierra una acción, la matriz se actualiza sin que nadie tenga que tocar una celda, y el reporte que se le muestra a un cliente o auditor refleja el estado real.

En resumen

El riesgo inherente dice cuán expuesto estarías sin hacer nada; el residual dice cuán expuesto estás realmente hoy. Calcularlo es simple —inherente por efectividad de controles, o una reevaluación directa de probabilidad e impacto— pero solo sirve si se mantiene vivo y si las aceptaciones quedan documentadas.

Si querés ver el cálculo de riesgo residual funcionando sobre tu propia matriz, con historial de score y planes de tratamiento con responsable, Ryskos ofrece 30 días gratis y sin tarjeta para probarlo con los riesgos reales de tu empresa.