Matriz de riesgos: qué es y 5 pasos para elaborarla

Si te preguntas qué es y cómo hacer una matriz de riesgos, en este artículo descubrirás todo lo que debes saber sobre esta herramienta para la identificación de los tipos de riesgos que inciden en los negocios. Empieza a disminuir las situaciones de riesgo en tu negocio con esta herramienta de gestión empresarial.

¿Qué es una matriz de riesgos?

Una matriz de riesgos es una herramienta que permite la identificación, evaluación y priorización de los riesgos inherentes de las operaciones de una empresa. Una vez que están los riesgos identificados, facilitamos el desarrollo de un plan de acción para la mitigación de estos con anticipación.

La matriz de riesgos es un instrumento fundamental de la Norma ISO 45001. Este agiliza el cumplimiento del Sistema de Gestión de Seguridad y Salud en el Trabajo (SG-SST), que las empresas responsables aplican para el cuidado integral de su talento humano.

¿Para qué sirve una matriz de riesgos?

Esta herramienta, más allá de solo prevenir riesgos en nuestro proyecto, nos ayuda a:

• Presentar con claridad datos complejos de forma sencilla, para una compresión fácil de los procesos empresariales.
• Ajustarnos a las distintas situaciones de riesgos que nos faciliten la adaptación de la matriz en función de la situación que atenderemos.
• Hacer un análisis de riesgos según su gravedad, para aplicar las medidas adecuadas antes y durante la situación de riesgo que se nos presente.
• Asignar tareas en el equipo de colaboradores para la disminución del impacto de los riesgos, según su probabilidad de ocurrencia.
• Garantizar altos estándares de trabajo que respeten el SG-SST y optimicen la estrategia de gestión de riesgos.

¿Cuáles son los componentes de una matriz de riesgos?

Antes de elaborar una matriz de evaluación de riesgos, es necesario conocer los elementos que la componen:

• Actividades de la empresa: todas las actividades que llevan a cabo los empleados en una empresa, tanto las habituales como las esporádicas.
• Probabilidades de riesgo: determina cuán factible es que un riesgo se materialice.
• Posibles riesgos: todos los riesgos posibles, desde los riesgos insignificantes hasta los riesgos catastróficos.
• Magnitud del daño: representa el nivel de impacto esperado en caso de que los riesgos se hagan efectivos.

5 pasos para elaborar una matriz de riesgos

Para la elaboración de nuestra matriz de riesgos podemos usar un programa como Excel o Google Sheets que nos faciliten la posibilidad de organizar la información por ejes o hacerlo de forma manual.

En el eje vertical, o eje Y, pondremos la probabilidad de ocurrencia de los eventos, mientras que en el eje horizontal, o eje X, pondremos el riesgo del evento correspondiente. Entonces la cuadrícula quedaría de la siguiente forma:

1. Identificamos los riesgos

Para el caso de una empresa tecnológica, evaluaremos riesgos cibernéticos que podrían afectarla. Trabajaremos con los siguientes ejemplos de riesgos:

• Ciberataque a los servidores.
• Robo de información confidencial de los clientes.
• Falla de electricidad durante 2 horas.
• Filtración de datos de nuestras compras en papelería.
• Queja de un solo cliente en nuestras redes sociales.

La identificación de los riesgos nos facilita una mejor clasificación. Puedes guiarte con los tipos de riesgos:

• Riesgos inherentes: son todos aquellos riesgos que podemos sufrir por la naturaleza de nuestras operaciones empresariales.
• Riesgos externos: son todos aquellos riesgos que podemos sufrir por acciones de terceros o eventos externos. No podemos ejercer ningún tipo de control sobre ellos.
• Riesgo residual: son todos aquellos riesgos que podemos sufrir luego de aplicar las medidas de control pertinentes para su mitigación.
• Riesgos potenciales: son todos aquellos riesgos que podemos sufrir porque operamos en un contexto global donde miles de eventos afectan la economía, los negocios y la política.

2. Identificamos los niveles de riesgos

Según el impacto de los riesgos que puedan afectar nuestro proyecto empresarial, ponderamos los niveles de riesgo en la primera fila de la siguiente forma:

• Insignificante (1): riesgo que no es nada significativo para nuestra empresa.
• Menor (2): riesgo que afecta las operaciones de nuestra empresa, pero no las interrumpe.
• Moderado (3): riesgo que afecta e interrumpe parte de las operaciones de nuestra empresa.
• Importante (4): riesgo que afecta una proporción considerable de las operaciones de nuestra empresa.
• Catastrófico (5): riesgo que afecta y compromete todas las operaciones de nuestra empresa.

Quedando en nuestro ejemplo de la siguiente forma:

• Ciberataque a los servidores: Nivel de riesgo (5), catastrófico.
• Robo de información confidencial de los clientes: Nivel de riesgo (4), importante.
• Falla de electricidad durante 2 horas: Nivel de riesgo (3), moderado.
• Filtración de datos de nuestras compras en papelería: Nivel de riesgo (2), menor.
• Queja de un solo cliente en nuestras redes sociales: Nivel de riesgo (1), insignificante.

3. Identificamos las probabilidades de ocurrencia

En esta sección asignamos las distintas probabilidades de ocurrencia en la primera columna:

• Muy probable (5): son todos aquellos sucesos que podemos estar casi seguros de que ocurrirán en algún momento.
• Probable (4): aquellos sucesos que no son seguros que ocurran, pero que tienen una probabilidad bastante alta de ocurrir.
• Posible (3): son los eventos que podrían ocurrir por la acción o inacción de una tarea específica de nuestra empresa.
• Improbable (2): aquellos eventos que ocurren con poca frecuencia. Sin embargo, es de vital importancia su consideración para el manejo anticipado del riesgo.
• Muy improbable (1): son hechos que debemos tener anticipados, incluso aunque sus probabilidades de ocurrencia sean extremadamente bajas.

‍

Quedando en nuestro ejemplo de la siguiente forma:

• Ciberataque a los servidores: Probabilidad (1).
• Robo de información confidencial de los clientes: Probabilidad (2).
• Falla de electricidad durante 2 horas: Probabilidad (3).
• Filtración de datos de nuestras compras en papelería: Probabilidad (4).
• Queja de un solo cliente en nuestras redes sociales: Probabilidad (5).

4. Calculamos el impacto del riesgo

Para el cálculo del impacto del riesgo en nuestro ejercicio práctico, primero debemos comprender la clasificación del impacto del riesgo en los procesos de la empresa. Para hacerlo debemos multiplicar la probabilidad de ocurrencia por el nivel de riesgo y este nos dará como resultado el nivel de impacto del riesgo.

• Riesgo bajo (1 a 6): es todo aquel impacto del riesgo que afecta levemente las operaciones de nuestra empresa. Lo identificamos con el color verde.
• Riesgo medio (7 a 12): es todo aquel impacto del riesgo que afecta moderadamente las operaciones de nuestra empresa. Lo identificamos con el color amarillo.
• Riesgo alto (13 a 25): es todo aquel impacto del riesgo que afecta profundamente las operaciones de nuestra empresa. Lo identificamos con el color rojo.

Continuando con el mismo ejercicio, nos queda estos valores del impacto del riesgo:

• Ciberataque a los servidores: 5 x 1＝5, riesgo bajo.
• Robo de información confidencial de los clientes: 4 x 2＝8, riesgo medio.
• Falla de electricidad durante 2 horas: 3 x 3＝9, riesgo medio.
• Filtración de datos de nuestras compras en papelería: 2 x 4＝8, riesgo medio.
• Queja de un solo cliente en nuestras redes sociales: 1 x 5＝5, riesgo bajo.

5. Crear ejemplos y casos prácticos de diferentes sectores o industrias

Una vez completado nuestro ejemplo de matriz de riesgos, lo podemos aplicar a otras industrias en las que deseemos invertir o lanzar un nuevo proyecto empresarial. Con ello no solo practicamos nuestra planificación en la gestión de riesgo, sino que también ampliamos nuestros conocimientos teóricos y prácticos para una mejor toma de decisiones.

No olvides que la matriz de riesgos es un primer paso que nos facilita un plan de acción para la resolución de riesgos en nuestra empresa. Con nuestro servicio Apolo, podemos ayudarte a identificar los riesgos de ciberseguridad en tu empresa, agenda una demo de Apolo con nuestros expertos.