Matriz de Riesgos
Una matriz de riesgos es una sencilla pero eficaz herramienta para identificar los riesgos
más significativos inherentes a las actividades de una empresa, tanto de procesos como
de fabricación de productos o puesta en marcha de servicios. Por lo tanto, es un
instrumento válido para mejorar el control de riesgos y la seguridad de una organización.
A través de este instrumento se puede realizar un diagnóstico objetivo y global de
empresas de diferentes tamaños y sectores de actividad. Asimismo, mediante la matriz de
riesgo es posible evaluar la efectividad de la gestión de los riesgos, tanto financieros como
operativos y estratégicos, que están impactando en la misión de una determinada
organización.
Características de la matriz de riesgo
Con el fin de garantizar su eficacia y utilidad, una matriz de riesgo debe tener las
siguientes características:
Debe ser flexible.
Sencilla de elaborar y consultar.
Que permita realizar un diagnóstico objetivo de la totalidad de los factores de
riesgo.
Ser capaz de comparar proyectos, áreas y actividades.
Pasos para la elaboración de una matriz de riesgo
Identificación de riesgos
El primer paso consiste en la identificación de las actividades principales de una
organización y de los riesgos inherentes a estas. De una manera general, se puede
entender como riesgos la posibilidad de que a una empresa le sea imposible cumplir con
alguno de sus objetivos.
Los riesgos serán identificados, en los puntos vulnerables de cada subproceso, atendiendo
a las diversas fuentes que pueden originarlos y las posibles manifestaciones de ocurrencia
de los mismos. Se detallará si su fuente es interna o externa.
Deberá quedar registrado:
Cuál es el riesgo
Cómo puede manifestarse
Por qué
Qué controles existen en ese momento para contrarrestar sus efectos.
Análisis
Parte del análisis que se realiza, a los riesgos identificados, en cuanto a las consecuencias y
probabilidades de ocurrencia de los mismos. Por lo que en este análisis se mide:
La Probabilidad de ocurrencia
El Impacto que generaría la ocurrencia
Se analizan los riesgos combinando las estimaciones de impacto y su Probabilidad de
ocurrencia, en el contexto de las medidas de control existentes, valorando las fortalezas y
debilidades de cada uno.
Al combinar las consecuencias de ocurrir un evento con las probabilidades de que ocurra
se llega a determinar un nivel de riesgo.
Evaluación
Los Niveles de Riesgo en la Dirección de Auditoría Interna serán los siguientes:
Aceptable
Moderado
Inaceptable
Las técnicas para analizar los riesgos, entre otras, puede ser:
Entrevistas
Grupos de expertos
Cuestionarios individuales
Diagnóstico del proceso de Auditoría Interna
Tareas a ejecutar en cada subproceso e identificación de los riesgos
Para efectuar el diagnóstico del proceso de auditoría Interna e identificar los riesgos en el
proceso, debe efectuarse el estudio partiendo de las tareas previstas para cada
subproceso, y determinar los riesgos.
Clasificación de los riesgos
Evaluación: Es el resultado de comparar los niveles de riesgo establecidos, con los criterios
que se tienen preestablecidos para su evaluación. En este caso los criterios son los
siguientes:
a) Probabilidad de ocurrencia del Riesgo
b) Impacto ante la ocurrencia del Riesgo.
Para ello:
Las probabilidades de ocurrencia deberán determinarse en:
Poco Frecuente (PF): cuando el Riesgo ocurre sólo en circunstancias excepcionales.
Moderado (M): Puede ocurrir en algún momento.
Frecuente (F): Se espera que ocurra en la mayoría de las circunstancias.
El Impacto ante la ocurrencia sería considerado de:
Leve (L): Perjuicios tolerables. Baja pérdida financiera.
Moderado (M): Requiere de un tratamiento diferenciado: Pérdida financiera media.
Grande (G): Requiere tratamiento diferenciado. Alta pérdida financiera.
La evaluación del Riesgo sería de:
Aceptable: (Riesgo bajo) Cuando se pueden mantener los controles actuales, siguiendo
los procedimientos de rutina.
Moderado: (Riesgo Medio) Se consideran riesgos Aceptables con Medidas de Control. Se
deben acometer acciones de reducción de daños y especificar las responsabilidades de su
implantación y supervisión.
Inaceptable: (Riesgo Alto) Deben tomarse de inmediato acciones de reducción de
Impacto y Probabilidad para atenuar la gravedad del riesgo. Se especificará el responsable
y la fecha de revisión sistemática.
EJEMPLO DE EVALUACIÓN DE RIESGO
UAI: _______ Clasificación del Riesgo
Impacto Probabilidad
(6) (7) Nivel de
No. Riesgo E I
Riesgo
L M G F M PF
La evaluación de riesgos proporciona la lista de prioridades para el tratamiento de los
riesgos por medio de las acciones a seguir en cada caso.
Mapa de los Riesgos
Luego de evaluado todos los riesgos, se sitúan en el cuadrante del Mapa que le
corresponde según la Matriz de Riesgo. Resulta una técnica conocida y muy usada, como
herramienta de trabajo, la representación gráfica se ilustra a continuación:
MATRIZ DE RIESGOS
Frecuente Inaceptable Inaceptable Inaceptable
PROBABILIDAD Moderado Moderado Moderado Inaceptable
Poco
Aceptable Moderado Inaceptable
Frecuente
Leve Moderado Grande
IMPACTO
Como puede observarse, el gráfico anterior ilustra los cuadrantes donde según su Impacto
y Probabilidad de Ocurrencia se sitúan estos Riesgos, y su color identifica la Evaluación del
mismo, lo que no significa que en el Plan de Medidas no se tengan en cuenta todos los
Riesgos, pues deberá mantenerse el seguimiento de todos los identificados y el Plan
de acción de cada uno.
Las opciones a tener en cuenta para efectuar acciones de reducción de riesgos pueden
ser:
Evitarlo
Reducir probabilidad de ocurrencia
Reducir consecuencias
Transferir el riesgo
Retener el riesgo
Luego estas opciones deberán evaluarse y tener en cuenta el costo beneficio de la
decisión de tratamiento del riesgo.
Se confeccionarán planes de tratamiento de riesgos. En los mismos se tendrá en cuenta:
El riesgo en orden de prioridad
Opciones posibles de tratamiento
Nivel que adquiere el riesgo luego de ser tratado
Resultado del análisis costo beneficio
Responsable de efectuar la acción
Calendario de implementación
Forma en que se va a monitorear
