Pregúntale a cualquier gerente de riesgo cuándo fue la última vez que se actualizó la matriz de riesgos de su organización, y la respuesta más común es: “en la última revisión anual”. El problema es que la operación no cambia una vez al año — cambia todas las semanas.
Por qué el ciclo anual no alcanza
La matriz de riesgos existe para responder una pregunta simple: ¿qué puede salir mal, con qué probabilidad, y con qué impacto? Cuando se actualiza solo una vez al año, esa respuesta queda desactualizada casi de inmediato:
- Un proceso nuevo entra en operación y nadie lo evalúa hasta la próxima revisión.
- Un control que dejó de ejecutarse (por rotación de personal, por ejemplo) sigue apareciendo como “vigente” en el documento.
- Un evento de riesgo real ocurre, se resuelve operativamente, pero nunca se refleja como una actualización de probabilidad en la matriz.
Para cuando llega la auditoría, el documento describe una organización que ya no existe.
Qué hace que una matriz se mantenga viva
En los casos donde sí funciona, casi siempre hay tres elementos en común:
- La actualización está integrada al proceso, no es un ejercicio aparte. Cuando un área lanza un proceso nuevo o cambia uno existente, actualizar la matriz es parte del mismo flujo de aprobación — no una tarea que alguien recuerda hacer “después”.
- Hay un dueño por riesgo, no solo un dueño del documento. Cada riesgo tiene una persona responsable de mantenerlo actualizado, no una sola persona de la oficina de riesgo tratando de mantener al día toda la matriz de la organización.
- Los eventos reales retroalimentan la matriz automáticamente. Cuando ocurre un evento de riesgo operativo, ese dato debería ajustar la probabilidad del riesgo correspondiente — no vivir aislado en una base de eventos que nadie cruza con la matriz.
El costo real de una matriz desactualizada
No es solo un problema de cumplimiento formal. Una matriz que no refleja la operación real lleva a que la organización invierta esfuerzo de control donde ya no hace falta, y deje sin cubrir riesgos que sí están creciendo. Es, literalmente, gestionar a ciegas con un mapa viejo.
¿Tu matriz de riesgos sigue viviendo en una hoja de cálculo que se actualiza una vez al año? Hablemos de cómo integrarla al día a día de tu operación.