Cómo implementar una matriz de riesgos eficaz
Aprenda a implementar matriz de riesgos con criterios claros, responsables y controles que protegen la continuidad operacional de su empresa.
La mayoría de las matrices de riesgo que vemos tienen un problema en común: son un archivo. Se hicieron una vez, quedaron muy prolijas, y nadie las volvió a abrir.
Una matriz sirve cuando cambia decisiones. Y para eso necesita tres cosas que las matrices decorativas no tienen: dueños con nombre, controles concretos y una fecha de revisión.
Paso 1 — Identificar los riesgos que sí existen
No se trata de listar todo lo que podría salir mal en el universo. Se trata de recorrer los procesos reales del negocio y preguntar, en cada uno, qué pasaría si falla. Los procesos que casi siempre concentran riesgo en una PyME son:
- Recaudación y manejo de caja.
- Compras y pagos a proveedores.
- Inventarios y bodega.
- Remuneraciones.
- Facturación y cumplimiento tributario.
- Accesos a sistemas y a las cuentas bancarias.
Paso 2 — Evaluar impacto y probabilidad
Cada riesgo se puntúa en dos ejes: qué tan grave sería si ocurre, y qué tan probable es que ocurra. Una escala de tres o cinco niveles basta; escalas más finas dan una falsa sensación de precisión.
El producto de ambos ejes ordena la lista. Lo importante no es el número exacto, sino que obliga a decidir qué se atiende primero cuando los recursos son limitados — que es siempre.
Paso 3 — Definir el control, no la intención
Aquí es donde se cae la mayoría de las matrices. «Mejorar el control de caja» no es un control: es un deseo. Un control se puede auditar, y para eso tiene que responder cuatro preguntas: qué se hace, quién lo hace, cada cuánto y qué evidencia deja.
- Qué: arqueo de caja sorpresivo.
- Quién: la jefatura de administración, que no maneja la caja.
- Cuándo: dos veces al mes, en fechas no anunciadas.
- Evidencia: acta firmada con el detalle y la diferencia encontrada.
Paso 4 — Ponerle dueño y fecha
Un riesgo sin responsable con nombre y apellido es un riesgo de nadie. Y una matriz sin fecha de revisión envejece muy rápido: basta que cambie un sistema, se vaya una persona clave o se abra una sucursal para que la foto deje de servir.
Nuestra recomendación es revisarla al menos dos veces al año, y siempre después de un cambio relevante en el negocio.
El error de fondo
Una matriz de riesgos no existe para dejar constancia de que se hizo el ejercicio. Existe para que cuando algo salga mal —y algo va a salir mal— la empresa ya lo haya pensado antes, tenga un control puesto y sepa a quién llamar.
Preguntas frecuentes
¿Una PyME necesita una matriz de riesgos?
Sí, y le sirve más que a una empresa grande, porque en una PyME una sola falla puede comprometer la caja completa. La diferencia es la escala: una matriz de una página con los diez riesgos reales del negocio es infinitamente mejor que ninguna.
¿Cada cuánto se actualiza?
Al menos dos veces al año, y siempre que ocurra un cambio relevante: nuevo sistema, nueva sucursal, cambio en el equipo que maneja dinero o un incidente que ya ocurrió.
¿Quién debería liderarla?
Alguien con visión transversal del negocio y con autoridad para exigir que los controles se cumplan. En empresas chicas suele ser el propio dueño o la gerencia de administración, idealmente con apoyo externo para la primera construcción.
