Matriz de riesgos: cómo convertirla en una verdadera herramienta de gestión

¿Tu organización tiene una matriz de riesgos actualizada?

Eso es un buen punto de partida.

Pero una pregunta todavía más importante es:

¿Cómo utiliza la organización la información que contiene esa matriz?

Una matriz de riesgos bien diseñada puede ser mucho más que un documento para presentar durante una auditoría.

Puede ayudar a identificar y priorizar riesgos, definir controles, establecer acciones, asignar responsables, hacer seguimiento y verificar la eficacia de las medidas implementadas.

El verdadero desafío no es tener una matriz.

Es conseguir que se convierta en una herramienta para gestionar.

En este artículo veremos qué debería contener una matriz de riesgos, cómo utilizarla dentro de un Sistema de Gestión y qué aportan como referencia ISO 9001, ISO 31000 e ISO 14971.

¿Qué es una matriz de riesgos?

Una matriz de riesgos es una herramienta que permite organizar y analizar información relacionada con los riesgos que pueden afectar a una organización, un proceso, un proyecto o un producto.

Habitualmente permite relacionar variables como:

• Riesgo identificado.
• Causas.
• Consecuencias.
• Probabilidad de ocurrencia.
• Impacto o severidad.
• Nivel de riesgo.
• Controles existentes.
• Medidas de tratamiento.
• Acciones o planes de acción.
• Responsables.
• Plazos.
• Riesgo residual.
• Seguimiento y verificación de eficacia.

La estructura puede variar según la organización y la metodología utilizada.

Por eso, no existe una única matriz de riesgos correcta.

Lo importante es que la herramienta permita obtener información útil para tomar decisiones y realizar el seguimiento de los riesgos relevantes.

¿La matriz de riesgos es suficiente para gestionar los riesgos?

Una matriz puede contener prácticamente todo el ciclo de gestión.

Puede comenzar con la identificación del riesgo y continuar con su evaluación, los controles existentes, las acciones de tratamiento y la verificación de su eficacia.

Entonces, el problema no es que la gestión de riesgos se realice mediante una matriz.

El problema aparece cuando la matriz se convierte en un registro aislado del funcionamiento de la organización.

Por ejemplo, podemos encontrarnos con una matriz que contiene:

• riesgos correctamente identificados;
• acciones definidas;
• responsables asignados;
• fechas de cumplimiento;
• controles establecidos.

Pero si nadie revisa el avance de esas acciones, si no se evalúa si los controles funcionan o si la información de la matriz no se considera cuando se toman decisiones, existe una oportunidad de mejora.

Por eso, la pregunta no debería ser solamente:

¿Tenemos una matriz de riesgos?

Sino:

¿Cómo utilizamos la matriz para gestionar?

¿Qué debería contener una buena matriz de riesgos?

No todas las organizaciones necesitan utilizar exactamente las mismas variables.

Sin embargo, una matriz debería permitir comprender, como mínimo:

1. ¿Qué puede ocurrir?

El primer paso es identificar el riesgo de manera clara.

Es importante evitar descripciones demasiado generales que dificulten posteriormente el análisis.

2. ¿Qué puede provocar ese riesgo?

Identificar las causas ayuda a comprender dónde puede ser necesario actuar.

No es lo mismo tratar un riesgo generado por una falla de infraestructura que uno originado por una falta de capacitación, un problema de proveedor o una deficiencia del proceso.

3. ¿Qué consecuencias podría generar?

Analizar las consecuencias permite dimensionar el impacto potencial del riesgo sobre la organización, sus procesos, sus clientes, sus trabajadores, el ambiente o el producto, según corresponda.

4. ¿Cuál es el nivel de riesgo?

La organización puede utilizar diferentes metodologías para valorar los riesgos.

Una de las más habituales considera variables como probabilidad e impacto.

El objetivo no debería ser obtener un número por sí mismo, sino disponer de un criterio que permita priorizar.

5. ¿Qué controles existen actualmente?

Antes de definir nuevas acciones es importante identificar qué controles ya están implementados.

Esto permite evitar acciones innecesarias y evaluar si los controles existentes son adecuados.

6. ¿Qué medidas o acciones son necesarias?

Cuando el nivel de riesgo lo requiere, pueden establecerse medidas de tratamiento o planes de acción.

Estas acciones deberían estar vinculadas con el riesgo que se busca controlar y, cuando corresponda, contar con responsables y plazos definidos.

7. ¿Las acciones fueron eficaces?

Este punto es fundamental.

Implementar una acción no significa automáticamente que el riesgo haya sido controlado de manera eficaz.

Es necesario establecer cómo se verificará que la medida implementada produjo el resultado esperado.

Por ejemplo, mediante indicadores, auditorías, inspecciones, análisis de incidentes, seguimiento de resultados u otros mecanismos adecuados al tipo de riesgo.

La matriz como herramienta para tomar decisiones

Una matriz de riesgos aporta verdadero valor cuando la información que contiene se utiliza para decidir.

Por ejemplo, el análisis de riesgos puede llevar a:

• modificar un proceso;
• incorporar un control;
• cambiar un proveedor;
• aumentar la frecuencia de inspecciones;
• capacitar al personal;
• realizar una inversión;
• modificar una especificación;
• establecer un indicador;
• implementar una acción preventiva;
• modificar la planificación de un proyecto;
• revisar un proceso que presenta un nivel de riesgo elevado.

En estos casos, la matriz deja de ser solamente un registro.

Se convierte en una herramienta que ayuda a decidir dónde concentrar esfuerzos y recursos.

¿Qué relación tiene la matriz de riesgos con ISO 9001?

ISO 9001 incorpora el pensamiento basado en riesgos como parte del enfoque del Sistema de Gestión de la Calidad.

La norma no establece que todas las organizaciones deban utilizar una matriz de riesgos determinada.

La metodología utilizada debería ser adecuada al contexto, tamaño, complejidad y características de cada organización.

Una matriz puede ser una herramienta muy útil para sistematizar este enfoque, especialmente cuando permite relacionar los riesgos con los procesos, los controles y las acciones de tratamiento.

Lo importante es que el enfoque de riesgos no quede aislado en un documento.

Debe integrarse con la planificación y con la gestión de los procesos.

¿Qué aporta ISO 31000?

ISO 31000 proporciona principios y directrices para la gestión de riesgos y puede utilizarse en organizaciones de diferentes tamaños y sectores.

Uno de sus aportes principales es considerar la gestión de riesgos como una actividad que debe integrarse a la gobernanza, la estrategia, la planificación y las operaciones.

Desde esta perspectiva, gestionar riesgos no significa realizar una evaluación una vez al año y archivarla.

Implica un proceso que debería mantenerse actualizado y revisarse cuando cambian las circunstancias, los objetivos, los procesos o el contexto de la organización.

La matriz puede formar parte de este proceso y facilitar su seguimiento.

¿Y qué relación tiene ISO 14971 con la matriz de riesgos?

En el ámbito de los dispositivos médicos, ISO 14971 establece un enfoque específico para la gestión de riesgos asociados a los dispositivos médicos durante su ciclo de vida.

En este contexto, la gestión de riesgos adquiere características particulares y se relaciona con aspectos como la identificación de peligros, la estimación y evaluación de riesgos, las medidas de control y la evaluación del riesgo residual.

Una herramienta matricial puede formar parte del sistema utilizado para organizar y documentar esta información, siempre que sea adecuada a la metodología de gestión de riesgos adoptada.

Por eso, para organizaciones vinculadas con dispositivos médicos, es importante que la herramienta utilizada no solo sea completa, sino que también sea coherente con los requisitos y principios aplicables al proceso de gestión de riesgos.

ISO 31000 e ISO 14971: ¿son normas certificables?

No.

ISO 31000 e ISO 14971 no son normas destinadas a la certificación.

Ambas proporcionan marcos de referencia para la gestión de riesgos, aunque con alcances diferentes.

ISO 31000 tiene un enfoque general y puede aplicarse a cualquier organización.

ISO 14971 está específicamente orientada a los riesgos asociados con dispositivos médicos.

¿Cómo saber si tu matriz de riesgos realmente aporta valor?

Una forma sencilla es revisar qué sucede después de completar la matriz.

Podés hacerte preguntas como:

¿Los riesgos identificados se relacionan con nuestros procesos y objetivos?

¿Los controles definidos se implementan realmente?

¿Las acciones tienen responsables y plazos cuando corresponde?

¿Se realiza seguimiento?

¿Verificamos la eficacia de las acciones implementadas?

¿El nivel de riesgo se actualiza cuando cambian las condiciones?

¿La información de la matriz se utiliza para tomar decisiones?

Si la respuesta es afirmativa, probablemente la matriz esté funcionando como una verdadera herramienta de gestión.

Si la matriz se completa, se firma y se archiva hasta la próxima revisión, probablemente exista una oportunidad para aprovechar mucho mejor su potencial.

De la matriz a la gestión

Una matriz de riesgos no debería ser vista como un enemigo del Sistema de Gestión ni como un simple requisito documental.

Es una herramienta.

Y una buena herramienta puede ayudar a transformar información sobre los riesgos en decisiones concretas.

El objetivo no es eliminar todos los riesgos.

Es conocerlos, priorizarlos, establecer controles adecuados, tratar aquellos que lo requieren, verificar la eficacia de las acciones y revisar la situación cuando cambian las condiciones.

La diferencia entre una matriz que simplemente se completa y una matriz que realmente aporta valor no está necesariamente en la cantidad de columnas.

Está en cómo se utiliza la información que contiene.

¿Necesitás mejorar la gestión de riesgos de tu organización?

En GSV Calidad contamos con consultores que acompañan a organizaciones en el diseño, implementación y mejora de Sistemas de Gestión, ayudándolas a integrar la gestión de riesgos a sus procesos y a la toma de decisiones.

El objetivo como consultora no es generar más documentación, sino desarrollar herramientas que sean útiles para gestionar, prevenir y mejorar.

Si tu organización ya cuenta con una matriz de riesgos pero querés revisar si realmente está integrada al funcionamiento del Sistema de Gestión, podemos trabajar sobre su metodología, los controles, las acciones y el seguimiento.

Preguntas frecuentes sobre matrices y gestión de riesgos

¿Una matriz de riesgos es obligatoria en ISO 9001?

No. ISO 9001 no exige específicamente una matriz de riesgos. La organización debe determinar y abordar los riesgos y oportunidades relevantes para su Sistema de Gestión de la Calidad, pudiendo utilizar la metodología que resulte adecuada a su contexto.

¿Qué información debería incluir una matriz de riesgos?

Depende de la metodología adoptada. Puede incluir la identificación del riesgo, causas, consecuencias, probabilidad, impacto, nivel de riesgo, controles existentes, acciones de tratamiento, responsables, plazos, riesgo residual y verificación de eficacia.

¿La matriz de riesgos debe incluir planes de acción?

Puede hacerlo y, en muchos casos, resulta conveniente. Integrar las acciones, responsables, plazos y seguimiento permite relacionar directamente el análisis del riesgo con su tratamiento.

¿Cómo se verifica la eficacia de una acción de tratamiento?

Depende del tipo de riesgo y de la medida implementada. Puede verificarse mediante indicadores, auditorías, inspecciones, seguimiento de resultados, análisis de incidentes u otros mecanismos que permitan determinar si la acción logró el resultado esperado.

¿Cuál es la diferencia entre matriz de riesgos y gestión de riesgos?

La matriz es una herramienta para organizar y analizar información sobre riesgos. La gestión de riesgos comprende un proceso más amplio que incluye identificar, analizar, evaluar, tratar, monitorear y revisar los riesgos, además de utilizar esa información para tomar decisiones.

¿ISO 31000 es certificable?

No. ISO 31000 proporciona principios y directrices para la gestión de riesgos, pero no es una norma destinada a la certificación.

¿ISO 14971 es aplicable a dispositivos médicos?

Sí. ISO 14971 establece un proceso específico para la gestión de riesgos asociados a dispositivos médicos durante su ciclo de vida.

Si querés profundizar sobre este tema te recomendamos leer nuestros artículos

Domina la incertidumbre con las normas ISO 31000 y 14971 de gestión de riesgos

Herramientas prácticas para análisis de contexto