Qué es una matriz de riesgos y cómo elaborarla en Excel

A lo largo del tiempo, sin excepción, las empresas se enfrentan a situaciones adversas por múltiples causas. Sin embargo, siempre es posible hacer algo al respecto. ¿Te gustaría estimar los problemas que pueden afectar el rendimiento de tus proyectos? Has llegado al lugar correcto, pues la matriz de riesgos es una buena opción que te ayudará a prevenir y enfrentar cualquier reto.

Enseguida te contaremos en qué consiste y cómo implementarla paso a paso como parte de tus estrategias de gestión de riesgos.

• Los factores internos se refieren a los procesos de la empresa: la gestión de recursos humanos, seguridad cibernética, maquinaria y equipamiento, seguridad de los trabajadores, impuestos, comunicación organizacional, etc.
• Los factores externos, por su parte, están enfocados en: aspectos políticos, desastres naturales, crisis económicas, situación del mercado y demás.

Este recurso, también llamado matriz de probabilidad de impacto, se crea a partir de la probabilidad y gravedad de los riesgos. Por lo general, se representa en forma de tabla, la cual cruza la posibilidad de que ocurra un riesgo con las consecuencias que desencadenaría en el proyecto o la organización. Esto permite categorizar los riesgos como bajos, moderados o altos, a la vez que ayuda a asignar recursos y planificar estrategias de mitigación adecuadas para abordar los riesgos más críticos y minimizar su efecto negativo. 

Para calcular el nivel de riesgo, se multiplica el número de probabilidad por el de impacto. El primero se refiere a la frecuencia con que se puede dar un evento adverso y el segundo a la repercusión que tendría este en el rendimiento de la empresa.

Para qué sirve una matriz de riesgos

Esta herramienta funciona en distintos niveles y cumple diferentes propósitos en la gestión de proyectos. Aquí tienes algunos aspectos sobre su utilidad: 

• Identificación de riesgos. Esta es su esencia, ya que ayuda a identificar y documentar de manera sistemática los riesgos potenciales que pueden afectar un proyecto.
• Evaluación de riesgos. También sirve para evaluar la probabilidad de que ocurra un riesgo y su impacto que tendría en los objetivos del proyecto o la empresa.
• Establece prioridades. Facilita la priorización de los riesgos en función de su nivel, lo que ayuda a focalizar los recursos y la atención en las contingencias más críticas.
• Brinda rumbo a la toma de decisiones. Proporciona información objetiva y cuantitativa que respalda la toma de decisiones informadas sobre la gestión de riesgos, así como las estrategias de mitigación.
• Ayuda a la planificación. Sirve como base para desarrollar planes de respuesta a riesgos, los cuales describen cómo la organización abordará y atenderá cada contingencia identificada.
• Realiza un monitoreo y control efectivo. Esta matriz permite el seguimiento continuo de los riesgos a lo largo del proyecto y el ajuste de las estrategias de gestión, según sea necesario.

Quién es el encargado de crear una matriz de riesgos

La responsabilidad de crear una matriz de riesgos en una empresa recae en el equipo de gestión de riesgos o en los responsables de proyectos, según la estructura que cada organización tenga. 

Aunque su proceso de elaboración implica la colaboración de varios departamentos dentro de la organización, los responsables de elaborarla pueden ser:

• Área de Gestión de Riesgos: este equipo es el encargado de liderar la identificación, evaluación y administración de riesgos en toda la empresa. Es responsable de establecer las políticas y pautas para ello y puede dirigir o coordinar la creación de la matriz de riesgos.
• Responsables de proyectos u operaciones: los líderes de proyectos específicos o de las áreas operativas de la empresa son responsables de identificar y evaluar las contingencias relacionadas con sus actividades. Por tanto, deben proporcionar información detallada sobre los riesgos específicos que enfrentan en sus proyectos u operaciones.
• Comités de Riesgos: en algunas organizaciones, se pueden establecer comités que supervisen con regularidad la gestión de riesgos, incluida la creación de este recurso.
• Consultores externos: en situaciones más complejas o cuando se requiere una perspectiva externa, la empresa puede contratar consultores o auditores para ayudar en la creación de la matriz de riesgos.

Otro escenario es que se aliente la participación de los empleados y expertos de diferentes áreas de la empresa para aportar sus conocimientos y experiencias en la identificación de posibles inconvenientes.

1. Realizar una lista de riesgos

El primer paso es repasar los procesos y actividades que se realizarán en el proyecto para luego estimar cuáles significan un riesgo para el rendimiento. Abre una hoja de cálculo y crea una tabla con los apartados: «Evento», «Probabilidad», «Impacto» y «Nivel de riesgo». Solicita la retroalimentación de la junta directiva, líderes de área y de trabajadores con experiencia para encontrar los fallos que puedan surgir en el camino. En este caso, tenemos el ejemplo de algunos problemas que podría enfrentar una startup. 

2. Crear una tabla con escalas de probabilidad e impacto

En la matriz de riesgos, suelen fijarse escalas para probabilidad e impacto, las cuales pueden definirse de 3 a 5 niveles y que representan valores de menor a mayor. Los nombres se adaptan de acuerdo con las necesidades de cada empresa. En este caso, para medir el impacto, usamos: «Mínimo», «Moderado», «Serio», «Elevado» y «Grave». Para calificar la probabilidad, elegimos: «Remota», «Inusual», «Posible», «Recurrente» y «Frecuente».

Cuando se calcula el riesgo, se multiplica la probabilidad por el impacto. Por tanto, tienes que realizar esta operación en la primera celda libre de la tabla. Para esto, fija la columna de «Probabilidad» ($H) y la fila de «Impacto» ($4) con F4 o al poner un signo de $ adelante. 

Una vez fijados estos elementos, arrastra la fórmula por toda la tabla y quedará con los siguientes resultados. 

3. Transformar la tabla en nivel de riesgos

De acuerdo con el número que resulte de la multiplicación, mide el nivel de riesgo de cada evento negativo que se presente, mediante una clasificación que identificarás al marcar las celdas con 4 diferentes colores. 

Copia la tabla anterior, pero elimina la columna y fila de números. De acuerdo a los resultados, clasifica el nivel o grado de riesgos en 4 categorías:

• Riesgo alto: requiere una atención inmediata y un protocolo riguroso de prevención. 
• Riesgo tolerable: es un riesgo latente que necesita considerable atención. 
• Riesgo aceptable: señala un parámetro más equilibrado que debe tomarse en consideración, aunque en menor medida.
• Riesgo bajo: no significa un inconveniente mayor para el desarrollo del proyecto. 

4. Crear una lista desplegable para probabilidad e impacto

Ya que tengas las tres tablas, toma la primera que contiene la lista de riesgos. Colócate en la primera casilla de la columna de «Probabilidad»; ve a la pestaña de «Datos» y en el recuadro que sale, donde dice «Permitir», indica «Lista» o «Lista desplegable». En «Artículos», marca la escala de probabilidad de la tercera tabla que elaboraste con los riesgos clasificados con palabras. 

Da clic en el botón de «Aplicar» y arrastra la función hacia abajo de la columna de «Probabilidad». Así, en esas celdas, aparecerá la lista desplegable con las opciones de «Frecuente», «Recurrente», «Posible», «Inusual» y «Remota». 

Luego, repite los mismos pasos para la primera celda de la columna de «Impacto», solo que, al señalar los «Artículos», coloca la escala de «Impacto» también de la tercera tabla, como se ve en la imagen. Arrastra la función por toda la columna de «Impacto».

5. Insertar la función de ÍNDICE en Nivel de riesgo 

Para que la hoja de cálculo te indique el nivel de riesgos de forma automática, inserta la fórmula de ÍNDICE combinada con COINCIDIR de la siguiente manera: ÍNDICE(matriz de 3er. tabla), COINCIDIR(celda de columna de Probabilidad de la 1er. tabla, celdas de escalas de Probabilidad de la 3er. tabla, coincidencia exacta),COINCIDIR(celda de columna de Impacto de la 1er. tabla, celdas de escalas de Impacto de la 3er. tabla, coincidencia exacta). 

Fija todos los valores, excepto las celdas de «Probabilidad» e «Impacto». Luego, arrastra la función por toda la columna de «Nivel de riesgo». Cuida el orden y las comas. Después, da clic en «Enter», te aparecerá error #N/D, pero está bien porque aún no se marcan los valores de «Probabilidad» e «Impacto».

6. Evaluar la probabilidad o frecuencia

En la columna de «Probabilidad», usa la lista desplegable de cada casilla para señalar la frecuencia con la que podría surgir el riesgo. Esto dependerá de varios puntos, por ejemplo, que la organización ya cuente con las medidas de control necesarias para atender el riesgo, el número de personas que se verán afectadas, qué tan expuestas están dentro de la empresa y el nivel de capacitación de los empleados para hacer frente a la situación. Con esto en mente, indica si la «Probabilidad» sería «Remota», «Inusual», «Posible», «Recurrente» o «Frecuente». 

7. Calificar la gravedad o impacto

Con la lista desplegable, será más sencillo indicar si el impacto es «Mínimo», «Moderado», «Serio», «Elevado» o «Grave» para el funcionamiento del nuevo proyecto o de la empresa que ya esté en marcha. En este punto, también te puedes guiar por las opiniones de los jefes o encargados de cada área de la organización. Asimismo, considera si estos riesgos se pueden prevenir, si se tienen que tratar cuando se presenten o hasta que hayan cesado. 

Como puedes notar, la columna de «Nivel de riesgo» se ajustó automáticamente y desapareció el error marcado.

8. Colorear las celdas de Nivel de riesgo

Para que la columna «Nivel de riesgo», aparezca con colores que te permitan identificar su clasificación, es necesario que sigas el siguiente procedimiento. Primero, ve a la segunda o tercera tabla y busca una celda que indique el grado «Tolerable». Luego, dirígete a la pestaña de «Inicio» y da clic en el icono con un bote de pintura (color de relleno). En la lista que se desplegará, elige «Más colores» o «Más opciones» según tu versión de Excel. 

Te aparecerá un recuadro como el de la imagen. Debes copiar el código hexadecimal y hacer clic en el botón de «Aceptar». Es importante que realices este paso, de lo contrario, el color no será el mismo que el de las tablas.

Después, selecciona toda la columna de «Nivel de riesgos». En la misma pestaña de «Inicio», da clic en «Formato condicional» y elige la opción «Nueva regla». Te aparecerá un recuadro, señala la casilla de «Si es verdadero, entonces se detiene». Es fundamental que señales las opciones de «Resaltar celdas con», «Valor de la celda» y «Es igual a». En el siguiente recuadro, coloca el nombre que quieres que aparezca. En este caso, escribiremos «Tolerable». 

Más abajo, personaliza el formato. Al dar clic en el icono de color de relleno, te aparecerá el color naranja que ya habías guardado, selecciónalo. Luego, haz clic en el botón de «Listo». 

Repite el mismo procedimiento para las otras tres categorías de nivel de riesgo: guarda el color rojo y configura el formato condicional de «Alto»; guarda el color violeta y crea el formato condicional de «Aceptable»; por último, guarda el color azul y configura el formato condicional de «Bajo».

Finalmente, así quedará tu matriz de riesgos en Excel. 

Con los colores destacados de esta manera, te será más sencillo detectar cuáles son los riesgos que necesitan una atención más urgente. Asimismo, podrás crear un plan para responder a los problemas que puedan presentarse.

Ejemplos de matriz de riesgos

1. Ejemplo de matriz de riesgos en empresa de tecnología 

Piensa en una empresa de tecnología que está abordando un riesgo relacionado con la gestión de proyectos. Su matriz quedaría de esta forma: 

Con esta tabla, se ha identificado y clasificado el riesgo de «Retraso en la entrega del proyecto», en la categoría de «Gestión de Proyectos». La puntuación de riesgo se calcula al multiplicar el impacto por la probabilidad, lo que resulta en una clasificación de «Alto Riesgo» con una puntuación de 16. Para ello, se propone una estrategia de mitigación que implica la reasignación de recursos para acelerar tareas críticas y se establece un disparador para notificar posibles retrasos. Después, la nueva calificación del riesgo se reduce a «Moderado Riesgo» con una puntuación de 10. 

2. Ejemplo de matriz de riesgos en la industria de la construcción

Ahora veamos un ejemplo en otro sector que está relacionado con los accidentes laborales. 

En este ejemplo, el riesgo identificado es un «Accidente laboral» en la industria de la construcción. La puntuación de riesgo se calcula como el producto del impacto (Alto) y la probabilidad (Moderada), lo que da como resultado una clasificación de «Alto Riesgo» con una puntuación de 27. Esto significa que existe una probabilidad moderada de que ocurran accidentes con un alto impacto en términos de seguridad y costos.

La estrategia de mitigación propuesta es la implementación de medidas de seguridad en el sitio de construcción, lo que incluiría capacitación, protocolos y equipo de seguridad. El disparador para activar estas medidas sería el reporte de incidentes de seguridad o violaciones a los protocolos existentes. Después de la mitigación, la calificación del riesgo se reduce a «Moderado Riesgo» con una puntuación de 18, lo que indica una mejora en la gestión de riesgos relacionados con la seguridad del espacio de trabajo.

3. Ejemplo de matriz de riesgos sobre ciberseguridad

En este ejemplo, esta herramienta se usa para disminuir la brecha de ciberseguridad.

El riesgo identificado es una «brecha de ciberseguridad» en la industria de la tecnología de la información. La puntuación de riesgo se calcula como el producto del impacto (Alto) y la probabilidad (Baja), lo que resulta en una clasificación de «Moderado Riesgo» con una puntuación de 7. Esto significa que, aunque el impacto de una brecha de ciberseguridad sería alto, la probabilidad de que ocurra es baja.

La estrategia de mitigación propuesta incluye la implementación de un robusto sistema de seguridad cibernética y la capacitación del personal. El disparador para activar estas medidas sería la detección de actividades sospechosas en la red. Después de la mitigación, la calificación del riesgo se reduce a «Bajo Riesgo» con una puntuación de 3, lo que indica una mejora significativa en la seguridad cibernética y una reducción en la probabilidad de una brecha de ciberseguridad.

Ahora ya sabes cómo implementar la matriz de riesgos. Mide el impacto de los imprevistos lo antes posible gracias a la gestión de riesgos y disminuye todo lo que afecte el rendimiento de tus proyectos.