La matriz se evalúa una vez al año. El riesgo se mueve todos los días

La matriz se evalúa una vez al año. El riesgo se mueve todos los días.

Para cubrir ese hueco usamos dos herramientas que se complementan:

1. Autoevaluación de controles (CSA). Quien ejecuta el control responde, cada cierto tiempo, si lo hizo, cómo y con qué evidencia. No reemplaza a la auditoría: le dice dónde mirar primero.
2. Indicadores clave de riesgo (KRI). Un número que se mide solo y avisa cuando cruza un umbral: siniestralidad, reclamos, rotación, días de atraso en pagos.

Una sin la otra cojea. La autoevaluación dice qué cree el dueño del proceso, y el KRI dice qué pasa en los datos. Cuando no coinciden, hay una conversación pendiente.

Por eso no usamos la «velocidad del riesgo» estimada a ojo en un taller. Si el riesgo se está acelerando, un KRI bien elegido lo muestra antes y con datos.

Ninguna de las dos funciona si depende de que alguien se acuerde de mandar la planilla. Tienen que vivir en una herramienta que las pida y las guarde.

¿Qué indicador miraría primero para saber si un riesgo está empeorando?