Una matriz de riesgos sirve cuando alguien la abre para decidir algo

Una matriz de riesgos sirve cuando alguien la abre para decidir algo.

En ANTOX hemos desarrollado matrices de riesgos base para 30 industrias: 1.126 riesgos y 3.381 controles, construidos sobre ISO 31000 y COSO, y sobre la normativa chilena que aplica a cada rubro. Son nuestro punto de partida: con ellas no empezamos cada trabajo desde una hoja en blanco, y cada organización ajusta la matriz a su realidad.

Cambian el rubro, el tamaño y la regulación. La estructura que funciona es la misma: riesgo, proceso, responsable, control, evidencia y frecuencia de revisión. Si falta un eslabón, la matriz queda como documento y deja de servir para gestionar.

En mis años de auditoría he visto repetirse tres fallas:

1. Los riesgos son genéricos. «Fraude» o «error operacional» no dicen qué proceso falla ni en qué punto.
2. Nadie responde por cada riesgo, así que nadie revisa su control.
3. Los controles figuran como declaración. «Existe una revisión mensual» es distinto de mostrar la revisión de septiembre.

¿Cuál es el primer eslabón que revisa cuando le muestran una matriz de riesgos?