Mapa de calor de riesgos: cómo crear, puntuar y leer una matriz de 5x5
Un mapa de calor de riesgos sitúa los riesgos según su probabilidad e impacto. Aprende a crear y puntuar una matriz de 5x5, fijar el apetito de riesgo y evitar los errores conocidos.
Un mapa de calor de riesgos es una cuadrícula de colores que sitúa cada riesgo según su probabilidad y el daño que causaría. La probabilidad alta y el impacto alto quedan en la esquina roja, y los niveles bajos en ambos ejes, en la esquina verde. Los directivos lo usan para ver de un vistazo dónde centrar la atención.
Es una de las herramientas más habituales de la gestión de riesgos y una de las más fáciles de usar mal. Esta guía muestra cómo construir una matriz de riesgos de 5x5, cómo puntuarla y colorearla, cómo reflejar el apetito de riesgo y qué dice la investigación sobre sus límites.
Cómo funciona un mapa de calor de riesgos de 5x5
La cuadrícula tiene cinco niveles de probabilidad en un eje y cinco niveles de impacto en el otro, lo que da 25 celdas.
Una forma habitual de obtener una puntuación es multiplicar las dos valoraciones. Un riesgo valorado como Probable (4) y Grave (4) puntúa 16. Las puntuaciones van de 1 a 25.
Los colores agrupan después las puntuaciones en niveles de acción. Estos rangos son un punto de partida habitual, no un estándar. Define los tuyos.
| Puntuación | Nivel | Color | Respuesta habitual |
|---|---|---|---|
| 1 a 4 | Bajo | Verde | Vigilar en las revisiones periódicas |
| 5 a 12 | Medio | Amarillo | Asignar un responsable y un plan de mitigación |
| 15 a 25 | Alto | Rojo | Escalar a la dirección y actuar de inmediato |
No encontramos ningún estándar que exija estos colores. La guía de COSO sobre evaluación de riesgos nombra niveles y no colores, y el semáforo es simplemente la convención conocida.
Cómo crear un mapa de calor de riesgos en 6 pasos
- Define el alcance y el horizonte temporal. "Probable" no significa nada hasta que dices en qué periodo, por ejemplo los próximos 12 meses.
- Enumera los riesgos. Describe cada uno como un suceso y su consecuencia, por ejemplo "el proveedor clave falla, lo que retrasa la entrega un trimestre".
- Define cada nivel en términos sencillos. Por ejemplo, Probable podría significar una probabilidad del 60 al 80 % y Grave podría significar una pérdida superior a un importe determinado. Son ejemplos, así que elige rangos que se ajusten a tu organización.
- Valora los riesgos en conjunto. Las distintas áreas discreparán, y esa conversación suele ser la parte más útil.
- Sitúa los riesgos en la cuadrícula y coloréala, y luego nombra un responsable para cada riesgo por encima de tu línea de acción.
- Fija una fecha de revisión. Un mapa que solo se actualiza una vez al año pronto deja de describir la realidad.
Ejemplo práctico
Estos riesgos son ficticios y se incluyen a modo de ilustración.
| Riesgo | Probabilidad | Impacto | Puntuación | Nivel |
|---|---|---|---|---|
| Se va un ingeniero clave | Probable (4) | Grave (4) | 16 | Alto |
| El proveedor principal sube los precios | Posible (3) | Moderado (3) | 9 | Medio |
| Nueva regulación en un mercado | Improbable (2) | Grave (4) | 8 | Medio |
| No se renueva el contrato de alquiler de la oficina | Raro (1) | Menor (2) | 2 | Bajo |
Riesgo inherente frente a riesgo residual
El riesgo inherente es la valoración antes de aplicar controles. El riesgo residual es la valoración después de ellos. Un mapa que mezcla ambos compara cosas distintas. Elige uno para la vista principal, o dibuja una flecha desde la posición inherente de cada riesgo hasta su posición residual para mostrar lo que consigue la mitigación.
Cómo mostrar el apetito de riesgo en un mapa de calor
El apetito de riesgo es cuánto riesgo está dispuesta a aceptar una organización para alcanzar sus objetivos. En un mapa de calor, determina dónde se sitúan los límites de los colores.
Risk Assessment in Practice, de COSO, explica que los límites de los niveles se desplazan con el apetito: más apetito los traslada hacia la esquina superior derecha, y más cautela los traslada hacia la inferior izquierda. También señala que los límites pueden ser asimétricos, dando más peso al impacto que a la probabilidad.
Por tanto, el mismo riesgo puede ser rojo para una organización y amarillo para otra. Acuerda los límites a nivel de dirección o de consejo antes de situar nada, para que nadie los mueva y los adapte a un resultado.
COSO también describe añadir otra variable, como usar el tamaño del punto para mostrar la rapidez con la que podría materializarse un riesgo.
Matriz de riesgos de 3x3 frente a 5x5
| 3x3 | 5x5 | |
|---|---|---|
| Celdas | 9 | 25 |
| Ideal para | Equipos pequeños, una primera pasada rápida | Listas de riesgos más largas, informes periódicos |
| Fortaleza | Rápida y sencilla | Separa los riesgos con más finura |
| Debilidad | La mayoría de los riesgos se agrupan en el centro | Puede sugerir una precisión que no tienes |
Empieza con la cuadrícula más simple que aún cambie decisiones. Más celdas solo ayudan si las personas pueden distinguir los niveles con honestidad.
Lo que dice la investigación sobre los límites de los mapas de calor
La crítica más conocida es el artículo de Tony Cox de 2008, "What's Wrong with Risk Matrices?", en la revista Risk Analysis. Descubrió que las matrices típicas solo pueden comparar de forma correcta e inequívoca menos del 10 % de los pares de peligros seleccionados al azar, y que pueden asignar valoraciones más altas a riesgos cuantitativamente menores. Su conclusión no es abandonarlas, sino usarlas con cautela y con una explicación cuidadosa.
Trabajos posteriores van más lejos. Una revisión de Krisper de 2021 cataloga 24 problemas y aboga por métodos cuantitativos en su lugar, y Douglas Hubbard es un destacado crítico de los métodos de puntuación en general.
Cuatro límites importan más en la práctica.
Inversión de riesgos
Este es un ejemplo que construimos nosotros. El riesgo X tiene un 20 % de probabilidad de una pérdida de EUR 500.000, una pérdida esperada de EUR 100.000. El riesgo Y tiene un 80 % de probabilidad de una pérdida de EUR 50.000, una pérdida esperada de EUR 40.000.
| Riesgo | Probabilidad | Impacto | Puntuación | Pérdida esperada (EUR) |
|---|---|---|---|---|
| X | Improbable (2) | Grave (4) | 8 | 100.000 |
| Y | Probable (4) | Moderado (3) | 12 | 40.000 |
En esta escala la matriz coloca a Y por encima de X, aunque X tiene más del doble de pérdida esperada. La cuadrícula ha invertido el orden.
Compresión de rangos
Cada celda abarca un rango amplio. Una pérdida de EUR 300.000 y otra de EUR 3 millones pueden caer en la misma columna de impacto y parecer idénticas.
Aritmética falsa
Los números del 1 al 5 son etiquetas de categorías ordenadas, no mediciones. COSO señala que no son adecuados para operaciones matemáticas, aunque algunas organizaciones los multiplican para una clasificación preliminar. Usa las puntuaciones para ordenar una lista, no para afirmar que un riesgo es exactamente el doble que otro.
Valoraciones estáticas y subjetivas
Las valoraciones reflejan el criterio de las personas presentes en la sala ese día. Calíbralas con definiciones compartidas y actualízalas cuando algo cambie, en lugar de esperar al ciclo anual.
Cómo tomar mejores decisiones con tu mapa de calor
- Mira con atención la zona amarilla. Esos riesgos son los que más probablemente se gestionen por debajo de lo necesario, porque el color sugiere que no hay urgencia.
- Usa rangos para tus mayores riesgos. Un rango como EUR 200.000 a EUR 800.000 dice más que un único nivel de impacto.
- Trata los empates como una invitación a debatir, no como un resultado.
- Para los principales riesgos, estima el coste y el beneficio de la mitigación en dinero, ya que un color por sí solo no te dice cuánto gastar.
Mapa de calor de riesgos frente a registro de riesgos
| Mapa de calor | Registro de riesgos | |
|---|---|---|
| Finalidad | Muestra dónde mirar | Registra qué hacer |
| Formato | Cuadrícula visual | Tabla detallada |
| Contiene | Posición y nivel | Descripción, puntuación, responsable, acciones, fechas |
| Audiencia | Consejos y dirección | Responsables y gestores de riesgos |
Necesitas ambos. Construye primero el registro y deja que guíe el mapa. Consulta cómo crear un registro de riesgos que funcione.
Cómo dar seguimiento a los riesgos en Aitraxus
En la Gestión de Riesgos de Aitraxus añades cada riesgo con una categoría, una probabilidad y un impacto, y la puntuación y el nivel se calculan por ti. Los riesgos se ordenan con la puntuación más alta primero. Cada uno tiene un responsable y un estado, las acciones de mitigación tienen responsables y fechas de vencimiento, las acciones vencidas se marcan en rojo y las puntuaciones residuales muestran cuánto reduce el riesgo una acción.
Para saber más, lee cómo gestionar los riesgos estratégicos y nuestra guía de software para informes al consejo.
Fuentes
- Cox, "What's Wrong with Risk Matrices?", Risk Analysis 28(2), 2008
- COSO, Risk Assessment in Practice, 2012
- Krisper, "Problems with Risk Matrices Using Ordinal Scales", 2021 preprint
Preguntas frecuentes
¿Qué es un mapa de calor de riesgos?
Es una cuadrícula de colores que sitúa los riesgos según su probabilidad y su impacto, para que los directivos vean rápidamente qué riesgos requieren más atención.
¿Cuál es la diferencia entre una matriz de riesgos y un mapa de calor?
Los términos suelen usarse como sinónimos. Una matriz de riesgos es la cuadrícula de niveles de probabilidad e impacto, y un mapa de calor es esa cuadrícula mostrada con colores y con los riesgos situados en ella.
¿Cómo se calcula una puntuación de riesgo de 5x5?
Valora la probabilidad de 1 a 5 y el impacto de 1 a 5, y luego multiplícalos para obtener una puntuación de 1 a 25. Usa el resultado para ordenar y agrupar los riesgos, y no como una medición precisa.
¿Qué puntuación indica un riesgo alto en una matriz de 5x5?
Depende de tu apetito de riesgo. Un punto de partida habitual considera de 15 a 25 como alto, de 5 a 12 como medio y de 1 a 4 como bajo.
¿Qué significan los colores de un mapa de calor de riesgos?
Normalmente el verde significa riesgo bajo que se vigila, el amarillo significa riesgo medio que necesita un responsable y un plan, y el rojo significa riesgo alto que requiere acción y escalado.
¿Con qué frecuencia debe actualizarse un mapa de calor de riesgos?
Revísalo en un ciclo regular, por ejemplo trimestral, y siempre que cambie algo importante. Los riesgos principales merecen una atención más frecuente.
¿Por qué se critican las matrices de riesgos?
La investigación muestra que pueden valorar riesgos menores por encima de otros mayores, agrupar riesgos muy distintos y depender de valoraciones subjetivas. Son útiles para priorizar el debate, pero débiles como base para decisiones precisas.
Prueba Aitraxus gratis y abre el proyecto de demostración ACME para ver un registro de riesgos puntuado.