Gestión de riesgos empresariales y matriz de riesgos
Construimos con tu empresa una metodología de riesgos que la gerencia entienda y use para decidir, y la dejamos funcionando en la plataforma.
Una matriz de riesgos es útil cuando permite responder qué puede afectar los objetivos de la empresa, qué tan probable es, qué haría la empresa si ocurre y quién se encarga de controlarlo.
Diseñamos la metodología (criterios de probabilidad e impacto, niveles de riesgo y nivel aceptado), identificamos los riesgos por proceso con los responsables de cada área y evaluamos los controles que existen, con su evidencia. El resultado es el riesgo residual y un plan de acción para los riesgos que quedan por encima del nivel aceptado.
Tomamos como referencia ISO 31000 y COSO. Son marcos de referencia, no normas obligatorias, y los adaptamos al tamaño de la empresa.
¿A quién le aplica?
A empresas que quieren ordenar sus riesgos para tomar decisiones, a las que deben gestionar riesgos por un sistema específico (SAGRILAFT, PTEE, protección de datos, SST) y a las que reportan a una junta directiva que pide información sobre exposición.
En una empresa pequeña la metodología puede ser simple: pocas categorías, una escala de cinco niveles y una revisión anual.
Qué recibe tu empresa
Metodología de riesgos
Escalas de probabilidad e impacto, niveles de riesgo, nivel aceptado por la empresa y reglas para escalar o aceptar formalmente un riesgo.
Identificación por proceso
Talleres con los responsables de cada área para identificar eventos, causas y consecuencias.
Evaluación de controles
Tipo de control (preventivo, detectivo o correctivo), responsable, frecuencia, evidencia y efectividad.
Riesgo residual y plan de acción
Cálculo del riesgo después de controles, tratamiento de los riesgos fuera del nivel aceptado y seguimiento con responsables y fechas.
Informe para la gerencia y la junta
Mapa de calor, riesgos principales, avance de los planes de acción y cambios frente al periodo anterior.
Del diagnóstico al plan de trabajo
- Revisamos cómo opera hoy la empresa y qué documentos y controles tiene.
- Entregamos el diagnóstico de brechas con su prioridad.
- Acordamos el plan de trabajo, los responsables y las fechas.
- Acompañamos la implementación y el seguimiento.
Hablemos de tu caso
Cuéntanos a qué se dedica tu empresa y qué necesitas. Te respondemos con una propuesta ajustada a su tamaño y a su nivel de riesgo.
También puedes empezar con el diagnóstico gratuito.
Preguntas frecuentes sobre Gestión de riesgos
¿Es obligatorio tener una matriz de riesgos?
No existe una obligación general para todas las empresas. Sí la exigen algunos sistemas, como el SAGRILAFT, el PTEE o el SG-SST, cada uno con su propio alcance. Fuera de esos casos es una herramienta de gestión que la empresa adopta por decisión propia.
¿Qué es el riesgo residual?
Es el nivel de riesgo que queda después de considerar los controles que la empresa tiene y que funcionan. Si un control no tiene evidencia de ejecución, no debería reducir el riesgo.
¿Qué es GRC?
Son las siglas en inglés de gobierno, riesgo y cumplimiento: la gestión conjunta de quién decide, qué puede salir mal y qué obligaciones debe atender la empresa.
Esta página es informativa y no reemplaza el análisis del caso concreto de cada empresa.