Medir el riesgo
con precisión científica
En la Página 1 conociste el dragón. Ahora aprendes a pesarlo y ubicarlo en el mapa. La fórmula R = P × I × V transforma la percepción subjetiva en inteligencia estratégica que la Alta Dirección puede usar para decidir.
El Gerente C sabía algo
que los otros no sabían medir
En la Página 1 conociste tres gerentes ante el mismo incendio. El Gerente C respondió en 20 minutos. ¿Por qué? Porque no solo identificó el riesgo — lo midió. Tenía un número: conocía la Probabilidad, el Impacto y la Vulnerabilidad de sus controles.
Esta página te enseña a calcular ese número con la precisión que los estándares internacionales exigen.
La Fórmula del Riesgo: R = P × I × V
Adoptada por los marcos RISK, ISO 31000 y COSO ERM. Convierte la incertidumbre en un número que cualquier directivo puede entender, comparar y usar para tomar decisiones de tratamiento.
Fórmula Estándar · RISK Framework / ISO 31000 / COSO ERM
R_inherente = P × I × 1.0 · R_residual = P × I × V · Ejemplo: P=4, I=5, V=1.0 → R_inh=20 🔴 → Con V=0.3 → R_res=6.0 🟡
Riesgo inherente vs. riesgo residual
La V de la fórmula es el puente entre ambos. Entender esta diferencia define cuánto invierten las organizaciones en controles y cómo justifican esa inversión ante la Junta Directiva.
Riesgo Inherente
R_inh = P × I × 1.0
La exposición bruta antes de cualquier control. V=1.0 porque no existe ninguna barrera. El "dragón en su tamaño real": sin escudo ni armadura.
Línea base para cuantificar el valor que deben aportar los controles y justificar su costo ante la Junta.
V = 1.0 · Sin controlesRiesgo Residual
R_res = P × I × V
Lo que permanece después de los controles. V=0.3 significa que los controles absorben el 70% del riesgo inherente.
Si el residual supera el apetito definido, se requieren controles adicionales o revisión de la estrategia de tratamiento.
V < 1.0 · Con controles activosCon 2do proveedor + plan contingencia (efect. 70%): R_res = 20 × 0.30 = 6.0 🟡 Moderado ✓ Dentro del apetito
Reducción del 70% — de zona Crítica a Moderada.
"Cuando presenté por primera vez la diferencia entre riesgo inherente y residual al Comité de Auditoría, hubo un silencio de 15 segundos. Luego el Presidente preguntó: ¿por qué nadie nos había mostrado esto antes? Ese día entendí el poder de medir con precisión."
— Gerente de Riesgos Corporativos · Sector financiero, 18 años de experiencia
Arquitectura de la Gestión del Riesgo: 5 Capas
El marco RISK define cinco capas interdependientes. Haz clic en cada capa para desplegar su función. La Capa 3 (dorado) es donde te encuentras ahora.
Define los objetivos, el apetito, las tolerancias y los criterios de evaluación. Sin esta capa no existe brújula: no hay forma de saber si un riesgo es aceptable porque no existe umbral de referencia.
Output: Marco de Referencia formal con apetito declarado, tolerancias cuantificadas y criterios de escalamiento.
Construye el catálogo completo de riesgos usando las 7 categorías RISK. Un riesgo no identificado no puede ser gestionado.
Output: Risk Register con 80–150 riesgos activos en organización madura.
Aplica la fórmula a cada riesgo del registro. Produce el Riesgo Inherente (V=1.0) y el Riesgo Residual (V con controles). Posiciona cada riesgo en la Matriz de Calor 5×5.
El puente entre identificación y tratamiento. Sin medición, los tratamientos se diseñan por intuición. Con medición, cada peso invertido en controles se justifica con un número.
Diseña e implementa respuestas para reducir el riesgo residual al nivel del apetito. Cada estrategia se selecciona y justifica con los datos de la Capa 3.
Monitorea KRIs, actualiza el Risk Register y reporta a la Alta Dirección. Cierra el ciclo: el monitoreo alimenta de nuevo la Capa 1.
Frecuencia: KRIs → mensual · Risk Register → trimestral · Junta → semestral.
Las 7 categorías de riesgo que el Risk Register debe cubrir
Cada una se mide con R=P×I×V — la taxonomía determina cómo interpretar cada variable en su contexto específico.
1. Riesgo Operacional
Pérdidas por procesos inadecuados, fallas humanas, sistemas o eventos externos. Alta P con procesos manuales. V alta sin automatización ni planes de continuidad.
Operacional2. Riesgo Financiero
Exposición a tasa de interés, tipo de cambio, liquidez o crédito. V alta sin coberturas (hedging). I máximo cuando afecta la continuidad operativa.
Financiero3. Riesgo Estratégico
Amenazas a objetivos de largo plazo: disrupciones del mercado o fallas en ejecución. I máximo cuando compromete el modelo de negocio. V alta sin inteligencia competitiva.
Estratégico4. Riesgo Reputacional
Daño a imagen y credibilidad. En era digital la velocidad es altísima — un tweet puede disparar P en minutos. V alta sin protocolo de crisis activo.
Reputacional5. Riesgo de Cumplimiento
Sanciones por incumplimiento legal o regulatorio. V baja con compliance robusto. P alta en sectores regulados o en expansión geográfica.
Compliance6. Riesgo Cibernético
Amenazas a activos digitales: ransomware, brechas, ataques DDoS. P creciente globalmente. Un SOC 24/7 con MFA puede reducir V de 1.0 a 0.2.
Cyber7. Riesgo ESG / Ambiental
Impactos ambientales, sociales y de gobernanza. Con CSRD e ISSB en auge, la V de empresas sin estrategia ESG escala rápidamente. El I incluye pérdida de acceso a capital sostenible.
ESG← Desliza horizontalmente o usa las flechas →
El riesgo tiene muchos rostros
← Desliza horizontalmente →
"Muchos gerentes ven el mapa de calor como un trámite regulatorio. Los que lo usan como herramienta de decisión son los que logran que la Alta Dirección apruebe los presupuestos de control sin cuestionarlos. El número convence donde las palabras no llegan."
— Director de Riesgos · Empresa del sector energético, COSO ERM implementado
Calcula el riesgo en tiempo real
Ajusta los cuatro parámetros. El mapa de calor se actualiza al instante: el ● blanco = Riesgo Inherente y el ◈ dorado = Riesgo Residual.
Zonas: 🟢 Bajo ≤5 · 🟡 Moderado 6–9 · 🟠 Alto 10–14 · 🔴 Crítico ≥15
Criterios avanzados de evaluación del riesgo
Cinco secciones que cubren los conceptos que diferencian al gestor de riesgos profesional.
Los criterios de evaluación son los parámetros que la organización establece para decidir si el riesgo residual es aceptable o requiere tratamiento adicional. Deben definirse antes de iniciar el proceso.
- Apetito de Riesgo: Nivel y tipo de riesgo que la organización acepta conscientemente para lograr objetivos. Declaración estratégica de la Alta Dirección. Ejemplo: "Aceptamos riesgos con R_res ≤6".
- Tolerancia al Riesgo: Variación aceptable respecto al apetito. Si el apetito es R≤6, la tolerancia podría ser R≤8 bajo condiciones específicas y temporales.
- Capacidad de Riesgo: Nivel máximo absoluto que la organización puede absorber sin comprometer su viabilidad.
- Umbral de Escalamiento: Punto en que el riesgo activa protocolos automáticos de escalamiento obligatorio a la Alta Dirección.
La identificación es el paso más crítico: un riesgo no identificado no puede ser gestionado. El objetivo es construir el Risk Register más completo posible.
- Talleres de riesgo: Producen entre el 60–80% de los riesgos del registro. Requieren facilitador neutral.
- Análisis de escenarios: Identifica riesgos emergentes y de cola (tail risks) que los talleres no capturan.
- PESTEL + DAFO combinado: PESTEL revela fuentes externas; DAFO conecta con capacidades internas.
- Revisión de pérdidas históricas: Bases de datos del sector (ORX, ORIC). La historia es el mejor predictor de patrones de riesgo.
- Entrevistas a partes interesadas: Perspectivas de primera línea. Indispensable para riesgos culturales y humanos.
Semicuantitativo (R=P×I×V): El estándar más extendido. Combina practicidad con objetividad suficiente para priorizar tratamientos.
La fórmula R=P×I×V captura magnitud, pero el perfil temporal es igualmente crítico para diseñar la respuesta:
- Velocidad de materialización: ¿Horas o años? Un ciberataque impacta en horas; un riesgo climático en décadas. Determina si el control debe ser preventivo o de respuesta.
- Frecuencia esperada: P=2 que ocurre 3 veces al año es más oneroso que P=4 que ocurre una vez en 10 años.
- Persistencia del impacto: El riesgo reputacional puede persistir 5 años; un fallo técnico, 48 horas. Determina el costo total del riesgo materializado.
El mapa de calor 5×5 es la herramienta de comunicación ejecutiva más poderosa — y la más malinterpretada:
- Zona verde (R 1–5): Tolerables dentro del apetito. Aceptación formal con revisión semestral y KRIs de alerta temprana.
- Zona amarilla (R 6–9): Monitoreo activo. Plan de mejora en el ciclo presupuestal. Revisión trimestral.
- Zona naranja (R 10–14): Tratamiento prioritario. Plan de acción con responsable, plazos y recursos. Reporte mensual.
- Zona roja (R 15–25): Acción inmediata. Escalamiento obligatorio a Alta Dirección. Seguimiento semanal hasta reducir al nivel de tolerancia.
Medir el riesgo: de la teoría a la práctica
Sesión grabada con expertos aplicando R=P×I×V en escenarios reales de organizaciones latinoamericanas.
Quiz de Conceptualización del Riesgo
4 preguntas que cubren fórmula, arquitectura, tipos de riesgo y mapa de calor.
💬 ¿Qué te llevaste de este capítulo?
Tu experiencia enriquece la comunidad. Comparte un caso, una duda o un aprendizaje. Todos los comentarios son revisados y respondidos por el equipo editorial.