Matriz de riesgo y mapa de calor: cómo se arman, paso a paso
Las dos tablas que su supervisor pide ver, explicadas con un ejemplo de principio a fin.
Una matriz de riesgo cruza dos escalas y da un nivel en cada celda. La primera cruza la probabilidad de un evento de riesgo con su impacto y da el riesgo inherente. La segunda cruza ese riesgo inherente con la calificación de los controles y da el riesgo residual. Pintada por colores, con cada evento en su celda, es el mapa de calor.
Dos matrices, dos preguntas
La ley pide las dos, y ninguna sustituye a la otra.
La matriz de riesgo del cliente
¿Qué tan riesgoso es este cliente? Cada factor (país, actividad, producto, canal, condición PEP) tiene un peso, los pesos suman 100 %, y el resultado pone al cliente en un nivel que fija su debida diligencia y cada cuánto se revisa.
La matriz de riesgo de la entidad
¿Cómo podría alguien usar mi negocio? Mide eventos de riesgo por probabilidad e impacto, califica los controles que los mitigan y consolida el riesgo residual por factor y para la entidad en su conjunto.
El mapa de calor
La matriz de la entidad pintada por colores, con cada evento en su celda. De un vistazo, el órgano de dirección ve qué eventos están en rojo y necesitan un plan.
Las escalas
Todo empieza con escalas que define su metodología. Cuatro niveles es la elección más común; esta guía usa cuatro.
Deslice la tabla hacia el lado para ver todas las columnas.
| Nivel | Probabilidad | Impacto | Calificación del control |
|---|---|---|---|
| 1 | Baja: rara, pocos clientes u operaciones involucrados | Bajo: menor y de rápida corrección | Bueno |
| 2 | Media baja: posible | Medio bajo: notorio, sin sanción | Adecuado |
| 3 | Media alta: probable | Medio alto: una sanción, un reclamo o pérdida de clientes | Mejorable |
| 4 | Alta: frecuente, muchos clientes u operaciones | Alto: un daño grave para la entidad | Deficiente |
En la escala de controles un número más alto es un control peor. Cada escala dice cómo se mide: la probabilidad con una cantidad o un porcentaje de clientes, alertas u operaciones en un período, el impacto en cada riesgo asociado.
Los dos mapas de calor
Una celda se lee donde se cruzan una fila y una columna. En estos ejemplos cada celda es el promedio de los dos niveles, redondeado hacia arriba; su metodología puede llenar cada celda a su manera.
Riesgo inherente: probabilidad por impacto
El riesgo de un evento antes de cualquier control. Un evento de probabilidad media alta (3) e impacto alto (4) es un riesgo inherente alto.
| Probabilidad | 1 Bajo | 2 Medio bajo | 3 Medio alto | 4 Alto |
|---|---|---|---|---|
| 4 Alta | 3 Medio alto | 3 Medio alto | 4 Alto | 4 Alto |
| 3 Media alta | 2 Medio bajo | 3 Medio alto | 3 Medio alto | 4 Alto |
| 2 Media baja | 2 Medio bajo | 2 Medio bajo | 3 Medio alto | 3 Medio alto |
| 1 Baja | 1 Bajo | 2 Medio bajo | 2 Medio bajo | 3 Medio alto |
Columnas: impacto. Filas: probabilidad, de alta arriba a baja abajo.
Riesgo residual: riesgo inherente por calificación del control
Lo que queda después de los controles. Un riesgo inherente alto (4) con un control mejorable (3) sigue alto; el mismo riesgo con un control bueno (1) baja a medio alto.
| Riesgo inherente | 1 Bueno | 2 Adecuado | 3 Mejorable | 4 Deficiente |
|---|---|---|---|---|
| 4 Alto | 3 Medio alto | 3 Medio alto | 4 Alto | 4 Alto |
| 3 Medio alto | 2 Medio bajo | 3 Medio alto | 3 Medio alto | 4 Alto |
| 2 Medio bajo | 2 Medio bajo | 2 Medio bajo | 3 Medio alto | 3 Medio alto |
| 1 Bajo | 1 Bajo | 2 Medio bajo | 2 Medio bajo | 3 Medio alto |
Columnas: calificación del control. Filas: riesgo inherente. Un control mejor (a la izquierda) baja el riesgo residual.
Discreta, continua o aritmética
Tres formas comunes de obtener el riesgo residual. La metodología elige una, y se aprueba con ella.
Matriz discreta
Solo niveles enteros: la celda donde se cruzan el nivel inherente y la calificación del control da el nivel residual. Es la de arriba, y la más fácil de leer para un órgano de dirección.
Matriz continua
Cada nivel dividido en cuartos (3,25, 3,50, 3,75…). Muestra el movimiento dentro de un nivel: un residual de 3,25 sigue siendo alto, pero está cerca de medio alto.
Aritmética
Un promedio o un promedio ponderado del riesgo inherente y la calificación del control, sin tabla. El resultado se convierte en nivel con la misma escala.
Un ejemplo de principio a fin
Un evento, de su probabilidad al plan, con el redondeo conservador: una cifra con decimales sube al nivel siguiente.
El evento
Clientes que pagan en efectivo montos que no corresponden con su actividad declarada.
Probabilidad: 3
El 18 % de los clientes pagó en efectivo en el período. La metodología pone del 15 % al 25 % en el nivel 3, medio alto.
Impacto: 3
Reputacional 4, legal o de cumplimiento 3, operativo 2, de contagio 2. El promedio es 2,75, que sube a 3.
Riesgo inherente: 3
Probabilidad 3 e impacto 3 se cruzan en la celda medio alto de la matriz de riesgo inherente.
Controles: 3
Dos controles: un límite de efectivo calificado 2 y una revisión del origen de los fondos calificada 3. El promedio es 2,5, que sube a 3, mejorable.
Riesgo residual: 3, y el plan
Inherente 3 y control 3 dan un residual medio alto. Si la metodología pide acciones adicionales desde medio alto, el evento va al plan de fortalecimiento.
Cómo los arma COX
Su metodología fija las escalas y las celdas; COX calcula y ubica cada evento.
Calculado, nunca escrito
A una fecha de corte COX calcula la probabilidad, el impacto, el riesgo inherente, la calificación de los controles y el riesgo residual de cada evento. El mismo dato da siempre el mismo mapa.
Probabilidad contada desde sus expedientes
PEP, nacionalidad extranjera, personas jurídicas, clientes de alto riesgo, países en las listas del GAFI y canales no presenciales se cuentan desde los expedientes que ya tiene en COX.
Cada evento en su celda
El mapa de calor ubica cada evento por su riesgo inherente y su nivel de control. Los eventos sin controles van aparte, y los que no se pudieron calcular se nombran, nunca se pierden.
Redondeado hacia arriba, la lectura conservadora
Una cifra con decimales sube al nivel siguiente: un 2,1 ya es el nivel 3. Para la calificación combinada de varios controles, la metodología elige hacia arriba o al más cercano.
Controles calificados con sus pruebas
Un control se califica por si está documentado, si es preventivo o de detección, cada cuánto corre, y el cumplimiento y la efectividad que midieron sus pruebas registradas.
En el informe y en Excel
El mismo mapa de calor va en el informe sellado al órgano de dirección, y las matrices se exportan a Excel. Una cifra vacía queda vacía: el mapa nunca muestra un cero que nadie midió.
Preguntas frecuentes
Arme su mapa de calor desde sus propios expedientes
Abra su cuenta: la metodología parte de una referencia, y la evaluación cuenta desde los clientes que ya tiene.
Explore más soluciones de COX:
Evaluación de riesgo de la entidad Eventos de riesgo Siglas y definiciones