Toda empresa se enfrenta a más riesgos de los que puede gestionar a la vez: incendios e inundaciones, ciberataques, fallos de proveedores, demandas, pérdida de personas clave, cambios regulatorios. El mapa de riesgos es una forma sencilla y estructurada de decidir qué riesgos merecen atención primero y cómo debe tratarse cada uno, incluidos los que conviene asegurar.
Qué es un mapa de riesgos
Un mapa de riesgos suele tener dos partes. El registro de riesgos es una tabla que enumera cada riesgo con sus causas, consecuencias, responsable, controles existentes y acciones previstas. El mapa de calor es una cuadrícula que sitúa cada riesgo según su probabilidad y su impacto, de modo que los más graves destaquen visualmente. Juntos respaldan el paso de evaluación del riesgo descrito en la norma ISO 31000:2018, que divide la evaluación en identificación, análisis y valoración.
Paso 1: Defina el alcance y los criterios
Decida qué va a mapear (toda la empresa, una sede, un proyecto) y en qué horizonte temporal. Después defina las escalas de puntuación en términos sencillos. Un enfoque habitual utiliza cinco niveles de probabilidad (de rara a casi segura) y cinco de impacto (de menor a grave). Describa el impacto en unidades que entiendan sus directivos: dólares de pérdida, días de inactividad, número de personas lesionadas, consecuencias regulatorias, daño reputacional.
Paso 2: Identifique los riesgos
Utilice varias fuentes para reducir la probabilidad de puntos ciegos:
- entrevistas y talleres con jefes de departamento y personal de primera línea;
- su propio historial de pérdidas y de siniestros de seguros;
- contratos, arrendamientos y requisitos de los clientes;
- informes de incidentes del sector y orientaciones de los reguladores;
- listas de verificación por categoría: bienes, responsabilidad civil, personas, operaciones, tecnología, finanzas, estrategia, legal y cumplimiento.
Redacte cada riesgo como causa, evento y consecuencia, por ejemplo: "La falta de copias de seguridad sin conexión (causa) permite que un ransomware cifre el sistema de pedidos (evento) y detenga los envíos durante una semana (consecuencia)". Una redacción precisa facilita puntuar y tratar los riesgos.
Paso 3: Analice y puntúe
Para cada riesgo, estime la probabilidad y el impacto teniendo en cuenta los controles que ya existen. Muchas empresas registran tanto el riesgo inherente (antes de los controles) como el riesgo residual (después de los controles), lo que muestra cuánto depende el negocio de cada control. Multiplique o combine las puntuaciones para obtener una valoración, pero trátela como una guía, no como una medición precisa.
Paso 4: Dibuje el mapa de calor
Coloque cada riesgo en la cuadrícula. Los riesgos situados en la esquina de alta probabilidad y alto impacto son las máximas prioridades. Los riesgos de baja probabilidad y alto impacto, como un incendio grave, un huracán o una sentencia de responsabilidad elevada, suelen ubicarse en una zona aparte que merece atención aunque rara vez ocurran; normalmente son los riesgos más adecuados para el seguro.
Paso 5: Decida el tratamiento
| Opción | Qué significa | Ejemplo |
|---|---|---|
| Evitar | Detener la actividad que genera el riesgo | Rechazar un contrato con responsabilidad ilimitada |
| Reducir | Disminuir la probabilidad o el impacto mediante controles | Rociadores, formación de conductores, autenticación multifactor |
| Transferir o compartir | Trasladar el impacto financiero a otra parte | Seguro, cláusulas de indemnidad, externalización |
| Retener | Aceptar el riesgo de forma consciente y presupuestarlo | Deducibles, pérdidas pequeñas autoaseguradas |
Cada riesgo necesita un responsable designado y un plazo para las acciones. Sin responsables, un registro se convierte en un documento que nadie lee.
Paso 6: Conecte el mapa con el seguro
Compare el registro con sus pólizas actuales. Los hallazgos típicos incluyen valores de bienes que no se han actualizado, límites de pérdida de ingresos que no se corresponden con una inactividad realista, falta de cobertura cibernética, contratos que exigen límites de responsabilidad civil más altos o mercancías en tránsito que ninguna póliza cubre. Un mapa de riesgos bien preparado también ayuda a los suscriptores a entender su negocio, lo que puede favorecer mejores condiciones.
Límites de los mapas de calor
Los mapas de calor son fáciles de leer, pero tienen debilidades. Las puntuaciones son subjetivas, las escalas ordinales pueden ocultar grandes diferencias entre riesgos de la misma celda y los riesgos relacionados pueden combinarse en un evento mucho mayor de lo que sugiere la cuadrícula. Complemente el mapa con análisis de escenarios para las mayores exposiciones y utilice datos de pérdidas o modelos cuando existan.
Manténgalo vivo
Revise el registro al menos una vez al año y después de cambios importantes: una nueva sede, un producto, una adquisición o un incidente grave. Para un enfoque de gobierno más amplio, consulte nuestra visión general de las normas de gestión de riesgos como ISO 31000 y COSO ERM. Cuando esté listo para asegurar los riesgos que decidió transferir, solicite una cotización a través de Polis Re.