Una matriz de riesgo cruza la probabilidad de que una amenaza ocurra con el impacto que causaría. El resultado muestra qué riesgos piden acción inmediata y cuáles pueden esperar. Es la herramienta que convierte una lista interminable de amenazas en un orden de prioridades que se sostiene ante el directorio. Esta guía muestra cómo construir una matriz consistente, definir probabilidad e impacto sin conjeturas, elegir la escala y evitar los errores que vacían el ejercicio.
El punto de partida suele ser incómodo. Una hoja de cálculo con decenas de riesgos, todos marcados como "altos", y ninguna forma clara de decidir por dónde empezar. La matriz lo resuelve dando a cada riesgo una posición relativa. La conversación deja de ser "todo es urgente" y pasa a ser "estos cinco riesgos van primero, y por estas razones".
Qué es una matriz de riesgo y para qué sirve en GRC
La matriz de riesgo es una representación visual, normalmente en forma de cuadrícula, que ubica cada riesgo según dos ejes: la probabilidad de ocurrencia y la severidad del impacto. La combinación de esos dos valores genera un nivel de riesgo, que suele traducirse en franjas de color. El resultado es un mapa que muestra, de un vistazo, dónde se concentra la exposición de la organización.
Dentro de un programa de GRC, la matriz cumple tres funciones prácticas. Primero, crea un lenguaje común: el equipo técnico, el área jurídica y la dirección discuten el mismo riesgo con los mismos criterios. Segundo, orienta la asignación de recursos, porque el presupuesto y el tiempo son finitos y deben ir adonde la exposición es mayor. Tercero, genera trazabilidad, ya que cada decisión de aceptar, mitigar, transferir o evitar un riesgo queda registrada con su justificación.
El contexto hace este trabajo cada vez más exigente. En Brasil, el costo medio de una filtración de datos fue de R$ 7,19 millones (reales brasileños) en la edición 2025 del informe Cost of a Data Breach de IBM, que abarcó filtraciones de marzo de 2024 a febrero de 2025 (comunicado de IBM, en portugués). La edición 2026 elevó la cifra a R$ 7,44 millones. Con cifras de ese orden, priorizar riesgos deja de ser un ejercicio de cumplimiento y pasa a ser una decisión financiera. Pero la matriz, por sí sola, no dice cuánto cuesta cada riesgo. Ese límite es el tema del artículo La matriz 5×5 no dice cuánto cuesta el riesgo, y volvemos a él más adelante.
La base metodológica proviene de normas consolidadas. La ISO 31000:2018, norma internacional de directrices para la gestión de riesgos, describe el proceso de apreciación del riesgo en tres etapas: identificación, análisis y evaluación. No impone una matriz. Las técnicas para ejecutar esas etapas están en la IEC 31010:2019, que complementa la ISO 31000 y trata la matriz de consecuencia y probabilidad como una técnica entre varias, útil sobre todo para clasificar y filtrar riesgos. Anclar los criterios de la matriz en ese proceso evita que se perciba como opinión y facilita defenderla en auditorías. En seguridad de la información, la ISO 27005 aplica la misma lógica al análisis de riesgos que exige la ISO 27001.
Cómo definir probabilidad e impacto de forma consistente
La consistencia es lo que separa una matriz útil de un ejercicio de conjeturas. El problema más común rara vez está en la estructura de la cuadrícula, sino en la falta de criterios escritos para los dos ejes. Cuando "probabilidad media" significa cosas distintas para cada evaluador, toda la matriz pierde valor. La regla práctica es sencilla: defina rangos objetivos para cada nivel, documéntelos y exija que todos los apliquen.
Para la probabilidad, prefiera rangos anclados en frecuencia siempre que sea posible. Un ejemplo de escala de cinco niveles, sin huecos entre los rangos:
- Muy baja (1): menos de una vez cada cinco años.
- Baja (2): una vez cada dos a cinco años.
- Media (3): una vez cada uno o dos años.
- Alta (4): de dos a once veces al año.
- Muy alta (5): mensualmente o con mayor frecuencia.
Para el impacto, el error recurrente es medirlo todo solo en dinero. Un criterio robusto combina dimensiones distintas y usa la más severa para clasificar el riesgo. Las dimensiones más comunes son:
- Financiera: pérdida directa, multas y costos de recuperación.
- Operativa: tiempo de interrupción de procesos críticos.
- Regulatoria: exposición a sanciones de la LGPD (Ley General de Protección de Datos de Brasil), a exigencias del Consejo Monetario Nacional (CMN) y del Banco Central de Brasil o de otros reguladores aplicables.
- Reputacional: erosión de la confianza de clientes, socios y mercado.
Los vectores de amenaza también deben informar la probabilidad. Según el Data Breach Investigations Report 2026 de Verizon, el 31% de las filtraciones comenzó con la explotación de vulnerabilidades, que por primera vez en 19 años superó al robo de credenciales como principal puerta de entrada. El mismo informe señala que el 48% de las filtraciones involucró a un tercero, lo que pesa en la probabilidad de los riesgos ligados a proveedores (vea el artículo sobre riesgo de terceros y la Resolución CMN 4.893). Para vulnerabilidades específicas, señales como EPSS y el catálogo KEV ayudan a calibrar la probabilidad con evidencia y no con percepción, como muestra la guía sobre priorizar vulnerabilidades con CVSS, EPSS y KEV.
La matriz 5x5 y los criterios de priorización
La escala 5x5 es una de las más usadas en programas de GRC porque equilibra granularidad y simplicidad. Con cinco niveles en cada eje, produce 25 combinaciones, suficientes para distinguir riesgos cercanos sin la falsa precisión de escalas de diez niveles, en las que la diferencia entre un 7 y un 8 es imposible de justificar. La 3x3, en cambio, suele ser demasiado gruesa y apila riesgos distintos en la misma celda.
En la práctica, la puntuación de cada riesgo suele resultar de multiplicar los dos ejes. Un riesgo de probabilidad 4 e impacto 5 recibe 20; otro de probabilidad 2 e impacto 3 recibe 6. Un ejemplo de franjas de severidad, que cada organización debe ajustar a su apetito de riesgo:
- Verde (bajo, 1 a 4): riesgo aceptable, monitoreo de rutina.
- Amarillo (moderado, 5 a 9): exige un plan de mitigación con plazo definido.
- Naranja (alto, 10 a 15): requiere tratamiento prioritario y aprobación de nivel gerencial.
- Rojo (crítico, 16 a 25): exige acción inmediata y visibilidad ejecutiva.
La puntuación es un orden, no una cantidad. Probabilidad e impacto en cinco escalones son etiquetas ordinales: 20 no es el doble de 10, y sumar las puntuaciones de treinta riesgos no da la exposición total. Dentro de "impacto 5" caben pérdidas que difieren en dos órdenes de magnitud. La matriz funciona bien para clasificar y ordenar. Cuando la decisión es de presupuesto, entre riesgos que ya están en rojo, conviene cuantificar en dinero y probabilidad, como explican los artículos La matriz 5×5 no dice cuánto cuesta el riesgo y Cyber Risk Quantification (CRQ).
La priorización, por lo tanto, no debe detenerse en la puntuación. Dos riesgos con la misma nota pueden tener urgencias distintas. Criterios de desempate útiles incluyen la velocidad con que el riesgo puede materializarse, el costo y la viabilidad del control disponible y la concentración de exposición, es decir, si un mismo control fallido afecta a varios riesgos a la vez. Priorizar solo por la puntuación es un comienzo; considerar estos factores es lo que distingue a un programa maduro.
Conviene distinguir, en la propia matriz, el riesgo inherente del riesgo residual. El inherente es la exposición antes de cualquier control; el residual es lo que queda después de aplicar los controles. Una matriz que muestra solo el inherente sobrestima la exposición; una que muestra solo el residual puede ocultar la dependencia de un único control. Los programas sólidos representan ambos y siguen la distancia entre ellos.
Errores frecuentes y cómo corregirlos
Algunos errores se repiten con frecuencia y le quitan valor a la matriz. Reconocerlos es la mitad de la corrección.
- Escalas subjetivas. Cuando "alto" y "medio" no tienen una definición escrita, cada evaluador clasifica a su manera. Corríjalo documentando rangos objetivos y capacitando a los evaluadores con ejemplos.
- Impacto medido solo en dinero. Los riesgos regulatorios y reputacionales quedan subestimados cuando el único criterio es financiero. Corríjalo usando varias dimensiones de impacto y clasificando por la más severa.
- Matriz estática. Una matriz armada una vez y nunca revisada envejece rápido, porque el entorno cambia. Corríjalo definiendo un ciclo de reevaluación y disparadores de actualización, como la incorporación de un proveedor crítico o un cambio regulatorio.
- Concentración artificial en el centro. Los evaluadores tienden a evitar los extremos y apilan todo en la franja "media". Corríjalo exigiendo una justificación escrita para cada clasificación y revisando los casos atípicos.
- Matriz desconectada de los controles. Una matriz que no se vincula con los controles existentes se vuelve un documento decorativo. Corríjalo asociando cada riesgo a los controles que lo tratan y a su responsable.
El quinto error es el más caro a largo plazo. Sin conexión entre riesgos, controles y responsables, la organización pierde la capacidad de responder a una pregunta simple del directorio: "¿este riesgo está bajo control hoy?". Esa trazabilidad es lo que una gestión de riesgos corporativos madura necesita sostener, y el tema se analiza en la guía sobre software de gestión de riesgos corporativos en Brasil.
Automatizar la matriz de riesgo con plataformas de GRC
La hoja de cálculo sirve para empezar, pero no escala. Cuando el inventario crece a cientos de riesgos repartidos entre unidades de negocio, proveedores y marcos de referencia, mantener la matriz al día a mano consume tiempo e introduce errores. Es entonces cuando una plataforma de GRC se vuelve una necesidad operativa.
Una buena plataforma cambia la matriz de tres formas. Primero, conecta cada riesgo con los activos, controles y responsables correspondientes, de modo que la clasificación refleja el estado actual de los controles y no una foto antigua. Segundo, facilita mantener viva la priorización: cuando un control falla o surge un nuevo vector de amenaza, queda claro qué riesgos deben reevaluarse, sin rehacer toda la cuadrícula. Tercero, reutiliza el mismo inventario de controles entre marcos como ISO 27001, LGPD, SOC 2 y NIST CSF, en lugar de mantener la misma información en varios lugares.
Esa integración es lo que Eagle, la plataforma de Enterprise Risk Intelligence de Futture, fue pensada para ofrecer. En lugar de tratar la matriz como un documento aislado, Eagle reúne taxonomía de riesgos, apetito, tolerancia y mapas de calor en un mismo modelo y conecta los escenarios de riesgo con activos, proveedores, controles y exposición cibernética, del riesgo inherente al residual. La IA apoya la clasificación y la priorización por contexto, pero el modelo es human-in-the-loop: el usuario revisa, aprueba, rechaza o ajusta cada resultado relevante, y la decisión de aceptar o tratar un riesgo sigue siendo humana y trazable.
La automatización no sustituye el juicio. Reduce el trabajo mecánico que hoy consume buena parte del tiempo de los equipos de riesgo, como recopilar evidencias, actualizar hojas de cálculo y conciliar marcos, y devuelve ese tiempo al análisis que realmente requiere experiencia. Una matriz conectada es una matriz que la organización puede mantener confiable mes tras mes, no solo el día de la auditoría.
Próximo paso
Empiece por auditar la matriz que ya tiene. Elija los cinco riesgos clasificados como más altos y verifique tres cosas en cada uno: si los criterios de probabilidad e impacto están documentados, si hay un control asociado con un responsable designado y si la clasificación se revisó dentro del ciclo que define su política, por ejemplo en los últimos tres meses. Donde alguna respuesta sea "no", habrá encontrado la próxima prioridad de su programa de riesgos y un caso concreto para justificar el paso de la hoja de cálculo a una plataforma conectada.
Para profundizar: Cómo el CISO debe reportar el riesgo cibernético al directorio.
Preguntas frecuentes
¿Qué es una matriz de riesgo?
Es una herramienta visual que cruza la probabilidad de que un riesgo ocurra con el impacto que causaría y clasifica cada amenaza en una escala de severidad. Sirve para priorizar dónde la organización debe invertir atención y recursos primero.
¿Cuál es la diferencia entre una matriz 3x3 y una 5x5?
La 3x3 usa tres niveles de probabilidad e impacto y es más simple, pero gruesa. La 5x5 usa cinco niveles en cada eje, lo que da granularidad suficiente para distinguir riesgos cercanos sin la falsa precisión de escalas mayores. La 5x5 es una de las escalas más usadas en programas de GRC, pero sigue siendo ordinal: sirve para ordenar, no para decir cuánto cuesta un riesgo.
¿Cómo definir probabilidad e impacto de forma objetiva?
Defina por escrito rangos claros para cada nivel. La probabilidad puede usar la frecuencia esperada por año; el impacto puede combinar pérdida financiera, interrupción operativa, exposición regulatoria y daño reputacional, clasificando por la dimensión más severa. El objetivo es que dos evaluadores distintos lleguen al mismo resultado.
¿Con qué frecuencia debe revisarse la matriz de riesgo?
No hay un plazo único. La ISO 31000 pide que el seguimiento y la revisión se planifiquen como parte del proceso, y muchas organizaciones adoptan ciclos trimestrales o semestrales. Lo esencial es definir el ciclo en la política y reevaluar siempre que haya un cambio relevante, como un nuevo proveedor crítico, un cambio regulatorio o un incidente.
Referencias oficiales
- IBM — El costo medio de una filtración de datos en Brasil alcanza R$ 7,19 millones (Cost of a Data Breach 2025)
- IBM — Cost of a Data Breach Report 2026
- Verizon — 2026 Data Breach Investigations Report (comunicado, mayo de 2026)
- ISO 31000:2018 — Risk management — Guidelines
- IEC 31010:2019 — Risk management — Risk assessment techniques