Entienda cómo estructurar una matriz de riesgos en proyectos de Ingeniería, definir criterios de probabilidad e impacto, clasificar criticidad, tratar riesgos y monitorear la exposición residual.
¡Descúbrelo!
Una matriz de riesgos es una técnica de evaluación y priorización que posiciona los riesgos según criterios previamente definidos de probabilidad o verosimilitud y consecuencia sobre los objetivos. En proyectos de Ingeniería, estos objetivos pueden involucrar plazo, coste, alcance, desempeño técnico, calidad, seguridad, medio ambiente, conformidad, disponibilidad, operación, contratación y obligaciones frente a terceros.
En la práctica, la matriz ayuda a responder una pregunta de gestión: ¿qué exposiciones requieren tratamiento inmediato, cuáles necesitan monitoreo y cuáles pueden aceptarse dentro de los criterios del proyecto? No elimina la incertidumbre, no predice el futuro ni sustituye el análisis técnico especializado. Su función es transformar evaluaciones dispersas en una lógica comparable de decisión.
La matriz tampoco es una fórmula universal. La ABNT NBR ISO 31000 establece principios, estructura y proceso para la gestión de riesgos, pero no obliga al uso de una matriz 5 × 5, no fija una escala única ni determina una regla universal de multiplicación entre probabilidad e impacto. Las escalas, rangos de criticidad y criterios de decisión deben estar calibrados al contexto, a los objetivos y a la capacidad de tratamiento del proyecto.
Por ello, la calidad de una matriz depende menos de sus colores y más de la trazabilidad del razonamiento que llevó a la clasificación. Una evaluación técnicamente defendible debe dejar claro qué puede ocurrir, por qué puede ocurrir, qué consecuencias son plausibles, qué controles ya existen, cuál es la exposición actual, quién responde por el riesgo y qué se hará a continuación.
También conviene distinguir conceptos que con frecuencia aparecen mezclados. Riesgo es el efecto de la incertidumbre sobre los objetivos; problema o issue es una condición que ya ocurrió y exige tratamiento; hallazgo técnico es una constatación basada en evidencia; no conformidad es el incumplimiento de un requisito; y peligro es una fuente o situación con potencial de daño. Estos elementos pueden estar relacionados, pero no son sinónimos.
Dónde entra la matriz de riesgos en el proceso de gestión de riesgos
La matriz es una técnica de apoyo al análisis y la evaluación, no el proceso completo de gestión de riesgos. La lógica de ISO 31000 comienza por la definición de alcance, contexto y criterios; avanza hacia identificación, análisis y evaluación; sigue con el tratamiento; y permanece conectada con comunicación, consulta, monitoreo, revisión, registro y reporte.
Esto cambia la forma de utilizar la herramienta. Clasificar un riesgo como «alto» no concluye el trabajo. La clasificación debe provocar una decisión compatible con la exposición: tratarla, evitar determinada condición, modificar la probabilidad o la consecuencia, compartir la exposición, aceptarla de forma informada o profundizar el análisis cuando la incertidumbre aún sea material.
Cuando la organización necesita estructurar este ciclo de forma permanente, el servicio de Gestión de Riesgos de Ingeniería puede integrar identificación, evaluación, tratamiento, contingencia y seguimiento dentro de la gobernanza del proyecto.
Qué debe representar una matriz de riesgos
La representación más difundida utiliza probabilidad en un eje y consecuencia en el otro. Cada riesgo ocupa una celda y recibe una clase de criticidad. Esta clase puede presentarse por niveles —bajo, moderado, alto y crítico, por ejemplo— o mediante rangos numéricos asociados a reglas de decisión.
Una matriz útil debe preservar al menos cuatro elementos de interpretación:
- evento de riesgo: qué puede ocurrir;
- probabilidad: qué tan plausible es la ocurrencia dentro del horizonte analizado;
- consecuencia: qué objetivos pueden verse afectados y en qué magnitud;
- criterio de decisión: qué respuesta o nivel de autoridad exige esa combinación.
El último elemento suele olvidarse. Una matriz sin regla de decisión únicamente clasifica. Si una celda «crítica» no exige responsable, plazo, escalamiento, tratamiento y seguimiento, el color tiene poco valor operativo.
En Ingeniería, la matriz debe funcionar junto con el registro de riesgos, los planes de acción, las decisiones del proyecto y las evidencias que sustentan la evaluación. El cuadro visual es solo una parte de este sistema.
Una matriz solo es confiable cuando los criterios se definen antes de la puntuación. Si cada disciplina utiliza una escala diferente, la criticidad deja de ser comparable y la priorización pierde valor.
Antes de puntuar: defina alcance, contexto y criterios
La calidad de la puntuación depende de lo que se haya definido antes. Un mismo evento puede tener criticidad diferente en dos proyectos porque los objetivos, tolerancias, restricciones y consecuencias son distintos.
Un retraso de cinco días puede ser absorbible por una actividad con holgura y extremadamente grave cuando afecta una parada industrial, una ventana de energización, un hito regulatorio o el camino crítico. Del mismo modo, una variación de coste considerada pequeña en un programa de gran porte puede ser material en un contrato de menor valor.
Por ello, los criterios deben definirse antes de evaluar riesgos específicos. Esto reduce el sesgo de ajustar la escala según el resultado deseado y mejora la comparabilidad entre evaluaciones.
El contexto de un proyecto de Ingeniería normalmente incluye objetivos técnicos y de negocio, baseline de plazo y coste, límites contractuales, requisitos normativos, condiciones de aceptación, seguridad, entorno operativo, interfaces, disponibilidad de recursos y horizonte temporal de exposición.
La Gestión de Requisitos, Evidencias y Criterios de Aceptación está directamente relacionada con este punto. Los criterios de riesgo débiles suelen comenzar con requisitos vagos, no trazables o sin una condición objetiva de verificación.
Cómo definir la escala de probabilidad
La probabilidad representa la plausibilidad de ocurrencia dentro de un horizonte definido. La escala puede ser cualitativa, semicuantitativa o cuantitativa, pero sus niveles deben ser interpretables y consistentes entre evaluadores.
Utilizar únicamente términos como «raro», «posible» o «probable» puede generar divergencias porque cada profesional atribuye un significado diferente a esas palabras. Para reducir subjetividad, cada nivel debe tener descriptores compatibles con la realidad del proyecto y, cuando sea posible, referencias objetivas.
| Nivel ilustrativo | Interpretación | Evidencia que puede apoyar la evaluación |
| 1 — Rara | ocurrencia excepcional en el horizonte analizado | ausencia de precedentes y controles robustos |
| 2 — Improbable | posible, pero poco esperada | pocos casos comparables y baja exposición actual |
| 3 — Posible | ocurrencia plausible | precedentes, señales o condiciones favorables al evento |
| 4 — Probable | ocurrencia esperada bajo determinadas condiciones | historial recurrente o controles insuficientes |
| 5 — Casi segura | fuerte expectativa de ocurrencia | evidencia actual, recurrencia elevada o condición ya en formación |
La tabla es ilustrativa, no normativa. En un proyecto, los descriptores pueden asociarse a rangos porcentuales. En otro, puede tener más sentido utilizar frecuencia, historial de fallas, madurez del proveedor, disponibilidad de material, estabilidad del requisito u otra evidencia adecuada.
El punto técnico es que el número debe representar un criterio previamente comprendido, no una impresión intuitiva registrada después de la discusión.
Cómo definir la escala de impacto o consecuencia
El impacto no debe tratarse como una gravedad genérica. Un único evento puede afectar varios objetivos al mismo tiempo. El retraso de un equipo crítico, por ejemplo, puede afectar plazo, coste, movilización, pruebas, desempeño contractual y capacidad operativa.
Una matriz más robusta diferencia dimensiones de consecuencia y establece descriptores propios para cada una. El proyecto define entonces cómo combinar estas dimensiones o cuál prevalece.
| Dimensión | Bajo | Medio | Alto | Crítico |
| Plazo | absorbible por la holgura | exige replanificación local | afecta un hito relevante | compromete camino crítico o fecha obligatoria |
| Coste | absorbible por la gestión corriente | exige reasignación | consume contingencia relevante | amenaza límite contractual o viabilidad |
| Técnico | sin efecto funcional material | retrabajo localizado | degrada desempeño o exige rediseño | impide función esencial o aceptación |
| Calidad | desviación menor corregible | no conformidad localizada | recurrencia o falla de proceso | compromete conformidad sistémica |
| Seguridad y medio ambiente | consecuencia limitada y controlable | exposición relevante | potencial severo | consecuencia intolerable según criterios aplicables |
| Contractual | sin efecto material | exige formalización | potencial reclamación o penalidad | compromete obligación esencial |
| Operación | sin pérdida relevante | degradación localizada | indisponibilidad significativa | impide operación o continuidad crítica |
Siempre que sea posible, los descriptores deben traducirse en límites mensurables. Para plazo y coste, porcentajes, días o valores pueden reducir ambigüedad. Para seguridad, medio ambiente o conformidad, criterios legales y normativos pueden exigir reglas propias e impedir que una consecuencia intolerable sea «diluida» por el promedio de otras dimensiones.
Matriz 3 × 3, 4 × 4 o 5 × 5: cuál utilizar
No existe un tamaño universalmente correcto. Una matriz 3 × 3 es más simple, exige menos distinciones y puede funcionar bien cuando la información es limitada o cuando la organización aún está madurando sus criterios. Una matriz 5 × 5 ofrece mayor granularidad, pero solo agrega valor si los evaluadores pueden distinguir de forma consistente cinco niveles de probabilidad y cinco de consecuencia.
Más celdas no significan automáticamente un mejor análisis. Una matriz sofisticada alimentada por criterios vagos puede producir falsa precisión: el resultado parece matemático, pero la diferencia real entre una clasificación 12 y una clasificación 15, por ejemplo, quizá no esté sustentada por la calidad de las entradas.
La elección debe considerar madurez de los datos, cantidad de riesgos, capacidad de discriminación de los criterios, velocidad de decisión y consecuencia de una clasificación equivocada.
Para riesgos críticos o decisiones de alto valor, la matriz suele funcionar mejor como cribado. El resultado indica qué exposiciones deben avanzar hacia métodos de análisis más detallados.
Probabilidad × impacto: es obligatorio multiplicar
No. La multiplicación de puntuaciones es una convención semicuantitativa muy utilizada, pero no constituye una exigencia universal de ISO 31000. Si un equipo asigna probabilidad 4 y consecuencia 5 y registra «20», ese producto solo tiene sentido como mecanismo de ordenación si las escalas, los rangos y las reglas de decisión fueron concebidos para ese uso.
Existe una limitación matemática relevante: las escalas 1, 2, 3, 4 y 5 son normalmente ordinales. Ordenan categorías, pero no garantizan que la distancia entre 1 y 2 sea igual a la distancia entre 4 y 5. Por ello, el producto no debe interpretarse automáticamente como una magnitud física precisa.
Otra dificultad es la equivalencia de productos. Una combinación de baja probabilidad y consecuencia muy alta puede generar el mismo número que una combinación de alta probabilidad y consecuencia moderada, aunque las decisiones necesarias sean diferentes.
La organización puede, por tanto, definir directamente la clase de cada celda o establecer reglas de prevalencia. En determinados contextos, cualquier consecuencia intolerable puede exigir escalamiento independientemente de la probabilidad. El objetivo no es defender un cálculo específico, sino construir una regla de priorización coherente con los objetivos y con la naturaleza de los riesgos.
Cómo construir una matriz de riesgos paso a paso
Una secuencia técnicamente consistente comienza por la gobernanza y termina con una decisión verificable:
- Definir objetivos y horizonte de evaluación. Determine qué objetivos están en juego y para qué período se analizará el riesgo.
- Definir criterios de probabilidad y consecuencia. Documente descriptores, límites y fuentes de evidencia antes de evaluar casos específicos.
- Identificar eventos de riesgo. Describa causa, evento y consecuencia; evite registros genéricos como «riesgo de retraso».
- Registrar controles existentes. La exposición depende del estado real de prevención, detección y respuesta.
- Estimar la probabilidad. Utilice historial, datos, condiciones observables y juicio especializado debidamente documentado.
- Estimar las consecuencias. Evalúe las dimensiones relevantes y aplique la regla de severidad definida.
- Posicionar el riesgo en la matriz. Determine la clase según los criterios aprobados.
- Comparar con criterios de aceptación. Decida si la exposición puede aceptarse, necesita tratamiento o exige profundización.
- Definir propietario y respuesta. Asocie responsable del riesgo, acciones, recursos y plazos.
- Reevaluar el riesgo residual. Estime la exposición remanente después de los controles adicionales.
- Monitorear y revisar. Actualice la evaluación cuando cambien premisas, controles o contexto.
La secuencia muestra por qué una hoja de cálculo coloreada y aislada no es suficiente. La matriz debe estar vinculada al proceso decisorio y al historial del riesgo.
Cómo describir correctamente un riesgo de Ingeniería
Las descripciones vagas reducen la calidad de la evaluación porque dificultan estimar probabilidad y consecuencia. «Riesgo de retraso», por ejemplo, no informa qué puede provocar el retraso ni qué objetivo podría verse afectado.
Una formulación útil separa causa → evento → consecuencia. Considere este ejemplo: debido a la posibilidad de retraso en la aprobación del proyecto ejecutivo por el organismo responsable, la liberación para fabricación puede ocurrir después de la fecha base, desplazando el suministro más allá de la ventana de implantación y afectando el hito contractual de energización.
Ahora existen elementos que pueden evaluarse. El equipo puede buscar evidencia sobre plazo de aprobación, madurez del proyecto, disponibilidad de revisión preliminar, lead time de fabricación, holgura de cronograma e impacto sobre la energización.
Esta estructura también mejora el tratamiento. En lugar de una acción genérica «acompañar retraso», pueden surgir medidas como anticipar entregas para aprobación, crear una revisión preliminar, establecer hitos intermedios, reservar capacidad fabril o definir una alternativa de suministro.
Los riesgos de interfaz merecen atención especial porque suelen atravesar disciplinas y empresas. La Gestión de Interfaces en Proyectos de Ingeniería muestra cómo responsabilidades y puntos de frontera pueden hacerse explícitos antes de transformarse en retrasos o retrabajos.
Ejemplo técnico de clasificación en un proyecto multidisciplinario
Considere la modernización de una instalación con una ventana restringida de implantación. El equipo utiliza una escala de 1 a 5, previamente calibrada, y registra cuatro riesgos. Los números siguientes son únicamente didácticos; un proyecto real debe aplicar sus propios criterios.
| Riesgo | Probabilidad | Consecuencia | Clase | Decisión inicial |
| retraso de equipo de largo plazo de suministro | 4 | 5 | Crítica | tratamiento inmediato y escalamiento |
| incompatibilidad entre disciplinas | 3 | 4 | Alta | coordinación técnica y design review anticipado |
| indisponibilidad de la ventana operativa | 2 | 5 | Alta | contingencia y negociación anticipada |
| divergencia documental sin efecto funcional | 2 | 2 | Baja | corrección en el flujo y monitoreo |
El primer riesgo puede exigir estrategia de procurement, proveedor alternativo, aprobación anticipada de submittals o reserva de plazo. El segundo puede tratarse mediante compatibilización, revisión de interfaces y congelamiento de requisitos. El tercero exige gobernanza operativa y alternativa de ejecución. El cuarto puede permanecer bajo seguimiento sin consumir la misma energía de gestión que los riesgos críticos.
El valor de la matriz está precisamente en diferenciar esfuerzo, urgencia y nivel de autoridad de decisión.
Riesgo inherente, controles existentes y riesgo residual
Una evaluación madura no registra únicamente la criticidad inicial. También debe mostrar el efecto de los controles y la exposición que permanece.
El riesgo inherente representa la exposición en un escenario de referencia definido por la organización antes de considerar determinados tratamientos adicionales. El riesgo residual es la exposición remanente después de considerar medidas de control o tratamiento.
La distinción evita un error frecuente: considerar un riesgo «resuelto» simplemente porque existe una acción prevista. Una acción no implementada todavía puede retrasarse, fallar o producir una reducción menor que la esperada.
Un registro consistente puede acompañar clasificación inicial, controles existentes, tratamiento propuesto, responsable, plazo, exposición residual esperada, exposición residual efectivamente observada y evidencias de eficacia.
En proyectos de Ingeniería, esto es relevante cuando la aceptación de la exposición remanente depende de restricciones de plazo, presupuesto, tecnología o condición operativa.
Tratamiento: qué hacer después de clasificar
Clasificar el riesgo no concluye la decisión. Los riesgos altos y críticos deben convertirse en un tratamiento técnicamente ejecutable, con responsable, plazo, recursos, criterio de eficacia y reevaluación de la exposición residual.
Apoye decisiones críticas con Consultoría Técnica de Ingeniería →
Después de evaluar la criticidad, la organización selecciona una opción de tratamiento. Dependiendo de la naturaleza del riesgo, esto puede implicar evitar determinada condición, eliminar una fuente, modificar la probabilidad, reducir la consecuencia, compartir la exposición o retener el riesgo mediante una decisión informada.
La respuesta debe adquirir forma de Ingeniería. Un riesgo de incompatibilidad puede exigir revisión de proyecto. Un riesgo de proveedor puede requerir una estrategia alternativa de procurement. Un requisito indefinido puede exigir decisión formal del contratante. Un riesgo de indisponibilidad puede demandar redundancia, pruebas adicionales o un plan de contingencia.
Los tratamientos también crean riesgos secundarios. Sustituir un proveedor reduce una exposición de plazo, pero puede introducir nueva incertidumbre de homologación; agregar redundancia reduce riesgo operativo, pero puede ampliar la complejidad de integración. Por ello, el tratamiento debe analizarse como una decisión, no como un simple ítem de checklist.
La Consultoría Técnica de Ingeniería es aplicable cuando la decisión exige evaluación independiente, comparación de alternativas o definición de una respuesta técnicamente defendible antes de comprometer recursos.
Risk owner, action owner y niveles de autoridad de decisión
Todo riesgo relevante necesita un propietario del riesgo (risk owner) responsable de acompañar la exposición y asegurar que la respuesta avance. Esto no significa que la misma persona ejecutará todas las acciones.
El responsable de una acción específica puede ser otro profesional o empresa. Un gerente de proyecto puede ser propietario del riesgo de retraso de un equipo, mientras que la acción de emitir anticipadamente la especificación corresponde a Ingeniería, la negociación con el fabricante corresponde a Procurement y la aprobación corresponde al contratante.
Esta distinción reduce riesgos «sin dueño» y evita que un equipo considere el asunto cerrado porque se asignó una tarea a alguien.
La gobernanza también debe definir quién puede aceptar cada nivel de riesgo. Las exposiciones bajas pueden gestionarse dentro de la disciplina; los riesgos altos pueden exigir decisión del gerente del proyecto; las situaciones críticas pueden demandar comité técnico, patrocinador, dirección o contratante.
Matriz de riesgos, registro de riesgos y plan de acción no son lo mismo
La matriz es una representación de clasificación y priorización. El registro de riesgos mantiene los atributos y el historial de cada exposición. El plan de respuesta describe las acciones seleccionadas para modificar o administrar el riesgo.
| Elemento | Función principal | Información típica |
| Matriz de riesgos | comparar criticidad | probabilidad, consecuencia y clase |
| Registro de riesgos | mantener trazabilidad | causa, evento, consecuencia, owner, estado, historial |
| Plan de respuesta | controlar ejecución del tratamiento | acción, responsable, plazo, recurso y evidencia |
Un registro útil puede contener identificador, categoría, causa, evento, consecuencia, controles existentes, probabilidad, impacto, criticidad, propietario, estrategia, acciones, plazos, estado, riesgo residual y gatillos de revisión.
La matriz, por tanto, no debe ser una imagen desconectada. La Gobernanza de Proyectos, Programas y Portafolios es una ruta natural cuando el control debe integrarse con hitos, decisiones, indicadores y responsabilidades del PMO.
Matriz de riesgos en Due Diligence Técnica
En Due Diligence, la matriz puede convertir una gran cantidad de evidencias en prioridades de intervención. Inspecciones, documentos, entrevistas, registro de activos y pruebas generan hallazgos; la evaluación de riesgos aclara qué consecuencias pueden producir esos hallazgos.
El cuidado técnico consiste en preservar la trazabilidad. No basta con etiquetar una condición como «alta». El informe debe indicar qué evidencia sustenta el hallazgo, qué sistema o activo está afectado, qué consecuencia es plausible, qué criterio llevó a la clasificación y qué tratamiento se recomienda.
El contenido sobre Informe de Due Diligence Técnica: evidencias, matriz de riesgos y plan de acción detalla esta conexión entre diagnóstico, evidencia, criticidad y priorización.
Matriz de riesgos en procurement y contratación
Los riesgos de Ingeniería no se limitan al proyecto técnico. Procurement, fabricación, logística, contrato e interfaces comerciales pueden alterar directamente plazo, coste y desempeño.
Una evaluación de procurement puede considerar proveedor único, equipo de largo plazo de suministro, capacidad fabril, importación, homologación, obsolescencia, disponibilidad de componentes, documentación del fabricante, FAT, logística, almacenamiento, asistencia técnica y garantía.
En el contrato, la matriz puede revelar exposiciones vinculadas a responsabilidades mal distribuidas, criterios de aceptación vagos, dependencias del contratante, límites de alcance, condiciones de cambio, garantías, hitos de pago y mecanismos de comunicación.
El objetivo no es transformar la matriz en una interpretación jurídica del contrato, sino convertirla en una interfaz entre ingeniería, procurement, gestión y jurídico. La solución de Gestión de Contratos, Alcance y Entregables permite conectar estas exposiciones con el control de obligaciones, cambios y entregas.
Matriz de riesgos en proyecto, obra y commissioning
La naturaleza de los riesgos cambia a lo largo del ciclo del proyecto. En la concepción predominan incertidumbres de requisito, alternativa técnica y premisa. En el proyecto básico y ejecutivo surgen interfaces, incompatibilidades y criterios de dimensionamiento. Durante la implantación aparecen productividad, logística, campo, seguridad, cambios y calidad. En commissioning ganan relevancia preparación, integración, evidencias de prueba, documentación y criterios de aceptación.
Por ello, una matriz inicial no debe copiarse sin revisión hasta el final. La misma categoría de riesgo puede cambiar de probabilidad y consecuencia a medida que el proyecto madura.
Un riesgo de «definición tardía de la arquitectura» puede ser crítico en la fase de concepción y quedar cerrado después de una aprobación formal. En cambio, un riesgo de «falla de integración» puede surgir solo cuando comienzan a probarse las interfaces de proveedores.
Seguridad, integridad y confiabilidad exigen técnicas proporcionales
No todo riesgo debe gobernarse únicamente mediante una matriz corporativa. Seguridad de procesos, integridad de activos, confiabilidad y sistemas críticos pueden exigir técnicas específicas y criterios especializados.
IEC 31010 ofrece orientación sobre selección y aplicación de técnicas de evaluación de riesgos en distintas situaciones. Dependiendo del problema, pueden ser adecuadas aproximaciones como FMEA/FMECA, HAZOP, Bow Tie, árboles de fallas, escenarios u otros métodos estructurados.
La matriz puede seguir siendo útil como elemento de priorización, pero no sustituye un análisis que necesita comprender mecanismos de falla, desviaciones de proceso, barreras o cadena causal. El contenido sobre FMEA y FMECA en Ingeniería de Mantenimiento muestra un ejemplo de análisis con mayor resolución sobre modos de falla y criticidad.
Cuando la matriz cualitativa es insuficiente
La matriz es eficiente para cribado y comunicación, pero puede ser insuficiente cuando la decisión exige cuantificar distribuciones de resultados, estimar reservas o medir la probabilidad de cumplimiento de plazo y coste.
Las señales de que la evaluación necesita avanzar incluyen riesgos con gran exposición financiera, decisiones irreversibles de CAPEX, varios riesgos correlacionados, necesidad de dimensionar contingencia, necesidad de estimar confianza en hitos del cronograma y baja discriminación entre alternativas relevantes.
En estos casos, análisis de escenarios, árboles de decisión, distribuciones probabilísticas y simulación de Monte Carlo pueden agregar información que una simple clase «alta» no ofrece.
El principio no es utilizar siempre el método más complejo, sino seleccionar la técnica proporcional a la decisión. La sofisticación sin datos adecuados también produce falsa confianza.
Interacciones entre riesgos: por qué evaluar todo de forma aislada puede fallar
Las matrices tradicionales posicionan cada riesgo por separado. Los proyectos reales, sin embargo, contienen dependencias. El retraso del proyecto puede desplazar compras; el retraso de compras puede reducir la ventana de instalación; una ventana menor puede comprimir pruebas; pruebas comprimidas aumentan la exposición de commissioning y operación.
Al evaluar cada ítem de forma aislada, el equipo puede subestimar la exposición agregada. El registro debe permitir identificar dependencias, causas comunes, efectos en cascada y riesgos sistémicos.
Este punto es particularmente relevante en proyectos multidisciplinarios, donde una única decisión de interfaz puede afectar eléctrica, automatización, telecomunicaciones, civil, procurement y operación al mismo tiempo.
Cómo tratar oportunidades dentro de la gestión de riesgos
La definición de riesgo de ISO 31000 considera que el efecto de la incertidumbre puede ser positivo, negativo o ambos. En proyectos, por tanto, la gestión de riesgos no necesita limitarse a amenazas.
Una oportunidad puede ser la disponibilidad de una tecnología que reduzca CAPEX, la posibilidad de anticipar una compra, una ventana operativa adicional o la estandarización de un equipo que reduzca inventario y mantenimiento.
La matriz puede adaptarse para evaluar oportunidades, pero conviene evitar mezclar amenazas y oportunidades en una escala diseñada únicamente para «severidad». Los criterios deben reflejar el tipo de efecto y la decisión pretendida.
Cómo mantener viva la matriz durante el proyecto
El riesgo es dinámico. La probabilidad de retraso de un suministro aumenta si los planos no se aprueban y disminuye cuando la fabricación avanza y el FAT se completa. El impacto de una interfaz crece cuando el cronograma consume su holgura. Un riesgo inicialmente moderado puede volverse crítico después de un cambio de alcance.
La revisión puede ocurrir en una cadencia definida y también mediante gatillos. Cambio de requisito, sustitución de proveedor, revisión de baseline, nueva no conformidad, retraso de aprobación, cambio regulatorio, falla en prueba o modificación de una premisa son ejemplos de eventos que justifican reevaluación.
La frecuencia debe ser proporcional a la dinámica del proyecto. Revisar semanalmente una cartera estable puede generar burocracia; revisar trimestralmente un proyecto en implantación acelerada puede ser insuficiente. El objetivo es mantener la evaluación adherente a la exposición real.
Indicadores útiles para acompañar la cartera de riesgos
El seguimiento no debe reducirse al número total de ítems. Una cartera con cincuenta riesgos bajos puede exigir menos atención ejecutiva que otra con tres riesgos críticos sin respuesta efectiva.
Los indicadores útiles pueden incluir evolución de riesgos altos y críticos, cantidad de tratamientos vencidos, tiempo medio sin actualización, distribución por categoría, exposición residual por encima del criterio de aceptación y riesgos sin propietario definido.
También puede ser útil acompañar la tendencia: riesgo aumentando, estable o disminuyendo. Esta lectura permite distinguir un ítem crítico en proceso de reducción de otro cuya exposición continúa aumentando.
Errores más comunes al utilizar una matriz de riesgos
La matriz pierde valor cuando se transforma en un ejercicio burocrático. Entre los errores más frecuentes están:
- copiar una matriz genérica sin calibrar criterios para el proyecto;
- asignar números sin evidencia o justificación;
- confundir riesgo futuro con un problema ya ocurrido;
- registrar únicamente «riesgo de retraso», sin causa y consecuencia;
- utilizar color como sustituto de decisión;
- tratar el producto probabilidad × impacto como medida cuantitativa exacta;
- ignorar controles existentes y su eficacia;
- no diferenciar exposición inicial y residual;
- no asignar propietario, acción y plazo;
- mantener la matriz congelada después del workshop inicial;
- evaluar riesgos aisladamente sin observar interacciones;
- permitir que consecuencias intolerables se diluyan por una regla inadecuada de promedio o suma.
Una revisión independiente suele encontrar más problemas de criterio, evidencia y gobernanza que de llenado de las celdas.
Criterios para una matriz de riesgos técnicamente defendible
Una matriz es defendible cuando otro profesional calificado puede comprender por qué determinado riesgo recibió su clasificación y qué decisión derivó de ella.
Para ello, conviene verificar en secuencia:
- los criterios fueron definidos y aprobados antes de la clasificación;
- los niveles poseen descriptores claros;
- las fuentes de información están registradas;
- la descripción separa causa, evento y consecuencia;
- los controles existentes fueron considerados;
- la regla de combinación entre probabilidad y consecuencia está documentada;
- existen reglas especiales para consecuencias intolerables cuando corresponda;
- el riesgo residual se reevalúa después del tratamiento;
- propietarios, plazos y niveles de autoridad están claros;
- la evaluación se revisa cuando cambia el contexto.
Este conjunto transforma la matriz en un registro auditable de decisión técnica, en lugar de una simple presentación visual.
Consideraciones finales
La matriz de riesgos es simple en apariencia, pero exige criterios consistentes para apoyar decisiones confiables. Su valor no está en elegir entre 3 × 3 o 5 × 5 ni en el color asignado a cada celda. Está en la capacidad de traducir incertidumbre en prioridad, responsabilidad, tratamiento y monitoreo.
En proyectos de Ingeniería, esto significa conectar la clasificación con requisitos, interfaces, cronograma, costes, proveedores, decisiones técnicas, contratos, seguridad, calidad, commissioning y operación. La matriz debe funcionar como parte del proceso de gestión de riesgos, no como un documento aislado.
Cuando los criterios están calibrados, las evidencias son trazables, los riesgos tienen propietarios y el residual se reevalúa, la herramienta pasa a apoyar decisiones de forma mucho más consistente. Y cuando la decisión exige mayor resolución, cumple otra función importante: indicar qué exposiciones deben avanzar hacia métodos cualitativos especializados o análisis cuantitativos más profundos.
Un riesgo sin actualización rápidamente deja de representar la realidad del proyecto. La gobernanza debe conectar cambios de alcance, proveedores, hitos, requisitos, pruebas y decisiones con la revisión de la exposición y del plan de respuesta.
Integre los riesgos en la gobernanza de proyectos y portafolios →
Referencias técnicas
[1] ASOCIACIÓN BRASILEÑA DE NORMAS TÉCNICAS. ABNT NBR ISO 31000: Gestión de riesgos — Directrices. Río de Janeiro: ABNT, 2018. Referencia internacional oficial. Disponible en: https://www.iso.org/standard/65694.html
[2] INTERNATIONAL ELECTROTECHNICAL COMMISSION. IEC 31010:2019 — Risk management — Risk assessment techniques. Geneva: IEC, 2019. Disponible en: https://webstore.iec.ch/en/publication/59809
[3] PROJECT MANAGEMENT INSTITUTE. Risk Management in Portfolios, Programs, and Projects: A Practice Guide. Newtown Square: PMI, 2024. Disponible en: https://www.pmi.org/standards/risk-management-in-portfolios
Preguntas frecuentes
Es una técnica de evaluación y priorización que combina criterios de probabilidad o verosimilitud y consecuencia para clasificar exposiciones y orientar decisiones de tratamiento, monitoreo o aceptación.
No. ISO 31000 establece principios, estructura y proceso para la gestión de riesgos, pero los criterios y técnicas de evaluación deben adaptarse al contexto. Una matriz 5 × 5 es una elección metodológica, no una exigencia universal.
La multiplicación es una posible convención semicuantitativa, pero no debe interpretarse automáticamente como una medida cuantitativa exacta. La regla de combinación y los rangos de decisión deben definirse previamente y ser coherentes con las escalas utilizadas.
El riesgo inherente representa la exposición en un escenario de referencia antes de tratamientos adicionales considerados por la organización. El riesgo residual es la exposición que permanece después de los controles y tratamientos, y debe seguir documentándose, monitoreándose y revisándose.
Cuando la decisión exige cuantificar incertidumbre de plazo o coste, evaluar riesgos correlacionados, dimensionar contingencias o comparar alternativas de gran impacto, pueden ser necesarias técnicas cuantitativas o métodos especializados.
Cada riesgo relevante debe tener un risk owner responsable de acompañar la exposición, asegurar que las respuestas avancen y escalar decisiones cuando sea necesario. La ejecución de acciones específicas puede asignarse a otros responsables.
No. La matriz representa clasificación y priorización. El registro de riesgos mantiene causa, evento, consecuencia, controles, owner, respuestas, plazos, estado, riesgo residual e historial de revisión.
La frecuencia depende de la dinámica del proyecto. Además de una cadencia definida, cambios de alcance, proveedor, baseline, requisito, condición operativa, resultado de prueba u otra premisa relevante deben funcionar como gatillos de revisión.
Materiales técnicos complementarios
Soluciones relacionadas
- Gobernanza de Proyectos, Programas y Portafolios
- Gestión de Contratos, Alcance y Entregables
- Gestión de Requisitos, Evidencias y Criterios de Aceptación
Servicios relacionados
- Gestión de Riesgos de Ingeniería
- Planificación Técnica de Contrataciones de Ingeniería
- Consultoría Técnica de Ingeniería
Contenidos principales sobre el tema
- Informe de Due Diligence Técnica: evidencias, matriz de riesgos y plan de acción
- FMEA y FMECA en Ingeniería de Mantenimiento
- Gestión de Interfaces en Proyectos de Ingeniería
Contenidos técnicos relacionados
- Gestión de Requisitos en Ingeniería
- Gestión de Proyectos: guía completa para ingeniería, gobernanza y control
- Gestión de Ingeniería: procesos, gobernanza, proyectos y desempeño
- Owner’s Engineering: framework ejecutivo para contratación, gobernanza y aceptación
- Gobernanza Técnica Digital para Empresas de Ingeniería
