Cómo armar una matriz de riesgos para la ISO 9001

La ISO 9001:2015 introdujo el pensamiento basado en riesgos como uno de sus cambios de fondo, pero fue deliberadamente flexible: exige "considerar riesgos y oportunidades" (cláusula 6.1) sin obligar a usar ninguna metodología ni formato en particular. La matriz de riesgos se volvió la herramienta más usada para documentarlo porque hace visible y auditable algo que, de otro modo, se queda en la cabeza de la gente. Armarla bien no requiere ser experto en gestión de riesgos; requiere entender qué espera ver el auditor.

Qué es una matriz de riesgos y para qué la pide la norma

Una matriz de riesgos es una tabla donde cada riesgo identificado se evalúa según dos variables —qué tan probable es que ocurra y qué tan grave sería su impacto— y el cruce de ambas da un nivel de prioridad. La norma no pide la matriz en sí; pide que la organización determine los riesgos que pueden afectar la conformidad de sus productos y servicios o la satisfacción del cliente, y que planifique acciones para abordarlos. La matriz es simplemente la forma más clara de demostrar que ese análisis se hizo.

Cómo se arma, paso a paso

• —Identifica los riesgos por proceso: parte del contexto (cláusula 4.1) y de las partes interesadas (4.2), y para cada proceso pregunta qué podría salir mal o qué oportunidad podrías aprovechar.
• —Evalúa probabilidad e impacto: usa una escala simple y consistente, por ejemplo de 1 a 5 en cada eje. Lo importante es que el criterio sea el mismo para todos los riesgos.
• —Calcula el nivel de riesgo: multiplica o cruza ambas escalas para obtener un valor. Los valores altos son los que exigen acción prioritaria.
• —Define acciones para los riesgos significativos: no todos los riesgos requieren acción; la norma pide abordarlos de forma proporcional a su nivel.
• —Asigna responsable y seguimiento: cada acción necesita un dueño y una fecha, y el riesgo debe reevaluarse después de aplicar la acción.

El error más común: la matriz que se hace una vez y se archiva

El hallazgo típico no es "no tienen matriz de riesgos", sino "la matriz se hizo para la certificación y nunca se volvió a tocar". El pensamiento basado en riesgos es dinámico: cuando cambia un proceso, entra un cliente nuevo o aparece una no conformidad recurrente, el mapa de riesgos cambia y la matriz debe actualizarse. Mantenerla viva a mano es tedioso, y por eso se abandona. Un Software de gestión de riesgos y oportunidades mantiene la matriz actualizada, recalcula los niveles cuando cambia la evaluación, y conecta cada riesgo con las acciones y responsables, de modo que el análisis deja de ser una foto anual y se vuelve parte de la operación.