Qué es el registro de riesgos y qué debe incluir

Una empresa de inyección de plástico armó su matriz de riesgos dos meses antes de la auditoría de certificación. Tenía 38 riesgos, todos calificados y con un control asignado. Un año después, en la auditoría de vigilancia, el auditor preguntó qué riesgos habían cambiado de nivel. La respuesta fue que ninguno, porque el archivo no se había abierto desde entonces. En ese año la planta había perdido a su principal cliente, cambiado de proveedor de resina y comprado dos máquinas nuevas.

Qué es el registro de riesgos

El registro de riesgos es el documento donde una organización concentra los riesgos que ha identificado, su evaluación, los controles que ya existen, las acciones de tratamiento y el seguimiento de cada uno. En inglés se conoce como risk register. A diferencia de la matriz de probabilidad e impacto, que es la herramienta para calificar, el registro es el inventario completo y vivo: se consulta, se actualiza y se revisa con una frecuencia definida.

Qué debe incluir

• —Identificador único y proceso o área al que pertenece el riesgo.
• —Descripción con causa, evento y consecuencia, no solo una palabra como proveedores o personal.
• —Dueño del riesgo: la persona con autoridad para decidir sobre él, no quien llenó el formato.
• —Nivel inherente: probabilidad e impacto sin considerar los controles.
• —Controles existentes y qué tan eficaces son.
• —Nivel residual: probabilidad e impacto con los controles funcionando.
• —Opción de tratamiento elegida, acciones, responsable y fecha compromiso.
• —Estado de las acciones y fecha de la próxima revisión.

Qué dice la norma

La ISO 9001 pide en 6.1 determinar los riesgos y oportunidades y planificar acciones para abordarlos, pero no exige un registro como tal ni una metodología específica. La ISO 31000 sí trata el registro y el informe como parte del proceso de gestión del riesgo, en 6.7. En la práctica, el registro es la forma más común de demostrar que los riesgos se identificaron, que las acciones se tomaron y que en 9.3 la revisión por la dirección evaluó su eficacia.

Errores frecuentes

• —Redactar el riesgo como una categoría genérica, sin causa ni consecuencia, lo que impide definir un control útil.
• —Calificar solo el nivel residual, sin saber cuánto aportan los controles.
• —Asignar todos los riesgos al coordinador de calidad en lugar de a los dueños de proceso.
• —No actualizar el registro cuando cambia el contexto: un cliente nuevo, un proveedor distinto, una línea que se instala.
• —Mezclar en la misma lista riesgos estratégicos y riesgos de una operación puntual sin distinguir el nivel de decisión.

Cómo se mantiene vivo

El registro deja de servir el día en que se vuelve un archivo que solo se abre antes de la auditoría. Un Software de gestión de riesgos y oportunidades permite que cada dueño de proceso actualice sus riesgos, que las acciones de tratamiento tengan fecha y avance, y que el sistema avise cuando toca revisar un riesgo o cuando una acción se vence, sin depender de que alguien recuerde abrir la hoja de cálculo.

En resumen

El registro de riesgos es el inventario vivo de los riesgos de la organización: cada uno con su causa, su dueño, su nivel antes y después de los controles y sus acciones. Sirve si se revisa cuando cambia el contexto y si cada dueño lo considera suyo.