Una matriz de riesgos es una tabla que ordena las cosas que pueden salir mal según dos preguntas: qué probabilidad tiene, y cuánto daño haría. Cada riesgo recibe una posición en la cuadrícula, y la posición decide cuánta atención y presupuesto merece ahora mismo.
La mayoría de los equipos usan una cuadrícula de cinco por cinco. Puntúas la probabilidad de 1 (muy improbable) a 5 (casi seguro) y el impacto de 1 (molesto) a 5 (fin del negocio), y multiplicas ambos. Una puntuación de 20 a 25 necesita un plan este mes. Una puntuación de 1 a 4 va a una lista que revisas dos veces al año.
Un ejemplo con tres riesgos. El proveedor principal falla: probabilidad 2, impacto 5, puntuación 10. La desarrolladora principal se marcha: probabilidad 3, impacto 4, puntuación 12. Un nuevo competidor baja tu precio: probabilidad 4, impacto 3, puntuación 12. Dos riesgos empatan en 12, así que comparas lo que costaría una solución. Documentar tu código y formar a una segunda desarrolladora lleva unas semanas de trabajo. Impedir que un competidor entre en el mercado no está en tu mano. Así que actúas sobre el riesgo de personal y solo vigilas el riesgo de precio.
Una matriz solo sirve con cuatro columnas al lado: el riesgo, la puntuación, la contramedida y la persona responsable con una fecha. Sin responsable es una tabla decorativa.
Un plan de negocio generado suele contener una matriz de riesgos en el apartado de riesgos, porque los bancos y los inversores esperan una. Ahí es donde los fundadores cometen dos errores. Puntúan todo como alto, lo que aplana la clasificación y no ayuda a nadie. O enumeran solo riesgos externos obvios, como una recesión, y se saltan los internos concretos que sí podrían arreglar, como que una sola persona tenga la única contraseña de administrador. Actualiza la matriz cada trimestre.
