Ejemplo de matriz de riesgos para gestionar mejor
Una matriz no reduce el riesgo por sí sola. Lo que sí hace es obligar a una organización a poner nombre, prioridad y responsable a aquello que puede afectar a sus pacientes, trabajadores, resultados financieros o cumplimiento normativo. Este ejemplo de matriz de riesgos muestra cómo convertir una preocupación operativa en un mecanismo de control que permita tomar decisiones con evidencia.
Para una EPS, una IPS, una farmacéutica o una pyme, el valor de la matriz no está en completar una hoja de cálculo para una auditoría. Está en conectar los riesgos con procesos reales, controles verificables, indicadores y planes de mejora. Cuando se gestiona de esta forma, el cumplimiento deja de ser reactivo y pasa a formar parte de la operación.
Qué debe responder una matriz de riesgos
Una matriz de riesgos ordena los eventos que podrían impedir el logro de un objetivo. Para que sea útil, debe responder cuatro cuestiones: qué puede ocurrir, por qué podría ocurrir, qué consecuencias tendría y qué controles reducen la probabilidad o el impacto.
El error más habitual consiste en redactar riesgos demasiado genéricos, como «incumplimiento normativo» o «fallos del personal». Esas frases no permiten actuar. Un riesgo bien formulado relaciona una causa, un evento y una consecuencia. Por ejemplo: «Por registros clínicos incompletos y falta de validación previa, pueden presentarse errores en la facturación, generando glosas, demoras en el recaudo y pérdida de ingresos».
Esta precisión facilita asignar responsabilidades. El área de facturación puede controlar la validación documental, tecnología puede revisar las reglas del sistema y la dirección financiera puede vigilar la tendencia de las glosas. Sin esa relación, el riesgo se queda en una declaración sin dueño ni tratamiento.
Ejemplo de matriz de riesgos en una IPS
Supongamos una IPS de mediana complejidad que busca mejorar la oportunidad de su facturación y reducir las glosas. El proceso evaluado abarca la atención, el registro en la historia clínica, la codificación, la auditoría de cuentas y la radicación ante los pagadores.
Antes de valorar los riesgos, la organización define una escala de cinco niveles para probabilidad e impacto. La probabilidad va de 1, rara, a 5, casi cierta. El impacto va de 1, menor, a 5, crítico. Al multiplicar ambos valores se obtiene una valoración inicial entre 1 y 25. Cada entidad puede ajustar los rangos, pero debe mantener criterios homogéneos y documentados.
| Riesgo | Causa principal | Consecuencia | Probabilidad | Impacto | Nivel inherente | Control actual | Nivel residual | |—|—|—:|—:|—:|—:|—|—:| | Facturación con soportes clínicos incompletos | Registros tardíos y ausencia de validación documental | Glosas y retraso del recaudo | 4 | 4 | 16 – Alto | Auditoría previa de cuentas por muestreo | 12 – Alto | | Error en codificación de procedimientos | Formación insuficiente y parametrización desactualizada | Rechazo de cuentas y pérdida de ingresos | 3 | 4 | 12 – Alto | Revisión manual de cuentas de mayor valor | 8 – Moderado | | Acceso no autorizado a historias clínicas | Perfiles de usuario excesivos y revisiones tardías | Vulneración de datos y sanciones | 3 | 5 | 15 – Alto | Gestión de usuarios y trazabilidad de accesos | 6 – Moderado | | Indisponibilidad del sistema de información | Copias de seguridad no probadas y dependencia de un proveedor | Interrupción de la atención y pérdida de registros | 2 | 5 | 10 – Alto | Copias de seguridad diarias | 8 – Moderado | | Incumplimiento de plazos de radicación | Seguimiento manual y falta de alertas | Pérdida de oportunidad de cobro | 4 | 3 | 12 – Alto | Calendario compartido de vencimientos | 9 – Moderado |
La lectura de esta tabla exige una cautela: un riesgo residual moderado no siempre es aceptable. Depende del apetito de riesgo definido por la dirección, de la criticidad del proceso y de las obligaciones aplicables. En el caso de accesos no autorizados a historias clínicas, un nivel residual de 6 puede requerir intervención prioritaria por la sensibilidad de la información, aunque matemáticamente no sea el valor más alto de la matriz.
Cómo interpretar el ejemplo de matriz de riesgos
El riesgo inherente refleja la exposición antes de considerar los controles. En el ejemplo, la facturación con soportes incompletos obtiene 16 porque es un evento frecuente y con impacto económico relevante. El riesgo residual indica la exposición que permanece tras aplicar los controles existentes. La diferencia entre ambos no prueba automáticamente que el control funcione: solo plantea una hipótesis que debe validarse con evidencias.
Por ejemplo, una auditoría previa por muestreo puede detectar errores, pero quizá no cubra las cuentas de mayor complejidad ni identifique la causa en el momento en que se genera el registro clínico. Si las glosas se mantienen o aumentan, el control es insuficiente, está mal diseñado o no se ejecuta de forma consistente.
En este punto conviene evaluar cada control con preguntas operativas: ¿quién lo realiza?, ¿con qué frecuencia?, ¿qué evidencia deja?, ¿qué criterio utiliza?, ¿qué ocurre cuando encuentra una desviación? Un control sin responsable, periodicidad o trazabilidad no debería valorarse como eficaz.
Del diagnóstico al plan de tratamiento
La matriz cobra sentido cuando deriva en decisiones concretas. Para el riesgo de facturación con soportes incompletos, una acción proporcional no es simplemente «capacitar al personal». La organización puede rediseñar el flujo para que determinados campos clínicos sean obligatorios, configurar alertas para registros pendientes, priorizar la revisión de cuentas de alto impacto y medir la tasa de cuentas devueltas por soporte insuficiente.
Cada plan de tratamiento debe incluir un responsable, una fecha objetivo, recursos requeridos, indicador de seguimiento y evidencia de cierre. También debe definir si la organización opta por reducir, evitar, transferir o aceptar el riesgo. Aceptar un riesgo puede ser válido si el coste de mitigarlo supera la pérdida esperada y no compromete requisitos legales, calidad asistencial o seguridad del paciente. No es válido utilizar la aceptación como excusa para no actuar.
En organizaciones con múltiples sedes, conviene distinguir entre controles corporativos y controles locales. Una política de seguridad de la información puede ser corporativa, mientras que la revisión diaria de registros pendientes corresponde a cada sede. Esta separación evita que el nivel central asuma una supervisión imposible y que los equipos locales trabajen sin criterios comunes.
Indicadores que convierten el control en gestión
Una matriz estática pierde valor rápidamente. Los indicadores permiten comprobar si los controles reducen la exposición o solo generan actividad administrativa. En el caso planteado, pueden seguirse la tasa de glosas por causa, el valor glosado sobre el valor facturado, el porcentaje de historias con registros completos antes del cierre, el tiempo medio de radicación y el porcentaje de accesos revisados dentro del plazo definido.
No todos los indicadores deben llegar a la alta dirección. Los mandos operativos necesitan métricas frecuentes que les permitan corregir desvíos, mientras que la dirección necesita tendencias, impacto económico, riesgos críticos y decisiones pendientes. El diseño debe evitar dos extremos: medir todo sin capacidad de análisis o informar tan poco que los problemas aparezcan cuando ya han afectado al resultado.
La automatización puede aportar mucho en esta fase. Reglas de validación, alertas por vencimiento, conciliaciones automáticas y análisis de patrones ayudan a concentrar el trabajo humano donde existe mayor exposición. Sin embargo, automatizar un proceso mal definido solo acelera el error. Primero se clarifica el flujo, se estandarizan los datos y se fijan responsables; después se parametriza la tecnología.
Errores que reducen el valor de la matriz
El primer error es copiar una matriz genérica sin adaptarla al proceso, la sede o el marco regulatorio aplicable. El segundo es puntuar los riesgos en una reunión aislada y no revisarlos cuando cambian los contratos, los sistemas, los responsables o la normativa. El tercero es confundir un control con una intención: «el equipo está atento» no es un control auditable.
También es frecuente que cumplimiento, calidad, operaciones, tecnología y talento humano trabajen con matrices separadas que no dialogan entre sí. Esto fragmenta la información y puede ocultar riesgos transversales, como la rotación de personal, las deficiencias de formación o la dependencia de un proveedor tecnológico. Una arquitectura de riesgos madura mantiene responsables por proceso, pero consolida una visión directiva común.
Cuándo revisar la matriz
La revisión periódica debe responder al nivel de exposición. Los riesgos críticos pueden requerir seguimiento mensual o incluso semanal, mientras que otros pueden revisarse trimestralmente. Además, existen eventos que exigen una actualización inmediata: una visita de inspección, una glosa relevante, un incidente de seguridad, un cambio normativo, la apertura de una sede o la implantación de un nuevo sistema.
Vita Solutions Consultores aborda este trabajo como una capacidad operativa, no como un documento de archivo. El objetivo es que la matriz conecte normatividad, procesos, datos y decisiones, con una trazabilidad que resista tanto una auditoría como la gestión diaria.
La mejor matriz no es la que contiene más riesgos ni la que utiliza una escala más compleja. Es la que permite que una persona responsable vea una desviación, entienda su impacto y actúe antes de que se convierta en una pérdida, una sanción o una afectación a la atención. Ese es el punto en el que la gestión de riesgos empieza a generar valor real.
