Si todos los riesgos son críticos, ninguno lo es: el peligro de la matriz hiper-roja

Llegas al Comité con tu matriz. Veintidós riesgos. Dieciocho en rojo, cuatro en naranja, ninguno en verde. La presentas con la tranquilidad de quien no dejó nada por fuera.

Y entonces pasa lo que más temes y menos notas: el Comité asiente, agradece y avanza al siguiente punto. Nadie pregunta. Nadie se alarma. Nadie actúa. No porque tu trabajo no importe, sino porque cuando todo grita, nadie escucha.

Bienvenido a la matriz hiper-roja: el documento técnicamente impecable que, paradójicamente, vuelve invisible justo el riesgo que debías hacer visible.

El miedo que pinta tu matriz de rojo

Nadie sobrecalifica por capricho. Lo hace por miedo. Y el miedo del auditor tiene nombres concretos:

1. Miedo a la omisión. Si bajo un riesgo y luego se materializa, quedo como el que "no lo vio venir". Mejor pintarlo de rojo.
2. Miedo a la crítica posterior. Un rojo de más nadie lo reclama; un rojo de menos puede costarte el puesto.
3. La plantilla heredada. Reutilizas la matriz del año pasado y solo agregas riesgos. Nunca quitas, nunca bajas.
4. La confusión silenciosa. Calificas el riesgo inherente y lo presentas como si fuera el residual, ignorando los controles que ya funcionan.

Sobrecalificar no es ser riguroso. Es trasladarle al Comité la decisión que tú no te atreviste a tomar.

El precio de que todo sea crítico

Una matriz que no discrimina no es prudente: es inútil. Esto es lo que pierdes:

1. Pierdes la priorización. Si dieciocho riesgos son extremos, ¿cuál atiende primero la dirección? El que tenga más cerca, no el que más importa.
2. Pierdes credibilidad. El Comité aprende rápido que "en tu matriz siempre está todo en rojo". Y deja de leerla.
3. Pierdes recursos. Asignar atención máxima a todo equivale a no asignarla a nada. El presupuesto se diluye.
4. Pierdes tu rol estratégico. Dejas de ser quien orienta la decisión para convertirte en quien la entorpece.

¿Tu matriz está hiper-roja? Los síntomas

Marca mentalmente cuántos de estos te suenan:

• Más de la mitad de tus riesgos viven en la zona alta o extrema.
• No tienes ni un solo riesgo en verde (y te parece normal).
• No sabrías explicar por qué un riesgo es nivel 4 y no nivel 3.
• La matriz de este año es igual a la del anterior, solo que con más rojo.
• Calificaste pensando en cómo te verías si fallas, no en la exposición real.

Cómo desinflar la matriz sin perder rigor

Bajar el rojo no es relajar el control. Es recuperar el criterio. Cinco movimientos concretos:

1. Define criterios cuantitativos. "Alto" debe significar lo mismo para todos. Ancla cada nivel a una frecuencia y a un impacto medible.
2. Separa lo inherente de lo residual. Pregunta: con los controles que ya operan, ¿cuánta exposición queda realmente?
3. No le temas al verde. Un riesgo bien controlado en verde demuestra que el control funciona. Esconderlo en rojo borra esa evidencia.
4. Sustenta cada calificación. Si no puedes defender un nivel con un dato, no es un nivel: es una corazonada.
5. Atrévete a priorizar. Elige los cinco que de verdad importan. Eso es asesorar; lo demás es archivar.

El verde en tu matriz no es debilidad. Es la prueba de que sabes distinguir lo que arde de lo que apenas calienta.

Cómo se lee un color bien calibrado

Antes de tu próxima presentación, pregúntate

1. Si tuviera que señalar los tres riesgos que el Comité debe atender este trimestre, ¿podría hacerlo sin dudar?
2. ¿Puedo defender cada calificación con un dato, o solo con una sensación?
3. ¿Estoy calificando el riesgo real o el riesgo de quedar mal si fallo?
4. ¿Mi matriz ayuda al Comité a decidir, o lo obliga a decidir por mí?

Auditool — Red de Conocimientos en Auditoría y Control Interno.
Una matriz clara convierte al auditor técnico en asesor estratégico.