Registro de riesgos, matriz de calor y tratamiento en 3 segundos.

ISO 9001:2015 cláusula 6.1 exige un «pensamiento basado en riesgos» aplicado al sistema de gestión de calidad: la organización debe identificar riesgos que puedan afectar a la conformidad de productos y servicios y planificar acciones para abordarlos, pero no requiere un marco formal ni metodología específica. ISO 31000:2018, en cambio, es una norma dedicada exclusivamente a la gestión de riesgos y proporciona los principios, el marco y el proceso completo: desde el establecimiento del contexto hasta la comunicación y el seguimiento. ISO 31000 es la referencia que las organizaciones usan para dar sustancia al requisito de ISO 9001 cláusula 6.1, así como a los requisitos equivalentes de ISO 14001, ISO 45001 e ISO 27001. No son normas certificables la una en lugar de la otra; son complementarias.

El registro de riesgos es el documento central del proceso ISO 31000. Según la norma (cláusula 6.4 y 6.5), cada entrada del registro debe incluir: (1) identificación del riesgo con descripción del evento y sus causas; (2) categoría de riesgo (estratégico, operativo, financiero, de cumplimiento, reputacional); (3) probabilidad de ocurrencia en escala definida (ej. 1–5 o porcentaje); (4) impacto en escala definida (1–5); (5) nivel de riesgo inherente (probabilidad × impacto antes de controles); (6) controles existentes; (7) nivel de riesgo residual (tras controles); (8) opción de tratamiento elegida (mitigar/transferir/aceptar/evitar); (9) acción de tratamiento con responsable y plazo; (10) estado. IgeraIndustria puede generar la estructura del registro y rellenar las entradas a partir de los documentos de contexto de la organización.

El apetito al riesgo es el nivel de riesgo que la organización está dispuesta a aceptar para alcanzar sus objetivos (ISO 31000:2018, cláusula 6.3.1). No es un número único: se define por categoría de riesgo y nivel jerárquico. Por ejemplo, una empresa puede tener apetito cero para riesgos de seguridad laboral (cualquier riesgo de nivel 3 o superior requiere acción inmediata) pero un apetito moderado para riesgos comerciales (acepta riesgos de nivel 3 si el retorno esperado lo justifica). La definición del apetito al riesgo es responsabilidad de la alta dirección (cláusula 5.4) y debe ser comunicada a toda la organización. Se expresa habitualmente como umbrales en la matriz de calor: las celdas de color rojo son riesgos que superan el apetito y requieren acción obligatoria.

La matriz de calor (heat map) es la herramienta de visualización del riesgo inherente o residual más utilizada en implementaciones ISO 31000. Se construye con la probabilidad en un eje (habitualmente 1–5, de raro a casi seguro) y el impacto en el otro (1–5, de insignificante a catastrófico). El resultado (probabilidad × impacto) genera una puntuación de 1 a 25 que se visualiza con colores: verde (1–4, riesgo bajo), amarillo (5–9, riesgo moderado), naranja (10–16, riesgo alto), rojo (17–25, riesgo crítico). Los umbrales exactos los define la organización en función de su apetito al riesgo. ISO 31000 no prescribe una matriz concreta; la norma exige que la metodología sea apropiada, proporcional al contexto y consistente. IgeraIndustria puede explicar cómo calibrar la matriz según el sector y dimensiones de la organización.

ISO 31000:2018 cláusula 6.5.2 establece cuatro opciones de tratamiento del riesgo: (1) Evitar el riesgo: decidir no iniciar o no continuar la actividad que origina el riesgo (ej. no entrar en un mercado con riesgo regulatorio excesivo); (2) Asumir o aumentar el riesgo para aprovechar una oportunidad (ej. aceptar mayor riesgo operativo a cambio de mayor margen); (3) Eliminar la fuente de riesgo o reducir la probabilidad/impacto mediante controles (mitigar): es la opción más habitual; (4) Transferir el riesgo: compartirlo con otra parte mediante seguros, contratos o acuerdos de subcontratación. Para riesgos que superan el apetito definido, las opciones válidas son evitar, mitigar o transferir; aceptar solo es válido si el riesgo residual está dentro del apetito. La elección debe ser documentada en el plan de tratamiento (6.5.3).

ISO 31000 es el marco horizontal de gestión de riesgos que sirve como base metodológica para todas las normas de sistemas de gestión que incluyen requisitos de riesgos. ISO 27001:2022 (seguridad de la información) requiere un proceso formal de valoración y tratamiento de riesgos (cláusulas 6.1.2 y 6.1.3) alineado con ISO 31000. ISO 14001:2015 (medio ambiente) exige identificar riesgos y oportunidades ambientales (cláusula 6.1). ISO 45001:2018 (seguridad y salud) exige identificar peligros y valorar riesgos para SST (cláusula 6.1.2). La integración práctica consiste en usar un único registro de riesgos corporativo con categorías por norma, un proceso de valoración unificado y un comité de riesgos que consolide los riesgos de todas las disciplinas. IgeraIndustria puede consultar los requisitos de cada norma en una sola pregunta y mapear los solapamientos.