La matriz de riesgos GTC 45 no es una hoja de cálculo

Casi todas las matrices de riesgo que llegan a nuestras manos vienen en una hoja de cálculo. Funciona hasta que alguien pregunta por qué un peligro puntuó 600 en lugar de 400, y la respuesta se pierde entre celdas combinadas y fórmulas que nadie recuerda haber escrito.

El problema no es Excel, es dónde vive el cálculo

La GTC 45 define el nivel de riesgo como el producto de cuatro variables: nivel de deficiencia, nivel de exposición, nivel de probabilidad y nivel de consecuencia. La aritmética es trivial. Lo que no es trivial es que esa aritmética quede registrada junto al dato, con la versión de los criterios que se aplicaron el día que se evaluó.

En una hoja de cálculo el cálculo está en la celda. Si alguien cambia la tabla de valoración en marzo, todas las evaluaciones de enero se recalculan solas y nadie se entera. En una auditoría eso es exactamente lo que no puede pasar: el auditor no pregunta cuánto vale hoy, pregunta cuánto valía entonces y con qué criterio.

Separar el hecho del criterio

El modelo que sostiene una auditoría separa tres cosas que la hoja de cálculo mezcla:

• El hecho — qué peligro se identificó, dónde, cuándo y quién lo identificó. Es inmutable.
• La valoración — los cuatro niveles asignados, guardados como valores, no como fórmulas.
• El criterio — la tabla de interpretación vigente en esa fecha, versionada.

Con esa separación, cambiar el criterio en marzo no reescribe la historia: crea una versión nueva que aplica desde marzo. Las evaluaciones de enero conservan la suya.

Por qué el modelo semántico importa más que el tablero

La tentación es construir el tablero primero, porque es lo que se ve. Es un error caro. Un tablero bonito sobre un modelo mal planteado obliga a rehacerlo entero en cuanto aparece la segunda pregunta que nadie previó: «enséñame esto por contratista», «compara sede contra sede», «sólo los riesgos que bajaron tras el control».

Si el modelo tiene las dimensiones correctas — peligro, ubicación, proceso, cargo, contratista, tiempo — esas tres preguntas no requieren trabajo nuevo. Si no las tiene, cada pregunta es un proyecto.

La medida que casi nadie modela bien

El indicador que más piden y peor sale es la eficacia del control: cuánto bajó el riesgo después de intervenir. Exige comparar la misma unidad de análisis en dos momentos, y eso solo funciona si el peligro tiene identidad propia y persistente. En la mayoría de las hojas de cálculo cada evaluación es una fila nueva sin relación con la anterior, así que la comparación es imposible sin cruzar textos a mano.

Si el peligro no tiene identificador estable, no hay antes y después. Y sin antes y después, no hay forma de demostrar que el sistema de gestión sirve para algo.

Qué comprobar en su matriz actual

Tres preguntas que puede hacerse hoy mismo:

• Si cambio la tabla de valoración, ¿se recalculan las evaluaciones antiguas? Si la respuesta es sí, tiene un problema de trazabilidad.
• ¿Puedo responder «qué riesgos bajaron de nivel este año» sin abrir dos archivos y comparar a mano?
• ¿Quién evaluó cada peligro y cuándo? ¿Consta en el dato o hay que preguntarle a alguien?

Si alguna respuesta incomoda, el problema no es el tablero. Es el modelo que hay debajo.