El número que sale

La matriz usa dos escalas de 1 a 5. La probabilidad mide qué tan factible es que el riesgo se materialice en un horizonte —doce meses, por ejemplo— dada la exposición y los controles que hay. El impacto mide cuánto dolería en la dimensión que más pese: financiera, legal, operativa o reputacional. El número del riesgo es el producto de las dos. Un riesgo de probabilidad 3 e impacto 5 sale en 15; uno de 1 y 2 sale en 2. Ese número no es verdad revelada: es lo que permite ordenar la cola y explicarla.

Lo que hace útil a la matriz no es el número: son las anclas escritas de cada nivel, para que dos personas puntúen igual el mismo caso.

La API del portal de clientes de Cumbre autentica mal y expone la base de clientes. La exposición es alta y los controles son parciales, así que la probabilidad se ancla en 4. Si se materializa, hay fuga de datos de clientes con cláusula contractual tocada y daño reputacional: la dimensión que más pesa lleva el impacto a 5. El número del riesgo es 20, y con esa escala eso es prioridad crítica. No lo decides por instinto: lo decides aplicando las mismas anclas que a cualquier otro riesgo.

Puntuar con anclas es lo que evita la discusión eterna de «¿es un 7 o un 8?» y deja el número defendible ante quien lo cuestione.

El riesgo inherente es el que hay sin contar los controles; el residual es el que queda después de los controles que de verdad operan. La distinción es la trampa del oficio: si el MFA y el cortafuegos funcionan, el residual baja de verdad. Pero si esos controles solo existen en un documento y no están puestos en el sistema, el residual sigue siendo casi igual al inherente, aunque la política diga lo contrario. Bajar el número por un control que no opera es engañarse en el papel.

El residual solo baja con controles que operan, no con controles que están escritos. Ahí es donde el módulo siguiente mira: si el control existe de verdad.