1. Escalas de probabilidad e impacto
| Nivel | Denominación | Criterio |
|---|---|---|
| 1 | Raro | Podría ocurrir excepcionalmente (menos de una vez cada 5 años) |
| 2 | Improbable | Podría ocurrir alguna vez (una vez cada 2 a 5 años) |
| 3 | Posible | Podría ocurrir en algún momento (una vez al año) |
| 4 | Probable | Ocurre con frecuencia (varias veces al año) |
| 5 | Casi seguro | Ocurre de manera recurrente (mensual o más) |
| Nivel | Denominación | Criterio |
|---|---|---|
| 1 | Insignificante | Efecto interno menor, sin afectar servicios ni cumplimiento |
| 2 | Menor | Retraso puntual en un servicio, corregible en el día |
| 3 | Moderado | Interrupción de un servicio o incumplimiento formal subsanable |
| 4 | Mayor | Interrupción prolongada, sanción o pérdida financiera relevante |
| 5 | Catastrófico | Paralización de servicios esenciales, responsabilidad legal grave o daño reputacional severo |
| Rango | Nivel de riesgo | Respuesta exigida |
|---|---|---|
| 1 – 4 | Bajo | Aceptar y monitorear |
| 5 – 9 | Medio | Reducir mediante controles adicionales en el año |
| 10 – 16 | Alto | Reducir con plan de acción y responsable en el semestre |
| 17 – 25 | Extremo | Tratamiento inmediato con seguimiento de la alta dirección |
2. Catálogo de riesgos por categoría
| Categoría | Riesgo tipo | Causa frecuente | Control esperado |
|---|---|---|---|
| Estratégico | Desalineamiento entre PEI, POI y presupuesto | Formulación aislada por área | Comité de planeamiento con seguimiento trimestral |
| Estratégico | Discontinuidad de la gestión ante cambio de autoridades | Ausencia de memoria institucional | Protocolo de transferencia de gestión documentado |
| Operativo | Incumplimiento de plazos en trámites al ciudadano | Cuellos de botella y exceso de visados | Medición de tiempos y simplificación administrativa |
| Operativo | Paralización de procesos por dependencia de una persona | Conocimiento no documentado | Entrenamiento cruzado y documentación obligatoria |
| Humano | Rotación de personal clave | Condiciones laborales y falta de línea de carrera | Plan de retención y sucesión |
| Humano | Contingencias laborales y judiciales | Gestión informal de vínculos y contratos | Control de contratos y revisión legal periódica |
| Legal | Sanciones por incumplimiento normativo | Desconocimiento de obligaciones y plazos | Matriz de obligaciones con responsables y alertas |
| Legal | Nulidad de procedimientos administrativos | Defectos en el debido procedimiento | Revisión legal previa y capacitación a instructores |
| Tecnológico | Pérdida de información institucional | Ausencia de respaldos verificados | Política de respaldo con pruebas de restauración |
| Tecnológico | Sistemas no integrados y datos inconsistentes | Adquisiciones aisladas sin arquitectura | Plan de gobierno digital e interoperabilidad |
| Financiero | Baja recaudación y alta morosidad | Base de contribuyentes desactualizada | Actualización catastral y estrategia de cobranza |
| Financiero | Ejecución presupuestal deficiente | Programación irreal y demoras logísticas | Seguimiento mensual con alertas de avance |
| Documental | Pérdida o deterioro de expedientes | Archivos sin condiciones ni foliación | Inventario, foliación y digitalización progresiva |
| Documental | Imposibilidad de acreditar actuaciones ante control | Registros incompletos | Control de versiones y trazabilidad documental |
| Reputacional | Deterioro de la percepción ciudadana | Mala atención y falta de respuesta a reclamos | Sistema de gestión de quejas con plazos y medición |
| Reputacional | Denuncias por presuntas irregularidades | Debilidad de controles preventivos | Fortalecimiento del control interno y canal de denuncias |
3. Campos de la matriz de riesgos (F-09)
- Código de riesgo, categoría y proceso asociado.
- Descripción del riesgo, causa y efecto potencial.
- Probabilidad inherente, impacto inherente y nivel inherente.
- Controles existentes y evaluación de su efectividad (0 a 4).
- Probabilidad residual, impacto residual y nivel residual.
- Respuesta al riesgo: evitar, reducir, compartir o aceptar.
- Acciones de mitigación con responsable, plazo y recurso requerido.
- Indicador de seguimiento y frecuencia de monitoreo.
- Estado: pendiente, en ejecución, implementado o cerrado.
Revisión de calidad del módulo
Lista de verificación antes de implementar
- ¿Todos los procesos críticos tienen al menos un riesgo identificado?
- ¿Se evaluó la efectividad real de los controles y no solo su existencia?
- ¿Se distingue riesgo inherente de riesgo residual?
- ¿Cada riesgo alto o extremo tiene acción, responsable y plazo?
- ¿La matriz es consistente con la matriz institucional de control interno?
- ¿Se definieron indicadores de monitoreo para los riesgos priorizados?