Matriz de riesgos: plantilla 5x5, ejemplos y cómo puntuar el riesgo

Por Tara Minh · Actualizado el 6 de octubre de 2026

Una matriz de riesgos es una cuadrícula que puntúa cada riesgo según qué tan probable es que ocurra (probabilidad) y qué tan grave sería el daño si ocurriera (impacto), y luego multiplica ambos valores en una única puntuación de prioridad. Una matriz 5x5 da puntuaciones de 1 a 25, de modo que puede clasificar los riesgos, asignar responsables y decidir qué corregir primero.

Los gerentes de proyecto, los responsables de riesgos y los ejecutivos la usan antes de cualquier decisión importante, desde el lanzamiento de un producto hasta un cambio de proveedor. Esta guía cubre cómo funciona, en qué se diferencia de un registro de riesgos, un mapa de calor y el FMEA, cuándo elegir 3x3, 4x4 o 5x5, una plantilla para copiar y ejemplos prácticos por función.

¿Qué es una matriz de riesgos?

Una matriz de riesgos (también llamada matriz de probabilidad e impacto o matriz de evaluación de riesgos) es una cuadrícula bidimensional que ubica los riesgos según su probabilidad de ocurrencia en un eje y su gravedad de impacto en el otro. Cada celda de la cuadrícula representa una puntuación de riesgo combinada. Cuanto más alta la puntuación, más urgente la respuesta.

La fórmula central es breve:

Puntuación de riesgo = Probabilidad x Impacto

El poder viene de aplicarla de la misma forma a cada riesgo, de modo que un retraso en la cadena de suministro y una filtración de datos se convierten en números que puede ordenar, codificar por colores y asignar a responsables. El estándar general de esta disciplina, ISO 31000, trata la gestión de riesgos como un proceso de identificar, analizar, evaluar y tratar el riesgo, y deja que cada organización elija la técnica de puntuación. Por eso las escalas de las matrices varían tanto de una empresa a otra.

La matriz no reemplaza el criterio. Lo estructura. La cuadrícula le dice dónde mirar primero; su equipo decide qué hacer al respecto.

Datos clave

• El Health and Safety Executive del Reino Unido describe la evaluación de un riesgo como decidir qué tan probable es que alguien resulte perjudicado y qué tan grave podría ser el daño. Esas dos preguntas son exactamente los dos ejes de una matriz de riesgos.
• El HSE plantea la gestión de riesgos en cinco pasos: identificar los peligros, evaluar los riesgos, controlar los riesgos, registrar los hallazgos y revisar los controles. La matriz vive en el segundo paso y alimenta el tercero.
• El HSE indica que los empleadores con cinco o más personas deben registrar sus hallazgos significativos, razón por la cual una matriz fechada y versionada funciona también como pista de auditoría.
• Las zonas de puntuación son una convención, no una ley. Las bandas 1-4 / 5-9 / 10-16 / 17-25 que se usan en esta guía son un valor práctico por defecto para una cuadrícula 5x5. Ajústelas a su propio apetito de riesgo y luego manténgalas fijas.

Matriz de riesgos vs registro de riesgos vs mapa de calor de riesgos vs FMEA

Estos cuatro términos se usan como si fueran intercambiables, y no deberían. Responden preguntas distintas y funcionan mejor como un conjunto.

En la práctica, el registro de riesgos contiene la lista, la matriz puntúa cada entrada, el mapa de calor le muestra el resultado a la dirección y el FMEA profundiza en los modos de falla técnicos. El FMEA añade un tercer factor, la detección (qué tan probable es que detecte el problema antes de que cause daño), que una matriz de probabilidad e impacto ignora. Si su riesgo es "algo podría fallar y no nos daremos cuenta", use FMEA. Si es "algo podría pasarle al proyecto", empiece con la matriz.

Cómo funciona una matriz de riesgos

La matriz tiene dos ejes. La probabilidad (o verosimilitud) corre a lo largo de un eje, típicamente vertical. El impacto (o consecuencia) corre a lo largo del otro, típicamente horizontal. Cada eje se divide en niveles de calificación: tres niveles para una matriz 3x3, cinco para una 5x5.

Escala de probabilidad

Estas bandas porcentuales son un punto de partida típico. Calíbrelas según sus propios proyectos.

Escala de impacto

Zonas de puntuación de riesgo (cuadrícula 5x5)

Multiplique la probabilidad por el impacto para obtener la puntuación de riesgo (1 a 25). Cada celda de abajo muestra la puntuación y su zona (B = Baja, M = Media, A = Alta, C = Crítica).

Zonas de puntuación:

• 1-4 (Baja): Monitorear; no se requiere acción inmediata
• 5-9 (Media): Asignar un responsable; planificar una respuesta, pero puede aceptarse
• 10-16 (Alta): Gestionar activamente; se requiere mitigación antes de que el proyecto avance
• 17-25 (Crítica): Escalar de inmediato; puede requerir detener o rediseñar el proyecto

Una debilidad conocida de multiplicar dos escalas ordinales: riesgos distintos pueden terminar con el mismo número. Un riesgo raro pero catastrófico (1 x 5 = 5) puntúa igual que uno casi seguro pero trivial (5 x 1 = 5). Añada una regla de excepción para que la matemática no oculte el riesgo peligroso: todo riesgo con impacto 5 lo revisa un responsable senior, sin importar lo que diga su puntuación.

Matriz de riesgos 3x3 vs 4x4 vs 5x5

La pregunta más común es cuántos niveles usar por eje. Los tres tamaños funcionan. La elección depende de la complejidad de su proyecto y de cuánto detalle de puntuación puede sostener su equipo sin discutir si algo es un 3 o un 4.

Cómo elegir:

• Elija 3x3 para un primer barrido, una audiencia no especialista o menos de unos 15 riesgos.
• Elija 4x4 cuando su equipo puntúa todo con el valor intermedio. Un número par de niveles no tiene punto medio, así que la gente tiene que tomar partido.
• Elija 5x5 cuando necesite distinguir una probabilidad del 20% de una del 40%, cuando un auditor o regulador vaya a leer el resultado, o cuando el proyecto sea lo bastante grande como para que decenas de riesgos compitan por el mismo presupuesto de mitigación.

Elija lo que elija, no cambie de tamaño a mitad del proyecto, o las líneas de tendencia pierden todo sentido.

Cómo construir una matriz de riesgos

Construir la matriz es una disciplina de cinco partes: calibrar ambas escalas, identificar los riesgos, puntuarlos de forma consistente, fijar umbrales de acción y asignar responsables.

Paso 1: Defina sus niveles de probabilidad

Escriba lo que cada calificación de probabilidad significa realmente para su proyecto. "Probable" significa cosas distintas en un sprint de dos semanas que en un programa de infraestructura de tres años. Vincule cada nivel a un rango porcentual y, cuando sea posible, a un punto de referencia histórico que su equipo reconozca.

Paso 2: Defina sus niveles de impacto

Haga lo mismo con el impacto. Asigne cada nivel a consecuencias reales: cuántos días de retraso en el cronograma, qué umbral de sobrecosto, qué resultado de calidad o regulatorio. Los anclajes concretos reducen la deriva subjetiva cuando distintas personas puntúan el mismo riesgo.

Paso 3: Identifique y liste sus riesgos

Reúna los riesgos mediante una lluvia de ideas estructurada, entrevistas a expertos, registros de lecciones aprendidas o un ejercicio de premortem. Su acta de constitución del proyecto suele contener la primera lista de supuestos y restricciones que vale la pena revisar. Registre cada riesgo en un registro de riesgos antes de puntuarlo. La matriz clasifica los riesgos; el registro les da seguimiento a lo largo del tiempo.

Paso 4: Puntúe cada riesgo

Para cada riesgo, asigne una calificación de probabilidad y una de impacto de forma independiente. Hágalo en grupo cuando sea posible. Las puntuaciones atípicas revelan supuestos ocultos que vale la pena discutir. Multiplique las dos calificaciones para obtener la puntuación de riesgo y luego ubique el riesgo en su cuadrícula.

Paso 5: Establezca umbrales de respuesta y asigne responsables

Decida de antemano qué requiere cada zona de puntuación. Los riesgos críticos necesitan un responsable con nombre, un plan de mitigación y una fecha de revisión antes de que el trabajo continúe. Los riesgos altos necesitan un plan de respuesta dentro de la semana. Los riesgos medios van a la lista de vigilancia. Los riesgos bajos se anotan y se monitorean. Sin umbrales predefinidos, la matriz se convierte en una decoración en lugar de una herramienta de decisión. Una matriz RACI es una forma rápida de asegurarse de que cada riesgo tenga un único responsable, en lugar de tres personas que dan por hecho que otra se ocupa de él.

Plantilla gratuita de matriz de riesgos 5x5 (copiar y pegar)

Copie los bloques de abajo en Excel, Google Sheets o Notion, y reemplace el texto de muestra por sus propias definiciones.

Plantilla 1: La cuadrícula 5x5 en blanco

Complete cada celda con los ID de los riesgos que caen ahí (R1, R4, etc.).

Plantilla 2: El registro de puntuación

Esta es la hoja de trabajo detrás de la cuadrícula. Una fila por riesgo.

Si arma el registro en una hoja de cálculo, ponga la probabilidad en la columna D y el impacto en la columna E, y luego use dos fórmulas en la fila 2 y arrástrelas hacia abajo:

• Puntuación (columna F): =D2*E2
• Zona (columna G): =IF(F2>=17,"Critical",IF(F2>=10,"High",IF(F2>=5,"Medium","Low")))

Plantilla 3: Las reglas de respuesta

Pegue las reglas de zona de la sección de zonas de puntuación de arriba (Crítica, Alta, Media, Baja y la acción que activa cada una) junto a la cuadrícula, para que nadie tenga que adivinar qué significa un color.

No copie los umbrales de muestra sin pensarlos. El Health and Safety Executive del Reino Unido, que publica ejemplos de evaluaciones de riesgos para oficinas, tiendas, almacenes y fábricas, advierte contra limitarse a poner el nombre de su empresa en un ejemplo, porque no reflejará los peligros y controles que su negocio realmente tiene. Lo mismo vale para una plantilla. Trátela como un andamio.

Ejemplo de matriz de riesgos: proyecto de TI (migración a la nube)

Una empresa SaaS está migrando su base de datos de clientes a un nuevo proveedor de nube. El gerente de proyecto realiza un taller de riesgos y detecta cinco riesgos clave.

El riesgo de pérdida de datos puntúa 10 a pesar de una probabilidad baja porque el impacto sería catastrófico. Se le asigna un responsable con nombre (el líder de ingeniería), un plan de reversión documentado antes de iniciar la migración y una verificación de estado diaria durante la ventana de corte. El riesgo de retraso del proveedor puntúa 12 y se le asigna una cláusula contractual y un proveedor de respaldo identificado. Los otros tres pasan a la lista de vigilancia con seguimientos quincenales.

Más ejemplos de matriz de riesgos por función

La misma cuadrícula funciona fuera de TI. Estos tres ejemplos usan las escalas y zonas de arriba. Las puntuaciones son ilustrativas, así que vuelva a puntuarlas con sus propias definiciones.

Lanzamiento de producto

Un equipo de producto está a dos meses de lanzar un nuevo plan de precios.

Nada aquí es "Crítico", y está bien. Si el riesgo de la revisión legal pasara a probabilidad 4, puntuaría 20 y el plan de lanzamiento cambiaría.

Riesgo de proveedores y suministro

Un fabricante depende de un único proveedor para un componente clave.

La última fila muestra por qué existe la regla de excepción: solo por la puntuación, la quiebra del proveedor parece media, pero el impacto es catastrófico.

Salud y seguridad

Una empresa de distribución revisa su almacén y la oficina contigua. El Health and Safety Executive del Reino Unido publica ejemplos de evaluaciones de riesgos para entornos como estos, y aconseja revisar los registros de accidentes y enfermedades y hablar con los trabajadores para encontrar los peligros. La matriz clasifica lo que usted encuentre.

En el trabajo de seguridad, la matriz es una ayuda de priorización, no una defensa legal. El HSE espera que haga lo que sea "razonablemente factible", equilibrando el nivel de riesgo frente al dinero, el tiempo o la molestia necesarios para controlarlo. La puntuación le indica dónde invertir primero ese esfuerzo.

Beneficios de una matriz de riesgos

• Vocabulario compartido. Un desarrollador, un líder de finanzas y un ejecutivo pueden mirar la misma celda y acordar qué significa.
• Priorización a escala. Con 30 o 40 riesgos identificados, no puede actuar sobre todos por igual. La matriz obliga a una clasificación.
• Comunicación con las partes interesadas. Las zonas codificadas por colores son mucho más legibles en una presentación de comité directivo que una tabla de números crudos.
• Pista de auditoría. Una matriz fechada y versionada le muestra a reguladores y patrocinadores que los riesgos se evaluaron formalmente. En farmacéutica, construcción y finanzas, esa pista suele ser obligatoria.

Qué hacer y qué no hacer con una matriz de riesgos

Qué hacer

• Defina cada nivel por escrito. Adjunte un rango porcentual o un ejemplo concreto a cada nivel de probabilidad, y un anclaje de días, dinero o resultado a cada nivel de impacto.
• Puntúe de forma independiente y luego compare. Pida a cada persona que anote sus números antes de la discusión. Las diferencias son donde ocurren las conversaciones útiles.
• Nombre un responsable por riesgo. Un riesgo sin el nombre de una persona no tiene responsable, diga lo que diga el registro.
• Predefina qué activa cada zona. Decida la respuesta antes de ver las puntuaciones, para que nadie negocie una celda roja hasta dejarla en naranja.
• Calibre con historia. Use la frecuencia real de riesgos pasados para anclar la probabilidad. La intuición se desvía; los registros de incidentes no.

Qué no hacer

No puntúe sin anclajes. Si los niveles son solo "bajo", "medio" y "alto", cinco personas darán cinco puntuaciones distintas al mismo riesgo.

No ignore los umbrales de las zonas. Una matriz hermosa y bien codificada por colores no sirve de nada si un riesgo crítico va a una lista de vigilancia en lugar de escalarse.

No la trate como un entregable único. Un riesgo de baja probabilidad al inicio puede volverse casi seguro para el tercer mes. Vuelva a puntuar después del congelamiento de requisitos, después de las compras y después del lanzamiento en vivo. La guía del HSE sobre revisar los controles apunta a los mismos disparadores: cambios en el personal, los procesos o los equipos, además de accidentes y casi accidentes.

No mezcle categorías de impacto. Un retraso de dos semanas podría costar casi nada para un equipo interno y ser catastrófico en un contrato de precio fijo con penalizaciones. Para programas de alto riesgo, mantenga columnas separadas (costo, cronograma, seguridad, reputación) y puntúe la peor.

No deje que todos los riesgos se desplacen al centro. Si todo cae en la zona media, sus definiciones son demasiado laxas. Las celdas superiores derechas deberían estar poco pobladas.

Buenas prácticas

• Separe el riesgo inherente y el residual. Puntúe antes de aplicar controles (inherente) y después (residual). Si la puntuación residual sigue siendo alta, necesita una mitigación más fuerte.
• Combínela con un RAID log. La matriz clasifica los riesgos; el RAID log los rastrea junto con supuestos, problemas y dependencias.
• Vincúlela a un plan de gestión de riesgos del proyecto. El plan define con qué frecuencia vuelve a puntuar, quién asiste a las revisiones y cómo se escalan los riesgos. Sin él, la matriz queda flotando sin anclaje.
• Alimente decisiones más grandes. Para decisiones como qué mercado abordar o qué proveedor retirar, use la puntuación como un insumo más de la toma de decisiones basada en riesgos.
• Añada una capa cuantitativa cuando importe. Una matriz no puede modelar varios riesgos activándose a la vez. Para una exposición grande de cronograma o presupuesto, use la simulación Monte Carlo.
• Sepa quién necesita enterarse de cada riesgo. Una matriz de análisis de partes interesadas muestra a quién le importa cada riesgo y quién puede aprobar las mitigaciones. Cuando tenga más riesgos altos que capacidad, ordene las respuestas con la priorización MoSCoW.
• Manténgala donde ocurre el trabajo. Una cuadrícula en una presentación queda obsoleta en una semana. Si su equipo ya planifica el trabajo en una herramienta de proyectos como Work Ops de Rework, guarde el registro de riesgos junto a las tareas para que los responsables vean sus acciones de mitigación junto con todo lo demás con lo que se han comprometido.

Una matriz de riesgos le brinda una forma estructurada de dejar de tratar cada riesgo como igual de urgente. Puntúelo una vez, asigne la respuesta correcta a cada zona y revíselo a medida que el proyecto evoluciona. Combinada con un registro de riesgos sólido y una ruta de escalamiento clara, se convierte en una de las herramientas más prácticas del kit de cualquier gerente de proyecto.