Una matriz de riesgo es una matriz que se utiliza durante la evaluación de riesgos para definir el nivel de riesgo considerando la categoría de probabilidad (que a menudo se confunde con una de sus posibles métricas cuantitativas, es decir, la probabilidad ) frente a la categoría de gravedad de las consecuencias. Se trata de un mecanismo sencillo para aumentar la visibilidad de los riesgos y ayudar a la toma de decisiones de gestión. [1]
El riesgo es la falta de certeza sobre el resultado de una determinada elección. Desde el punto de vista estadístico, el nivel de riesgo negativo se puede calcular como el producto de la probabilidad de que se produzca un daño (por ejemplo, que ocurra un accidente) multiplicado por la gravedad de ese daño (es decir, la cantidad media de daño o, de manera más conservadora, la cantidad máxima creíble de daño). En la práctica, la matriz de riesgo es un enfoque útil cuando no es posible estimar con exactitud y precisión ni la probabilidad ni la gravedad del daño.
Aunque existen matrices de riesgo estándar en ciertos contextos (por ejemplo, el Departamento de Defensa de los EE. UU. , la NASA , la ISO ), [2] [3] [4] es posible que los proyectos y las organizaciones individuales deban crear sus propias matrices de riesgo o adaptar una existente. Por ejemplo, la gravedad del daño se puede clasificar como:
La probabilidad de que ocurra un daño puede clasificarse como "segura", "probable", "posible", "improbable" y "rara". Sin embargo, debe tenerse en cuenta que una probabilidad muy baja puede no ser muy confiable.
La matriz de riesgo resultante podría ser:
La empresa u organización calcularía entonces qué niveles de riesgo puede asumir ante distintos eventos. Esto se haría sopesando el riesgo de que ocurra un evento frente al costo de implementar la seguridad y el beneficio que se obtendría de ello.
A continuación se presenta un ejemplo de matriz de posibles lesiones personales, con accidentes específicos asignados a celdas apropiadas dentro de la matriz:
La matriz de riesgo es aproximada y a menudo puede ser cuestionada. Por ejemplo, la probabilidad de muerte en un accidente aéreo es de aproximadamente 1:11 millones [5], pero la de muerte por accidente de tráfico es de 1:5000 [5], pero nadie suele sobrevivir a un accidente aéreo, por lo que es mucho más catastrófico [ cita requerida ] .
El 30 de enero de 1978 [6] se publicó una nueva versión de la Instrucción 6055.1 del Departamento de Defensa de los Estados Unidos ("Programa de Seguridad y Salud Ocupacional del Departamento de Defensa"). Se dice que fue un paso importante hacia el desarrollo de la matriz de riesgos. [7]
En agosto de 1978, el autor de libros de texto de negocios David E Hussey definió una "matriz de riesgo" de inversión con el riesgo en un eje y la rentabilidad en el otro. Los valores en el eje de riesgo se determinaron determinando primero los valores de impacto y probabilidad del riesgo de una manera idéntica a completar una versión 7 x 7 de la matriz de riesgo moderna. [8]
El Departamento de Defensa de los Estados Unidos definió una versión 5 x 4 de la matriz de riesgos el 30 de marzo de 1984 en "MIL-STD-882B System Safety Program Requirements". [9] [10]
La matriz de riesgos fue utilizada por el equipo de reingeniería de adquisiciones del Centro de Sistemas Electrónicos de la Fuerza Aérea de los EE. UU. en 1995. [11]
Huihui Ni, An Chen y Ning Chen propusieron algunas mejoras al enfoque en 2010. [12]
En 2019, las tres formas más populares de la matriz fueron:
También se utilizan otras normas. [14]
En su artículo "¿Qué hay de malo en las matrices de riesgo?", [15] Tony Cox sostiene que las matrices de riesgo presentan varias características matemáticas problemáticas que dificultan la evaluación de los riesgos. Estas son:
Thomas, Bratvold y Bickel [16] demuestran que las matrices de riesgo producen clasificaciones de riesgo arbitrarias. Las clasificaciones dependen del diseño de la propia matriz de riesgo, como el tamaño de los intervalos y si se utiliza o no una escala creciente o decreciente. En otras palabras, cambiar la escala puede cambiar la respuesta.
Un problema adicional es la imprecisión que se utiliza en las categorías de probabilidad. Por ejemplo, "cierto", "probable", "posible", "improbable" y "raro" no están relacionados jerárquicamente. Se podría obtener una mejor elección mediante el uso del mismo término base, como "extremadamente común", "muy común", "bastante común", "menos común", "muy poco común", "extremadamente poco común" o una jerarquía similar en un término base de "frecuencia". [ cita requerida ]
Otro problema común es asignar índices de rango a los ejes de la matriz y multiplicarlos para obtener una "puntuación de riesgo". Si bien esto parece intuitivo, da como resultado una distribución desigual. [ cita requerida ]
Douglas W. Hubbard y Richard Seiersen toman la investigación general de Cox, Thomas, Bratvold y Bickel y brindan una discusión específica en el ámbito del riesgo de ciberseguridad . Señalan que, dado que el 61% de los profesionales de la ciberseguridad utilizan algún tipo de matriz de riesgo, esto puede ser un problema grave. Hubbard y Seiersen consideran estos problemas en el contexto de otros errores humanos medidos y concluyen que "los errores de los expertos simplemente se ven exacerbados por los errores adicionales introducidos por las propias escalas y matrices. Estamos de acuerdo con la solución propuesta por Thomas et al. No hay necesidad de que la ciberseguridad (u otras áreas de análisis de riesgos que también utilizan matrices de riesgo) reinventen métodos cuantitativos bien establecidos que se utilizan en muchos problemas igualmente complejos". [17]