Cómo construir e interpretar una matriz de riesgos de compliance

El artículo explica cómo elaborar e interpretar una matriz de riesgos de cumplimiento normativo. El autor parte de la identificación de riesgos a partir de los procesos reales del negocio —contratos, permisos, flujos de decisión y relaciones con terceros— y critica el traslado mecánico de catálogos genéricos de tipos penales o infracciones administrativas. Describe la construcción de la matriz sobre las variables de probabilidad e impacto, la necesidad de criterios documentados y consistentes, y la distinción entre riesgo inherente y riesgo residual una vez aplicados los controles. Sostiene que interpretarla exige entender la lógica de causa y efecto detrás de cada riesgo y actualizarla cuando cambian las condiciones regulatorias o las políticas internas.