La matriz de riesgos en un programa de integridad: cómo mapear el riesgo penal

La matriz de riesgos es el cimiento de todo programa de integridad: ordena dónde, con qué probabilidad y con qué impacto puede aparecer un delito de corrupción en tu empresa. Es la versión concreta del análisis de riesgos que la Ley 27.401 menciona como elemento del compliance. Sin ella, los controles se reparten al azar; con ella, se concentran donde realmente hacen falta.

Qué es y para qué sirve

La matriz cruza dos variables: la probabilidad de que ocurra una conducta riesgosa y el impacto que tendría si ocurriera. El resultado es un mapa que distingue los riesgos críticos de los menores y permite priorizar. No es un ejercicio teórico: define en qué áreas la empresa invierte controles, capacitación y supervisión. Un programa sin matriz es como blindar todas las puertas por igual sin saber por cuál entran los problemas.

La lógica de fondo es la de cualquier buena gestión de recursos: nadie tiene tiempo ni dinero infinitos para controlar todo con la misma intensidad. La matriz permite decidir, con criterio, dónde poner el esfuerzo. Un riesgo de alta probabilidad y alto impacto exige controles estrictos y seguimiento cercano; uno de baja probabilidad e impacto menor puede manejarse con una pauta general. Esa graduación es lo que vuelve sostenible al programa: en lugar de un control asfixiante e imposible de cumplir, ofrece una respuesta proporcionada a cada riesgo.

Cómo se arma

El armado suele seguir tres movimientos:

• Identificar los procesos y puntos de contacto donde puede surgir corrupción: contrataciones con el Estado, manejo de fondos, regalos, intermediarios, vínculos con funcionarios.
• Evaluar cada riesgo según probabilidad e impacto, con criterios consistentes.
• Priorizar y asignar controles proporcionales a cada nivel de riesgo.

El producto se vuelca en un documento vivo, que se revisa y ajusta con el tiempo.

A medida, no de plantilla

El error más común es copiar la matriz de otra empresa. Una constructora que licita obra pública, una farmacéutica y un comercio minorista enfrentan riesgos muy distintos. Una matriz prestada suele tapar los riesgos propios y ofrecer una falsa sensación de cobertura. La ley valora un análisis adecuado a la actividad real: por eso la matriz debe nacer del negocio concreto, sus proveedores, sus clientes y su relación con el Estado.

Tampoco se trata de un documento que se hace una vez y se archiva. La matriz tiene que vivir con la empresa: si la compañía entra en un nuevo negocio, suma proveedores que tratan con el Estado, abre una sucursal o cambia su forma de contratar, los riesgos cambian y el mapa debe reflejarlo. Conviene revisarla con regularidad y, sobre todo, cada vez que ocurre algo relevante en el negocio o en la normativa. Una matriz desactualizada es casi peor que no tenerla, porque da seguridad sobre riesgos que ya no son los reales.

Por qué la valora la Ley 27.401

La matriz es la prueba de que la empresa pensó su riesgo antes de que pasara algo. Frente a la responsabilidad penal de las personas jurídicas, demuestra que el programa no es genérico sino diseñado a medida, lo que refuerza su valor como defensa para atenuar o eximir de pena. En causas del fuero penal económico y federal, poder mostrar una matriz seria, actualizada y conectada con los controles efectivos distingue a la empresa diligente de la que improvisó.

En resumen: la matriz de riesgos mapea probabilidad e impacto de las conductas de corrupción para concentrar los controles donde importan; debe armarse a medida de cada empresa y revisarse en el tiempo, y es la base que da seriedad a todo el programa de integridad.

Contenido informativo sobre derecho penal económico y federal; no es asesoramiento legal y su aplicación a un caso concreto debe confirmarla un abogado. Las escalas y los montos dependen de la normativa vigente.