El riesgo inherente es el nivel de riesgo antes de tener en cuenta los controles; el riesgo residual es el que queda después de aplicarlos. La diferencia entre los dos mide cuánto trabajo están haciendo tus controles, y el residual es el que se compara con el apetito de riesgo para decidir si basta con lo que hay o hace falta más.
Los dos se calculan igual, con probabilidad por impacto. Lo que cambia es la pregunta que te haces al valorar: en el inherente, qué podría pasar si no hubiera ningún control; en el residual, qué puede pasar con los controles que existen hoy y funcionan.
Un ejemplo con números
Tomemos un riesgo que aparece en casi cualquier registro de riesgos financieros: pago a un tercero no autorizado porque alguien suplanta a un proveedor y pide cambiar su cuenta bancaria. Usamos una escala de 1 a 5 para probabilidad e impacto, así que el nivel va de 1 a 25.
Riesgo inherente. Sin ningún control, cualquier correo que pida un cambio de cuenta se tramitaría. Estos intentos llegan con frecuencia a los departamentos de cuentas a pagar, así que la probabilidad es 4. El impacto también es alto, porque un pago desviado rara vez se recupera y puede ser el importe completo de una factura grande: 5. Nivel inherente: 4 × 5 = 20.
Controles. La empresa tiene dos. El primero: cualquier cambio de datos bancarios se confirma llamando al proveedor al teléfono que ya consta en el maestro, nunca al que viene en el correo. El segundo: el cambio lo aprueba una segunda persona antes de que el primer pago salga a la cuenta nueva.
Riesgo residual. Los dos controles son preventivos, así que actúan sobre la probabilidad: para que el fraude pase, tienen que fallar los dos. Si sabemos que se aplican (hay registro de las llamadas y de las aprobaciones), la probabilidad baja a 2. El impacto no cambia: si el fraude llega a colarse, el dinero se pierde igual. Nivel residual: 2 × 5 = 10.
Este detalle es el que más se pasa por alto. Un control preventivo baja la probabilidad, y para bajar el impacto hace falta otra cosa: un seguro de fraude, un acuerdo con el banco para retener transferencias sospechosas o un límite de importe para pagos a cuentas nuevas. Si en tu matriz todos los controles bajan los dos ejes a la vez, revisa cómo se están valorando.
Las dos formas habituales de calcular el residual
En la práctica conviven dos métodos y los dos son válidos si se aplican con coherencia.
- Volver a valorar probabilidad e impacto. Es lo que hemos hecho en el ejemplo: el responsable del riesgo vuelve a puntuar cada eje teniendo en cuenta qué control actúa sobre él. Es más lento, pero obliga a explicar por qué baja cada número.
- Aplicar un porcentaje según la eficacia del control. Se valora la eficacia de los controles (por ejemplo, 60 %) y se reduce el nivel inherente en esa proporción: 20 × (1 − 0,60) = 8. Es más rápido y da resultados comparables entre áreas, pero depende por completo de que la eficacia esté bien medida.
En nuestra lectura, el porcentaje funciona cuando la eficacia sale de pruebas de control documentadas. Cuando sale de la opinión de quien diseñó el control, da una precisión que no existe: un 8 parece más exacto que un 10 y no lo es. Si estás empezando, volver a valorar los dos ejes es más honesto y más fácil de defender ante un auditor.
| Riesgo inherente | Riesgo residual | |
|---|---|---|
| Qué mide | La exposición sin controles | La exposición con los controles que existen y funcionan |
| Para qué sirve | Priorizar dónde poner controles y dónde no hace falta | Decidir si el riesgo es aceptable o hay que tratarlo más |
| Con qué se compara | Con el residual, para ver cuánto aportan los controles | Con el apetito y la tolerancia al riesgo |
| Cuándo cambia | Cuando cambia el negocio, el proceso o la amenaza | Además, cuando un control se crea, falla o deja de aplicarse |
| Nombre en MAGERIT | Riesgo potencial | Riesgo residual |
Errores que desvirtúan la comparación
- Valorar el inherente con los controles puestos. Es el más frecuente. Si al puntuar el inherente alguien piensa «bueno, esto ya lo revisamos», el inherente sale bajo, la diferencia con el residual desaparece y parece que los controles no aportan nada. Ayuda escribir en la propia ficha del riesgo: «valorar como si no existiera ningún control».
- Contar controles que nadie ha probado. Un control documentado en una política no reduce el riesgo hasta que hay evidencia de que se aplica. Si la última prueba falló, el residual tendría que volver a subir.
- Sumar controles que hacen lo mismo. Dos revisiones del mismo dato por la misma persona no reducen el doble. Para que dos controles se acumulen tienen que ser independientes.
- Residual cero. Ningún control elimina un riesgo. Si el residual sale a cero, o el riesgo estaba mal descrito o se ha evitado por completo (por ejemplo, dejando de hacer la actividad), y entonces conviene darlo de baja y no seguir valorándolo.
- Inflar el inherente para que luzca la reducción. Es tentador en los informes al comité: un inherente de 25 en todo hace que cualquier control parezca un gran avance. Lo que el comité necesita es un inherente razonable y un residual creíble.
Qué hacer con el residual
El residual se compara con el apetito de riesgo que haya aprobado la dirección. Si está dentro, se acepta y se vigila. Si está fuera, hay que tratarlo: reducirlo con más controles, compartirlo (un seguro, un contrato) o evitarlo dejando de hacer la actividad. Y si la organización decide aceptar un residual fuera del apetito, esa decisión tiene que quedar firmada por quien tiene autoridad para tomarla.
En seguridad de la información esto es un requisito explícito. La ISO/IEC 27001:2022 pide, en el apartado 6.1.3, que los dueños de los riesgos aprueben el plan de tratamiento y acepten los riesgos residuales. En una auditoría de certificación te pedirán la evidencia de esa aceptación. Si quieres ver cómo encaja con la metodología de análisis, lo explicamos en la relación entre ISO 27005 e ISO 27001.
En España, quien trabaja con el Esquema Nacional de Seguridad suele usar MAGERIT, la metodología de análisis de riesgos de la Administración. MAGERIT no habla de riesgo inherente: llama riesgo potencial al que se calcula sobre los activos y las amenazas sin salvaguardas, y riesgo residual al que queda tras aplicarlas. Es la misma idea con otro nombre, así que si heredas un análisis hecho con MAGERIT no hace falta rehacerlo para hablar de inherente y residual.
Cuando la escala de 1 a 5 se queda corta
Una matriz de 5 × 5 sirve para ordenar riesgos, pero no dice cuánto dinero hay en juego. Dos riesgos con nivel 10 pueden estar a varios órdenes de magnitud de distancia. Para los riesgos de mayor nivel, cuantificar en euros o dólares el inherente y el residual permite comparar el coste de un control con la pérdida que evita. Lo contamos con más detalle en cuantificación de riesgos: qué es y cómo aplicarla.
En el módulo de Gestión de riesgos de GlobalSuite®, cada riesgo tiene su valoración inherente y residual con su mapa de calor, y cada control lleva su responsable, su estado y el resultado de su última prueba. Cuando una prueba falla, se ve qué riesgos se apoyan en ese control. Si quieres verlo con tus propios riesgos, pide una demo.
Fuentes: ficha de la ISO/IEC 27001:2022 en iso.org y MAGERIT v3 en el Portal de Administración Electrónica. El ejemplo es ilustrativo y no corresponde a ningún cliente. Contenido revisado en octubre de 2026.
