Una taxonomía de riesgos es la lista ordenada de categorías en la que una organización clasifica todos sus riesgos, con una definición para cada una. Sirve para que el mismo riesgo se llame igual en todas las áreas y para poder sumar: cuántos riesgos de ciberseguridad están por encima del apetito, qué área concentra el fraude o qué ha cambiado desde el último comité.
Sin taxonomía, cada área escribe su registro a su manera. Finanzas apunta «fraude en pagos», Compras «suplantación de proveedor» y Tecnología «phishing dirigido a cuentas a pagar». Son el mismo riesgo valorado tres veces, con tres notas distintas, y el informe consolidado no lo detecta.
Tres niveles suelen bastar
La forma habitual es una jerarquía. El nivel 1 tiene pocas categorías amplias, las que entiende el comité de dirección. El nivel 2 las divide en subcategorías con las que trabaja cada responsable. El nivel 3 es el riesgo concreto, tal como aparece en el registro, con su dueño y su valoración.
Más de tres niveles casi nunca compensa. Cada nivel extra es una decisión más al dar de alta un riesgo, y cuando la decisión es difícil la gente acaba eligiendo «otros». Para el nivel 1, entre seis y diez categorías suelen ser suficientes: con menos, todo cae en «operacional»; con más, el comité ya no puede leer el informe de un vistazo.
No empieces de cero: Basilea y ORX
La clasificación más usada viene de la banca. El marco de Basilea define el riesgo operacional como el riesgo de pérdidas por fallos o insuficiencias de los procesos, las personas y los sistemas internos, o por acontecimientos externos. Incluye el riesgo legal y deja fuera el estratégico y el reputacional (OPE10.1). Para clasificar las pérdidas, el mismo marco usa siete tipos de evento de nivel 1 (OPE25.17, tabla 2), que sirven en casi cualquier empresa aunque no sea un banco.
| Tipo de evento (nivel 1) | Qué entra |
|---|---|
| Fraude interno | Actos para defraudar, apropiarse de bienes o saltarse la ley o las normas de la empresa en los que participa al menos una persona de dentro. |
| Fraude externo | Lo mismo, cometido por un tercero: robo, falsificación, ataques informáticos con pérdida económica. |
| Relaciones laborales y seguridad en el trabajo | Incumplimientos de normas laborales, de salud o de seguridad, indemnizaciones por daños personales y casos de discriminación. |
| Clientes, productos y prácticas empresariales | No cumplir, por negligencia, una obligación profesional con clientes concretos, o un producto mal diseñado. |
| Daños a activos materiales | Pérdida o daño de bienes físicos por desastres naturales u otros sucesos. |
| Interrupción del negocio y fallos de sistemas | Caídas de hardware, software, telecomunicaciones o suministros. |
| Ejecución, entrega y gestión de procesos | Errores al procesar operaciones, plazos incumplidos y fallos con contrapartes y proveedores. |
El problema de esta lista es la época en que se hizo. No separa la ciberseguridad, la conducta ni la dependencia de terceros, que hoy son las preguntas que más llegan al comité. Para cubrir ese hueco, la asociación sectorial ORX publicó en noviembre de 2019, con Oliver Wyman, una taxonomía de referencia de tipos de evento que incorpora esos riesgos sin romper con los tipos de Basilea. La propia ORX aclara que no está pensada para adoptarse tal cual, sino como punto de partida para construir la taxonomía de cada organización.
Si tu empresa no es un banco, lo que haríamos nosotros es esto: usar los siete tipos de Basilea como esqueleto del riesgo operacional y añadir al nivel 1 lo que Basilea deja fuera, como el riesgo estratégico y el financiero. Tecnología y terceros merecen categoría propia en cuanto pesen en el negocio; si no, quedan como subcategorías de operacional.
Evento, causa y consecuencia: no los mezcles
Es el error que más estropea una taxonomía. En un mismo registro aparecen como riesgos distintos «falta de formación del personal», «pago a un proveedor suplantado» y «daño reputacional». Lo primero es una causa, lo segundo un evento y lo tercero una consecuencia. Cuando se mezclan, el mismo problema se cuenta varias veces y los controles se asignan al nivel equivocado.
La taxonomía clasifica eventos. Las causas sirven para elegir controles preventivos y las consecuencias, para valorar el impacto. ORX llegó a la misma conclusión: en 2020 publicó por separado una taxonomía de causas e impactos, que complementa la de tipos de evento. El riesgo reputacional encaja mejor como consecuencia que como categoría, algo coherente con que Basilea lo deje fuera de su definición.
Reglas para que la taxonomía se use
- Una definición por categoría. Una o dos frases, con un ejemplo de lo que entra y otro de lo que no. Sin definición, cada área interpreta la categoría a su manera.
- Categorías que no se solapen. Si un riesgo cabe en dos, el fallo está en las definiciones y no en quien lo clasifica.
- Un responsable por categoría de nivel 1. Es quien decide en caso de duda y quien presenta esa categoría al comité.
- Vigilar «otros». Si cada vez más riesgos acaban ahí, falta una categoría.
- Las normas no son categorías. ISO 27001, DORA o el RGPD se relacionan con los riesgos mediante etiquetas o a través de los controles. Si «DORA» es una categoría, el riesgo de caída del proveedor de nube acaba duplicado en «DORA» y en «Terceros».
- Versionarla. Revisarla una vez al año y, si cambia, reclasificar el histórico. Si no, la comparación con el año anterior deja de tener sentido.
La taxonomía es la base del análisis de riesgos. Con ella, la valoración de riesgo inherente y residual y la comparación con el apetito de riesgo se pueden hacer también por categoría.
El módulo de Gestión de riesgos de GlobalSuite® llega con catálogos de riesgos y controles ya cargados para ISO 31000, COSO ERM e ISO 27005, y admite también la metodología propia de cada organización. Si quieres ver cómo quedaría tu taxonomía, pide una demo.
Fuentes: marco de Basilea del Comité de Supervisión Bancaria, capítulos OPE10 y OPE25 (en vigor desde el 1 de enero de 2023), y ORX Reference Taxonomy. Los nombres de los tipos de evento de Basilea están traducidos por nosotros. Los ejemplos son ilustrativos y no corresponden a ningún cliente. Contenido revisado en octubre de 2026.
