- Estima la probabilidad anual. Introduce el porcentaje de probabilidad de que el escenario ocurra durante el periodo analizado.
- Cuantifica el impacto. Usa una estimación monetaria coherente que incluya solo los costes que pertenezcan al mismo escenario.
- Valora los controles actuales. Indica qué porcentaje del impacto esperado consideras que reducen los controles ya implantados.
- Revisa la exposición residual. Compárala con otros escenarios usando el mismo horizonte temporal y los mismos criterios de coste.
- Prueba alternativas. Modifica probabilidad, impacto o eficacia para observar la sensibilidad del resultado.
Estimador de exposición al riesgo de terceros
Esta herramienta estima la exposición económica esperada asociada a riesgos de terceros combinando la probabilidad de que ocurra un incidente, el impacto monetario previsto y la eficacia de los controles existentes. El resultado expresa una pérdida esperada ajustada al escenario introducido, útil para comparar prioridades de tratamiento sin confundir una cifra estimada con una predicción exacta. Puede emplearse al revisar proveedores, socios, plataformas SaaS y otros servicios externos con acceso o dependencia operativa. Al probar distintos valores de probabilidad, impacto o eficacia de control, es posible observar cómo cambia la exposición residual y documentar escenarios base, conservadores o de mejora. La calidad del resultado depende directamente de las hipótesis utilizadas, por lo que conviene basarlas en datos internos, ejercicios de riesgo o estimaciones justificadas.
Introduce los datos del escenario
%
€
%
Resultado
—
Resultado estimado
Pérdida esperada bruta—
Reducción por controles—
Eficacia aplicada—
Exposición residual = (Probabilidad / 100) × Impacto × (1 − Eficacia del control / 100)
La probabilidad y la eficacia se convierten a valores decimales. El impacto se expresa en euros y el resultado mantiene esa unidad. El modelo supone que la reducción de control se aplica proporcionalmente a la pérdida esperada.
Qué significa el resultado
Una cifra mayor indica más exposición económica bajo las hipótesis introducidas; una cifra menor puede reflejar menor probabilidad, menor impacto o controles más eficaces.
El resultado depende de que la probabilidad y el impacto representen el mismo alcance contractual y operativo. Si varios proveedores tienen perfiles distintos, calcúlalos por separado.
Datos: probabilidad anual del 16 %. impacto de 310.000 € y eficacia de control del 25 %,
Cálculo: (16 / 100) × 310.000 × (1 − 25 / 100) = 37.200,00 €,
Resultado: la exposición residual estimada es de 37.200,00 € para el periodo analizado, Sirve como referencia comparativa para priorizar medidas o realizar análisis de sensibilidad,
¿Qué representa exactamente la exposición residual?
Es la pérdida económica esperada después de aplicar la reducción atribuida a los controles existentes. No significa que esa cantidad vaya a materializarse necesariamente.
¿Debo usar probabilidad mensual o anual?
Usa el horizonte que corresponda a tu análisis, pero mantén el mismo periodo para probabilidad e impacto. Para comparar varios riesgos, es recomendable trabajar con un horizonte uniforme.
¿Cómo estimo la eficacia de los controles?
Puede basarse en pruebas de control, métricas internas, simulaciones o juicio experto documentado. Evita introducir porcentajes arbitrarios si van a utilizarse para decisiones importantes.
¿Qué ocurre si no hay controles?
Introduce 0 % de eficacia. En ese caso, la exposición residual coincide con la pérdida esperada sin reducción por controles.
¿En qué se diferencia de una estimación de pérdida esperada?
La pérdida esperada suele combinar probabilidad e impacto antes de controles. Esta herramienta añade explícitamente una reducción por eficacia de control para mostrar una exposición residual.