Pregunte en cualquier organización dónde viven sus KPIs y dónde sus KRIs, y lo habitual es recibir dos respuestas distintas: los KPIs en el sistema de indicadores, los KRIs en la matriz de riesgos — dos catálogos, dos dueños, dos periodicidades, y con frecuencia el mismo número calculado dos veces.
La metodología Dexon BPM toma una decisión que contradice esa práctica a propósito: el KRI no es una casilla; es una relación. Un elemento de medición se vuelve KRI cuando se vincula a un riesgo del registro. El mismo elemento puede tener además una meta — y por tanto ser KPI. No hay que duplicar el objeto ni forzar una elección artificial entre los dos catálogos, porque no hay dos catálogos.
De la señal de alerta al indicador
Para que esa relación signifique algo, el riesgo tiene que ser un objeto y no una anotación. En el registro, cada entrada recorre un ciclo completo con sus tres etapas declaradas por separado:
Riesgo inherente —tipo, impacto y probabilidad antes de cualquier tratamiento— → tratamiento —evitar, reducir, transferir o aceptar, con su contramedida— → riesgo residual —impacto y probabilidad después del tratamiento.
Un registro que solo guarda una valoración no permite saber si el nivel actual es fruto de una decisión o de la suerte.
Y cada entrada declara, además, sus señales de alerta temprana: lo que se observa antes de la materialización. Ahí está el semillero de los KRIs: cada señal que pueda cuantificarse es candidata a elemento de medición con vínculo al riesgo. Si el riesgo es el incumplimiento regulatorio de un trámite, la señal temprana puede ser el backlog envejecido en cierta etapa; ese backlog, medido con periodicidad y vinculado al riesgo, es un KRI — y el mismo número puede ser, con su meta, el KPI de flujo del proceso.
La regla incómoda que se sigue de esto: un registro de riesgos con señales declaradas y sin indicadores que las midan está describiendo, sin decirlo, el trabajo que falta.
Por qué importa que sea una relación
Porque las relaciones se consultan, y las casillas solo se leen.
- El impacto de un riesgo incluye sus KRIs. Antes de modificar o retirar un riesgo, la plataforma muestra qué depende de él: los procesos cuyo diseño condiciona, el portafolio analizado frente a él y los indicadores que lo anticipan. De ahí una regla de integridad que suena severa y es simplemente higiene: una entrada del registro que está en uso no se elimina — primero se desvinculan sus usos, dejando rastro.
- El KRI hereda el contexto del elemento de medición. Ancla a un objeto concreto, fuente declarada, periodicidad, historia. No es un número pegado en la matriz de riesgos: es el mismo objeto gobernado que alimenta los tableros.
- La conversación con el auditor cambia de naturaleza. «¿Cómo monitorean este riesgo?» deja de responderse con una diapositiva: se responde mostrando el vínculo riesgo → indicador → proceso, con la historia del indicador al lado.
Lo que esto no es
No es un módulo de GRC aparte, ni pretende serlo. Es la consecuencia de un metamodelo donde el riesgo, el proceso, el dato y el indicador son objetos del mismo repositorio con relaciones reales entre sí. La gestión del riesgo que resulta de eso — el ciclo completo, el riesgo como condición de diseño del proceso, la integridad del registro — está desarrollada en la página de gestión del riesgo, y la mecánica de la alineación por relaciones, en el artículo sobre alineación total.
El marco formal completo — el registro como objeto gobernado (§8.4) y la alineación de la medición (§15.8) — está en la metodología Dexon BPM V8, descargable sin registro.