Un mapa de riesgos es una herramienta consultiva esencial que facilita una representación gráfica actualizada que permite identificar zonas de mayor o menor riesgo frente a diferentes peligros. Este tipo de representaciones gráficas son un mecanismo simple que contribuye a que los directivos de las empresas comprendan de un modo visual cuáles son las amenazas a las que se enfrenta la compañía y es un factor clave que les asiste en la toma de decisiones (determinar y priorizar las medidas y controles destinadas a prevenir dichas amenazas).

En la práctica, los mapas de riesgos son una aproximación útil cuando la probabilidad y el impacto de los riesgos no puede ser estimado con exactitud y precisión.

La norma SGE 900 exige incorporar un instrumento claramente identificado que proporcione a la organización, puesto por puesto y globalmente, mapas del nivel de riesgo para cada grupo de riesgos (de ordinario, por delito).

También exige incorporar instrumentos que permitan en tiempo real disponer de un conjunto de indicadores que contribuyan a medir el logro de los objetivos de compliance y a cuantificar el desempeño del sistema de gestión.