Gestión de riesgos del proyecto: registro, análisis y estrategias de respuesta

Todo proyecto es un conjunto de decisiones tomadas sin información completa, así que la incertidumbre no es un rasgo desafortunado de los proyectos mal gestionados: es la materia prima del trabajo. La gestión de riesgos es lo que convierte esa incertidumbre, que de otro modo simplemente te ocurre, en algo que ya has pensado, cuantificado y asignado a alguien.

La mayoría de las organizaciones lo hacen mal, y de una manera concreta y reconocible. Durante el inicio se elabora un registro, se llena con veinte riesgos plausibles, se presenta una vez y no se vuelve a abrir hasta que uno de ellos ocurre y alguien comenta que estaba en la lista. Eso es documentación, no gestión. Esta guía trata de la versión que cambia decisiones: qué identificar, cómo analizarlo con el rigor suficiente para dimensionar una reserva, qué respuestas hay disponibles y cómo mantenerlo todo vivo.

Riesgo, incidente, supuesto, dependencia

Hay cuatro palabras que se usan indistintamente y que significan cosas distintas, cada una de las cuales exige una acción diferente.

La distinción importa porque un registro que los mezcla produce revisiones confusas. El hábito más valioso es tratar los supuestos como riesgos no gestionados: cada supuesto de planificación escrito en un acta de constitución debería tener una acción de validación, porque un supuesto sin validar es un riesgo que no has puntuado.

Una disciplina útil para redactar los enunciados de riesgo es la forma causa-evento-efecto. «La integración podría fallar» no da pie a ninguna acción. «Como la cola de certificación del proveedor de pagos es ahora mismo de seis semanas, existe el riesgo de que la certificación termine después de la fecha de lanzamiento prevista, lo que retrasaría la puesta en producción y los ingresos hasta dos meses» nombra algo sobre lo que se puede actuar, ofrece un disparador que vigilar y enuncia un impacto que se puede cuantificar.

Identificar los riesgos

En la identificación se fija la calidad de todo lo que viene después, y un taller de cinco personas enumerando lo que les preocupa encontrará sin falta los riesgos obvios y dejará escapar los caros. Combina varias técnicas.

• Listas de comprobación estructuradas, a partir de proyectos anteriores y del registro de lecciones aprendidas de la organización. La fuente más barata de buenos riesgos es lo que salió mal la última vez.
• Análisis de supuestos. Recorre el acta de constitución y el plan, enumera cada supuesto y pregúntate qué pasa si es falso.
• Descomposición. Recorre la estructura de desglose del trabajo (EDT) y la arquitectura y pregunta, en cada nodo, qué podría salir mal ahí.
• Entrevistas con personas ajenas al equipo. Personal de operaciones, soporte, quienes gestionaban el sistema anterior, los ingenieros del proveedor. Conocen modos de fallo que el equipo de entrega no ha visto nunca.
• Pre-mortem. Pide al equipo que imagine que ha pasado un año y el proyecto ha fracasado estrepitosamente, y que cuente cómo ocurrió. Saca a la luz, sin falta, riesgos que nadie plantearía en una reunión normal porque hacerlo parecería desleal.
• Categorías. Técnica, externa, organizativa, comercial, regulatoria, personas, datos. Las categorías impiden que un equipo técnico produzca veinte riesgos técnicos y ninguno más.

Busca cobertura, no volumen. Cuarenta riesgos que nadie revisa son peores que doce que se examinan cada mes.

El registro

Un registro se gana su sitio cuando se usan todas sus columnas. Estos campos son el mínimo para trabajar.

Tres de estos campos se omiten con frecuencia y son justo los que hacen operativo el registro. El responsable debe ser una persona con autoridad para actuar: un riesgo cuyo responsable es «el equipo de entrega» no es de nadie. El disparador es la condición observable que indica que el riesgo se está materializando, y definirlo de antemano es lo que permite que la respuesta arranque a tiempo y no cuando el daño ya está hecho. Y el riesgo residual te obliga a declarar qué queda después de la respuesta, que es la cifra que debería determinar la reserva.

Análisis cualitativo

El análisis cualitativo prioriza los riesgos rápidamente mediante puntuaciones relativas. La probabilidad y el impacto se valoran cada uno en una escala (lo habitual son cinco niveles) y se combinan en una puntuación que orienta la atención.

Dos reglas mantienen la honestidad del ejercicio. Define las escalas en los términos de la organización antes de puntuar: «impacto alto» debe significar un rango concreto de dinero, un número concreto de semanas o una categoría concreta de daño reputacional, no una sensación. Y puntúa el impacto por separado para cada objetivo cuando difieran: un riesgo que cuesta poco pero retrasa el lanzamiento un mes no es lo mismo que uno que cuesta muchísimo y no retrasa nada.

La matriz es una herramienta de triaje, no una respuesta. Su debilidad conocida es que borra la diferencia entre una catástrofe poco probable y una molestia muy probable que, por casualidad, comparten la misma puntuación, así que trata cualquier riesgo de impacto muy alto como algo que exige respuesta, diga lo que diga la aritmética.

Análisis cuantitativo

Cuando la decisión necesita una cifra (cuánta reserva mantener, si aceptar una oferta a precio cerrado, si una mitigación compensa su coste), las técnicas cuantitativas ponen el dinero sobre la mesa.

El valor monetario esperado (EMV, expected monetary value) es la probabilidad multiplicada por el impacto, sumada para todos los riesgos. Las amenazas cuentan como costes positivos y las oportunidades como negativos.

ID   Risk                                  P      Impact     EMV
R-07 Certification later than planned     0.40   120,000    48,000
R-11 Migration data quality worse         0.50    90,000    45,000
R-14 Performance target missed            0.15   200,000    30,000
R-02 Lead engineer unavailable            0.20    60,000    12,000
O-03 Reuse of existing auth component     0.60   -40,000   -24,000
                                                            -------
Total expected monetary value                               111,000

Ese total es un punto de partida defendible para una reserva de contingencia dentro de la línea base de costes, mucho mejor que un porcentaje fijo, porque se puede rastrear hasta riesgos concretos y se reduce a medida que estos se cierran. También es una herramienta de decisión: una mitigación que cuesta 20.000 y reduce a la mitad la probabilidad de R-11 elimina 22.500 de valor esperado y merece la pena; una que cuesta 60.000, no.

El análisis de sensibilidad ordena qué incertidumbres importan. Varía cada dato de entrada dentro de su rango plausible manteniendo fijos los demás, y representa el efecto sobre el resultado en un gráfico de barras horizontales ordenado por tamaño: el diagrama de tornado. Su valor está en mostrar que, de treinta datos inciertos, tres explican la mayor parte de la varianza, y que ahí es donde debe ir el esfuerzo de análisis.

La simulación de Monte Carlo modela todo el proyecto de forma probabilística. Asigna a cada actividad un rango de duración y a cada partida de coste una distribución, ejecuta miles de simulaciones y lee el resultado como percentiles: un 80 % de probabilidad de terminar antes de una fecha dada, un 90 % de probabilidad de no superar un coste dado. Es mucho más informativo que un plan de valor único y pone al descubierto un efecto que la planificación determinista oculta: donde convergen varios caminos paralelos, la probabilidad de que todos lleguen a tiempo es mucho menor que la de que llegue uno cualquiera, así que los puntos de convergencia son sistemáticamente más arriesgados de lo que sugiere un cálculo de la ruta crítica.

Respuestas

Una vez puntuado un riesgo, elige una estrategia. Cinco se aplican a las amenazas y otras cinco las reflejan para las oportunidades.

Toda respuesta tiene dos consecuencias. El riesgo residual es lo que queda después, y hay que registrarlo y que alguien lo acepte de forma explícita: una mitigación que reduce la probabilidad del 40 % al 15 % no ha eliminado el riesgo. El riesgo secundario es lo que la respuesta crea: transferir trabajo a un proveedor introduce riesgo de proveedor; añadir una caché para resolver un problema de rendimiento introduce defectos de datos obsoletos. Ambos deben figurar en el registro.

Prefiere mitigaciones que produzcan evidencias. Un riesgo técnico sobre una integración no probada se aborda mejor con un spike acotado en el tiempo, que o funciona o no, que con un párrafo de buenas intenciones; es el mismo enfoque que sustenta una buena estrategia de automatización de pruebas, en la que la cobertura automatizada es una mitigación permanente contra el riesgo de regresión.

Seguimiento y riesgo en entregas iterativas

El seguimiento es la parte que se deteriora. Hazlo lo bastante barato como para que sobreviva: una revisión breve al final de cada iteración o cada mes, en la que cada riesgo abierto se confirma, se vuelve a puntuar si algo ha cambiado y se cierra si ya no puede ocurrir. Vigila los disparadores más que los riesgos: un disparador activado significa que la respuesta empieza hoy. Los riesgos nuevos llegan de forma continua, a través de solicitudes de cambio, noticias de proveedores y descubrimientos técnicos, así que el registro crece y mengua en lugar de escribirse una sola vez.

La entrega iterativa cambia más la forma de la gestión de riesgos que su fondo. Las iteraciones cortas son en sí mismas una mitigación: limitan la cantidad de trabajo que puede construirse sobre un supuesto erróneo y generan evidencias cada dos semanas en lugar de al final. Ordenar el backlog por riesgo, construyendo la integración incierta en la primera iteración y no en la última, convierte pronto la incertidumbre en conocimiento; por eso los elementos significativos para la arquitectura deben adelantarse aunque su valor de negocio sea bajo. El framework Scrum no ofrece ningún artefacto de riesgos, así que los equipos que lo necesitan suelen mantener un registro ligero junto al backlog y revisarlo durante el refinamiento.

Lo que no cambia es la necesidad de una responsabilidad explícita y de una conversación honesta sobre lo que podría salir mal. Un equipo que trata cada problema cuando aparece no está siendo ágil; está siendo imprevisor, solo que con un ciclo de retroalimentación más corto.

Ideas clave

• Separa riesgos, incidentes, supuestos y dependencias: cada uno exige una acción distinta, y los supuestos sin validar no son más que riesgos sin puntuar.
• Redacta los enunciados en forma causa-evento-efecto para que cada entrada lleve un disparador que vigilar y un impacto cuantificable.
• Un registro funciona cuando tiene un responsable individual, un disparador definido y un riesgo residual declarado; sin esos tres elementos, es documentación.
• La puntuación cualitativa sirve para el triaje, pero define primero las escalas en dinero y semanas, y no dejes nunca que la matriz rebaje una catástrofe poco probable.
• El valor monetario esperado da una cifra de contingencia trazable y te dice qué mitigaciones compensan su coste; Monte Carlo muestra el riesgo en los puntos de convergencia que un plan determinista oculta.
• Toda respuesta deja un riesgo residual y suele crear uno secundario; registra ambos y prefiere mitigaciones que produzcan evidencias, no intenciones.