Gestión de Riesgos en Proyectos

Curiosamente en algunas compañías no se realiza el análisis de riesgos en proyectos y la razón es que no hay tiempo o recursos. Al final en muchos casos sucede que no hubo recursos para hacerlo bien la primera vez pero si aparecen recursos para repetir, corregir, reprocesar o hacer las cosas varias veces.

Si Usted es gerente o administrador de riesgos del proyecto, o es el director del proyecto o el encargado de realizar la gestión de riesgos dentro del equipo estos son algunos elementos que debe considerar.

Analizar los riesgo es un poco imaginarse lo que puede pasar en el futuro. Tener la capacidad, a través de consideraciones e hipótesis, de simular o crear un posible escenario de falla, es una característica extremadamente valiosa de una persona que es responsable del proceso de gestión de riesgos. Es allí, en la capacidad de visualizar un posible futuro, de navegar a una altura superior a la de los problemas cotidianos, donde los directores y las personas que trabajan en proyectos son valiosos para las organizaciones.

Identificación del Riesgo

El primer paso en la gestión del riesgo es identificar los riesgos que podrían presentarse durante el proyecto. Estos pueden ser positivos o negativos. Para efectos de este documento se tratará el tema de los riesgos negativos. La correcta identificación de los riesgos es el paso más importante en la gestión de riesgos y es algo en lo que los nuevos gerentes de proyecto tienden a tener dificultades. Algunas técnicas que han funcionado son:

Elementos Clave del Proyecto

Los elementos claves como los objetivos y las principales restricciones y supuestos suelen constituirse en elementos de riesgo. Por ejemplo:

¿El proyecto considera procesos, productos nuevos?
¿Involucra nueva tecnología?
¿Es nuevo para el director y el equipo del proyecto?
¿Es de alto costo?
¿Está sometido a mucha regulación?
¿Tiene partes del proyecto que están interconectadas con otros proyectos?
¿Hay muchos proveedores, contratistas o terceros?
¿Requiere asesores especializados?
¿Requiere la presencia de muchos asesores?
¿El proyecto tienen partes que interfieren con las operaciones actuales de la empresa?
¿El proyecto modifica operaciones actuales que deben mantenerse activas?

Estos y otros elementos usualmente conducen a posibles riesgos durante el proyecto.

Preocupaciones de los Interesados

Puede hacer esta pregunta a los interesados clave del proyecto, al patrocinador y al equipo del proyecto. Realícela primero individualmente y luego en grupos. Existen personas que no tienen una claridad absoluta del concepto "riesgo" aplicable en la gestión de proyectos, ya sea porque se consideran de alta tolerancia o tienen un optimismo desbordante en el proyecto, que lleva a que sus mentes minimicen o ignoren los riesgos; pero la mayoría de las personas si están familiarizadas con el término "preocupación". Usted puede obtener respuestas tales como:

"Me preocupa la insuficiencia de recursos" o
"Tenemos apenas el tiempo justo para realizar el proyecto " o
"Algunas personas del equipo no tenemos suficiente experiencia en esta área" o
“Tengo dificultan para obtener el apoyo de algunos directivos” o
“No logro que mi equipo se compenetre suficientemente en el proyecto”
“En la negociación del contrato debimos reducir el presupuesto hasta el límite posible, ¡nada puede fallar!”.

Estos tipos de respuestas son un buen comienzo en la identificación de riesgos.

El "Pre-Mortem"

Algunas personas están familiarizadas con la elaboración de las "lecciones aprendidas" y "los análisis forenses" de los proyectos anteriores. Aunque sabemos que “después de la guerra todos somos generales”, Hacer un "Pre-Mortem" puede ayudar a identificar riesgos. Usted pregunta al equipo del proyecto y a los interesados "El proyecto anterior ha terminado y fue un desastre. ¿Cuáles fueron las razones?". Su mente funciona mejor para identificar el riesgo en retrospectiva por lo que esta técnica puede ser muy eficaz. Puede obtener respuestas como "El Patrocinador no participó en la toma de decisiones" o "No capacitamos al personal en las nuevas herramientas". Estos tipos de respuestas son riesgos que deben gestionarse. También puedes hacer la pregunta opuesta: "El proyecto ha terminado y tuvo un gran éxito. ¿Por qué?". Respuestas como "María fue asignada como la directora técnica y fue un apoyo clave en el proyecto" o "El Comité Directivo tomó decisiones rápidas" o “pudimos calcular e incluir las reservas necesarias tanto en el cronograma como en el costo” le ayudarán a identificar los riesgos y mitigarlos.

Estructura de desglose de riesgos (RBS)

Una estructura de desglose de riesgos RBS es simplemente una jerarquía de áreas en las que pueden ocurrir riesgos. Grupos estructurados donde se incluyen riesgos relacionados. Presentar estas áreas al equipo y realizar una lluvia de ideas sobre los riesgos potenciales para cada área es sumamente útil, ayuda a aclarar las ideas y a visualizar los riesgos.

Especialistas o Asesores especializados y experimentados

Algunos autores definen la experiencia como el aprendizaje logrado en los fracasos anteriores. Poder contar con personas en el proyecto que ya han conocido el fracaso y la falla, es vital en el proyecto. También se debe contar con personas que por su conocimiento y estudio han profundizado lo suficientemente en los temas del proyecto como para descubrir de antemano las posibles dificultades que se pueden presentar.

Usted debe declarar sus riesgos de una manera consistente. Utilizar el metalenguaje de los riesgos y combinarlos con la metodología de los “Porqué” permite deducir planes de respuesta mucho más fácil: "Debido a (las causas del riesgos), sucede que (ocurre un evento de riesgo), entonces (impacto en el proyecto en términos de alcance, horario, costo, calidad)"

Este es un ejemplo: "Debido a dificultad en la consecución de los materiales, el proveedor se retrasa en la entrega del componente X, por lo que que tendremos un atraso de X semanas en un hito del proyecto ". Tenga en cuenta que los planes de respuesta se plantean sobre las causas del riesgo y recuerde que los riesgos son probabilidades, no certezas. Si un riesgo tiene una probabilidad del 100% esto es una certeza, es un problema y no un riesgo.

Priorización del Riesgo

Después de haber identificado los riesgos, el siguiente paso es priorizarlos de manera cualitativa. Esto se hace asignando una calificación de probabilidad y una calificación de impacto, a cada riesgo. Debido a que estos dos factores son “linealmente independientes” si se asignan valores numéricos o porcentajes a estos factores, su combinación es la multiplicación de los dos. Esto determinará la “severidad”, el tamaño o prioridad del riesgo. Se pueden introducir otros factores de análisis y crear matrices de varios ejes como por ejemplo “el nivel de exposición”, “la prioridad del riesgo”, “el carácter estratégico de la actividad o componente al cual está asociado el riesgo, etc.

Ejemplo de una matriz de tres variables.

La probabilidad del riesgo es una medida de la posibilidad de ocurrencia del riesgo. En la mayoría de los casos es difícil asignar una probabilidad exacta. Por lo general, será suficiente para definir las probabilidades como "Alto", "Medio" y "Bajo" y definir estas probabilidades como rangos. Este es un ejemplo:

Alta: 50% o mayor probabilidad
Medio: entre 30 – 49 % de probabilidad
Bajo: menos del 30% de probabilidad

Lo importante no son los valores en sí, en cambio la posición relativa de estos dentro de los gráficos es la que debe determinar la severidad o importancia del riesgo. En el caso del impacto podrían ser los siguientes valores:

Alto: mayor del 35% de impacto en uno o en varios elementos como el cronograma, alcance, costo, la calidad, etc.
Medio: 5% al 34% de impacto
Bajo: menos del 5% de impacto

Como se mencionó anteriormente la importancia o severidad del riesgo es el producto tanto de la probabilidad de como del impacto de riesgo.

La manera como se responde a los riesgos depende de la frontera de evaluación del riesgo. Esta está determinada por el nivel de tolerancia al riesgo. Una curva de frontera ubicada en la parte superior derecha del gráfico significa una alta tolerancia al riesgo. Una curva ubicada más hacia abajo a la izquierda indica una baja tolerancia al riesgo. Como recomendación es útil iniciar con una baja tolerancia al riesgo.

El nivel de tolerancia determinará que riesgos quedan clasificados de alta, media o baja importancia y esto determinará que tipo de respuesta o planes deben prepararse.

Ahora que se tiene la importancia y exposición al riesgo determinada, debe diseñar e implementar planes de respuesta. Para ello debe asignar responsables y fechas de seguimiento. Los planes preparados deben quedar incluidos dentro del cronograma y del presupuesto. Monitorear y actuar sobre los riesgos teniendo en cuenta su severidad, le ayudará a determinar el nivel de recursos y esfuerzo de gestión que debe ser dedicado a la gestión de riesgos.

Estrategias de Mitigación del Riesgo

Con sus riesgos identificados, clasificados y priorizados debe desarrollar estrategias o planes de respuesta a los riesgos con el fin de reducir su impacto o probabilidad o severidad. El primer tipo de estrategia es "Mitigación de Riesgos". Estas son acciones que puede tomar antes de que se produzca un riesgo que pueden reducir la exposición al riesgo. Debe hacer una lluvia de ideas acerca de las estrategias con los miembros del equipo y con los expertos del proyecto considerando los riesgos según su severidad y en qué posición están dentro de las fronteras de análisis.

Hay varias estrategias que puede emplear para reducir la severidad del riesgo:

Evitar el Riesgo

Esta es la de mayor impacto en los recursos del proyecto. Puede invertir costos y recursos para eliminar el riesgo. Un ejemplo sería si tiene un recurso menos calificado asignado a una tarea, lo que aumenta los riesgos de finalización a tiempo y de calidad del entregable, puede invertir más dinero para un recurso mejor calificado y eliminar estos riesgos.

Limitar el Riesgo

Esta es la estrategia más común. Usted toma algunas medidas para reducir la probabilidad y / o el impacto del riesgo. Un ejemplo sería si le preocupa el tiempo de inactividad o el rendimiento del servidor durante los uploads, puede implementar una redundancia y balancear la carga para mitigar este riesgo.

Transferir el Riesgo

Implica entregar o ceder el riesgo a otra área, ya sea de manera voluntaria o a través de un contrato. En algunos casos se puede transferir parte del riesgo como por ejemplo la adquisición de pólizas de seguros en las que se transfiere lo correspondiente a los costos del impacto de materialización del riesgo. En otros casos subcontratar empresas que tengan planes de riesgo ya preparados es otra de las formas de transferir la probabilidad o el impacto del riesgo.

Aceptar el Riesgo

Si el costo de mitigar el riesgo supera el costo del riesgo en sí, puede significar que su impacto o probabilidad son muy bajos por lo que puede optar por aceptar simplemente el riesgo sin acciones de mitigación. Esta estrategia se emplea en riesgos de baja probabilidad y/o bajo impacto.

Escalar el Riesgo

Cuando el nivel y categoría del plan de manejo o plan de respuesta del riesgo superan la autoridad o capacidad de gestión del director y del equipo del proyecto se debe escalar el riesgo.

Documentar sus estrategias de mitigación le pone en control del proyecto. Usted puede manejar sus riesgos o seguramente lo manejarán.

Planes de Contingencia

Las estrategias de mitigación de riesgos pueden reducir el impacto potencial de los riesgos que aún no se han producido. Los planes de contingencia de riesgo están destinados a hacer frente a los riesgos una vez se materialicen. A veces se conoce como “Plan de Contingencia”, “Plan de emergencia”, “Plan de control de daños” o "Plan B". Los planes de contingencia responden a la pregunta ¿Qué debemos hacer si el riesgo se materializa?

Los planes de contingencia deben ser creados por adelantado cuando no se está aún bajo la presión de la ejecución o bajo la emergencia debido a que el riesgo se acaba de materializar. De esta forma dispone de más tiempo y mente para hacer una lluvia de ideas sobre los planes potenciales. Anticipar riesgos y tener planes de contingencia bien examinados te mantiene en control del proyecto y minimiza el "modo crisis".

Estos son algunos ejemplos:

Si existe el riesgo de que las pruebas tarden más de lo previsto, puede tener una lista de recursos de prueba adicionales identificados para unirse a la tarea si las pruebas se retrasan.
Si existe el riesgo de que el mal tiempo interrumpa las actividades al aire libre, puede hacer actividades en interiores o bajo una cubierta provisional, para mantener el proyecto en movimiento.
Si existe el riesgo de que un recurso clave abandone el proyecto, puede preparar un recurso de un consultor externo de antemano para intervenir si es necesario.
Seguimiento a los riesgos

Un aspecto importante de la Gestión de Riesgos es conocer y detectar que el riesgo está a punto de ocurrir. El elemento que nos ayuda a reconocer este momento es el "disparador de riesgo" o “desencadenante del riesgo”. En algunos casos puede ser obvio. En proyectos de ingeniería sería fácil adicionar medidores o sensores y trazar su avance. Cuando se supere un umbral determinado podemos decir que estamos ante la materialización inminente del riesgo. Por ejemplo, si el producto debe mantenerse dentro de una rango de temperatura determinado podemos adicionar un sensor de temperatura con una alarma que nos indique el umbral.

Los disparadores o desencadenantes de riesgo deben definir el método que se utilizará para supervisar el riesgo. Por ejemplo, si hay un posible cambio en una regulación gubernamental que afectará a su proyecto, puede contratar a su equipo legal para supervisar el estado de esta regulación de forma regular e informar de cualquier cambio directamente al PM. Por ejemplo, si existe el riesgo de que la capacidad del servidor sea insuficiente para satisfacer la demanda máxima, puede monitores el uso de los recursos del servidor y levantar una alarma si se acercan a los límites de seguridad.

La lección aquí es anticiparse a la ocurrencia del riesgo, no esperar que sólo sabrá que hacer cuándo se ha producido un riesgo. Muchas de las frases que solemos escuchar en algunos ejecutivos y directivos de compañía y proyectos son “sigamos así y ya lo resolveremos en el camino”, “más adelante le pensamos”, “suspendamos el análisis para poder avanzar en la ejecución”. Tenga mucho cuidado de estas frases son virus que se instalan en la mente de las personas que afectan su capacidad de adelantarse en el proyecto y viven su día a día atendiendo “incendios”.

Conclusión

La gestión de riesgos es invariablemente la que aporta mayor beneficio a los proyectos ya que cualquier tipo de falla en un proyecto podría analizarse como un riesgo y preparar planes para mitigarlo, reducirlo o evitarlo.

La gestión de riesgos no debe ser objeto de “se aplica” o “no se aplica” dependiendo del tamaño o complejidad del proyecto; debe aplicarse para cualquier tamaño de proyecto, sea de baja o alta complejidad.

En este documento no se trató el tema de las reservas en proyecto que será objeto de una próxima publicación.

Bibliografía

Hayek, F. A. The Theory of Complex Phenomena, London, UK. 1967

Lex Hoogduin. Complexity and Uncertainty. Groningen University. 2014

Dean M. Morris. Understanding and Managing Emergent Behavior in Complex Systems. 2013.

Tom Demarco. Waltzing with Bears-Risks on Projects. Dorset. 2003.

Remington & Pollack-Tools for Complex Projects. Gower. 2007

PMI. Project Management Institute. Pulse of the Profession. 2013

Standish Group. Chaos Report. 2013.

PMI. Project Management Institute. Project Management Body of Knowledge. 6th Ed. 2017

Project Management Institute. Como desenvolverse en un entorno complejo. 2013.

PMI. Project Management Institute. Navigating Complexity: A practice guide. 2014.

Knight, F, 1921 Risk, uncertainty and profit. Beard Books. Washington 2002

Keynes, J. M. The general theory of employment, interest and money. Harcourt Barce Jovanovich. 1964

IBM. Capitalizing on Complexity. Executive Report. 2010.

Price Waterhouse Coopers. Dealing with disruption. Adapting to survive and thrive. PWC annual CEO survey. 2013.

Hillson, David. ATOM Methodology.