¿Cuáles son los principales riesgos en gestión de proyectos?

A seis semanas de la puesta en producción, el cliente pide un informe más. Esa misma semana, un proveedor retrasa diez días una entrega y el desarrollador que mejor conoce la integración acepta una oferta de otra empresa. Cualquiera de estos contratiempos habría sido manejable por separado. Juntos retrasan el lanzamiento un mes, y ninguno salió de la nada: todos empezaron donde los proyectos suelen torcerse.

La mayoría de los riesgos de un proyecto proceden de unas pocas fuentes. Cuando las conoces, identificar riesgos deja de depender de lo que el jefe de proyecto recuerde en ese momento y se convierte en una revisión que puedes repetir a medida que el proyecto avanza.

La norma UNE-ISO 31000:2018, versión española de ISO 31000, define el riesgo como el efecto de la incertidumbre sobre los objetivos. El PMI describe el riesgo de un proyecto con la misma idea: un evento o una condición incierta que, si se produce, tiene un efecto positivo o negativo sobre uno o más objetivos del proyecto.

Las dos definiciones dejan sitio para las buenas noticias. Un riesgo con efecto negativo es una amenaza; uno con efecto positivo es una oportunidad, como un proveedor capaz de entregar antes de lo previsto. Un riesgo tampoco es lo mismo que una incidencia: el riesgo puede producirse o no, mientras que la incidencia ya ha ocurrido y hay que atenderla ahora.

Las cuatro grandes fuentes de riesgo de un vistazo

Fuente	Desencadenantes habituales	Primeras señales de alerta
Alcance	Requisitos vagos, nuevas peticiones del cliente	Peticiones que esquivan el control de cambios, criterios de aceptación sin cerrar
Planificación y plazos	Estimaciones optimistas, dependencias, proveedores que se retrasan	Tareas que se desvían de la línea base
Recursos y presupuesto	Recortes, sobrecostes, rotación de personal	Estimación que supera el presupuesto, personas asignadas a varios proyectos
Tecnología	Tecnología sin probar, integraciones, seguridad	Pruebas de concepto aplazadas, pruebas de integración que fallan

Alcance: cuando el objetivo se mueve

El riesgo de alcance aparece cuando no está claro qué debe entregar el proyecto o cuando eso cambia una y otra vez. Los requisitos redactados en términos generales admiten varias lecturas, y cada parte interesada rellena los huecos con sus propias expectativas. A medida que el producto toma forma, el cliente pide más, y el mercado puede moverse y restar importancia a algunos requisitos.

Que haya cambios es normal en la mayoría de los proyectos. El riesgo crece cuando los cambios entran sin que nadie valore su efecto en los plazos y en el coste. Una sucesión de pequeños añadidos, cada uno aceptado en una reunión o en un correo, es la forma habitual en que el alcance se dispara sin control (lo que en inglés se llama scope creep). Fíjate en las peticiones que llegan al equipo sin pasar por el jefe de proyecto y en los criterios de aceptación que siguen abiertos cuando el trabajo ya ha empezado.

La respuesta habitual es una línea base del alcance acordada y un proceso de control de cambios: cada petición se registra, se estima su efecto en el calendario y en el presupuesto, y alguien con autoridad la aprueba o la rechaza antes de que el equipo se ponga con ella.

Planificación y plazos: cuando las fechas eran optimistas

Un plan se apoya en estimaciones y supuestos, y algunos resultarán equivocados. Con frecuencia estiman las duraciones personas que nunca han hecho esa tarea, y un retraso en el camino crítico mueve la fecha de fin. Otras causas escapan al control del equipo: un proveedor entrega tarde, una aprobación tarda más de lo esperado, o un accidente o un cambio normativo interrumpe el trabajo.

Ningún plan puede contemplar todos los escenarios. Lo que sí puedes hacer es enumerar los verosímiles, estimar qué probabilidad tiene cada uno y cuánto movería las fechas y el coste, y preparar una respuesta para los que más pesan. Una reserva de tiempo absorbe parte del resto.

Para detectar a tiempo que el plan se desvía, necesitas algo con lo que compararlo. En ITM Platform puedes guardar líneas base con las fechas, las horas y los costes del plan aprobado, y el diagrama de Gantt muestra las fechas actuales de cada tarea junto a las de la línea base, de modo que ves dónde se está desviando el trabajo. En Líneas base del proyecto se explica cómo crearlas y compararlas.

Recursos y presupuesto: cuando cambian las personas o el dinero a mitad de proyecto

El presupuesto aprobado al principio puede no durar: un cambio en la situación financiera de la empresa o en su mercado puede traer recortes a mitad de camino. Cuando ocurre, el jefe de proyecto no debería decidir solo qué trabajo se queda fuera. Un recorte de presupuesto es una decisión de alcance: presenta las opciones, con lo que cada una elimina y lo que ahorra, y acuerda una con el patrocinador.

Los costes también pueden crecer desde dentro, cuando las estimaciones se quedan cortas o las compras salen más caras de lo presupuestado. Cuanto antes veas la diferencia entre lo presupuestado y lo que probablemente costará el trabajo, más opciones conservas. En ITM Platform, el presupuesto top-down de un proyecto aparece junto a la estimación bottom-up, calculada a partir de las tareas planificadas, y junto a los valores reales que llegan de los registros de horas y las facturas. En Presupuesto del proyecto se describe cómo se obtiene cada valor.

Las personas también cambian. Alguien se va de la empresa o pasa a un proyecto más urgente, y quien llega necesita tiempo para entender el contexto, así que la productividad baja durante un tiempo. Las personas compartidas entre varios proyectos dependen de decisiones que se toman en otra parte. La formación cruzada, los traspasos documentados y un acuerdo temprano sobre cuánto tiempo dedicará al proyecto cada persona compartida reducen esta exposición.

Tecnología: lo que construyes y con qué lo construyes

El riesgo tecnológico abarca tanto la tecnología que entrega el proyecto como aquella de la que depende. Los componentes nuevos o sin probar pueden no rendir como se esperaba, y las integraciones con los sistemas existentes suelen sacar los problemas a la luz tarde, cuando las piezas se conectan por primera vez. El rendimiento, la seguridad y los componentes que se quedan obsoletos en un proyecto largo también entran aquí, igual que las herramientas del propio equipo. Cambiar de herramienta a mitad de proyecto, o coordinarse con cadenas de correos que nadie consigue seguir, cuesta tiempo e información.

Las respuestas habituales son probar pronto las partes inciertas con un prototipo, programar las pruebas de integración mucho antes de las últimas semanas, tener una alternativa para los componentes críticos y formar al equipo antes de poner en marcha una herramienta nueva.

De las fuentes a una lista priorizada

Las cuatro fuentes te dicen dónde buscar. Para encontrar los riesgos concretos de tu proyecto, organiza una identificación estructurada con las personas implicadas; en una docena de técnicas para identificar riesgos se describen doce, desde la tormenta de ideas hasta el método Delphi.

Después, evalúa cada riesgo según su probabilidad y su impacto. La combinación de ambos da su nivel de riesgo, y situar los riesgos en una matriz de probabilidad e impacto muestra cuáles requieren atención primero. Anota el resultado en un registro de riesgos, con una entrada por riesgo que recoja su fuente, su nivel, su responsable y la respuesta elegida, y revísalo en cada hito y siempre que aparezca una señal de alerta.

Prepara una respuesta para cada amenaza y cada oportunidad

Las respuestas habituales ante una amenaza son:

• Evitar: cambiar el plan para que el riesgo ya no pueda producirse, por ejemplo prescindiendo de un componente sin probar.
• Transferir: trasladar el impacto a un tercero mediante un seguro o un contrato a precio cerrado.
• Mitigar: reducir la probabilidad o el impacto, por ejemplo con un segundo proveedor.
• Aceptar: asumir el riesgo a sabiendas, con un plan de contingencia o una reserva por si se produce.
• Escalar: trasladarlo a quien le corresponde, como el patrocinador, cuando la respuesta supera la autoridad del jefe de proyecto.

Las oportunidades tienen respuestas equivalentes: explotar una oportunidad para asegurarte de que se produce, compartirla con un socio mejor situado para aprovecharla, o mejorar su probabilidad o su efecto. Un cliente que pide una ampliación de pago o un proveedor que ofrece adelantar una entrega merecen un plan tanto como una amenaza.

Un plan de mitigación actúa antes de que el riesgo se produzca, para que sea menos probable o haga menos daño; un plan de contingencia se prepara de antemano y solo se aplica si el riesgo llega a producirse. Cada riesgo importante necesita, además, un responsable que vigile sus señales de alerta.

En ITM Platform, cada riesgo tiene su ficha, con una probabilidad y un impacto que fijan su nivel en una matriz de riesgo configurable, además de un responsable del riesgo, un plan de mitigación y un plan de contingencia. Puedes anotar la variación de costes, la variación de cronograma en días y el cambio en el alcance que provocaría el riesgo, vincular las tareas a las que afectaría y escalarlo a incidencia si llega a materializarse. En Gestión de riesgos e incidencias se explica cada campo.

Siguientes pasos

• Prueba ITM Platform y registra los riesgos de tu proyecto con su probabilidad, su impacto, su responsable y sus planes de respuesta.
• 6 pasos para controlar el riesgo recorre el proceso completo, desde la planificación hasta el seguimiento.
• Valora tu primera lista con la matriz de evaluación de riesgos gratuita, que sitúa cada riesgo según su probabilidad y su impacto.