Documentos del Proyecto · Serie 15 · Semana Planificación · Tema 370
El registro ya dice qué puede pasar y cuánto importa. Este documento contesta la única pregunta que queda: qué se va a hacer, quién lo hace y con qué dinero. Es el paso donde la gestión de riesgos deja de ser un ejercicio y empieza a costar algo.
Para qué sirve, en una línea
Convierte cada riesgo que supera el umbral en una acción con dueño, fecha y presupuesto.
Las cinco respuestas a una amenaza
- Evitar — cambiar el plan para que el riesgo desaparezca. Quitar del alcance la funcionalidad que depende de la tecnología dudosa.
- Transferir — que el impacto lo soporte otro: un seguro, una cláusula, un contrato a precio cerrado. El riesgo sigue existiendo; cambia quién paga.
- Mitigar — bajar la probabilidad, el impacto o ambos. Es la más usada y la que más se confunde con «estar pendiente».
- Escalar — no es tuyo. Si el riesgo está fuera del alcance y de la autoridad del proyecto, la respuesta correcta es entregárselo a quien sí puede, por escrito, y dejar de gestionarlo.
- Aceptar — asumirlo. Legítimo, y con condiciones, que están dos párrafos más abajo.
Para las oportunidades —los riesgos que juegan a favor, que también existen y casi nunca se registran— las estrategias son simétricas: explotar, compartir, mejorar, escalar y aceptar.
Aceptar no es callarse
Aceptar un riesgo es una decisión, no una omisión. La diferencia entre las dos está en tres cosas:
- Está escrito que se acepta.
- Hay reserva apartada por si ocurre.
- Lo ha aceptado quien tiene autoridad para asumir esa pérdida.
Un riesgo aceptado con esas tres cosas es gestión. Sin ellas es simplemente un riesgo que nadie miró, y se distingue del primero el día que ocurre: en un caso hay dinero y una conversación tenida; en el otro hay una conversación por tener, en el peor momento.
El disparador
Es el campo que más falta y el que hace que las respuestas se ejecuten: qué señal concreta indica que hay que actuar.
No «si el proveedor se retrasa», sino «si el día 15 no está entregado el primer módulo». No «si el equipo se sobrecarga», sino «si dos personas pasan del 90 % de dedicación dos semanas seguidas».
Una respuesta sin disparador se ejecuta tarde siempre, porque nadie sabe cuándo le toca. Y el retraso típico no es de días: es de semanas, porque cada uno espera a estar seguro.
Lo que la respuesta deja detrás
Dos efectos que casi nunca se escriben:
El riesgo residual. Lo que queda después de mitigar. Mitigar no es eliminar, y el residual también se evalúa: a veces sigue por encima del umbral y hace falta una segunda respuesta.
El riesgo secundario. El que crea la propia respuesta. Contratar un segundo proveedor reduce la dependencia y añade un riesgo de coordinación entre dos. Adelantar un hito reduce el riesgo de plazo y sube el de calidad.
Una respuesta que no ha pensado su riesgo secundario no está terminada.
Las dos reservas
No son lo mismo y confundirlas cuesta discusiones:
- Reserva de contingencia — para los riesgos identificados. Está dentro de la línea base de costes y la usa la dirección del proyecto sin pedir permiso cada vez.
- Reserva de gestión — para lo que nadie vio venir. Está fuera de la línea base y la libera el patrocinador.
Para dimensionar la primera hay dos caminos. El de dentro: sumar el impacto de cada riesgo por su probabilidad. El de fuera: mirar cuánto se desviaron proyectos parecidos de la organización y partir de ahí. El segundo suele dar una cifra más alta y más realista, y es incómodo precisamente por eso.
Qué lo vuelve papel mojado
- «Hacer seguimiento» como respuesta. Eso no es mitigar: es mirar.
- Sin dueño con nombre. O con un dueño que no tiene autoridad para ejecutar lo que se le pide.
- Sin disparador. La respuesta existe y llega tarde.
- Sin coste. Una mitigación que cuesta dinero y no está presupuestada no se va a ejecutar.
- Respuestas más caras que el riesgo. Pasa más de lo que parece cuando nadie compara las dos cifras.
- Nada escalado. Un registro donde todos los riesgos son del proyecto suele estar ocultando dos o tres que son de la organización.
Y si me falta lo que pide
No tengo presupuesto para mitigar. Escribe la respuesta, su coste y qué pasa si no se hace. Esa comparación es una decisión de quien paga, no tuya, y hay que dejarla tomada por escrito.
El dueño del riesgo no me hace caso. Señal de que el dueño está mal elegido: tiene que ser alguien a quien el impacto le duela. Si el impacto lo sufre otra área, el dueño está en esa área.
No sé poner un disparador. Pregunta al revés: «si esto acaba ocurriendo, ¿qué fue lo primero que notamos?». Eso es el disparador.
Caso práctico: el proveedor de reserva que nadie llamó
Escenario construido con patrones habituales; las cifras son ilustrativas.
Un proyecto industrial identificó bien su riesgo principal: dependía de un único fabricante para una pieza con doce semanas de plazo de entrega.
La respuesta fue correcta y además se ejecutó: se homologó un segundo fabricante, con una prueba de calidad pagada, ocho mil euros y seis semanas de trabajo. En el registro quedó como mitigado.
En el mes siete el fabricante principal empezó a ir tarde. Primero avisó de dos semanas. Luego de tres. Luego dejó de dar fechas concretas.
Nadie llamó al segundo fabricante. No por descuido: cada vez que se planteó, la conversación acabó igual —«esperemos a la próxima confirmación, cambiar ahora nos cuesta el anticipo»—, y esa conversación se repitió cuatro veces a lo largo de nueve semanas.
Cuando por fin se cambió, el segundo fabricante necesitaba sus propias doce semanas. El proyecto entregó con cuatro meses de retraso.
La mitigación estaba hecha, pagada y verificada. Lo que faltaba era una línea: cuándo se usa.
La línea que se añadió después dice: si el fabricante principal comunica un retraso acumulado superior a tres semanas, o deja de confirmar fecha en dos revisiones seguidas, se activa el segundo. Lo decide el responsable de compras, no el comité.
Ocho mil euros de mitigación bien gastados y cuatro meses perdidos por no escribir el disparador.
Checklist
- ¿Cada respuesta dice qué se hace, no «hacer seguimiento»?
- ¿Tiene dueño con nombre, y ese dueño sufre el impacto?
- ¿Tiene disparador: una señal concreta y medible?
- ¿Está presupuestada?
- ¿Se evaluó el riesgo residual y el secundario?
- ¿Los riesgos aceptados están aceptados por escrito y por quien puede?
- ¿Hay algún riesgo escalado fuera del proyecto?
Para cerrar
Un plan de respuesta se juzga el día que un riesgo se materializa, y ese día solo importan dos campos: si alguien sabía que le tocaba actuar y si sabía cuándo. Todo lo demás del documento es preparación para esas dos líneas.
Te leo en los comentarios: de las mitigaciones de tu proyecto, ¿cuántas tienen escrito el momento exacto en que se activan?
Referencias
- Project Management Institute, Guía del PMBOK, sobre planificar la respuesta a los riesgos, las reservas y el riesgo residual.
- ISO 31000:2018, sobre tratamiento del riesgo y riesgo residual.
- Flyvbjerg, B., sobre dimensionar reservas comparando con proyectos reales terminados en vez de con el propio plan.
← Anterior en la serie: Identificar riesgos: la vista de fuera
Siguiente en la serie: Adquisiciones: quién carga con el riesgo →
Este artículo forma parte de Documentos del Proyecto, una serie de 73 artículos. Ver todos los de esta serie · Índice completo por materia.