«Es que nadie podía prever esto.» Casi siempre es mentira: alguien lo previó, lo comentó en un pasillo y no quedó escrito en ninguna parte. La gestión de riesgos es el proceso que convierte esos pasillos en un método — y es mucho más simple de lo que su fama sugiere.
Riesgo no es lo mismo que problema
Un riesgo es algo que podría pasar y afectaría al proyecto. Un problema (issue) es algo que ya está pasando. La gestión de riesgos trabaja en el primer territorio, donde las soluciones son baratas; cuando el riesgo cruza al segundo, solo queda apagar el fuego.
Y un matiz que casi todos olvidan: hay riesgos positivos. Que la demo guste tanto que pidan ampliar el contrato también requiere plan.
Paso 1: identificar sin autocensura
Media hora con el equipo al arrancar, lluvia de riesgos sin filtrar: técnicos, de personas, de proveedores, de negocio. Las preguntas que más sacan: «¿qué nos dolió en el último proyecto parecido?» y «¿qué supuestos estamos dando por hechos?».
Cada riesgo, bien escrito: causa → evento → consecuencia. «Como el proveedor no ha confirmado fecha, el entorno puede llegar tarde, lo que retrasaría las pruebas dos semanas». Comparado con «riesgo: el proveedor», la diferencia es poder actuar.
Paso 2: puntuar y priorizar
Probabilidad por impacto, escala 1-5 en cada eje. No busques precisión: busca separar los cuatro o cinco riesgos gordos del ruido. El registro de riesgos calcula la severidad solo y ordena la lista.
Regla de sanidad: si todos tus riesgos puntúan alto, no has priorizado — has hecho una lista de miedos. La gracia del ejercicio es decidir qué NO vas a vigilar de cerca.
Paso 3: decidir la respuesta
Cuatro opciones clásicas. Evitar: cambiar el plan para que el riesgo no exista (otra tecnología, otro proveedor). Mitigar: reducir probabilidad o impacto (hito intermedio de entrega, prueba temprana). Transferir: seguro, penalización contractual, externalización. Aceptar: asumirlo con los ojos abiertos, a veces con una reserva de dinero o tiempo.
Cada respuesta con dueño y fecha. Un plan de mitigación sin responsable es una intención piadosa — la misma regla que en el acta de reunión: sin nombre, no existe.
Paso 4: revisar en cada seguimiento
Diez minutos en la reunión periódica: ¿algún riesgo ha cambiado? ¿Alguno se ha materializado (pasa a problema)? ¿Aparece alguno nuevo? Un registro de enero sin tocar en junio no es gestión de riesgos: es un fósil administrativo.
El indicador de madurez es incómodo pero certero: si en tus informes de estado nunca aparece un riesgo nuevo, no es que no los haya — es que nadie mira. El informe de estado debería llevar siempre los 3 riesgos principales.
Paso 5: aprender para el siguiente
Al cerrar el proyecto, repasa el registro: ¿qué riesgos se materializaron? ¿Cuáles ni olimos? Esas respuestas van directas a la plantilla de lecciones aprendidas y son el mejor punto de partida de la sesión de riesgos del próximo proyecto.
Preguntas frecuentes
¿Cuántos riesgos debe tener un proyecto normal?
Identificados, los que salgan — 20 o 30 no es raro. Gestionados activamente, entre 5 y 10: los de mayor severidad. El resto queda en el registro en observación, revisado por encima cada mes.
¿Qué es la reserva de contingencia?
Tiempo o dinero apartado para los riesgos aceptados: si el riesgo se materializa, se consume la reserva y no el plan. Su tamaño se negocia con el patrocinador a partir de la severidad del registro — lo que convierte el registro en tu mejor argumento presupuestario.
¿Quién es el dueño de un riesgo?
La persona mejor situada para vigilarlo y ejecutar la respuesta, que no siempre es el jefe de proyecto. El riesgo de rotación del equipo lo vigila mejor el responsable de personas; el contractual, quien negocia con el proveedor.