Registro de riesgos: cómo se construye y para qué sirve

En muchos proyectos el registro de riesgos existe, pero cumple una función decorativa: se arma al inicio para un entregable contractual, se revisa poco y no se usa para decidir nada. Cuando llega el momento de estimar cuánta contingencia de plazo necesita el proyecto, ese documento debería ser la pieza central y suele no servir.

Qué es y qué debería contener

La guía de costos de la GAO lo define de forma directa: un documento que contiene todos los riesgos identificados del programa, con las acciones de tratamiento tomadas o previstas, la probabilidad estimada de ocurrencia y la consecuencia potencial sobre costo y plazo si el riesgo se materializa.

La guía de gestión de riesgos del Departamento de Defensa de los Estados Unidos agrega la estructura práctica. El registro es el repositorio central de los riesgos que el equipo identificó y debe crearse lo antes posible en el ciclo de vida del proyecto. Sus campos recomendados son concretos:

• Número y categoría del riesgo.
• Enunciado del riesgo.
• Probabilidad y consecuencia, con su calificación.
• Estrategia y medidas de tratamiento.
• Dueño del riesgo, es decir, quién responde por gestionarlo.
• Vínculo con la estructura de desglose del trabajo y con el cronograma.
• Fechas de identificación, de aprobación y de cierre previsto, con el registro de los cambios.

Los dos últimos campos son los que más se omiten y los que más valen. Sin el vínculo al cronograma, el registro no se puede convertir en un modelo de plazo; sin dueño ni fechas, no hay nada que seguir. El vínculo con la EDT es además la comprobación de que el riesgo se refiere a alcance que efectivamente está en el programa, algo que tratamos en la EDT y el cronograma.

Un problema no es un riesgo

La distinción parece de manual y tiene consecuencias prácticas. Un riesgo se define por dos elementos: una probabilidad mayor que cero y menor que uno de que ocurra un evento no deseado, y la consecuencia de ese evento si llegara a ocurrir. Un problema es un evento o condición de efecto negativo que ya ocurrió, o que es seguro que va a ocurrir: su probabilidad es uno.

La guía del Departamento de Defensa es explícita en que no deben confundirse, porque se gestionan con procesos distintos aunque complementarios. En la práctica, el registro que mezcla ambos produce dos errores: se le asigna probabilidad a algo que ya pasó, con lo que el modelo subestima su efecto, y se diluye la atención de la gerencia entre lo que hay que mitigar y lo que hay que resolver.

Una forma simple de separar: si el evento ya ocurrió, no va al registro de riesgos, va al análisis de impacto sobre el programa. Ese es el terreno del análisis de impacto en el tiempo.

Cómo se escribe un riesgo

Un buen enunciado tiene dos elementos, el evento potencial y sus consecuencias asociadas, y cuando se conoce debe incluir un tercero: la circunstancia o condición existente que lo origina. El formato recomendado sigue ese orden: porque existe tal condición, puede ocurrir tal evento, causando tal consecuencia.

La misma guía enumera los defectos habituales. Los enunciados débiles confunden causa, riesgo y consecuencia, o son demasiado generales, circulares o autoevidentes. Y da un ejemplo útil de lo que no es un riesgo: describir que se detectaron grietas por fatiga en unidades ya fabricadas. Eso ya ocurrió, así que es un problema.

También pide que el equipo profundice lo suficiente para entender las causas raíz, aunque a veces no sean determinables en el momento de evaluar el riesgo. Sin causa raíz, el tratamiento ataca síntomas y el mismo riesgo reaparece con otro nombre.

Del registro al modelo de plazo

Aquí es donde el registro deja de ser un documento y se vuelve un insumo. La GAO señala que el punto de partida de las entrevistas de riesgo para la simulación es el registro existente del programa, y que a los entrevistados hay que alentarlos a proponer riesgos que no estén en él. Su criterio de auditoría lo formaliza: el registro debe haberse usado para identificar los riesgos que mueven el cronograma antes de correr el análisis, y debe actualizarse con lo que aparezca durante la recolección de datos.

La guía explica además por qué no basta con pedir rangos de duración de tres puntos. Las distribuciones obtenidas así no se pueden atribuir a riesgos individuales: el entrevistado mezcla varias amenazas dentro de un mismo caso pesimista. El resultado entrega una contingencia total, pero ninguna indicación de qué riesgos conviene mitigar.

El método de impulsores de riesgo resuelve eso. Toma los riesgos del registro, estima para cada uno su probabilidad y su impacto como factor sobre la duración, y los asigna a actividades concretas. Un riesgo puede afectar a varias actividades y una actividad puede estar afectada por varios riesgos, que es justamente lo que genera la correlación entre actividades durante la simulación.

Cómo saber si el registro sirve

• Cada riesgo tiene dueño, fecha de revisión y estado actualizado.
• Ningún renglón describe algo que ya ocurrió.
• Cada enunciado permite reconocer la condición, el evento y la consecuencia.
• Los riesgos relevantes están vinculados a actividades del programa vigente.
• El último análisis de riesgo de plazo partió de este registro, y lo que apareció en las entrevistas volvió a él.
• La priorización se puede sostener con números, no solo con un color en una matriz. Cómo se calcula esa contribución lo explicamos en sensibilidad e índice de criticidad.