Riesgos II: análisis, respuestas, reservas y seguimiento
Ya sabes identificar y formular riesgos. Ahora: cuánto importa cada uno, qué hacer con él, cuánto dinero y tiempo reservar para lo que no se puede evitar, y cómo enterarse a tiempo de que la exposición está cambiando.
- Analizar riesgos de forma cualitativa (matriz probabilidad-impacto) y cuantitativa (EMV), y saber cuándo conviene cada una.
- Elegir la respuesta adecuada: evitar, mitigar, transferir, aceptar, escalar (amenazas) y explotar, mejorar, compartir, aceptar (oportunidades).
- Distinguir mitigación de contingencia, y reserva de contingencia de reserva de gestión.
- Diseñar el seguimiento: propietario, KRIs, tendencias, y adaptarlo a ágil, DevOps, supply chain e IA.
Tema 2, diap. 20-45. Es el contenido de riesgos más "aplicable": "¿esto es mitigación o contingencia?", "calcula el EMV", "¿qué respuesta es transferir?", "¿qué reserva cubre esto?". Ampliación: cálculo de reservas a partir del EMV, árboles de decisión, Monte Carlo explicado, y la relación de las reservas con la línea base de costes (lección 14).
1. Analizar: estimar la importancia para poder decidir
El objetivo del análisis es estimar la importancia de cada riesgo para poder decidir. Se miran cuatro cosas:Tema 2, diap. 20.
- Probabilidad / frecuencia: ¿cómo de probable es que ocurra?
- Impacto / consecuencia: si ocurre, ¿cuánto afecta a los objetivos?
- Exposición o severidad: la combinación de las dos (típicamente, probabilidad × impacto).
- Incertidumbre de la propia estimación: ¿cuánto sabemos de verdad de esa probabilidad? No es lo mismo "20 %, según los datos de los últimos 10 proyectos" que "20 %, a ojo".
Análisis cualitativo
Escalas sencillas, de muy bajo a muy alto, con no más de 5 niveles. Permite priorizar rápidamente. Dos condiciones:Tema 2, diap. 21. Fuente: PMI (2021); ISO 31000:2018.
- Definir qué significa cada nivel. Si no, "impacto alto" significa cosas distintas para cada persona. Ejemplo para TusBus: impacto Alto = retraso > 4 semanas o sobrecoste > 15 % o incumplimiento legal; Medio = 1-4 semanas o 5-15 %; Bajo = < 1 semana o < 5 %. "Usar matrices sin criterios definidos" es un error frecuente.
- Evitar la falsa precisión: "3,7" no significa necesariamente que sepamos más que "alto". Multiplicar dos estimaciones gruesas no produce un número fino.
Matriz probabilidad-impacto
Cruza las dos escalas y colorea zonas. Planear y monitorizar todos los riesgos es muy costoso, así que la matriz ayuda a priorizar:Tema 2, diap. 22-23.
| P ↓ · I → | Muy bajo | Bajo | Medio | Alto | Muy alto |
|---|---|---|---|---|---|
| Muy alta | 5 | 10 | 15 | 20 | 25 |
| Alta | 4 | 8 | 12 | 16 | 20 |
| Media | 3 | 6 | 9 | 12 | 15 |
| Baja | 2 | 4 | 6 | 8 | 10 |
| Muy baja | 1 | 2 | 3 | 4 | 5 |
- Zona roja: los eventos más importantes. Respuesta activa, propietario, seguimiento frecuente.
- Zona amarilla: moderadamente importantes. Respuesta proporcionada, seguimiento periódico.
- Zona verde: probablemente se pueden ignorar con seguridad (se aceptan y se revisan de vez en cuando por si cambian).
Dos advertencias de las diapositivas: la matriz es útil como herramienta de comunicación y priorización, pero no debe sustituir al juicio profesional. Y un evento raro de impacto catastrófico puede requerir más atención que muchos riesgos menores: una fuga masiva de datos de ubicación de usuarios (probabilidad muy baja, impacto muy alto = 5, amarilla) puede merecer más atención que un riesgo de "16". Por eso la celda de impacto "muy alto" es amarilla aunque la probabilidad sea mínima, y por eso el juicio manda.
Análisis cuantitativo
Cuando existe información suficiente, se puede ir más allá de "alto/medio/bajo". Las técnicas del temario:Tema 2, diap. 24.
- Valor monetario esperado (EMV): ver abajo.
- Simulación Monte Carlo: en vez de un valor por actividad, se da una distribución (p. ej. los tres puntos de PERT, lección 10) y el ordenador simula el proyecto miles de veces. Resultado: una curva "probabilidad de terminar antes de cada fecha". Permite decir "con un 80 % de confianza (P80) terminamos en 21 semanas". Captura algo que PERT no: varios caminos que pueden volverse críticos.
- Distribuciones de esfuerzo / duración: la base de lo anterior.
- Análisis de sensibilidad: ¿qué variables mueven más el resultado? Se suele dibujar como diagrama de tornado (barras ordenadas de mayor a menor influencia). Dice dónde merece la pena reducir incertidumbre.
- CORAS: método de análisis de riesgos de seguridad dirigido por modelos (diagramas de amenazas, activos, vulnerabilidades e incidentes), desarrollado por el instituto noruego SINTEF.Ampliación. Lund, Solhaug y Stølen (2011), Model-Driven Risk Analysis: The CORAS Approach, Springer.
Son útiles para reservas y decisiones de inversión. Ojo con un detalle de las diapositivas: aquí EMV = Expected Monetary Value. En la diap. 52 escriben "EMV" donde quieren decir EVM (Earned Value Management, lección 14). No los confundas.
Valor monetario esperado (EMV)
Ejemplo con TusBus:
| Riesgo | P | Impacto | EMV |
|---|---|---|---|
| R-03 · La API del ayuntamiento llega tarde | 40 % | −20.000 € | −8.000 € |
| R-07 · Hay que rehacer la UI por accesibilidad | 25 % | −12.000 € | −3.000 € |
| R-11 · Se pierde al único experto en GPS | 10 % | −30.000 € | −3.000 € |
| O-02 · El ayuntamiento libera una API oficial | 30 % | +10.000 € | +3.000 € |
| EMV total | −11.000 € | ||
Cómo se usa:
- Dimensionar la reserva de contingencia: la suma de EMV (11.000 €) es una forma razonable de calcularla. No cubre "el peor caso" (que ocurran todas las amenazas: 62.000 €) sino el esperado en promedio: con varios riesgos independientes, unos ocurren y otros no.
- Decidir si una respuesta compensa: si un simulador de la API cuesta 3.000 € y baja el impacto de R-03 de 20.000 € a 5.000 €, el EMV pasa de −8.000 € a −2.000 €: se gana 6.000 € de exposición gastando 3.000 €. Compensa.
- Árboles de decisión (ampliación): para elegir entre alternativas con incertidumbre, se calcula el EMV de cada rama (coste seguro + EMV de sus riesgos) y se elige la mejor. Ej.: proveedor A cuesta 50.000 € con 10 % de riesgo de 20.000 € extra (esperado 52.000 €); proveedor B cuesta 45.000 € con 40 % de riesgo de 20.000 € extra (esperado 53.000 €). En promedio, A es mejor aunque sea más caro.
Riesgo individual frente a riesgo global
Los riesgos individuales son eventos concretos. El riesgo global es el efecto de la incertidumbre sobre el proyecto como sistema, y las interacciones entre riesgos pueden ser importantes: el retraso del proveedor + la pérdida de una persona + un cambio de requisitos, a la vez, pueden ser mucho peor que la suma de los tres por separado (el retraso del proveedor obliga a reorganizar justo cuando falta gente para hacerlo).Tema 2, diap. 25. Monte Carlo es la herramienta natural para el riesgo global.
2. Tratar: las respuestas
Para cada riesgo significativo se elige una estrategia:Tema 2, diap. 26-27. PMI (2021).
| Amenaza | Qué significa | TusBus · R-03 (API tarde) |
|---|---|---|
| Evitar | Cambiar el plan para eliminar la amenaza (actúa sobre la causa) | No depender de la API: usar sólo horarios teóricos en la v1 |
| Mitigar / reducir | Reducir probabilidad o impacto | Pedir el acceso ya (↓P); construir un simulador de la API para que la app avance (↓I) |
| Transferir / compartir | Trasladar parte de la exposición a un tercero | Cláusula contractual: si la API se retrasa, el plazo se amplía sin penalización |
| Aceptar | Asumirla conscientemente y preparar respuesta | Aceptar el riesgo, con una reserva de 2 semanas y un plan de contingencia |
| Escalar | Llevarla a quien tiene autoridad cuando excede la del proyecto | Si el problema es político (el departamento de informática bloquea), escalar al sponsor |
Matices que suelen preguntarse:
- Transferir no elimina el riesgo: lo traslada (seguros, contratos de precio cerrado, garantías, subcontratar) y suele crear riesgos nuevos (que el tercero no cumpla). En software, transferir funciona bien para riesgos financieros; mal para riesgos de reputación (si la app falla, los usuarios culpan al ayuntamiento, no al proveedor).
- Aceptar puede ser activo o pasivo: activo = con reserva y plan de contingencia; pasivo = no hacer nada y afrontarlo si ocurre (razonable para riesgos verdes).
- Escalar lo incorpora el PMBOK 7: cuando la respuesta no está al alcance del proyecto, se lleva al programa, portfolio o dirección. Una vez escalado, el proyecto lo deja de gestionar.
Oportunidades
Las respuestas son las simétricas:Tema 2, diap. 28.
| Oportunidad | Qué significa | Simétrica de | TusBus · O-02 (API oficial) |
|---|---|---|---|
| Explotar | Asegurar que ocurra | Evitar | Ofrecer al ayuntamiento desarrollar nosotros esa API oficial |
| Mejorar | Aumentar probabilidad o impacto positivo | Mitigar | Reunirnos con su equipo técnico para acelerar su publicación |
| Compartir | Colaborar para capturar el beneficio | Transferir | Acuerdo con la empresa de autobuses para compartir el coste |
| Aceptar | Aprovecharla si ocurre | Aceptar | Diseñar la ingesta para poder cambiar de fuente fácilmente |
Contingencia ≠ mitigación
La distinción más preguntada de todo el bloque:Tema 2, diap. 29.
| Mitigación | Contingencia | |
|---|---|---|
| Cuándo se actúa | Antes del evento | Si el evento ocurre |
| Efecto | Reduce probabilidad o impacto | Limita el daño una vez ocurrido |
| Coste | Se gasta siempre | Se prepara (plan, reserva); se gasta sólo si ocurre |
| Ejemplo de las diapositivas | Prototipo temprano de una integración | Alternativa técnica preparada |
Un riesgo importante suele tener las dos. La contingencia se activa con un disparador (trigger) definido de antemano: "si en la semana 3 no tenemos acceso a la API, activamos el plan B (horarios teóricos)". Sin disparador, el plan B se activa tarde, cuando ya no da tiempo. Y si la contingencia tampoco funciona, algunos marcos hablan de un plan de reserva (fallback).
3. Reservas y tolerancias
No todos los riesgos se pueden eliminar, así que el plan necesita colchones explícitos:Tema 2, diap. 30. Detalles de línea base: ampliación, PMBOK 6 §7.3.
| Reserva de contingencia | Reserva de gestión | |
|---|---|---|
| Cubre | Incertidumbre conocida: riesgos identificados (known unknowns) | Incertidumbre no asignada: lo que no se ha identificado (unknown unknowns), cambios fuera de la línea base |
| Cómo se calcula | A partir del análisis (p. ej., suma de EMV) | Normalmente un % fijado por la organización |
| ¿Dentro de la línea base de costes? | Sí | No (pero sí dentro del presupuesto total) |
| Quién la usa | El JP, según el plan de respuesta | La dirección / sponsor, mediante control de cambios |
Esto explica la frase de la lección de costes "estimación ≠ presupuesto ≠ coste real": entre la estimación y el presupuesto están las reservas; entre el presupuesto y el coste real, lo que realmente ocurra. Y explica por qué no se infla cada tarea a escondidas (lección 10, ley de Parkinson): la reserva va visible y gestionada a nivel de proyecto.
Tolerancias: márgenes de desviación aceptables antes de escalar (p. ej., ±10 % de coste). Definir tolerancias evita reaccionar tarde: si se acuerdan al inicio, nadie tiene que "decidir" cuándo preocuparse; el umbral lo dice. Es la gestión por excepción de PRINCE2 (lección 2).
4. El propietario del riesgo
Cada riesgo relevante debe tener un responsable, y responsable ≠ persona culpable. Su función es vigilar señales, impulsar respuestas y actualizar el estado. Sin propietario, el riesgo tiende a quedar "huérfano" y pasa a ser impredecible: todos lo ven, nadie lo vigila.Tema 2, diap. 31.
El propietario no tiene por qué ser el JP: debe ser quien está mejor situado para ver las señales y actuar. R-11 (perder al experto en GPS) lo vigila mejor el líder técnico; R-03 (la API del ayuntamiento), el JP, que es quien habla con el ayuntamiento. Si el miedo es que te culpen, nadie querrá ser propietario y los riesgos se ocultarán: por eso la seguridad psicológica (lección 16) es una condición de la gestión de riesgos.
5. Seguimiento: monitorizar como actividad continua
En cada ciclo de seguimiento:Tema 2, diap. 32.
- Revisar probabilidad e impacto (no actualizarlos es un error frecuente).
- Comprobar si aparecen indicios (señales tempranas).
- Actualizar respuestas y reservas.
- Cerrar riesgos que ya no sean relevantes (y liberar su reserva).
- Identificar nuevos riesgos.
Indicadores clave de riesgo (KRIs)
Un KRI es una señal que anticipa un aumento de exposición. Mira hacia delante: no mide el daño (eso sería un indicador de resultado), sino lo que lo precede.Tema 2, diap. 33.
| KRI de las diapositivas | Anticipa… | Umbral de ejemplo |
|---|---|---|
| Rotación del equipo | Pérdida de conocimiento, retrasos | > 1 baja por trimestre |
| Defectos abiertos críticos | Problemas de calidad en la entrega | > 3 durante más de una semana |
| Dependencias sin mantenimiento | Vulnerabilidades de supply chain | Cualquier dependencia crítica sin commits en 12 meses |
| Retraso de hitos | Incumplimiento del plazo final | Un hito del camino crítico con > 1 semana de retraso |
| Incidentes de seguridad | Una brecha mayor | Cualquier incidente de severidad alta |
| Cambios frecuentes de requisitos | Scope creep, retrabajo | > 5 peticiones de cambio por mes |
Un KRI útil tiene umbral (cuándo preocuparse) y está conectado a una acción (qué hacer al superarlo). Si no, es sólo un número en un panel.
Risk burndown / tendencia
Más importante que tener una fotografía estática es poder observar la evolución: ¿está disminuyendo la exposición total? ¿Qué riesgos están creciendo? ¿Cuántos riesgos críticos permanecen abiertos? Un risk burndown dibuja la exposición total (p. ej. la suma de EMV) por semana: debería bajar a medida que se resuelven incertidumbres. Si se queda plano o sube, algo no funciona. Las tendencias ayudan a decidir antes de que el problema se materialice.Tema 2, diap. 34.
6. Riesgo en distintos contextos
En ágil
El riesgo no desaparece con Scrum; se integra en el backlog, refinamiento, planificación y retrospectivas. Los spikes (pequeñas investigaciones con tiempo limitado) y prototipos reducen incertidumbre, y priorizar riesgos técnicos puede adelantar aprendizaje: hacer primero la integración con el GPS (lo más incierto) aunque no sea lo de más valor, para fallar pronto si hay que fallar. Es la idea del modelo en espiral (lección 7) y de reducir la incertidumbre cuanto antes (lección 3).Tema 2, diap. 35.
En DevOps y operación
La exposición continúa después del desarrollo. Cada práctica DevOps (lección 18) es una respuesta a riesgos:Tema 2, diap. 36.
- Observabilidad → detección temprana (KRIs en producción).
- Automatización → reducción de errores humanos (mitiga la probabilidad).
- Despliegues pequeños → menor impacto potencial (mitiga el impacto).
- Rollback / recuperación → limitar consecuencias (contingencia).
Terceros y supply chain
Inventariar componentes y proveedores (en software, un SBOM, Software Bill of Materials), evaluar criticidad y dependencia, monitorizar vulnerabilidades y mantenimiento, verificar procedencia e integridad cuando sea necesario (firmas, builds reproducibles) y preparar alternativas para dependencias críticas (contingencia).Tema 2, diap. 37.
Software seguro
Integrar seguridad desde el diseño, threat modeling y análisis de arquitectura (p. ej., STRIDE: suplantación, manipulación, repudio, revelación de información, denegación de servicio, elevación de privilegios), requisitos de seguridad trazables (lección 4), verificación continua en CI/CD, y gestionar vulnerabilidades como riesgo, no sólo como lista de fallos: una vulnerabilidad "crítica" en un componente que no está expuesto puede importar menos que una "media" en el login. Se prioriza por exposición real.Tema 2, diap. 38. NIST CSF 2.0 (2024).
Sistemas de IA
Gestionar el riesgo durante todo el ciclo de vida; identificar usos, actores, impactos y límites; evaluar seguridad, robustez, privacidad y sesgos; monitorizar el comportamiento después del despliegue; reevaluar cuando cambian datos, modelo o contexto.Tema 2, diap. 39.
Resumen del bloque de riesgos
Las seis ideas con las que cierran las diapositivas:Tema 2, diap. 45.
- Identificar → analizar → tratar → monitorizar.
- Formular riesgos como causa–evento–consecuencia.
- Priorizar exposición, no cantidad de riesgos (100 riesgos verdes importan menos que uno rojo).
- Usar señales tempranas y tendencias.
- Integrar seguridad, supply chain e IA.
- El objetivo es mejorar decisiones bajo incertidumbre.
- "Hacer un prototipo temprano de la integración" es mitigación (antes); "tener preparada una alternativa técnica" es contingencia (si ocurre).
- "Contratar un seguro elimina el riesgo": lo transfiere (parte de la exposición).
- "La reserva de gestión es para los riesgos identificados": esa es la de contingencia; la de gestión es para lo no identificado.
- "La reserva de gestión forma parte de la línea base de costes": no; está en el presupuesto pero fuera de la línea base.
- "Una matriz con muchos decimales es más precisa": falsa precisión.
- "El EMV de una amenaza es positivo": por convención, las amenazas tienen EMV negativo y las oportunidades positivo.
- "Un KRI mide el daño causado": anticipa el aumento de exposición.
Práctica
Riesgo: "el proveedor de mapas podría subir mucho los precios". Empareja cada acción con su estrategia de respuesta.
- Usar OpenStreetMap y no depender de ningún proveedor de pago
- Aislar los mapas tras una interfaz propia para poder cambiar de proveedor en días
- Contratar con un integrador que asume el coste de los mapas por un precio cerrado
- Asumirlo y guardar una reserva por si sube
- El riesgo afecta a todas las apps del ayuntamiento: llevarlo al responsable del programa
¿Mitigación o contingencia?
- Hacer en la semana 1 un prototipo de la integración con el GPS
- Si el GPS no está en la semana 3, usar horarios teóricos
- Documentar y hacer pair programming para que dos personas sepan del módulo
- Tener contratada una consultora para incorporar a alguien si el experto se va
- Desplegar en pequeños incrementos para que cada fallo afecte a menos usuarios
- Tener un rollback automatizado si un despliegue falla
Un riesgo tiene un 15 % de probabilidad y, si ocurre, cuesta 40.000 €. ¿Cuál es su EMV? (Las amenazas, en negativo.)
Riesgos identificados: amenaza A (20 %, −25.000 €), amenaza B (50 %, −8.000 €) y oportunidad C (40 %, +5.000 €). La organización calcula la reserva de contingencia sumando el EMV de las amenazas y gestiona las oportunidades aparte. ¿De cuánto es la reserva? (En positivo.)
Un riesgo tiene probabilidad muy baja e impacto catastrófico (p. ej., fuga de los datos de ubicación de todos los usuarios). En la matriz cae en zona amarilla. ¿Qué haces?
- Lo ignoras, porque la probabilidad es demasiado baja para gastar en él
- Le das más atención de la que indica la matriz, por su impacto extremo
- Subes su probabilidad en la matriz para que aparezca en la zona roja
- Lo tratas igual que los demás riesgos amarillos, sin excepciones
¿Qué reserva cubriría un problema que nadie había identificado, como que un cambio legal obligue a rehacer el módulo de pagos?
- La reserva de contingencia, que gestiona el JP
- Ninguna, porque los riesgos no identificados no se pueden cubrir
- La holgura del camino crítico del cronograma
- La reserva de gestión, que controla la dirección
¿Cuáles son KRIs bien planteados?
- Número de dependencias críticas sin mantenimiento en los últimos 12 meses
- Coste total del incidente de seguridad del mes pasado, ya resuelto
- Número de peticiones de cambio de requisitos recibidas este mes
- Semanas de retraso del siguiente hito del camino crítico
- Número total de riesgos en el registro, sin tener en cuenta su exposición
En un equipo Scrum, la mayor incertidumbre es si el GPS de los autobuses da datos fiables. ¿Qué es lo más coherente con la gestión de riesgos en ágil?
- Dejarlo para el final, cuando el resto de funcionalidades estén hechas
- Ignorarlo, porque en Scrum los riesgos se gestionan solos con los sprints
- Escribir un plan de riesgos detallado antes de empezar el primer sprint
- Hacer un spike al principio para reducir la incertidumbre y aprender pronto
Para el riesgo "Por depender de un único experto en la ingesta GPS, si esa persona se va o cae de baja, el módulo quedaría bloqueado", propón una mitigación, una contingencia con su disparador, y un KRI.
Repaso espaciado · lecciones 5, 9, 12
Según WSJF, ¿qué trabajo va primero?
- CoD 9, duración 3
- CoD 20, duración 10
- CoD 12, duración 6
- CoD 30, duración 15
"La tecnología del proyecto es nueva para el equipo". ¿Qué le falta para ser un riesgo bien formulado?
- Un evento incierto y su consecuencia sobre un objetivo
- Una probabilidad expresada con al menos dos decimales
- El nombre de la persona responsable si llega a ocurrir
- Nada, porque ya identifica claramente la fuente del riesgo
Para profundizar
PMI (2021), PMBOK Guide 7ª ed., dominio de desempeño de la Incertidumbre (respuestas a amenazas y oportunidades, reservas). Para el cálculo de EMV y árboles de decisión con ejemplos: Decision tree (incluye el cálculo del valor esperado de cada rama). Para seguridad: NIST CSF 2.0.
Pide a un asistente cinco riesgos con probabilidad e impacto en euros; calcula tú el EMV de cada uno, la reserva de contingencia, y propón una mitigación y una contingencia para el mayor. Si la diferencia entre reserva de contingencia y de gestión no te queda clara, es una buena pregunta para tutoría.
Resúmenes imprimibles: Tema 2 · Aspectos transversales · Fórmulas.