¿Cómo ser pragmático en el análisis de riesgos del proyecto?

¿Cuándo fue la última vez que le dijiste a tu comité de dirección: "¡No, no seguimos adelante: es demasiado arriesgado! Estamos al N % de riesgo / On time / On cost / On quality!

En este artículo vamos a interesarnos por el análisis de riesgos en la gestión de proyectos y por lo que no está escrito en el manual del PMO de proyecto... ¡Tras un breve repaso de los modelos fundamentales de riesgos en la gestión de proyectos, veremos por qué el análisis de riesgos de un proyecto se convierte en un monstruo de complejidad y en una pérdida de tiempo si se hace de forma clásica! Y propondremos salir de la hipocresía y de la subjetividad para desarrollar una práctica moderna, digitalizada y pragmática.

¿Por qué es importante en la gestión de proyectos?

La gestión de riesgos quizá nunca ha sido tan importante como hoy

Un proyecto es siempre una inversión; más vale asegurarse de que se podrá llevar a cabo con eficacia. En esta etapa se establece cómo se piensa alcanzar los objetivos del proyecto. Se trata de saber si el proyecto será viable económicamente, si es realmente realizable (técnicamente y dentro de los límites de coste y plazo posibles) y de conocer las consecuencias del proyecto sobre su entorno.

Cualquiera que haya tenido que gestionar un proyecto... o un sistema de información en plena pandemia, sabe que el análisis de riesgos es a la vez indispensable Y que no basta.

La experiencia nos enseña que nada sale nunca como estaba previsto... y que, si no prestas atención, hay muchas probabilidades de reventar los plazos y los presupuestos, y de que la calidad esperada no llegue.

Algunas de esas dificultades serán previsibles y podrás anticiparlas. Y ese es precisamente el papel del análisis de riesgos del proyecto: evitarte ese tipo de situaciones. Gracias a él tendrás un arsenal a la vez proactivo y reactivo listo para usar... y sobre todo, en caso de crisis inesperada, gracias a tu buena gestión de proyecto podrás dedicar tu energía a lo que no era "previsible".

La pandemia nos recordó a todos que lo inesperado siempre acaba apareciendo: "Este choque inesperado nos recordó que las previsiones se desmienten con regularidad. La historia es una sucesión de acontecimientos improbables que se encadenan, se enfrentan y se entrelazan para dar lugar a un futuro inimaginable unos meses antes." (Yannick Roudaut, autor de Quand l'improbable surgit - Un autre futur revient dans la partie ! Ed. La Mer Salée, oct. 2020.)

¿Qué es un riesgo en un proyecto?

Un riesgo es un acontecimiento futuro posible, identificable y que podemos cuantificar en gestión de proyectos.

El riesgo es inherente a todo proyecto. Puede venir de la naturaleza del proyecto, de los presupuestos asignados, del grado de complejidad, de la necesidad de recursos, etc.

Un matiz muy importante: la norma NFX50-117 (Gestión de proyectos – Gestión del riesgo – Gestión de los riesgos de un proyecto) distingue entre imprevisto, contingencia, riesgo y problema.

Uno de los riesgos de tu evaluación de riesgos potenciales del proyecto es justamente esa confusión y el efecto de amalgama que se deriva de ella.

Tipos de riesgos "clásicos" de proyectos de TI y ejemplos escogidos:

• Funcional: el peso de los desarrollos a medida en el proyecto es demasiado grande...
• Técnico: hay un bloqueo tecnológico... no dudes en hacer un POC para despejar los riesgos identificados.
• Organizativo: incumplimiento de los compromisos (planificación, cargas y costes)
• Roadmap: proyectos pequeños y no prioritarios... una revisión de la roadmap de proyectos que provoca un desplazamiento o un aplazamiento del proyecto
• Gestión de proyecto: no se posicionan hitos clave por fase de planificación.
• Cliente interno: escasa implicación del negocio / de las áreas de negocio en el proyecto
• Relación con proveedores: comunicación difícil, poca capacidad de reacción del equipo del proveedor, etc.
• SLA: mala apreciación del nivel de servicio necesario, como la disponibilidad o los tiempos de respuesta. => Verifica las afirmaciones de los proveedores sobre los acuerdos de nivel de servicio
• Legal: cambios en el entorno jurídico, etc... aquí a veces se tocan temas muy sensibles y bloqueantes...
• Humano: las decisiones no se toman, o se necesita gente muy cualificada... en plena guerra por el talento... o personas ya (sobre)ocupadas...
• Ciberriesgo: en función del apetito de riesgo de tu organización, tu programa de gestión de ciberriesgos determinará cómo priorizar y responder a esos riesgos.
• Riesgos psicosociales: abarcan el estrés, el acoso, la violencia en el trabajo y las faltas de respeto. Un riesgo que conviene transferir a RR. HH.
• Financieros: el ticket mínimo es demasiado alto, por ejemplo.
• Comunicación y management: demasiadas ausencias de las partes interesadas...

Etc. ¡La lista no es exhaustiva!

Para cada tipo de riesgo se identificará: su tipo / las palabras clave / una descripción / el impacto potencial / y las acciones recomendadas en un registro... (ver más abajo).

Las 4 etapas del análisis de riesgos del proyecto

El proceso de gestión de riesgos se descompone en 4 etapas.

Para el PMBOK®, la gestión de riesgos se define como «el proceso sistemático de identificación, análisis y respuesta a los riesgos del proyecto».

• Etapa 1: identificar los riesgos de un proyecto
• Etapa 2: evaluar la probabilidad y las consecuencias de los riesgos
• Etapa 3: proponer acciones para cada riesgo
• Etapa 4: vigilar y dar cuenta del seguimiento del riesgo

Etapa 1: identificar (y priorizar) los riesgos del proyecto en una matriz... ¡legible!

La identificación de los riesgos y su tratamiento debe hacerse a la vez lo antes posible en el proyecto Y a lo largo de todo el ciclo de vida del proyecto, con especial atención en los hitos.

Si algunos riesgos son demasiado grandes —> haz un proyecto para reducir el riesgo y después valida o no el proyecto. (ver parte 3 más abajo).

Nota bene: cuando existe un enfoque de calidad en la empresa... conviene llevar este proceso conjuntamente con el responsable de calidad, entre otros durante las revisiones de dirección.

Aquí, después de haber rellenado (un poco) el archivo de Excel para hacer escalas... ¡piensa fuera de la caja!

Sé creativo: haz ante todo que tu análisis de riesgos sea legible y, sobre todo, colaborativo. Utiliza por ejemplo los "juegos que hacen el trabajo", inspirados en la cultura Agile.

¿Conoces el "Pre-Mortem"? Este juego fue popularizado por Dave Gray, James Macanufo y Sunni Brown, los tres autores del best-seller Gamestorming (ed. diateino, 2014).

Se trata de anticipar todas las razones por las que el proyecto, el producto, el servicio, la empresa… podría fracasar, precisamente para que no ocurran.

Un punto importante de este enfoque colaborativo: ¡no descuides nunca las opiniones minoritarias! La mayoría no tiene por qué tener razón cuando se trata de analizar los riesgos.

Etapa 2: evaluar la probabilidad y las consecuencias de los riesgos

Lo que te dicen en la escuela, en clase de gestión de riesgos: ¡haz un perfil cuantitativo del riesgo del proyecto basado sobre todo en una media de probabilidad, gravedad y criticidad!

Lo que se aprende sobre el terreno: que estas matrices son difícilmente "mantenibles"... ¡y que la apreciación cuantitativa nos hace entrar de lleno en la subjetividad!

Así que, más allá de todas las buenas prácticas y las bonitas matrices cuantitativas... ¡confía en la simplicidad, en los procesos, en la experiencia y en tu intuición!

El plan de recuperación ante desastres (DRP) y/o el plan de continuidad de negocio (BCP) no te vacunarán contra todo... pero constituyen un "airbag de riesgo" interesante.

En cuanto a la experiencia... más allá de la tuya y la de tu equipo, se puede recurrir a la sabiduría popular... por ejemplo, a lo que las leyes del tiempo nos han enseñado... pequeña actualización:

• La ley de Murphy: "nada sale como estaba previsto" - "Anything that can go wrong, will go wrong".
• O la ley de Hofstadter, que enuncia que, "sea cual sea la duración prevista de un proyecto, no se entregará en el plazo fijado."

Lección que sacar: el jefe de proyecto y su equipo deben estimar con más holgura el tiempo necesario para realizar su proyecto. Parte del principio de que inevitablemente se retrasará. Un CIO solía repetirnos: ¡"Poned colchones en las planificaciones"!

Etapa 3: proponer acciones para cada riesgo

• Aceptar: todo es normal... se sigue supervisando.
• Reducir: disminuir la probabilidad de ocurrencia y/o la severidad de los impactos.
• Transferir: trasladar la responsabilidad de un riesgo a un tercero que asumiría las consecuencias del problema
• Evitar: eliminación total de la incertidumbre.

Más allá de lo básico y de la anticipación... la acción más importante de tu gestión de proyecto será ser capaz de decidir. Incluido decidir no lanzar el proyecto. Sobre este punto, recuerda la fórmula inventada por Olivier Bas, vicepresidente del grupo Havas:

Para llegar a esta gestión de riesgos prudente, tendrás que haber demostrado que has "reducido el riesgo" de tu proyecto. En concreto, puede significar haber lanzado un proyecto específico, una especie de prototipo sin riesgo.

Etapa 4: vigilar y dar cuenta del seguimiento del riesgo

Debe ponerse en marcha una organización para comunicar sobre el control de los riesgos. ¡Y sin embargo es en esta cuarta etapa donde la puesta en práctica parece hoy más heterogénea...!

De manera general, la falta de transparencia escrita puede llevar a fracasos graves.

Bien utilizada, una herramienta de seguimiento de proyectos permite alinear en torno al valor a la Dirección de TI, a las áreas de negocio y al top management, rompiendo los silos de una organización a veces demasiado pesada o compartimentada dentro de cada empresa.

¿Cómo evoluciona la gestión operativa del riesgo durante el proyecto?

También puedes verte de repente ante nuevos riesgos, o ver cómo riesgos antes críticos pierden intensidad. En resumen: vigila con regularidad tu mapa de riesgos. Este proceso de gestión de riesgos es iterativo. Solo que... volver sobre el mapa inicial para actualizarlo supone una carga importante. ¿Cómo hacerlo sin gastar en ello todo tu ancho de banda disponible?

Cómo hacerlo:

• Reportar los puntos de atención de forma continua
• Lo mismo para las decisiones
• Actualizar los estados de salud del proyecto y sus contextos operativos

Humano: los indicadores que hacen que el riesgo se convierta en un problema...

• Si las decisiones no se toman
• Si hay demasiadas ausencias de las partes interesadas
• Desconfianza en el cumplimiento del hito
• Lista no exhaustiva :)

SaaS... riesgos nuevos, poco familiares y a menudo mal entendidos

• Confía en la capacidad de resiliencia del proveedor y ¡verifica!
• Prueba tus planes de resiliencia para asegurarte de que funcionan y de que todo el mundo sabe cómo ejecutarlos en caso de crisis.

En resumen:

• Generalmente es la falta de transparencia escrita en la empresa lo que lleva a fracasos de proyectos;
• Tener en cuenta los riesgos y las restricciones del proyecto permitirá tomar decisiones radicales: se lanza el proyecto o no, y en su caso se ponen en marcha acciones que lo harán factible para un equipo.
• El análisis de riesgos se hace al inicio del proyecto, en la etapa del estudio de viabilidad, y en los grandes hitos del ciclo del proyecto.

Para profundizar en este último eje clave, te recomendamos la lectura del artículo: El hito de proyecto: una técnica para secuenciar tus proyectos con inteligencia.