Dr. David Hillson, FIRM, HonFAPM, PMI Fellow
Una de las primeras cosas que aprendí sobre el riesgo fue que cada riesgo tiene tanto una probabilidad menor del 100%, como también un impacto en al menos un objetivo. Alguno de mis colegas de gestión de riesgos hablaban sobre los riesgos con el 100% de probabilidad, pero yo no estaba de acuerdo con ellos. Según he descubierto más cosas sobre el riesgo, me he dado cuenta de que mis colegas estaban en lo cierto. Hay algunos riesgos con el 100% de probabilidad de ocurrencia. En otras palabras, o están ocurriendo ahora o es cierto que ocurrirán en el futuro.
La primera reacción de la mayoría de las personas de que un riesgo puede tener un 100% de probabilidad es no estar de acuerdo. Después de todo la "incertidumbre" es una parte clave de la definición del riesgo, y un 100% de probabilidad significa "cierto". Pero esto conlleva a una visión muy limitada de los tipos de riesgo que necesitamos entender y gestionar.
En una "Newsletter" previa (Número 73, Julio de 2012) discutimos cuatro tipos de riesgos que podían afectar a nuestros negocios y a nuestros proyectos. Cada uno de estos es una "incertidumbre que importa", pero solo un tipo tiene probabilidad menor de 100%.
- El primer tipo de riesgo es un evento posible futuro, que podemos llamar "incertidumbre estocástica". Esto es algo que no ha ocurrido todavía y podría no ocurrir nunca, pero si ocurre entonces tiene un impacto en uno o más de nuestros objetivos. La mayoría de los riesgos identificados son como por ejemplo: un suministrador clave puede salir del negocio, un cliente podría cambiar el requisito, o se podrían imponer nuevas restricciones legales. Podemos estimar una probabilidad de ocurrencia para cada una de estas posibilidades, que es menor de 100% porque el evento futuro es incierto.
- Segundo tenemos riesgos surgiendo de la variabilidad (también llamados "incertidumbre aleatoria"), donde algún aspecto de una tarea planificada o alguna situación es incierta. Por ejemplo podemos planificar hacer una prueba de 15 días, pero la duración podía estar de hecho entre 10 y 20 días. La probabilidad de realizar la prueba es del 100%, pero su duración es incierta. Otros parámetros variables incluyen el coste, los requisitos de recursos, la productividad, el ratio de defectos, el desempeño, etc.
- El tercero son los riesgos relativos a la ambigüedad (conocido como "incertidumbre epistémica"), describiendo las incertidumbres que surgen de nuestra carencia de conocimiento o entendimiento. Esto podría incluir elementos de los requisitos o de la solución técnica, o las condiciones del mercado o la capacidad del competidor. La probabilidad de este tipo de riesgo es del 100% (el hecho que no podemos entender completamente que el requisito es cierto), pero el grado en el que podía importar es incierto.
- Últimamente, tenemos puntos-ciegos (también llamados "incertidumbre ontológica"), a veces llamados Cisnes Negros o riesgos emergentes. Estos son riesgos que somos incapaces de ver porque están fuera de nuestra experiencia o disposición. Podemos estar seguros de que tales riesgos existen incluso aunque no podemos describirlos, así pues su probabilidad es del 100%. La incertidumbre recae en el efecto que estos riesgos podrían tener si ocurren.
Cada uno de estos cuatro tipos de incertidumbre podían afectar a nuestra habilidad para alcanzar nuestros objetivos, así es que son "incertidumbres que importan" o riesgos, y necesitan ser gestionados. Pero solo los eventos posibles futuros tienen una probabilidad menor del 100% (El tipo 1 de encima), y si ocurren entonces su impacto es cierto. Los riesgos (Tipos 2, 3 y 4) tienen una probabilidad del 100%, y la incertidumbre recae en el lado del impacto.
Es importante hacer notar que los riesgos de probabilidad 100% no son los mismos que las incidencias, que también tienen un 100% de probabilidad. La diferencia es que una incidencia también tiene un cierto impacto en nuestros objetivos, considerando que el riesgo siempre involucra algún aspecto de incertidumbre. Así que es posible tener un riesgo donde la probabilidad es del 100%.
Esto por supuesto tiene implicaciones en el proceso de riesgo, que necesita ser capaz de direccionar todos los tipos de riesgo. Por ejemplo las técnicas como la Matriz de Probabilidad-Impacto no pueden utilizarse para priorizar estos riesgos, y podemos necesitar también nuevos tipos de estrategia de respuesta para enfrentarnos a ellos.
¡Todavía tenemos algún trabajo que hacer si queremos que la gestión de riesgos direccione todos los tipos de riesgo!
Para dar feedback sobre esta nota, o para conseguir más detalles de cómo desarrollar una gestión de riesgos efectiva, contacte al Doctor Riesgo (