Registro de riesgos con matriz de exposición: guía práctica
Casi todos los proyectos tienen un registro de riesgos. Casi ninguno lo mira entre la reunión de arranque y la autopsia final. Un registro sirve para algo cuando prioriza —cuando de veinte riesgos dice cuáles tres importan esta semana— y para eso hace falta una forma de puntuarlos que no sea la intuición del que escribe.
Qué es un riesgo (y qué no)
Un riesgo es un evento futuro e incierto que, si ocurre, afecta a un objetivo del proyecto. Tiene tres partes que conviene separar: causa (algo que ya es verdad), evento (lo incierto) y efecto (el impacto si pasa).
«Dado que el proveedor de integración aún no ha confirmado fechas (causa), puede ocurrir que el entorno de pruebas no esté listo en febrero (evento), lo que provocaría un retraso de 3–4 semanas en UAT (efecto).»
Lo que no es un riesgo: un problema que ya ha ocurrido (eso es una incidencia), una tarea del plan, o un deseo genérico («que el equipo no rinda»). Si no puedes ponerle una probabilidad menor del 100 %, no es un riesgo.
Las columnas del registro
Ni tres ni treinta. Estas son las que se usan:
| Columna | Para qué |
|---|---|
| ID | Referencia estable para actas y seguimiento. |
| Descripción | Causa – evento – efecto, en una frase. |
| Categoría | Técnico, proveedor, alcance, recursos, externo… Sirve para ver patrones. |
| Probabilidad | Escala de 1 a 5 (ver abajo). |
| Impacto | Escala de 1 a 5, sobre el objetivo más afectado. |
| Exposición | Probabilidad × Impacto. El número que ordena la lista. |
| Respuesta | Evitar · Mitigar · Transferir · Aceptar. Y la acción concreta. |
| Dueño | Una persona. No «el equipo». |
| Estado / revisión | Abierto / cerrado / materializado, y fecha del último repaso. |
Opcional pero útil en proyectos grandes: exposición residual (la que queda después de aplicar la respuesta) y disparador (la señal observable de que el riesgo se está materializando).
Cómo puntuar sin engañarse
El problema de «probabilidad alta / media / baja» es que cada persona lo interpreta distinto. Fija las escalas por adelantado, con anclas numéricas:
| Nivel | Probabilidad | Impacto en plazo (ejemplo) |
|---|---|---|
| 1 · Muy bajo | < 10 % | < 1 semana |
| 2 · Bajo | 10–30 % | 1–2 semanas |
| 3 · Medio | 30–50 % | 2–4 semanas |
| 4 · Alto | 50–75 % | 1–2 meses |
| 5 · Muy alto | > 75 % | > 2 meses |
El impacto se puntúa sobre el objetivo que más sufre (plazo, coste, alcance o calidad) y se anota cuál. Un riesgo puede ser un 2 en coste y un 4 en plazo; se registra el 4 y se indica «plazo».
La trampa del riesgo raro y catastrófico. Probabilidad 1, impacto 5 → exposición 5. Probabilidad 3, impacto 2 → exposición 6. La multiplicación dice que el segundo es «más importante», y para la gestión semanal lo es. Pero el primero puede hundir el proyecto. Por eso la matriz no sustituye el criterio: cualquier riesgo con impacto 5 se revisa siempre, aunque su exposición sea baja.
La matriz de exposición
Es la cuadrícula 5×5 de probabilidad (eje vertical) por impacto (eje horizontal). Cada celda es el producto, y se colorea en bandas:
- Roja (exposición 15–25) — respuesta activa obligatoria, dueño nombrado, revisión en cada comité. Sube al informe de portafolio.
- Ámbar (8–12) — plan de mitigación definido, revisión quincenal.
- Verde (1–6) — se acepta y se vigila; sin acción salvo que suba de banda.
La matriz se dibuja con los riesgos colocados en sus celdas. De un vistazo se ve si el proyecto tiene un problema de concentración (varios puntos arriba a la derecha) o una cola larga de ruido verde que distrae.
Las cuatro respuestas
| Respuesta | Cuándo | Ejemplo |
|---|---|---|
| Evitar | El riesgo es inaceptable y se puede eliminar la causa. | Cambiar de proveedor antes de firmar. |
| Mitigar | Reducir probabilidad o impacto a un nivel tolerable. | Prototipo temprano de la integración crítica. |
| Transferir | El impacto lo asume mejor un tercero. | Penalización contractual, seguro, fijo llave en mano. |
| Aceptar | El coste de responder supera la exposición. | Registrar, definir el disparador y seguir. |
«Aceptar» es una decisión legítima y explícita, no lo que pasa por defecto cuando nadie hace nada. Un riesgo aceptado tiene dueño y disparador igual que los demás.
La reserva de contingencia
La suma de las exposiciones de coste de los riesgos abiertos —su valor monetario esperado— es la base para dimensionar la reserva de contingencia: presupuesto dentro de la línea base para los riesgos conocidos. Cuando un riesgo se materializa, se financia con esa reserva y se documenta; no se re-baselina el proyecto por algo que ya estaba previsto. La reserva de gestión, para lo desconocido, va por encima de la línea base y la controla el sponsor.
Por qué la mayoría de registros son teatro
Se llenan una vez, en el arranque, para pasar el checklist de la PMO, y no se vuelven a abrir. Señales de que el tuyo está muerto:
- Todos los riesgos siguen «abiertos» y con la misma puntuación que hace cuatro meses.
- Ninguno se ha cerrado ni materializado — estadísticamente imposible en un proyecto real.
- Los dueños no saben que lo son.
- El riesgo que de verdad hundió el proyecto no estaba en la lista, o estaba en verde.
Un registro vivo se revisa en cada actualización de estado: riesgos nuevos, cambios de puntuación, disparadores activados, cierres. Son quince minutos si el registro está donde está el resto de los datos del proyecto, y una tarea que se salta si vive en un Excel aparte que hay que ir a buscar.
En PMOvio el riesgo vive junto al proyecto
Registro por proyecto con exposición calculada, matriz 5×5, y los riesgos altos subiendo solos al informe de portafolio. 15 días gratis, sin tarjeta.
Ver mi portafolio →