Anticipar lo que puede salir mal — y lo que puede salir mejor de lo esperadoAnticipating what can go wrong — and what can go better than expected
Ya construiste el WBS, el cronograma y las finanzas de Atlas. Todo eso asume que el plan va a salir como lo dibujaste — pero ya sabes, por el módulo de Fundamentos, que un riesgo es cualquier cosa incierta que podría cambiar eso. Este módulo te da las herramientas para identificarlos, priorizarlos y decidir qué hacer con cada uno antes de que ocurran. You already built Atlas's WBS, schedule, and finances. All of that assumes the plan will go exactly as drawn — but you already know, from the Fundamentals module, that a risk is anything uncertain that could change that. This module gives you the tools to identify, prioritize, and decide what to do about each one before it happens.
PMBOK 8 define un riesgo como un evento o condición incierta que, si ocurre, tiene un efecto positivo o negativo en los objetivos del proyecto. Esto sorprende a muchos alumnos: no todo riesgo es malo. PMBOK 8 defines a risk as an uncertain event or condition that, if it occurs, has a positive or negative effect on the project's objectives. This surprises many students: not every risk is bad.
Si ocurre, perjudica al proyecto: retrasos, sobrecostos, daño reputacional.If it occurs, it harms the project: delays, cost overruns, reputational damage.
Si ocurre, beneficia al proyecto más allá de lo planeado.If it occurs, it benefits the project beyond what was planned.
Cada riesgo se redacta con estructura Causa → Evento → Consecuencia — nunca solo "el modelo podría fallar" (muy vago). Ejemplo bien redactado: Every risk is written with a Cause → Event → Consequence structure — never just "the model might fail" (too vague). Well-written example:
Causa: "Porque el histórico de transacciones nunca fue auditado por sesgo demográfico," Evento: "el modelo podría aprender un sesgo hacia cierto segmento de clientes," Consecuencia: "resultando en decisiones de retención injustas y riesgo reputacional para NovaRetail." Cause: "Because the transaction history was never audited for demographic bias," Event: "the model might learn a bias toward a certain customer segment," Consequence: "resulting in unfair retention decisions and reputational risk for NovaRetail."
No confundas Riesgo con Problema (Issue) — ya lo viste en Fundamentos: el riesgo todavía no ha pasado (probabilidad <100%), el problema ya está pasando (probabilidad =100%, requiere acción inmediata). Y el Riesgo General del Proyecto es distinto de un riesgo individual: es el efecto acumulado de toda la incertidumbre del proyecto — si es demasiado alto, hasta el Sponsor podría cancelar el proyecto completo. Don't confuse Risk with an Issue — you already saw this in Fundamentals: a risk hasn't happened yet (probability <100%), an issue is already happening (probability =100%, requires immediate action). And Overall Project Risk is different from an individual risk: it's the cumulative effect of all the project's uncertainty — if it's too high, even the Sponsor might cancel the whole project.
PMBOK 8 clasifica la incertidumbre en 4 cuadrantes — y esto conecta directamente con las dos reservas que ya viste en Finanzas: PMBOK 8 classifies uncertainty into 4 quadrants — and this connects directly to the two reserves you already saw in Finance:
Hechos y requisitos ya establecidos. No es un riesgo — se gestiona como parte normal del alcance.Established facts and requirements. Not a risk — managed as normal scope.
"Riesgo clásico" — sabes que podría pasar y puedes estimar probabilidad e impacto. → Reserva de Contingencia."Classic risk" — you know it might happen and can estimate probability and impact. → Contingency Reserve.
"Hecho oculto" — alguien en la organización lo sabe, pero no llegó al equipo del proyecto."Hidden fact" — someone in the organization knows it, but it never reached the project team.
"Riesgo emergente" — nadie podía haberlo anticipado. → Reserva de Gestión."Emergent risk" — nobody could have anticipated it. → Management Reserve.
"Nadie revisó si el algoritmo de churn podría ser discriminatorio antes de este proyecto" es un Desconocido-Conocido peligroso: el conocimiento sobre sesgo algorítmico existe en la industria, pero tu equipo específico no lo trajo a la mesa. Traer expertos o hacer benchmarking de otros proyectos convierte estos riesgos ocultos en riesgos clásicos que sí puedes planear. "Nobody checked whether the churn algorithm could be discriminatory before this project" is a dangerous Unknown-Known: knowledge about algorithmic bias exists in the industry, but your specific team didn't bring it to the table. Bringing in experts or benchmarking other projects turns these hidden risks into classic risks you can actually plan for.
Riesgos no es un ejercicio de una sola vez al inicio — Monitorear Riesgos corre durante todo el proyecto. Nuevos riesgos aparecen (ej. un cambio de política de privacidad de datos a mitad del proyecto), y los que ya identificaste pueden dejar de aplicar. Risk isn't a one-time exercise at the start — Monitor Risks runs throughout the whole project. New risks appear (e.g., a data-privacy policy change midway through the project), and ones you already identified may stop applying.
El Registro de Riesgos de Atlas — nota que mezcla amenazas y oportunidades, siguiendo la estructura Causa→Evento→Consecuencia: Atlas's Risk Register — notice it mixes threats and opportunities, following the Cause→Event→Consequence structure:
| ID | TipoType | Descripción (Causa → Evento → Consecuencia)Description (Cause → Event → Consequence) | Prob.Prob. | ImpactoImpact |
|---|---|---|---|---|
| R1 | AmenazaThreat | El histórico nunca fue auditado por sesgo → el modelo aprende sesgo demográfico → decisiones injustas y riesgo reputacional.History was never audited for bias → the model learns demographic bias → unfair decisions and reputational risk. | AltaHigh | AltoHigh |
| R2 | AmenazaThreat | Configuración de acceso mal definida → exposición de datos personales de clientes → incumplimiento regulatorio y multas.Poorly defined access config → exposure of customers' personal data → regulatory non-compliance and fines. | BajaLow | Muy AltoVery High |
| R3 | AmenazaThreat | El comportamiento de clientes cambia con el tiempo → el modelo pierde precisión en producción (drift) → retención inefectiva.Customer behavior changes over time → the model loses accuracy in production (drift) → ineffective retention. | AltaHigh | MedioMedium |
| R4 | AmenazaThreat | La señal en los datos es más débil de lo esperado → ningún modelo baseline alcanza 75% de recall → retraso del proyecto.The signal in the data is weaker than expected → no baseline model hits 75% recall → project delay. | MediaMedium | AltoHigh |
| R5 | OportunidadOpportunity | NovaRetail ya tiene datos de navegación web → podrían mejorar el recall más allá del objetivo → modelo más valioso de lo planeado.NovaRetail already has web-browsing data → could improve recall beyond the target → a more valuable model than planned. | MediaMedium | AltoHigh |
| R6 | OportunidadOpportunity | El pipeline de datos queda bien modularizado → se reutiliza para un futuro proyecto de fraude → ahorro de tiempo estratégico.The data pipeline ends up well-modularized → gets reused for a future fraud project → strategic time savings. | AltaHigh | BajoLow |
R2 (fuga de datos) tiene probabilidad Baja pero impacto Muy Alto — no lo descarten solo porque "es poco probable". Algunos de los peores riesgos de un proyecto de datos viven exactamente ahí. R2 (data leak) has Low probability but Very High impact — don't dismiss it just because "it's unlikely". Some of a data project's worst risks live exactly there.
Con docenas de riesgos posibles, no puedes atender todos igual. La Matriz PxI los prioriza visualmente — aquí, los 6 riesgos de Atlas ubicados (versión simplificada de 3×3; PMBOK 8 también documenta una versión numérica de 5×5 con ponderación exacta): With dozens of possible risks, you can't address them all equally. The PxI Matrix prioritizes them visually — here, Atlas's 6 risks placed (simplified 3×3 version; PMBOK 8 also documents a numeric 5×5 version with exact weighting):
↑ Probabilidad | Impacto →↑ Probability | Impact →
R2 aparece en zona amarilla (no roja) a pesar de su impacto catastrófico, porque su probabilidad es baja — pero muchos equipos experimentados igual lo tratan como prioridad alta por el tipo de daño (legal/reputacional) que causaría. La matriz orienta, no reemplaza el juicio profesional. R2 shows up in the yellow zone (not red) despite its catastrophic impact, because its probability is low — but many experienced teams still treat it as high priority given the kind of damage (legal/reputational) it would cause. The matrix guides, it doesn't replace professional judgment.
Cuando un riesgo se puede traducir a dinero, el EMV te da un número objetivo para decidir. Fórmula: EMV = Probabilidad × Impacto (en $). Vamos a decidir si conviene mitigar R4 (ningún modelo alcanza el recall) comprando por adelantado un dataset externo de enriquecimiento. When a risk can be translated into money, EMV gives you an objective number to decide with. Formula: EMV = Probability × Impact ($). Let's decide whether it's worth mitigating R4 (no model hits the target recall) by buying an external enrichment dataset upfront.
40% de probabilidad de que ningún modelo alcance el recall objetivo → costo de remediar después (reentrenar con más variables, retraso): $4,000.40% probability that no model hits the target recall → cost to remediate later (retrain with more variables, delay): $4,000.
Con más variables predictivas, la probabilidad de fallo baja a 5% (mismo costo de remediar si aun así falla: $4,000).With more predictive variables, failure probability drops to 5% (same $4,000 remediation cost if it still fails).
EMV(B) = −$1,400 es mejor que EMV(A) = −$1,600 (menos pérdida esperada) — comprar el dataset es la decisión correcta, aunque tenga un costo inmediato. El EMV convierte "tengo una corazonada" en una comparación objetiva. EMV(B) = −$1,400 is better than EMV(A) = −$1,600 (less expected loss) — buying the dataset is the right call, even with an upfront cost. EMV turns "I have a hunch" into an objective comparison.
PMBOK 8 da 5 estrategias espejo para amenazas y para oportunidades: PMBOK 8 gives 5 mirrored strategies for threats and for opportunities:
| Para AmenazasFor Threats | Para OportunidadesFor Opportunities | Ejemplo AtlasAtlas Example |
|---|---|---|
| EvitarAvoid | ExplotarExploit | Evitar: eliminar el campo de datos sensible que causaría R2 desde el diseño. Explotar: asignar a la mejor Data Scientist para garantizar que R5 (dataset de navegación) sí se aproveche.Avoid: remove the sensitive data field that would cause R2, by design. Exploit: assign the best Data Scientist to guarantee R5 (browsing dataset) actually gets captured. |
| MitigarMitigate | MejorarEnhance | Mitigar: comprar el dataset extra para R4 (nuestro ejemplo de EMV). Mejorar: adelantar la solicitud de acceso a los datos de navegación para aumentar la probabilidad de R5.Mitigate: buy the extra dataset for R4 (our EMV example). Enhance: request early access to browsing data to increase R5's probability. |
| TransferirTransfer | CompartirShare | Transferir: contratar una auditoría externa de sesgo para R1, pasando la responsabilidad técnica a un especialista. Compartir: ofrecer el pipeline reutilizable de R6 a otro equipo a cambio de soporte conjunto.Transfer: hire an external bias audit for R1, passing technical responsibility to a specialist. Share: offer R6's reusable pipeline to another team in exchange for joint support. |
| AceptarAccept | AceptarAccept | Aceptar (amenaza): R6 al revés — si el pipeline no queda reutilizable, no pasa nada grave, se documenta y sigue. Aceptar (oportunidad): si R5 no se da, el proyecto igual cumple su objetivo sin ese dataset extra.Accept (threat): the reverse of R6 — if the pipeline doesn't end up reusable, it's not a big deal, document and move on. Accept (opportunity): if R5 doesn't materialize, the project still meets its objective without that extra dataset. |
| EscalarEscalate | EscalarEscalate | Si un cambio regulatorio nacional de privacidad de datos afecta a NovaRetail más allá de Atlas, se escala a la dirección legal de la empresa — está fuera de la autoridad del PM del proyecto.If a national data-privacy regulatory change affects NovaRetail beyond Atlas, it's escalated to the company's legal leadership — it's outside the project PM's authority. |
Nota que "Evitar" y "Explotar" son opuestos con la misma lógica: uno reduce la probabilidad a 0%, el otro la sube a 100%. Igual "Mitigar/Mejorar" (cambian probabilidad o impacto parcialmente) y "Transferir/Compartir" (mueven la responsabilidad a alguien más). Memoriza los pares, no las 10 por separado. Notice "Avoid" and "Exploit" are opposites with the same logic: one drives probability to 0%, the other to 100%. Same with "Mitigate/Enhance" (partially change probability or impact) and "Transfer/Share" (move ownership to someone else). Memorize the pairs, not all 10 separately.
Listar solo riesgos de código o de cómputo, ignorando sesgo algorítmico, privacidad de datos, y riesgos regulatorios — que suelen ser los más costosos.Listing only code or compute risks, ignoring algorithmic bias, data privacy, and regulatory risks — which are usually the costliest.
Incluye riesgos técnicos, éticos, regulatorios y de negocio — y también oportunidades, no solo amenazas.Includes technical, ethical, regulatory, and business risks — and opportunities too, not just threats.
Llenar el Registro de Riesgos al inicio del proyecto y nunca volver a abrirlo.Filling out the Risk Register at the project's start and never opening it again.
Revisar el Registro en cada hito o reunión de seguimiento — los riesgos cambian conforme el proyecto avanza.Review the Register at every milestone or follow-up meeting — risks change as the project progresses.
Construye el Registro de Riesgos de tu propio proyecto, prioriza con la Matriz PxI, y practica un cálculo de EMV.Build your own project's Risk Register, prioritize with the PxI Matrix, and practice an EMV calculation.
💻 Ir al Taller: RiesgosGo to Workshop: Risk →