Source: http://docplayer.es/2413794-Club-de-investigacion-tecnologica-administracion-del-riesgo-en-proyectos-informaticos.html
Timestamp: 2017-12-15 03:32:51+00:00

Document:
Club de Investigación Tecnológica. Administración del Riesgo en Proyectos Informáticos - PDF
Club de Investigación Tecnológica. Administración del Riesgo en Proyectos Informáticos
Download "Club de Investigación Tecnológica. Administración del Riesgo en Proyectos Informáticos"
Domingo Navarro Rivas
1 Administración del Riesgo en Proyectos Informáticos
2 Ing. Carlos E. Vargas, CSQE Noviembre 2007
3 Informes publicados Informe Autor Fecha 1. Redes de Computadores Dr. Roberto Sasso Agosto Sistemas Expertos Dr. Claudio Gutiérrez Enero Planificación de Sistemas Dr. René-Pierre Bondu Abril Proyectos de Sistemas Ing. Ignacio Trejos Setiembre Bases de Datos Dr. Carlos González Diciembre Escapando de los Sistemas del Ayer Lic. Pablo Rojas, M.Sc. Marzo Aplicaciones Creativas Dr. Roberto Sasso Mayo Calidad de Sistemas Dr. Ulises Agüero Octubre Personal y Organización de Sistemas KPMG Consultores Marzo Sistemas Abiertos Ing. José Rubinstein, MBA Octubre Análisis de la Industria de la TI. Lic. Roberto Venegas, MBA Enero Nuevas Tecnologías de Información Dr. Roberto Sasso (Editor) Marzo Ambientes de Proveedores Múltiples Lic. Alexis Rodríguez U. Julio Planificación y Recuperación de Desastres Sr. Gerardo Ortuño Agosto Diseño de Redes Novell Ing. David Baruch Agosto Minis Vs LANs Ing. Marvin Campos Octubre Intercambio Electrónico de Datos (EDI) KPMG Consultores Enero Sistemas Abiertos de Software Ing. José Ardón Abril Outsourcing de Tecnología de Información Roxana Murillo, M.Sc. Julio Redes Empresariales de Banda Ancha Ing. Aníbal Mayorga, M.Sc. Febrero Comercio Electrónico Dr. Roberto Sasso Rojas Abril Estudio de Opinión Informática Dr. Freddy Abarca Julio Desarrollo de Sistemas Cliente/Servidor Lic. Édgar Hernández Diciembre 1997 Ing. Luis Martínez
4 24. Enfrentando el año Guía Práctica Ing. Carlos Gallegos, M.Sc. Mayo 1998 Dr. Roberto Sasso Ing. Ignacio Trejos, M.Sc. 25. Depósitos de Datos Beatriz Jiménez, M.Sc. Noviembre 1998 Rafael Avalos, M.Sc. 26 El modelo de objetos: Análisis y Diseño Ing. Ignacio Trejos, M.Sc. Setiembre 1999 Ing. Antonio Luna 27. Silicon Valley, 1999 Ing. Mauricio Monge Enero 2000 Dr. Roberto Sasso Ing. Ignacio Trejos, M.Sc. 28. Calidad de los datos: Un enfoque conceptual Ing. Lilia Muñoz, M.Sc. Febrero El modelo de objetos: Lenguaje de modelaje Unificado (UML) Ing. Antonio Luna Ing. Ignacio Trejos, M.Sc. Marzo Medición de calidad de datos: Un enfoque Ing. Franco Quirós Marzo 2000 práctico 31. Seguridad de la información en la era de los negocios digitales Lic. Édgar Hernández Lic. Marco V. Gámez Julio Transformación de aplicaciones legacy Ing. Declan Good Agosto Legacy transformation Ing. Declan Good August Calidad en la especificación de requerimientos Ing. Javier Rivas Febrero Inteligencia de negocios Lic. José Mayorga Setiembre Sistemas colaborativos Ing. Xinia Robles Octubre 2004 Lic. Lizette Ramírez, M.Sc. 36. XML: Tecnología y aplicaciones Dr. José Enrique Araya Enero 2005 Ing. Emilia Zeledón 37. Procesos de software Ing. Priscilla Garbanzo, MIS Setiembre Patrones de software Lic. Alan Calderón, M.Sc. Agosto Administración del Riesgo en Proyectos Informáticos Ing. Carlos E. Vargas, CSQE Noviembre 2007 Editado y publicado por Rho-Sigma, S.A., a nombre del Club de Investigación Tecnológica.
5 Todos los derechos reservados. Prohibida la reproducción total o parcial. San José, Costa Rica. Noviembre 2007 Resumen Ejecutivo La conciencia mundial sobre el riesgo se ha agudizado en la presente década, mayormente impulsada por eventos lamentables que han tenido un impacto global en la aceptación y cumplimiento de reglas y procedimientos asociados con la prevención de acciones contrarias al interés y bienestar común de la sociedad y los servicios vitales que marcan la interacción globalizada de los países. Esta conciencia, aunada a una cada vez más atendida insatisfacción con los resultados de los proyectos informáticos, y la preocupación que genera en los involucrados en su planteamiento, administración y ejecución, ha generado una actitud ante el riesgo que debería promover la inversión oportuna del esfuerzo y la atención focalizada que se requiere para efectuar los procesos de la administración del riesgo presentados y explicados en este informe. Con base en los lineamientos y recomendaciones de las instituciones de influencia internacional más relevantes en el desarrollo de la administración de proyectos, particularmente en el campo de los proyectos informáticos y atendiendo la actual focalización sobre la administración efectiva del riesgo, se desarrollan en este informe los procesos recomendados en el ciclo de vida de esta administración, buscando una interiorización de su importancia y un conocimiento práctico de los procedimientos por seguir para mejorar las probabilidades de éxito de los proyectos con la mitigación oportuna de los riesgos que todo proyecto enfrenta durante su ejecución. Esperamos que el estudio del material presentado sea de amplia utilidad para los profesionales involucrados en la ejecución de proyectos informáticos. El Club de Investigación Tecnológica y el autor se declaran en disposición de apoyar al lector en la clarificación del tema y el acceso a los materiales referenciados, en aras de lograr una mejor ejecución de los procesos de administración del riesgo, y, consecuentemente, de la mejora en los índices de éxito de los proyectos informáticos. Del autor Carlos E. Vargas Mora es Ingeniero Industrial, con una trayectoria de trabajo profesional en la industria informática que se inició en Profesor en programas de control del proceso y administración de proyectos, ha desarrollado labores docentes con el Instituto Tecnológico de Costa Rica, la Universidad Nacional, Cenfotec y la Universidad Latina, y desempeñado funciones gerenciales en dirección de proyectos en múltiples firmas de prestación de servicios informáticos en el país e internacionalmente.
6 Agradecimiento Profundo y sincero a Ignacio Trejos Zelaya y al Club de Investigación Tecnológica por la oportunidad enriquecedora de desarrollar este informe tras una investigación esclarecedora sobre el tema de administración del riesgo y sus implicaciones para una administración de proyectos efectiva y eficaz. Nota editorial Este informe fue revisado por Roberto Sasso e Ignacio Trejos. La edición final estuvo a cargo de Ignacio Trejos. Rho-Sigma S.A. ii
7 Administración del riesgo en proyectos informáticos Tabla de Contenidos 1 - Introducción... 1 Propósito de la investigación Los proyectos informáticos y su realidad de desempeño Qué es riesgo? Administración del riesgo en proyectos Planeación de la administración del riesgo Identificación de riesgos Análisis del riesgo Análisis cualitativo del riesgo Análisis cuantitativo del riesgo Tolerancia Ruido e incertidumbre Planeación de la respuesta al riesgo Monitoreo y control de riesgos Conclusiones y recomendaciones Anexo Anexo Rho-Sigma S.A. iii
8 Tabla de Figuras Figura 1 - Resolución de proyectos de aplicaciones de software Figura 2 - Resolución de proyectos de aplicaciones de software Figura 3 - Ciclo de vida de la administración del riesgo 10 Figura 4 - Ciclo de la administración del riesgo [SEI 1997] 10 Figura 5 - Modelo de riesgos de proyectos de Boehm [Boehm 1989] 11 Figura 6 Construcción de una matriz de valoración de riesgos (Paso 1) 17 Figura 7 Construcción de una matriz de valoración de riesgos (Paso 2) 18 Figura 8 Construcción de una matriz de valoración de riesgos (Paso 3) 18 Figura 9 Construcción de una matriz de valoración de riesgos (Ejemplo 1) 19 Figura 10 Construcción de una matriz de valoración de riesgos (Ejemplo 2) 21 Figura 11 Análisis de Árbol de Decisiones (Ejemplo 3) 23 Figura 12 Variaciones en la Tolerancia al Riesgo [Futrell 2002] 24 Figura 13 Estrategias aplicables al tratamiento y manejo de cada riesgo 26 Figura 14 Matriz de valoración de riesgos (Ejemplo 4) 28 Figura A1.1. Ciclo de administración del riesgo con participación del equipo de trabajo del proyecto 35 Tabla A1.1. Principios de la administración del riesgo en el equipo de trabajo 36 Tabla A2.1. Riesgos potenciales de cronogramación [McConnell 1996] 37 Rho-Sigma S.A. iv
9 Administración del riesgo en proyectos informáticos 1 - Introducción Con el nuevo milenio, tras la tragedia de los atentados terroristas que afectaron el territorio estadounidense el 11 de setiembre de 2001, los habitantes de este planeta hemos redescubierto la realidad y peligrosidad de los riesgos que enfrentamos en el devenir de nuestras acciones de todos los días. Siete años después, podemos valorar cuánto se ha modificado el comportamiento social como consecuencia de esta toma de conciencia del riesgo en el comportamiento de las organizaciones y de los individuos. Tenemos nuevas reglas, procedimientos y exigencias para abordar el medio de transporte emblemático del siglo XX: la aviación. Qué se puede transportar en un vuelo comercial, en la mano o en el equipaje, las revisiones físicas o por medio de escaneo electrónico de los pasajeros, los chequeos incisivos y minuciosos de la documentación de cada uno, matizados por la influencia de las sospechas posibles según la etnia, procedencia o religión, son sólo una muestra de un cambio de actitud hacia la mitigación del riesgo que cada pasajero representa para sus compañeros de vuelo al abordar una cápsula metálica que de sufrir algún percance en vuelo sellaría la suerte final de todos los ocupantes de la aeronave. Sobre la misma línea en el mismo ejemplo podemos indagar sobre los nuevos procedimientos de revisión de antecedentes en los empleados de los aeropuertos, las tripulaciones, los proveedores que suplen al aeropuerto de la infinidad de insumos básicos para su funcionamiento, así como las revisiones de ingreso a las personas y a los artículos que llevan consigo o en el vehículo en que hacen su ingreso a las instalaciones aeroportuarias. Tras un vistazo al ejemplo dado, si tomamos conciencia del por qué de las nuevas acciones, reglamentaciones y cuidados, podemos ver claramente que ante la forma en que fue imprevisto el esquema de abordaje y utilización del transporte aéreo en los atentados de la emblemática fecha del 11/9, necesariamente concluiremos que algo distinto debe hacerse, para prever los riesgos asociados a una repetición de los nefastos hechos. Pero si analizamos en más detalle, podemos encontrar que muchas de las nuevas reglamentaciones ya estaban en esencia definidas, escritas y vigentes cuando se dieron los lamentables ataques, simplemente no se tomaban tan en serio o al pie de la letra, pues al ignorarlas no se había valorado lo que en la realidad podría suceder al ejercer controles laxos sobre la seguridad de la operación de la industria aeronáutica. A dónde llegamos tras esta reflexión? Qué fue lo que cambió tras los hechos dolorosos? Por qué ahora estamos dispuestos a sacrificar agilidad, tiempo y comodidad individual y colectiva para ajustarnos a un riguroso acatamiento de las reglas de prevención aplicadas? Lo que cambió fue que individual y colectivamente tomamos conciencia del impacto que los riesgos que enfrentamos en esta operación de transporte tendrían sobre vidas y propiedades, si los dejamos al azar y no actuamos efectiva y eficientemente en su mitigación. Individual y colectivamente, en cada país, ciudad y aeropuerto, los habitantes del planeta han tomado conciencia de los riesgos involucrados y se han mostrado dispuestos a acatar rigurosamente las reglas que les ayuden a reducir su probabilidad de ocurrencia. Rho-Sigma S.A. 1
10 En un principio, consternados, la reacción individual, que al sumar es masiva, fue la de evitar el riesgo: no vuelo. Alternativamente utilizaríamos el tren, el automóvil, la moto...; pero en el mundo de presión por la velocidad de entrega de servicios y presencias, en su mayoría los habitantes del planeta han vuelto a utilizar el medio más ágil, sometiéndose ahora más rigurosamente a las reglas, antiguas y nuevas, que les den la tranquilidad de que lo están haciendo en condiciones aceptables, bajo niveles de riesgo razonables. Ahí tenemos una lección ilustrativa de la teoría básica del riesgo, y de los mecanismos requeridos para ubicar su manejo, o intención de manejo, en niveles aceptables. Lo señalado ilustra el tema central de esta investigación para darnos una comprensión básica del por qué y el para qué de cada uno de los elementos centrales que se señalan en los lineamientos esenciales de la Administración del Riesgo. Veamos. Propósito de la investigación Dada la motivación a la Administración del Riesgo presentada, pretendemos ahora hacer un recorrido de las necesidades, causas y efectos de los riesgos que se enfrentan en el desarrollo de proyectos informáticos, dado que es ya usual, temido y hasta esperado, que los proyectos en esta área presenten un comportamiento sumamente incierto, en el que son frecuentes los atrasos en el cumplimiento de metas en el tiempo, los costos sobrepasados y la insatisfacción de los requerimientos que el proyecto debe obtener, o hay carencias en la calidad y consistencia de los productos logrados. Estos elementos marcan con frecuencia la realidad del desempeño de los proyectos. La administración de proyectos en general, y de proyectos informáticos en particular, es un ejercicio complejo e incierto que exige una disciplina de atención a las áreas señaladas en los lineamientos del PMI [PMI 2004], lineamientos orientados a mejorar las probabilidades de éxito de los proyectos, que se define como la obtención de los resultados buscados en el tiempo planeado, con la calidad esperada, al costo presupuestado y satisfaciendo cabalmente los requerimientos y expectativas de todos los interesados directa o indirectamente en los resultados del proyecto. El objetivo de esta investigación es brindar un panorama que responda a las siguientes preguntas, en el marco de los proyectos informáticos: Cuál es la concepción básica de riesgo? De qué trata la Administración del Riesgo? Qué modelos de Administración de Riesgo son aplicables? Qué actividades o procesos deben considerarse para una Administración efectiva del Riesgo? Cómo lo anterior puede contribuir a mejorar el desempeño de los proyectos informáticos? Rho-Sigma S.A. 2
11 Los resultados de la investigación deberán servir como un instrumento de revaloración de la necesidad de efectuar una Administración de Riesgo eficaz en los proyectos informáticos, tanto por parte de los Gerentes de Proyecto como por su equipo de trabajo, dado que la administración proactiva necesaria durante el desarrollo del proyecto requiere la constante atención, detección y respuesta del equipo de trabajo sobre los factores de riesgo que enfrenta el proyecto. Para la conformación de este informe, se consideran las fuentes definidas en la sección de Referencias, que son mayormente obras de renombre orientadas a explicar y habilitar el esfuerzo gerencial en la Administración de Proyectos Informáticos, dentro de la cual la Administración de Riesgos es un elemento central. El investigador aplica asimismo su experiencia en la dirección de proyectos para enfatizar aquellos elementos que generalmente provocan fallas en los proyectos por la falta de atención rigurosa a los mecanismos y procesos aquí descritos. Rho-Sigma S.A. 3
12 2 - Los proyectos informáticos y su realidad de desempeño Según el Project Management Institute [PMI 2004], un proyecto es un esfuerzo temporal emprendido para crear un producto, servicio o resultado único. Ampliando esta definición, citamos a Kerzner [Kerzner 2001]: Un proyecto es un esfuerzo que tiene un objetivo definible, consume recursos, y opera bajo restricciones de tiempo, costo y calidad. Adicionalmente, los proyectos son generalmente considerados como actividades que son únicas para la organización. De estas definiciones podemos establecer que los proyectos, cada uno en su momento para la organización que lo requiere, presenta un reto de desarrollo de actividades que no se han ejecutado previamente y pueden no ser repetidas a futuro. Además, se parte de que el proyecto se plantea en un contexto de limitaciones preestablecidas en relación con el tiempo en que debe completarse, el presupuesto asignado, y la calidad esperada en el producto, servicio o resultado que debe producir. En proyectos informáticos, este producto será usualmente una aplicación o artefacto de software con una funcionalidad definida, que satisface los requerimientos establecidos al inicio del proyecto, por lo que su calidad estará directamente relacionada con el cumplimiento funcional del resultado. En 1995, tras estudios, encuestas y análisis efectuados hasta 1994, un grupo consultor, el Standish Group International, Inc., presentó los resultados de su recopilación exhaustiva de información sobre el comportamiento de lo proyectos informáticos, en su Chaos Report [SGI 1995]. Desde entonces, periódicamente se actualiza el estudio, lo que permite tener una visión panorámica del comportamiento de los proyectos informáticos en el tiempo. En la actualización del Chaos Report al 2001 [SGI 2001], el desempeño histórico de los proyectos lucía según la siguiente gráfica: Standish Group Chaos Report 2001 Resolución de Proyectos de Aplicaciones de Software 2000 AÑO % 20% 40% 60% 80% 100% PORCENTAJE Fallaron Cuestionados Exitosos Figura 1 - Resolución de proyectos de aplicaciones de software 2001 Rho-Sigma S.A. 4
13 Esta gráfica presenta la resolución acumulada de más de treinta mil proyectos de aplicaciones de software en empresas estadounidenses, pequeñas, medianas y grandes en las industrias de los sectores de clasificación general (aeronáutica, banca y finanzas, gobierno, farmacia, etc.), presentados en las actualizaciones bianuales del Chaos Report de 1994 al Como se puede apreciar, en ese período la mejora en el porcentaje de proyectos exitosos pasa apenas de un 16% al 28%, en tanto que los proyectos fracasados se redujeron de un 31% a un 23%. Los proyectos cuestionados son aquellos que no cumplieron plenamente sus objetivos de tiempo (oportunidad), costo (presupuesto) y/ó calidad (funcionalidad y satisfacción de requerimientos). Estos representaron el 52% en 1994, bajando ligeramente al 49% en el estudio del Según la actualización al año 2004 [SGI 2004], la tasa de éxito mejoró hasta el 34%, mejorando los resultados de 1994 en más de un 100%, en tanto que la tasa de fracasos se redujo al 15%. Los proyectos cuestionados representaron un 51% del total. La gráfica comparativa luce entonces como sigue: Standish Group Chaos Report 2004 Resolución de Proyectos de Aplicaciones de Software 2004 AÑO % 20% 40% 60% 80% 100% PORCENTAJE Fallaron Cuestionados Exitosos Figura 2 - Resolución de proyectos de aplicaciones de software 2004 Como razones para la mejora en la tasa de proyectos exitosos, el Standish Group señala: La razón principal es que los proyectos se han reducido en tamaño. La utilización de desarrollo iterativo, en oposición al método de cascada, que obligaba a la definición inicial de todos los requerimientos del proyecto, ha permitido este importante avance. La mayoría de los proyectos cuestionados en la encuesta del 2004 tuvieron excesos de costo del orden del 20%, una mejora de tres veces sobre los resultados de Los excesos de costo totales, incluyendo proyectos fracasados, se estableció en el 43% en el 2004, versus un exceso del 180% en 1994 (notar que el 43% mencionado incluye el exceso de costo incurrido por proyectos que al final fueron un fracaso, no solamente cuestionados ). En el Chaos Report del 2004 se estimó en $55 mil millones las pérdidas en proyectos, contra un gasto total de $255 mil millones. En 1994, la estimación fue de $140 mil millones en pérdidas, Rho-Sigma S.A. 5
14 $80 mil millones de ellos en proyectos fracasados, de un gasto total en proyectos de $250 mil millones. Siendo optimistas en el análisis de lo presentado, el Standish Group enfatiza la mejora en proyectos exitosos que pasaron en una década del 16% al 34%. Hay reducción de pérdidas, pero, para considerar estos resultados consistentes con la preocupación, mayor conocimiento y esfuerzo por mejorar la administración de los proyectos, los avances son escasos: excederse en 180% sobre el 82% de los proyectos (1994), con $140 mil millones en el 31% de los proyectos clasificados como fracaso, versus un 20% sobre el 15% (2004), es difícilmente un indicador de mejora sustancial para un tema así estudiado y señalado. Es de notar que el porcentaje de proyectos cuestionados se redujo en esta década del 53% al 51%, lo que difícilmente es motivo de celebración. Los resultados observados sólo pueden transmitir al observador una inquietud de incertidumbre si está considerando iniciar un proyecto específico de este tipo. Pero los resultados son consecuencia de la falta de cumplimiento en los proyectos de lo que se denomina factores críticos de éxito (FCEs), que el Standish Group determina para cada período de análisis. En 2001, los 10 FCEs principales fueron: 1. Apoyo y compromiso ejecutivo 2. Disponibilidad, participación y compromiso del usuario 3. Experiencia del Gerente de Proyecto 4. Objetivos de Negocio bien definidos 5. Alcance racionalizado 6. Infraestructura de software estandarizada 7. Requerimientos básicos firmes 8. Metodología Formal 9. Estimaciones realistas 10. Otros (puntos de control frecuentes, planeación adecuada, equipo de trabajo competente, sentido de propiedad del proyecto) Si consideramos los factores señalados, vemos que su cumplimiento, crítico como es para el éxito del proyecto, nos señala que en los proyectos en que no se contó con estos factores, se concretaron riesgos específicos en estos elementos que el equipo de proyecto no logró resolver, enfrentándose a sus consecuencias. Rho-Sigma S.A. 6
15 3 - Qué es riesgo? Antes de considerar los enfoques recomendados para una administración de riesgo efectiva, revisemos los conceptos base del riesgo propiamente. De acuerdo con el Project Management Institute [PMI 2004], riesgo es: un evento o condición incierta que, si ocurre, tiene un efecto positivo o negativo en al menos uno de los objetivos del proyecto, tales como tiempo, costo, alcance o calidad, y La administración del riesgo del proyecto incluye los procesos relacionados con llevar a cabo la planeación de la administración de riesgos, su identificación, análisis, respuesta, monitoreo y control en un proyecto. La mayoría de estos procesos se ejecutan durante el desarrollo del proyecto. Los objetivos de la administración de riesgos son maximizar la probabilidad y consecuencias de eventos positivos, y minimizar la probabilidad e impacto de eventos adversos al proyecto Todo proyecto, en su carácter de esfuerzo único que enfrenta la organización, tiene elementos de incertidumbre que dan origen a los riesgos particulares del proyecto. Se tienen riesgos conocidos que son aquellos que han sido identificados y analizados, para los que se puede planificar una respuesta según los procesos de la Administración del Riesgo descritos más adelante. Los riesgos desconocidos no se pueden manejar en forma proactiva, por lo que su mitigación adecuada se limitará a una planeación contingente, al igual que sucede con los riesgos conocidos cuya mitigación, por razones de costo o efectividad, no es recomendable desarrollar un plan de respuesta. Las organizaciones generalmente perciben el riesgo como una amenaza al éxito del proyecto, pero la incertidumbre puede estar asociada a una oportunidad que aumente las probabilidades de éxito. Estas oportunidades, al identificarse, deben asimismo ser atendidas generando un plan de respuesta para aprovecharlas si se presentan. Tanto las organizaciones como los individuos tienen distintas actitudes ante el riesgo. Al iniciarse un proyecto, deben revisarse estas actitudes, de manera que se defina un ambiente de identificación y valoración del riesgo consistente con los objetivos de la organización ante el proyecto por desarrollar. El entusiasmo y la percepción de logro o éxito anticipado que se puede tener al inicio de un proyecto puede llevar a los involucrados a fallar en la identificación y valoración de los riesgos que enfrentarán, lo que aumenta la amenaza de aquellos riesgos que son menospreciados o ignorados. La actitud general ante el riesgo debe ser explícita y comunicada en forma abierta y honesta, estableciendo el balance deseado entre aceptación de riesgos y los niveles de inaceptabilidad que determinan qué riesgos no se deben enfrentar, o no se está dispuesto a hacerlo. A partir de esta actitud, la administración del riesgo será asumida con compromiso, proactividad y consistencia durante el desarrollo del proyecto. Para ilustrar lo anterior, tomemos el caso de un proyecto de desarrollo de un sistema transaccional en Internet, recientemente desarrollado para una organización local. Al inicio del proyecto, sin mayor evaluación, y tras haber concluido el proceso licitatorio necesario para la contratación, el cliente pidió que la aplicación fuese construida con la última versión disponible de la herramienta de desarrollo. Ni el cliente ni la empresa desarrolladora efectuaron un análisis Rho-Sigma S.A. 7
16 de los riesgos involucrados: esta última versión estaba recientemente liberada, su proveedor aún no iniciaba los cursos necesarios de familiarización con las diferencias entre esta versión y la anterior, la que estaba siendo estudiada por su personal técnico. El proyecto se inició en este contexto sin mayor consideración al tema, según la planificación de desarrollo inicialmente planteada. Transcurridas las etapas de Definición de Requerimientos y aún de Diseño, se empezó la construcción del sistema con la versión mencionada, para encontrar, como era de temerse, que el equipo de trabajo no tenía el dominio adecuado de las diferencias, que resultaron ser extensas e importantes, tanto que el ambiente de producción requerido exigía la actualización de las otras aplicaciones que poseía el cliente para poder implementar el nuevo sistema. Peor aún, los equipos de producción de que se disponía no eran adecuados para manejar las exigencias de recursos (memoria, distribución de procesos) de la versión escogida. La falta de experiencia con estos requerimientos fue obvia tanto en el equipo de desarrollo como en la contraparte técnica del cliente, que entraron en la usual devolución de culpas hasta que el proyecto fue cancelado por el cliente, alegando incumplimiento de contrato. Un caso claro de una Administración de Riesgos deficiente, por no decir inexistente... Contrastemos lo expuesto con la siguiente recomendación del Software Technology Support Center [STSC 1995]: El desarrollo de software es uno de los desafíos de administración más expuestos al riesgo de esta década. Factores de riesgo están frecuentemente presentes, los que pueden impactar negativamente el proceso de desarrollo y, si se ignoran, pueden llevar a la falla total del proyecto. Para contrarrestar estos factores, los riesgos del software deben ser activamente valorados, controlados y mitigados en forma rutinaria. Posterior a la conclusión anotada, el STSC, unidad de la Fuerza Aérea estadounidense creada para apoyar los procesos de adquisición y compra de aplicaciones de software para esta rama militar y asesor del Departamento de Defensa, ha continuado trabajando de cerca con el Software Engineering Institute (SEI), de la Universidad de Carnegie Mellon, una de las instituciones más prestigiadas en el apoyo a la conceptualización y soporte constante al desarrollo de la Ingeniería de Software. Procedamos ahora a analizar cómo enfrentar la problemática descrita mediante una aplicación efectiva del objetivo de este informe. Rho-Sigma S.A. 8
17 4 - Administración del riesgo en proyectos Una pobre Administración del Riesgo incide en un resultado insuficiente en el proyecto total, que lo coloca en alguna situación comprometida como las descritas anteriormente. Aunque las distintas disciplinas en las que se aplica la Administración del Riesgo presentan sus facetas, objetivos, herramientas y valoración en forma particular según los elementos que definen su éxito o fracaso, en la Administración de Proyectos, de acuerdo con los lineamientos presentados en el Cuerpo de Conocimiento de Administración de Proyectos (Project Management Body of Knowledge, PMBOK [PMI 2004]), recopilado y difundido por el Project Management Institute (PMI), se establecen los procesos básicos que se deben ejecutar para lograr una Administración de Riesgo efectiva, dentro del proceso de administración y ejecución de un proyecto dado. Partimos del enfoque genérico del PMI para estructurar los procesos básicos de la Administración del Riesgo. El PMI es una organización multidisciplinaria cuyas publicaciones involucran la participación de profesionales de la mayoría de las industrias representativas del quehacer humano aeronáutica, defensa, automotriz, e-business, servicios financieros, gobierno, recursos humanos, tecnologías de información, telecomunicaciones, manufactura, energía, farmacia, distribución nombrando sólo algunos de los más de 30 Grupos de Interés Específico ó SIGs por sus siglas en inglés (Specific Interest Group). Afortunadamente, la conceptualización de estos procesos es adecuadamente aplicable al área de sistemas de información, foco de este informe. De acuerdo con el PMBOK, estos procesos básicos son: 1. Planeación de la administración del riesgo 2. Identificación de riesgos 3. Análisis cualitativo del riesgo 4. Análisis cuantitativo del riesgo 5. Planeación de la respuesta al riesgo 6. Monitoreo y control del riesgo En nuestra exposición posterior, presentamos los apartados descriptivos de estos procesos agrupando los procesos de Análisis, incluyendo los análisis Cualitativo y Cuantitativo, así como las consideraciones reflejadas en los apartados sobre tolerancia al riesgo y toma de decisiones en condiciones de incertidumbre. Así, nuestro esquema, que continúa estando apegado a los lineamientos del PMI en contenido y consistencia, se presenta como: Rho-Sigma S.A. 9
18 Figura 3 - Ciclo de vida de la administración del riesgo Adicionalmente, las características de necesidad de un proceso continuo y permanente para la administración del riesgo por toda la duración del proyecto, ha llevado a formular este proceso como un ciclo continuo que se ilustra en la siguiente gráfica: Figura 4 - Ciclo de la administración del riesgo [SEI 1997] Rho-Sigma S.A. 10
19 En la literatura disponible sobre el tema se presentan formas variadas de presentar este ciclo, entre ellas la consideración de elementos que se consideran ayudas valiosas para una administración más efectiva, como lo hace el SEI [SEI 1995], al incorporar en esta administración una participación más explícita del equipo de trabajo del proyecto. En el Anexo 1 se incluye la gráfica que ilustra los elementos adicionales por considerar y su descripción. Podemos encontrar, a manera de corroboración de la validez de los conceptos, enfoques de estructuración de la Administración del Riesgo en publicaciones más específicas en este campo (i.e. [McConnell 1996]), en que los procesos recomendados para esta administración son esencialmente los mismos, al partir del trabajo pionero en ingeniería de software realizado por Barry Boehm [Boehm 1989]. Seguidamente presentamos gráficamente los tres primeros niveles de su modelo de riesgos de proyecto: Figura 5 - Modelo de riesgos de proyectos de Boehm [Boehm 1989] Seguidamente analizamos los procesos propuestos según este esquema: Planeación de la administración del riesgo El proceso de administración del riesgo se basa en la definición formal y anticipada al inicio del proyecto de cuáles son los enfoques, estrategias, responsabilidades y actividades que formalmente se llevarán a cabo durante el desarrollo del proyecto para minimizar el impacto de los riesgos identificados. Qué elementos se deben analizar, con qué frecuencia se valorará su evolución, cómo y dónde se decide la aplicación de las medidas definidas en el plan de respuesta de cada riesgo identificado, así como qué indicadores se considerarán en el monitoreo de riesgos, los criterios para determinar Rho-Sigma S.A. 11
20 si un riesgo ha sido superado (cuando la situación, acción o evento posible deja de ser un riesgo para el proyecto), y los mecanismos de constante vigilancia para detección de riesgos emergentes. Esta definición estructural para llevar a cabo una administración de riesgo efectiva conlleva definir claramente, según la situación y envergadura del proyecto en cuestión, quién será el responsable de ejecutar esta administración y cuáles serán sus pautas de acción. Según las características del proyecto y el nivel de experiencia del equipo de trabajo en el desarrollo de proyectos similares, esta responsabilidad puede requerir la designación de un miembro del equipo con un nivel de dedicación significativo a este monitoreo, o puede ser asumida por el líder del proyecto, quien debe establecer claramente en qué momento se pone el sombrero de administrador de riesgos para verificar la situación general en este tema. De experiencias analizadas recientemente (en al ámbito nacional, en una empresa de desarrollo de software), cabe ilustrar el punto con lo sucedido en un proyecto específico que llegó a una situación de fracaso por rechazo del cliente en sus etapas finales. Se detectó que, pese a haberse efectuado una identificación inicial de riesgos (por ejemplo, la posibilidad de carencia, pérdida ó cambio del patrocinador del proyecto), al no haberse definido claramente quién era el responsable de esta administración, se provocó que el equipo entero de proyecto, al enfrentar primero los rumores y luego la materialización de la pérdida del patrocinador del proyecto en el cliente, no reaccionara del todo, esto es, no administrara ni ejecutara plan alguno de mitigación, lo cual llevó al proyecto a una situación de orfandad evidente cuando se presentaron problemas sobre los criterios de aceptación del producto de software desarrollado. No sólo necesitamos conocer los procesos de administración del riesgo, sino que la definición de quién es responsable de la efectividad de esta administración es tan crítica como la definición de otras responsabilidades específicas en el equipo de trabajo del proyecto, tanto por parte del grupo desarrollador, como por la contraparte del cliente del proyecto. En resumen, el proceso de planeación de la administración del riesgo consiste en la definición de responsabilidades, pautas de monitoreo y control, y procedimientos de acción ante la variación en las situaciones de riesgo identificadas, además de la definición de los mecanismos de comunicación de la evolución de los riesgos considerados Identificación de riesgos Como mencionáramos en la introducción de este informe, lo que más claramente podemos identificar como elemento cambiante sobre la actitud individual y social ante el riesgo en el nuevo siglo, ha sido la toma de conciencia de las consecuencias y costos relacionados con los riesgos que se enfrentan en la mayoría de las actividades humanas. Por definición, un proyecto es el emprendimiento de un esfuerzo que no se ha llevado a cabo anteriormente y no se repetirá en las mismas condiciones a futuro. El hecho de que las personas, las necesidades, la tecnología, las condiciones sociales y ambientales cambien de un proyecto a otro, lo convierten en un esfuerzo particular y único, y consecuentemente tendremos nuevos riesgos asociados con todas las variables cambiantes, lo que nos llevará a la necesidad de analizar en cada instancia, en el proceso de conceptualización y definición de cada proyecto, qué riesgos particulares enfrentamos. Rho-Sigma S.A. 12

References: Resolución 
 Resolución 
 Resolución 
 Resolución 
 resolución 
 Resolución 
 Resolución