INTRODUCCIÓN

La institucionalidad del Estado es esencial para garantizar el cumplimiento de las reglas de juego que deben seguir los miembros de una sociedad, las cuales están relacionadas con el orden, la seguridad, la justicia y otras condiciones necesarias para propiciar su bienestar. Para ello, se requieren normas, estructuras y prácticas óptimas para el funcionamiento de las entidades. ^{Bértola y Gerchunoff (2011)}, de CEPAL, sostienen que el desarrollo requiere de sólidas bases de institucionalidad para alcanzar el adecuado funcionamiento de las entidades del Estado responsables de esta función. Asimismo, tal como lo sostiene ^{Rodríguez (2020)}, la institucionalidad contribuye a lograr una mejor gobernanza. La mejora de la capacidad de las entidades públicas requiere la implementación de proyectos de desarrollo institucional, los cuales pueden ser afectados negativamente por riesgos durante su ejecución. Si bien la gestión de riesgos no asegura el éxito del proyecto, incrementa la probabilidad de alcanzarlo. Lograr los resultados esperados del proyecto generaría un impacto positivo en la economía y contribuiría directamente al Objetivo de Desarrollo Sostenible (ODS) 16: Paz, justicia e instituciones sólidas, específicamente el objetivo 16.6: crear a todos los niveles instituciones eficaces y transparentes que rindan cuentas.

La gestión de riesgos siempre ha estado en la mente de las personas desde la antigüedad debido a la necesidad de protegerse frente a los eventos de la naturaleza y los enemigos. Durante el siglo XX, durante la Segunda Guerra Mundial, la investigación de operaciones tuvo un gran desarrollo y las técnicas de identificación y evaluación de riesgos se emplearon para las operaciones militares. En la década de los sesenta, se combinaron la ingeniería de sistemas y la gestión de proyectos en el desarrollo de aplicaciones más complejas para la gestión de riesgos. A comienzos de los años setenta, se fundó el Project Management Institute (PMI), organización que ha propiciado la estandarización de las prácticas de gestión de proyectos. Hoy, existen diversas organizaciones que contribuyen a brindar lineamientos para la gestión de riesgos, tales como la Asociación para la Gestión de Proyectos (APM), el Instituto de Gestión de Riesgos (IRM) y la Organización Internacional de Normalización (ISO), entre otras.

En relación con la identificación de amenazas y vulnerabilidades que generan riesgos, encontramos autores que ponen énfasis en la identificación de sus causas y en el origen de las mismas. ^{Kaliprasad (2006)} desarrolló de forma muy didáctica un proceso para la identificación de riesgos y explica también conceptos como incertidumbre y amenazas. Resalta la jerarquía que puede tener la gestión de riesgos en un proyecto y la postura que puede tener una organización frente a situaciones no deseadas (proactiva o reactiva). También, entre otros temas, brinda nociones del enfoque de riesgo en la toma de decisiones en un proyecto considerando la incertidumbre y propone un proceso para gestionarlos. Siguiendo esta misma línea, algunos autores son específicos con ciertos eventos que generan riesgos. Por ejemplo, tanto ^{Alberti (2015)} como ^{Sánchez y Ledesma (2019)} han destacado que el marco normativo puede generar riesgos en todas las fases del ciclo de inversiones. De manera similar, ^{Jiang et ál. (2021)} resalta cómo amenazas de orden político afectan la ejecución de los proyectos, especialmente aquellos relacionados con el desarrollo de infraestructura. Finalmente, ^{Hosein y Ray (2020)} sostienen que mejorando los estudios de preinversión se puede contribuir a la identificación y cuantificación de riesgos durante la ejecución.

Respecto a la forma como los eventos (amenazas y vulnerabilidades) se relacionan con el tipo de riesgo, las personas pueden tener distintas percepciones sobre los eventos y la dimensión en que estos pueden afectar a un proyecto, tal como lo han evidenciado ^{Adedokun et ál. (2022)}. Adicionalmente, ^{Barton et ál. (2020)} muestran que la interrelación entre ciencia y práctica en la gestión de riesgos puede contribuir a la planificación y toma de decisiones frente a eventos que generan riesgos. En el otro extremo, ^{Green y Dikmen (2022)} concluyen que algunos perciben el riesgo como un evento objetivo que puede ser analizado racionalmente en función de su probabilidad e impacto, mientras que otros consideran que el riesgo es una construcción social donde los riesgos son negociables y, por lo tanto, manipulables. La relación de las causas con el tipo de riesgo depende también de la asignación de riesgos entre los agentes involucrados, lo que también es un aspecto que contribuye al éxito en la gestión, tal como lo indican Fleta-Asín y Muñoz (2024) y ^{Darko et ál. (2023)}. Otro aspecto importante en el análisis de riesgos es relacionar las causas de riesgo con el proceso productivo de bienes o servicios, tal como lo sostienen ^{Pulido et ál. (2020)}, lo que también contribuye a identificar el tipo de impacto que tendrán los eventos que los generan.

En relación con la cuantificación de riesgos, ^{Nguyen Thi (2023)} sostiene que cualquier organización puede emplear la gestión de riesgos para manejarlos de forma eficiente y efectiva, lo cual incluso puede ser medido a través de índices específicos. Por otro lado, ^{Mathur et ál. (2013)} proponen un modelo que busca demostrar que el resultado o el impacto de un proyecto están relacionados con la adecuada gestión de sus activos estratégicos. De la misma forma, ^{Acebes et ál. (2021)} desarrollan un nuevo indicador que permite ver la contribución de la incertidumbre de cada actividad al riesgo total del proyecto. También, ^{Marle (2020)} introduce una técnica basada en sistemas complejos para identificar relaciones de dependencia con los riesgos a fin de tomar decisiones oportunas e informadas en el proceso de gestión. Otro ejemplo es la propuesta de ^{Androshchuk et ál. (2020)} para el desarrollo de algoritmos para sistematizar riesgos y reducir el tiempo de toma de decisiones. También encontramos autores que se enfocan en los métodos y las herramientas. Por ejemplo, ^{Qazi et ál. (2016)} proponen un modelo que interrelaciona la interdependencia entre los atributos de complejidad del proyecto, los riesgos y los objetivos del proyecto, con la finalidad de ayudar al gestor a lograr estrategias alternativas efectivas para lidiar con estos eventos.

Es evidente que la importancia de la gestión de riesgos ha sido reconocida progresivamente por las organizaciones, como sostienen ^{Villanueva et al. (2022)}. En esa línea, autores como ^{Alfreahat y Sebestyén (2022)} subrayan que el desafío es llevar estos lineamientos a la práctica ajustándose a cada circunstancia en la que se requiere su aplicación. En el caso de los proyectos, la articulación de las diversas áreas de conocimiento en la gestión durante cada una de sus fases es importante para la gestión de riesgos, ya que ciertamente existe una interconexión entre ellas. Si bien hoy existe un desarrollo teórico importante, autores como ^{Cruz et al. (2020)} resaltan que la literatura al respecto es aún limitada y se basa en la experiencia. Cada proyecto tiene sus particularidades, por lo que es un trabajo continuo tratar de aplicar principios, lineamientos y herramientas que permitan alcanzar mayores estándares en la ejecución de proyectos. También, la capacidad y estabilidad de las instituciones influyen en el éxito de los proyectos, tal como lo sostienen ^{Fleta-Asín et al. (2022)} y ^{Li y Wang (2023)}.

^{Ammar et al. (2007)} nos muestran que existen diversas técnicas para la gestión de proyectos según los temas que se pretenden enfrentar y destacan cada uno en función de la utilidad en la gestión de riesgos. Cada técnica tiene sus características y una dimensión de la gestión de proyectos en la que es aplicable, y lo mismo sucede con las herramientas, por lo que hoy no es posible encontrar un sistema de información específico para todas las necesidades. El desarrollo futuro de herramientas integradas y genéricas puede contribuir, a través de la inclusión de los principios y las herramientas en el sistema, al uso generalizado de los principios de gestión de riesgos en la ejecución de proyectos. En ese sentido, ^{Corinna et al. (2015)} nos muestran el desafío de elegir un enfoque y metodologías para la gestión de riesgos que, según lo explicado por los autores, dependerá del momento en el que se encuentre la organización en el ciclo del proyecto. En el ^{BID (2018)} encontramos un conjunto de instrumentos para la gestión de proyectos. Una de las herramientas es la matriz de riesgos que, si bien se resalta su importancia durante la ejecución para la identificación de riesgos, no identifica en forma explícita las causas que generan el riesgo, lo que limita su aplicación real en la gestión.

En la revisión de las referencias, se encontró que existen diferentes orientaciones respecto a la gestión de riesgos: a las organizaciones en general, a los proyectos y a las intervenciones relacionadas con desastres naturales. Dependiendo de la orientación, también varía el enfoque; por ejemplo, en el caso de los desastres naturales, el enfoque es netamente práctico y está orientado a identificar aquellos puntos críticos (vulnerabilidades) ante un eventual evento de la naturaleza (amenaza). Los artículos orientados a las organizaciones se concentran en la identificación de los riesgos. En el caso de los proyectos relacionados con el desarrollo institucional, las publicaciones que más cubren este tema son generadas por los organismos multilaterales y la CEPAL. La orientación es también a la identificación de riesgos y al impacto que han tenido en los proyectos, sin hacer un desarrollo para brindar recomendaciones para su manejo.

En resumen, no encontramos propuestas que contribuyan a identificar y cuantificar riesgos en proyectos de desarrollo institucional, que diferencien claramente las causas de los riesgos para permitir desarrollar estrategias para su gestión de forma práctica y sencilla. Saber que tenemos que lidiar con los riesgos es importante, pero también se deben tener conceptos claros, herramientas prácticas y de fácil aplicación en la gestión. Los gestores de proyectos no están interesados en la discusión epistemológica, sino en aquello que funciona en la práctica.

El objetivo del artículo es plantear un modelo de identificación, cuantificación y gestión de riesgos para su aplicación en la fase de ejecución de un proyecto, que se materialice en una propuesta metodológica y procedimental que contribuya a mejorar la gestión de la fase de ejecución de los proyectos de desarrollo institucional. Los objetivos específicos del trabajo fueron: i) identificar los eventos que afectan o podrían afectar la ejecución de los proyectos de desarrollo institucional (amenazas y vulnerabilidades); ii) relacionar estos eventos, identificando con el tipo de riesgo que pueden generar; iii) cuantificar los riesgos e identificar aquellos catalogados como críticos.

METODOLOGÍA

Se analizaron tres proyectos de la tipología de desarrollo institucional que tienen componentes de TI y que se encuentran con diferentes niveles de avance en su ejecución. El proyecto A es el más antiguo, seguido por el proyecto B y el más reciente es el proyecto C, que está concluyendo la elaboración de sus estudios definitivos. Los proyectos son ejecutados por una unidad ejecutora de inversiones que está a cargo de las funciones administrativas. Las unidades productoras intervenidas son responsables de los aspectos técnicos, que incluyen la determinación de la calidad de los requerimientos y la supervisión en el proceso de implementación. En las actividades relacionadas con tecnología de la información se requiere la intervención de la oficina especializada de la entidad a fin de brindar una opinión técnica vinculante.

Considerando que un riesgo de ejecución es la probabilidad de ocurrencia de un evento no deseado que puede tener un impacto negativo en el alcance, plazo y costo del proyecto, y que los riesgos (R) son generados por la confluencia de una amenaza (A) y una vulnerabilidad (V), se realizó el ejercicio de identificar aquellos eventos que afectan o pueden afectar la ejecución, clasificándolos en amenazas y vulnerabilidades junto con los involucrados en el proyecto. Para ello, se revisaron los informes de monitoreo del proyecto y otros documentos relevantes, incluyendo evaluaciones intermedias y de resultado de proyectos de características similares. Por último, se realizaron entrevistas semi-estructuradas al personal clave de cada proyecto. El resultado fue una lista de amenazas y vulnerabilidades que afectan o potencialmente pueden afectar a los proyectos.

Siguiendo la propuesta de ^{Sánchez (2024)}, se procedió a relacionar cada amenaza con las vulnerabilidades identificadas. Se parte del principio de que un riesgo se genera cuando una amenaza y una vulnerabilidad ocurren en un mismo momento y espacio, y que además pueden impactar en el alcance, costo o plazo del proyecto. Se utilizó para ello una matriz de doble entrada, tal como se muestra a continuación.

De esta forma, donde un determinado tipo de riesgo es posible la probabilidad de ocurrencia de un riesgo (R) se estima a partir de la probabilidad de ocurrencia de una amenaza (p(A_n) ) y de una vulnerabilidad (p(V_m)), es decir, R = p(A_n) * p(V_m). Para estimar las probabilidades de cada evento se utilizó una encuesta con una escala de valoración de probabilidad. La encuesta se realizó a los involucrados en la ejecución de cada uno de los proyectos. A partir de los resultados, se estimó la probabilidad ocurrencia de cada amenaza y vulnerabilidad, lo cual fue sistematizado en una tabla de doble entrada para calcular el riesgo donde este sea posible. El resultado se muestra en la estructura de la siguiente tabla, donde las celdas se han configurado para que muestren un color rojo más intenso para el riesgo con el valor más alto y verde para la no existencia de un riesgo.

De esta forma el enunciado del riesgo R_nm es el siguiente: dada [la vulnerabilidad V _m ] y la ocurrencia de la [Amenaza A _n ] el proyecto ve afectado en [riesgo de alcance, costo o plazo]. La estructura de la matriz de riesgo es un insumo importante para la gestión de riesgos, ya que a partir de ella es posible identificar aquellos que tienen un nivel crítico (que tienen mayor probabilidad y que más impacto) y también las causas que lo generan. Esto permite el diseño e implementación de estrategias para gestionarlos.

RESULTADOS Y DISCUSIÓN

En el proceso de identificación de vulnerabilidades en los proyectos se encontró un total de catorce. La lista de vulnerabilidades se presenta a continuación:

De la misma manera se identificó un total de quince amenazas:

La siguiente matriz muestra la relación entre las amenazas y vulnerabilidades, donde se indica el tipo de riesgo que se está generando.

Nota: para ver con más detalle, en: Matrices.xlsx

Figura 1 Matriz de riesgos del proyecto - relacionamiento de amenazas y vulnerabilidades 

Las Figuras 2, 3 y 4 muestran las matrices de riesgo de cada uno de los proyectos analizados. En ellas se puede observar la probabilidad de ocurrencia tanto de las amenazas como de las vulnerabilidades y el cálculo del riesgo según su posibilidad de ocurrencia determinado en la matriz anterior. Los riesgos son etiquetados con el código de color respectivo generado a partir del valor de riesgo máximo. Los eventos que explican los riesgos más altos en cada proyecto se resumen en las siguientes tablas (3, 4).

Nota: para ver con más detalle, en: Matrices.xlsx.

Figura 2 Matriz de riesgos del proyecto A 

Nota: para ver con más detalle, en: Matrices.xlsx.

Figura 3 Matriz de riesgos del proyecto B 

Nota: para ver con más detalle, en: Matrices.xlsx.

Figura 4 Matriz de riesgos del proyecto C 

Se puede apreciar que el nivel de riesgos es mayor en los proyectos que tienen mayor tiempo en ejecución (Proyecto A) que en el caso de los proyectos que están al inicio de su ejecución física (Proyecto C). En las siguientes tablas (5, 6, 7) se enuncian los riesgos considerados como críticos para cada uno de los proyectos. Si bien todos los proyectos presentan riesgos de alcance, costo y plazo, el más frecuente es el riesgo de plazo; es decir, que el proyecto se demore más de lo programado.

La ventaja del enfoque metodológico utilizado es que permite identificar claramente las causas que generan el riesgo, lo que posibilita establecer las acciones de control específicas sobre la vulnerabilidad y también determinar la forma en cómo se puede mitigar la amenaza que genera el riesgo.

CONCLUSIONES

Muchos proyectos de desarrollo institucional son afectados en forma recurrente por amenazas y vulnerabilidades similares, que no son identificadas sistemáticamente y, por lo tanto, tampoco son gestionadas con anticipación por las unidades ejecutoras de inversiones. La gestión de riesgos abarca la identificación de eventos que generan riesgos y la determinación de su potencial ocurrencia simultánea, el cálculo de los riesgos y el diseño e implementación de estrategias para gestionarlos. Esto implica, básicamente, controlar y mitigar las vulnerabilidades y amenazas que los generan.

Si bien existen metodologías para la identificación y cuantificación de riesgos, las utilizadas en la región no valoran el riesgo como una probabilidad y tampoco identifican las causas del riesgo, por lo que no facilitan el planteamiento de estrategias para mitigarlos. En los proyectos analizados, las estrategias han tenido, básicamente, un enfoque reactivo frente a los eventos que se han materializado y afectado en forma negativa a los proyectos. En los tres casos analizados, si bien se estimaron los riesgos al inicio del proyecto, esto no se ha hecho de forma sistemática durante la ejecución. En los documentos de gestión se verifica que no existe una función en la organización que sea responsable de la gestión de riesgos de ejecución, asumiendo, en forma implícita, que la dirección del proyecto y los responsables del monitoreo serán responsables de ello.

El proceso metodológico propuesto permite, de forma sencilla y práctica, identificar, cuantificar y monitorear los riesgos en forma sistemática, con un enfoque prospectivo. Esto permite plantear estrategias para controlar o mitigar los riesgos en forma continua, mejorando la probabilidad de que el proyecto logre sus objetivos y metas en el marco del presupuesto y plazo esperado.