1 Evaluación de sistemas de cómputoTemas XIII. Administración del riesgo Edna Martha Miranda Chávez Sergio Fuenlabrada Velázquez

2 XIII. Administración del riesgoDefinición de riesgo Riesgos en el desarrollo del proyecto Estimación del riesgo Identificación, cuantificación y evaluación del riesgo Administración del riesgo Actividades para la evaluación y control de riesgos Recomendaciones para disminuir los riesgos Decisión de cancelar o continuar con el sistema

3 Definición de riesgo Durante el desarrollo, implantación u operación del sistema de cómputo se pueden presentar situaciones o factores que afecten o que pongan en peligro el éxito de dicho sistema, a esto se le denomina riesgo. Se puede llegar incluso a una situación en donde se debe decidir si continuar o cancelar el sistema de computo. Los riesgos están siempre presentes, el objetivo consiste en establecer si se corren con ellos o no.

4 Definición de Riesgo Riesgo - Probabilidad de una contingencia o daño.Diccionario de la lengua española, Oceano Riesgo - Peligro, contratiempo, daño, siniestro eventual. Diccionario Larousse Correr riesgos - exponerse a un riesgo, arriesgado, peligroso. Arriesgado – Aventurado, exponerse, osado. Diccionario de la lengua española y Diccionario Larousse

5 Definición de Riesgo “ .. Una gestor de proyectos (informático) debe ser una persona con la habilidad de saber qué es lo que va a ir mal antes de que ocurra…. Y con el coraje para hacer estimaciones cuando el futuro no es claro…”. Roger Pressman “Lo que puede ir mal, irá mal” . Ley de Murphy Mientras más grande el proyecto, más elementos hay que cuidar y por lo tanto aumentan los riesgos,

6 Riesgos en el desarrollo del proyectoOportunidad de cumplir la planeación y el presupuesto 100% 0% 5% 25% 50% Proporción del presupuesto destinado a la administración de riesgos Proyectos promedio Proyectos abajo del promedio Proyectos de misión crítica o ineficientes Enfoque de desarrollo rápido Proyectos con burocracia excesiva _______________________________________________________________ 28

7 Riesgos en el desarrollo del proyectoDetección Especificación de requerimientos del diseño del producto detallada del diseño del producto Construcción Mantenimiento Fase en la que se detecta el defecto Fase en la que se genera el defecto Costo/tiempo para corregir Planeación del control de calidad Pruebas Revisiones _______________________________________________________________ Mientras más temprana la fase de generación del defecto y más tardía su detección el costo de la corrección es mayor 25

8 Definición de producto Especificación de requerimientosNaturaleza del producto Estimación Incertidumbre - ¿Pero cómo se reduce? Definición de producto Estimación Especificación de requerimientos Diseño del producto Diseño detallado Incertidumbre +

9 para disminuir la incertidumbreEstrategias para disminuir la incertidumbre Métodos orientadas a la planificación Métodos orientadas a la velocidad Métodos orientadas a la planificación de riesgos Métodos orientadas a la visibilidad _______________________________________________________________ 9

10 Evitar errores clásicos Utilizar Métodos orientados a la planificaciónEstrategias Mejor planificación posible Evitar errores clásicos Establecer Bases del desarrollo Establecer la Gestión de riesgos Utilizar Métodos orientados a la planificación Los cuatro pilares del desarrollo rápido _______________________________________________________________ 11

11 El efecto de no tener bases de desarrollo ni gestión de riesgosEstrategias Mejor planificación posible Bases del desarrollo Gestión de riesgos Métodos orientados a la planificación Evitar errores clásicos Métodos orientados a la planificación _______________________________________________________________ El efecto de no tener bases de desarrollo ni gestión de riesgos El efecto de tener errores clásicos 12

12 Estimación del riesgo Para determinar y analizar los riesgos se pueden utilizar diversas técnicas como la de árboles de fallos, la lógica de tiempo real, el modelo de suceso – acción, los modelos de redes de preti, entre otros. Las técnicas en términos generales buscan el establecer los riesgos durante el desarrollo, implantación y operación del sistema. Y establecer de forma anticipada si se corre con esos riesgos o se decide abandonar el proyecto. Es importante resaltar que cuando un riesgo se identifica de forma temprana es más fácil de controlar, y de establecer acciones para atacarlos en el momento que este se llegue a presentar.

13 Estimación del riesgo Los factores son situaciones que se pueden presentar que generen un peligro para el sistema de computo, por ejemplo: Incremento en los costos de hardware o software en el mercado, lo que genera que se sobrepase el costo estimado. Incremento en los costos de hardware y software en el mercado, lo que genera que los beneficios no compensen la inversión. Cambios en las prioridades de actividades a desarrollar. Perdida del apoyo de la alta dirección. Disminución he incluso eliminación del presupuesto. Disminución del personal del área informática. Desviación del personal involucrado en el proyecto a otra actividad. Etc.

14 Identificación, cuantificación y evaluación de riegosFactores de riesgo externos Estos están relacionados con los ocho elementos del cambio, el entorno. Factores de riesgo interno Situaciones que se pueden presentar en la organización que ponen en peligro el éxito del sistema de computo en la etapa de desarrollo, implantación u operación. Estos factores pueden ser técnicos, económicos, políticos, sociales, etc. A continuación se establecen algunos ejemplos de riesgos internos de forma breve.

15 Identificación, cuantificación y evaluación de riegosLa identificación y cuantificación de riesgos se efectúa en la fase de planeación. Esta tarea no es fácil, ya que implica conocer los factores externos e internos de la organización que pueden afectar al proyecto, el problema y su entorno, las implicaciones que conlleva el desarrollo y su implantación.

16 Identificación, cuantificación y evaluación de riegosLos pasos para la identificación de los riesgos son muy parecidos a continuación se listan los pasos establecidos por Pressman: . Identificación de la información y procesos que pudieran tener riesgo. Cuantificar la probabilidad de ocurrencia de cada riesgo. Cuantificar el impacto de cada riesgo. Clasificar a los riesgos como alto, medio o bajo (con base a la probabilidad de ocurrencia y su impacto ). Clasificar al sistema en términos de riesgo (alto, medio, bajo). Formular las medidas de seguridad necesarias, acciones que eviten que el riesgo se haga realidad, dependiendo del nivel de seguridad requerido.

17 Identificación, cuantificación y evaluación de riegosJustificar el costo de implantar dichas medidas de seguridad. Esto se puede hacer respondiendo a las siguientes preguntas: ¿Qué sucedería si no se puede usar el sistema y cuánto tiempo se podría estar sin él?, (impacto del riesgo). ¿Existe(n) procedimiento(s) alterno(s)? ¿Qué se puede hacer en caso de emergencia?. Etc..

18 Tipos de riesgos

19 a) Factores de riesgo técnicos.Se pueden vislumbrar los riesgos haciendo algunas preguntas como: ¿Se puede fabricar el producto con algunos cambios, y ser satisfactorio para el cliente y funcionar de una manera fiable? ¿El tiempo para finalizar la gestión del producto no sobrepasa los 6 meses? Porque entre más largo más dificultades ofrece. ¿La situación que impide la correcta gestión del producto es permanente o eventual?. ¿Si la situación es eventual que seguridad existe que se restablezcan en un corto tiempo? ¿Si es eventual se puede correr el riesgo y continuar con el producto?. ¿Si es permanente se pueden efectuar modificaciones a la gestión del producto y generar un producto satisfactorio?, etc. Es conveniente ver la información que se presenta en la síntesis de Boloix

20 b) Factores de riesgo económicosSe pueden vislumbrar los riesgos haciendo algunas preguntas como: ¿La creación del producto implica un beneficio sustancial para la empresa y por lo tanto vale la pena correr los riesgos o buscar recursos económicos para continuar con la gestión del producto?. ¿Los beneficios en aumento de la productividad del cliente (usuario final) son significativos y vale la pena correr los riesgos o buscar recursos económicos para continuar con la gestión del producto?. ¿Se pueden obtener los recursos mínimos para continuar con la gestión del producto y darle mantenimiento?.

21 c) Factores de riesgo políticosSe pueden vislumbrar los riesgos haciendo algunas preguntas como: ¿Permitirá la empresa la continuación de la gestión y la operación del producto?. ¿Permitirá la empresa que el cliente opere el producto?, etc.

22 d) Factores de riesgo socialSe pueden vislumbrar los riesgos haciendo algunas preguntas como: ¿El producto establece un cambio, estilo de vida o necesidad social?. ¿Cuánto tiempo se utilizara el producto 6 meses o 6 años?, etc. Se debe tomar en cuenta que el continuar con la gestión del producto presentará situaciones adversas y por lo tanto requiere mayor: Apego a los planes y presupuestos. Control de las actividades y situaciones de riesgo. Integración y apoyo de los jefes inmediatos y del cliente (usuario final). Factores y situaciones (internas y externas) que ayudan positivamente y negativamente a que esta situación se genere. Actividades (internas y externas) en proyectos pasados que se realizaron bien y fuera de lo esperado que generaron problemas y fueron causal, ayudaron a que se diera esta situación.

23 Administración del riesgo_______________________________________________________________ 30

24 Actividades para la evaluación y control de riesgosAdministración del riesgo Actividades para la evaluación y control de riesgos - Uno de los métodos para identificar, cuantificar y evaluar riesgos la estableció Via Net.works*, es una técnica completa por lo que se describen sus pasos a continuación. - Las actividades se repiten por cada módulo, proceso, actividad, software o hardware a desarrollar, instalar u operar.

25 Actividades para la evaluación y control de riesgosPASOS Identificación del módulo, proceso o actividad la cual se van a identificar y cuantificar riesgos. Descripción del modulo, proceso o actividad. Identificación del(os) riesgo(s) que conlleva el desarrollo u operación del módulo, proceso o actividad.

26 Actividades para la estimación y control de riesgosElaboración de una lista de riesgos probables Descripción en que consistirá el riesgo identificado o supuesto. Num. Riesgo y su descripción Probabilidad de ocurrencia Impacto si el riesgo se presenta Asignación de Prioridad de atención del riesgo ----

27 Actividades para la estimación y control de riesgosPASO Identificación y definición de la probabilidad de ocurrencia de cada riesgo. Para efectuar la identificación y definición ver la siguiente tabla de probabilidades de riesgo Valoración de la probabilidad de riesgo Concepto Probabilidad Seguro - Ocurrirá el riesgo 1.0 Casi seguro ocurrirá el riesgo 0.9 Probablemente ocurra el riesgo 0.8 Puede ser que ocurra el riesgo 0.6 Quizás ocurra el riesgo 0.4 No lo creo que ocurra el riesgo 0.2 Improbable que ocurra el riesgo – Casi seguro que no ocurrirá el riesgo 0.1

28 Actividades para la estimación y control de riesgosPASO 7.- Definición del impacto que tendrá el modulo, proceso o actividad si ocurre el riesgo, si el riesgo se hace realidad. Para efectuar la definición del impacto ver la siguiente tabla. Valoración del impacto del riesgo Impacto en Tiempo Costo Impacto en la Calidad desempeño Impacto Calificación Retraso mayor al 20% Sobre costo mayor al 10% Software Inservible 1.0 Retraso de 10 al 20% Sobre costo del 7.6% al 10% Degradación mayor de funciones y/o características 0.8 Retraso hasta el 10% Sobre costo del 5.1% al 7.5% Degradación mediana de funciones y/o características 0.6 Eliminación holguras totales Sobre costo del 2.6% al 5% Degradación pequeña de funciones y/o características 0.4 Eliminación de holguras libres Sobre costo hasta el 2.5% Degradación mínima de funciones y/o características 0.2 No hay efecto No hay efectos 0.1

29 Actividades para la estimación y control de riesgosPASO 8.- Estimación de la severidad del riesgo. Para estimar la severidad del riesgo se aplica la siguiente formula y se compara el resultado con la Matriz de riesgos. Severidad = (probabilidad + impacto) – (probabilidad * impacto) Resultados: Cuando el riesgo es no severo el resultado de la formula se encuentra entre un rango de 0.58 y 0.88 (rango de tolerancia). Si el resultado de aplicar la formula es mayor a este rango de 0.88 a 0.99 se clasifican como riesgos severos. Para este tipo de riesgos se debe establecer un control o administración de riesgos para asegurar que el proyecto concluya satisfactoriamente.

30 Matriz de riesgos  p r o b a i l d Impacto  1.00 0.90 0.91 0.920.93 0.94 0.95 0.96 0.97 0.98 0.99 0.80 0.82 0.84 0.86 0.88 0.70 0.73 0.76 0.79 0.85 0.60 0.64 0.68 0.72 0.50 0.55 0.65 0.75 0.0 0.40 0.46 0.52 0.58 0.30 0.37 0.44 0.51 0.20 0.28 0.36 0.10 0.19 0.00

31 Matriz de riesgos Riesgos severos o potenciales F B E A C p r o b a i l d Impacto  1.00 0.90 0.91 0.92 0.93 0.94 0.95 0.96 0.97 0.98 0.99 0.80 0.82 0.84 0.86 0.88 0.70 0.73 0.76 0.79 0.85 0.60 0.64 0.68 0.72 0.50 0.55 0.65 0.75 0.0 0.40 0.46 0.52 0.58 0.30 0.37 0.44 0.51 0.20 0.28 0.36 0.10 0.19 0.00 Riesgos severos o potenciales F B E A C Riesgos no severos o improbables D A, B, C D, E y F  Se identifican los riesgos con una letra y se ubican en la matriz de riesgos

32 Actividades para la estimación y control de riesgosPASOS 9.- Establecer la prioridad de atención de los riesgos severos. Los riesgos que se encuentren en la parte gris de la matriz de riesgo son los que pasan a esta etapa. Se establece una prioridad con base en el resultado mayor que se obtuvo con la aplicación de la formula. Su probabilidad estará en función del resultado más alto que obtuvo el riesgo, (ocurrencia e impacto). El rango de riesgos severos esta entre 0.88 y 0.99, el riesgo que se acerque a 0.99 será el de mayor prioridad y así sucesivamente.

33 Actividades para la estimación y control de riesgos10. Establecer un plan de acción para controlar, administrar, disminuir la probabilidad de ocurrencia o de imparto de los riesgos severos. Para evitar que este se presente Para controlarlo en caso de que se presente  Definir el personal responsable de disminuir la probabilidad de que se presente el riesgo o su impacto. Personal que efectuará las tareas para controlar el riesgo. Definir el plan de acción de como se piensa controlar que el riesgo no se haga realidad o disminuir su impacto.  Definir el personal responsable de controlar el riesgo en caso de que el riesgo se haga realidad. Definir que acciones se efectuaran en caso de que el riesgo se haga una realidad. Definir el plan de acción de como se piensa controlar el riesgo en caso de que este se haga realidad

34 Control de riesgos El personal responsable del control de riesgos debe estar atento del comportamiento de todos los riesgos. Que los riesgos severos se mantengan controlados Que los riesgos no severos, no se conviertan en riesgos severos Que no aparezcan nuevos riesgos o establecer un mecanismo de administración.. En caso de que cambie el estado de alguno de los riesgos o aparezcan nuevos riegos se repite el proceso de evaluación de riesgos, para determinar su probabilidad de ocurrencia y su severidad. En caso necesario las actividades para el control o administración de riesgos.

35 Ejemplo de actividades para controlar el riesgoReestimar el tamaño del proyecto, el esfuerzo y la planeación periódicamente. Definir y administrar las fases de transición. Fomentar un espíritu de equipo. Iniciar el proyecto con el personal experto necesario. Elaborar y seguir un plan de desarrollo. Capacitar al personal del proyecto Minimizar la burocracia. Definir las bases de requerimientos y administre los cambios. Revisar periódicamente la salud y progreso del proyecto y reconsiderar la planeación cuando sea necesario. _______________________________________________________________ 43

36 Ejemplo de actividades para controlar el riesgoNo permitir que el personal trabaje de forma no sistemática No proponer objetivos irreales No implementar cambios sin evaluar su impacto y obtener la aprobación del comité de cambios No comprar y utilizar herramientas innecesarias No contratar personal innecesario, principalmente al inicio del proyecto No retrasar procesos definidos en la planeación No disminuir los estándares con el fin de acortar la planeación No suponer que documentación en demasía asegura el éxito _______________________________________________________________ 44

37 Ejemplo de actividades para controlar el riesgoConcientizar a los usuarios de la importancia de mantener la seguridad establecida para el sistema Solicitar a los usuarios que propongan ideas para disminuir el impacto de los riesgos. _______________________________________________________________ 44