La pandemia nos ha descubierto vulnerables, confirmando el alto nivel de incertidumbre en el que vivimos. Frente a la falta de certeza deberíamos buscar un método para evaluar escenarios improbables como parte de la gestión empresarial.
Muchos sectores ya lo tienen como el de la tecnología, banca o transporte. La posibilidad de que exista un accidente está ahí, por lo que es necesario tener un protocolo que ayude a tomar, en cada paso, las mejores decisiones que reduzcan el riesgo para el negocio.
Este es un humilde acercamiento a la temática, espero que os sea interesante.
Punto de partida sobre escenarios improbables
Como recordaréis hace tiempo hice una visita guiada a las instalaciones de Adam Datacenter que ya comenté en este post. Una de las cosas que me llamó la atención fue lo que yo llamaría el «libro de las calamidades».
Como empresa responsable de la infraestructura de los datos no puede haber ningún tipo de interrupción de servicio. ¿Te imaginas ir a la web de tu banco y no te dé acceso a tu saldo? Muchos servicios de los clientes dependen del servicio ininterrumpido de los datos y una breve interrupción afectaría a la confianza de los clientes y esto es algo difícil de rescatar una vez se ha visto afectada.
Los datos no pueden permitirse una parada.
Es por eso por lo que toda la infraestructura debe ser redundante. Si falla A, se activa B. Pero lo curioso es que no es que se trate de un plan B, sino que todos los sistemas funcionan por duplicado al 50%.
Por ejemplo, la conexión a Internet, resulta que tienen múltiples líneas con varios proveedores operando como máximos al 50% de su capacidad. De esta manera, frente a una eventualidad en alguna de las líneas, de forma automática, se absorbe la necesidad de conexión de todo el centro sin ni interrupción ni impacto en los servicios.
Pero no solo vale con tener toda la infraestructura duplicada, sino que además tienen un protocolo de riesgos donde se obligan a tener un plan, haber hecho un simulacro y una mejora continuada. Este tema captó mi atención «Los accidentes no puedes evitarlos, pero tienes que estar preparado para mitigarlos». Así que me quedé con la copla de cómo se monta una “plan de calamidades” y su forma de abordar la problemática de escenarios improbables.
¿Qué pasa si cae un avión en un data center? ¿Y si alguien con un tanque intenta entrar para robar los datos? ¿Qué pasa si la Comunidad de Madrid se declara independiente del resto de España? ¿Qué pasa si viene un virus y nos impide ir a trabajar físicamente?
La probabilidad de que caiga un avión es de 2,4/1 Millón (0,00024%) y que, además, tengamos la mala suerte que justo caiga sobre uno de los data centers es un % aún más bajo. A pesar de tener una probabilidad muy baja, el impacto sería devastador si no estamos preparados.
Por eso no solo hay un plan y una serie de medidas previas. Por ejemplo, nunca encontraréis un data center cerca de los aeropuertos o en zonas muy concurridas y de mucho tráfico aéreo. Lo interesante es que frente hay un hecho poco probable, ya se toman medidas.
Tener un plan de calamidades
El plan de calamidades incluye un montón de escenarios improbables, pero que, a pesar de la baja probabilidad de que ocurran, debes tener preparados para analizar las consecuencias y graduar el nivel de tolerancia al riesgo para evitar que afecte a la continuidad del servicio.
He tenido la suerte de poder hablar con Nuria Vallmitjana (Directora de Finanzas y Responsable de calidad en Adam), con David Ribalta (Director Comercial y de Marketing en Adam) y con varios amigos dedicados al compliance, y he recopilado estas metodologías para hacer evaluación de riesgos para los negocios. Espero que os sirva para reflexionar.
Los escenarios improbables y los cisnes negros
Ya nos lo explicó Taleb: los cisnes negros existen. Los que no sepáis que es un cisne negro se trata de un hecho altamente improbable, que tiene un impacto enorme en el negocio y que, una vez pasado, es fácil de explicar.
Creo que ya hemos vivido unos cuantos cisnes negros: El covid-19 o la explosión del volcán Eyjafjajjajokull que obligó a cerrar el tráfico aéreo en 2014, son dos ejemplos que me fascinan. Resulta que frente a tanta incertidumbre igual, algunos negocios deberíamos tener un plan de «calamidades».
En muchos sectores ya los tienen desarrollados para hechos muy concretos, como el accidente aéreo que antes mencionaba. A pesar de ser muy poco probable que pase, todas las empresas del sector tienen un protocolo con, por ejemplo, un blacksite (web especial para el evento) y una asignación de roles para esta situación. Los simulacros de accidente se hacen de forma periódica y ayudan a corregir los planes y protocolos.
Esta práctica de abordar escenarios improbables, debería poder trasladarse a otros negocios porque todos estamos expuestos a accidentes.
Plan de riesgos de tu empresa
Todas las empresas tienen un plan de riesgos en mayor o menor medida. Solo por el hecho de haber cubierto la normativa de prevención de riesgos laborales ya existe un plan de riesgos mínimo. Un plan de riesgos se compone de 3 elementos muy simples:
Paso 1- Evaluación de sucesos
Definición de una serie de supuestos que ponen en riesgo a las personas o al negocio. Estos supuestos son situaciones concretas lógicas en la actividad de una empresa.
Paso 2- Diseño de un plan de contingencia
Una vez evaluadas las situaciones de riesgo, tiene que haber un plan de respuesta. Si un trabajador tiene un accidente, entonces se hace A, después B y, por último, C.
Paso 3- Pruebas, simulaciones y correcciones.
Conjunto de simulacros que se realizan para comprobar si el plan de contingencia es adecuado, qué elementos se podría mejorar o corregir para evitar incluso que siga existiendo ese riesgo.
Hasta aquí, nada nuevo bajo el sol. Todas las empresas tienen un plan de riesgos más o menos elaborado. Dependiendo del nivel de exigencia del servicio que presta, el paso primero está más o menos previsto. Esta es la parte que más me interesa.
Modelo de Evaluación de escenarios improbables
Para construir un plan de escenarios improbables deberíamos definir qué es un riesgo, después definir las diferentes causas que lo provocan, dotarlos de un nivel de probabilidad y, por último, construir una matriz de ponderación para graduar los escenarios más peligrosos para el negocio.
Qué es un riesgo
Un riesgo es una amenaza que afecta algún elemento vulnerable del negocio y que pasa de ser latentea a activa.
Dentro de la matriz DAFO del negocio seguro que tenemos, en el apartado de amenazas, un listado de temas. Los temas que no están bien cubiertos te hacen vulnerable, pero el riesgo deja de ser latente en el momento que se activa.
Construcción de supuestos improbables
Pero pensar en riesgos es un tema un poco disperso, ya que nos obliga a pensar en las CAUSAS. El proceso creativo para poder construir una lista completa de riesgos se basa en hacer el camino contrario de CAUSA – EFECTO. Nos es más sencillo creer en los EFECTOS sobre el negocio que las causas que lo provocan.
Si piensas qué EFECTOS serían desastrosos para el negocio, seguro que te salen varios temas, por ejemplo, los efectos sobre las personas (no pueden venir a la oficina o renuncia el 90% de la plantilla). Puedes suponer en otros efectos, como los que afectan a los suministros (se va la luz o la conexión a Internet), a los clientes (se van los clientes más importantes) o elementos sobre el negocio (cae la facturación en un 20%). El último elemento sería efectos sobre la reputación (un directivo hace algo poco ético o la empresa ha realizado una mala praxis).
El segundo paso sería pensar el posible FACTORES que provocan en EFECTO. Hay factores internos, de la competencia, del sector, de la regulación o relacionados con fenómenos globales y/o políticos. Este conjunto de FACTORES nos ayudan a pensar un montón de diferentes CAUSAS. Las causas son situaciones concretas que provocan esos efectos sobre el negocio.
POR EJEMPLO: Podemos decir que debido a un cambio de regulación (CAUSA), tu empresa tiene prohibido la realización de cualquier campaña de comunicación de sus productos y servicios (EFECTOS). Esta situación supondría un riesgo latente para muchos negocios dependientes de la comunicación.
Cómo evaluamos la probabilidad
Poner probabilidades es hacer un ejercicio de proyección al futuro. Se trata de hacer una predicción y, al mismo tiempo, de dar una advertencia.
Hay fenómenos sobre los que es fácil hacer probabilidades: si 7 de cada 10 propuestas que presentas las aprueban, ya puedes decir que, cuando presentas una propuesta a un cliente, tienes un 70% de probabilidad de que salga adelante. También nos dice que hay un 30% de probabilidad que la rechacen. El hecho de que haya una baja probabilidad no significa que sea imposible, sino que es poco probable.
Para poder simplificar, un escenario probable sería aquel que se da por encima del 66% de las veces. Un escenario poco probable sería el que se da un por encima del 33% de las veces. Por otro lado, un escenario muy poco probable sería el que se da por encima del 10% de las veces. Por último, un escenario improbable es el que se da por debajo del 10%.
Es bueno recordar que el escenario improbable no es imposible: 10 de cada 100 veces se dará, así que deberías de estar preparado para escenarios improbables.
Hacer predicciones sobre temas sobre los que tienes experiencia es sencillo, pero y qué pasa con aquellas situaciones que nunca has vivido. ¿Cómo lo podríamos calcular?
Existen dos maneras de evaluar probabilidades:
La primera es la estadística.
Para esto existe el Teorema de Bayes que expresa la probabilidad condicional de un evento aleatorio A dado B, en términos de la distribución de probabilidad condicional del evento B dado A, y la distribución de probabilidad marginal de solo A. Lo sé, suena complicado.
La segunda forma es apoyarse en comunidades predictivas.
¿Podríamos haber previsto la guerra de Ucrania? ¿Crees que el precio del gas se disparará este invierno? ¿Cuál será el precio del bitcoin a final de año? Pues resulta que hay un montón de preguntas que puedes encontrar en espacios como METACULUS. En esta comunidad van haciendo predicciones desde hace años sobre temas de actualidad como la Guerra de Ucrania o el precio de materias primas.
Solo para hacernos una idea, el enero estimaban que la probabilidad de una guerra era del 76%. Un ratio mucho más elevado de lo que muchos expertos aseguraban.
La visualización que sigue es la evolución estimada del precio de bitcoins.
Nota: según la comunidad de metaculus, el precio del bitcoin estará cerca de 17k/$ y lo han marcado las precipitaciones de más de 334 personas.
La gracia de esta comunidad es que hace un seguimiento de las predicciones para poder valorar el nivel de acierto de cada uno de sus miembros. Además, me llama la atención que todas las predicciones se establecen en %, de tal manera que nadie asegura que algo vaya a ocurrir, sino que te da un pulso de las posibilidades de que ocurra.
Si queréis evaluar las probabilidades de que ocurra algo o seguir las tendencias actuales, os recomiendo meteros y explorar las diferentes categorías. Si exploras puedes tener un pulso de aquello que es imprevisible.
Cómo evaluamos el riesgo para el negocio
Ya tenemos una lista de fenómenos, una graduación de las probabilidades de cada fenómeno, y ahora deberíamos añadir una graduación del impacto que tendría sobre nuestro negocio.
La clasificación de riesgos sería algo parecido a la que sigue: los riesgos pueden ser bajos (alguna variable de negocio, fácil de corregir), medios, altos o catastróficos (riesgo que conlleva cierre o riesgo de cierre del negocio).
Combinando, por un lado, los riesgos y, por otro, sus probabilidades, nos saldría una tabla de ponderación como la que sigue:
Gracias a esta tabla podemos priorizar el acercamiento a cada una de las consecuencias para activar el plan de riesgo. La ponderación la dejo abierta al criterio.
Reflexiones finales
Hacer un plan de riesgos no es tan poco habitual como puede sonar. En mi carrera profesional me he encontrado varias personas dedicadas a estas evaluaciones.
Hacer supuestos improbables nos lleva a explorar los límites de nuestro negocio. ¿Qué pasaría si…? Saber hacer se preguntas, saber evaluar las posibilidades de que algo ocurra, aprender como acertar mejor los escenarios. A esto se dedican muchos CEO’s que conozco. Los buenos. Los que no simplemente gestionan recursos.
Este ha sido un resumen de todas las conversaciones que he tenido sobre esta temática y espero que os haya sido tan útil como a mi.
