Un proyecto que opera en un solo país tiene riesgos conocidos y relativamente previsibles. Un proyecto que se extiende por varios países — como las expansiones EU-LATAM o Europa-Middle East que sigo habitualmente — multiplica las categorías de riesgo: normativo, cambiario, cultural, logístico. ISO 31000 no es burocracia de certificación: es el único framework que he visto realmente aguantar en contextos multi-jurisdicción.
1. Por qué ISO 31000 y no un simple registro de riesgos. ISO 31000 no prescribe herramientas específicas (a diferencia de ISO 31010 que enumera técnicas), pero impone un proceso iterativo: establecer el contexto, identificar, analizar, evaluar, tratar, monitorear y comunicar el riesgo. La diferencia práctica respecto a un registro de riesgos tradicional es que el riesgo se reevalúa a cada cambio de contexto — un cambio normativo, una devaluación cambiaria, un nuevo proveedor — no solo en las milestones planificadas.
2. Categorías de riesgo específicas de los proyectos multi-país. Riesgo normativo y de compliance — leyes laborales, fiscales, de importación que cambian de un país a otro y a menudo durante el propio proyecto. Riesgo cambiario — un proyecto cotizado en EUR pero ejecutado en países con divisas volátiles (ej. PEN, TRY) puede perder margen solo por fluctuación cambiaria. Riesgo cultural y de stakeholder — decisiones que en un país requieren un email requieren, en otro, una relación personal construida en semanas. Riesgo de supply chain y logística cross-border — aduanas, tiempos de transporte, dependencia de un único proveedor local.
3. Matriz probabilidad/impacto adaptada al contexto internacional. La matriz clásica probabilidad × impacto debe integrarse con una tercera dimensión: la velocidad de detección. Un riesgo normativo en un país donde no tienes presencia local puede materializarse semanas antes de que el equipo lo perciba. Para este tipo de riesgo, incluso con probabilidad e impacto moderados, se requiere tratamiento prioritario simplemente porque el tiempo de reacción disponible es más corto.
4. Las cuatro estrategias de tratamiento (y cuándo usarlas). Evitar — cambiar el enfoque para eliminar el riesgo (ej. no abrir entidad legal en un país, operar mediante partner local). Reducir — mitigar probabilidad o impacto (ej. cobertura cambiaria, cláusulas contractuales de ajuste de precios). Transferir — seguros, contratos con proveedores locales que absorben parte del riesgo. Aceptar — cuando el coste del tratamiento supera el beneficio esperado, pero siempre con un plan de contingencia documentado, no por defecto.
5. Gobernanza del riesgo: quién decide qué. En proyectos internacionales, la gobernanza del riesgo debe tener umbrales de escalada claros: riesgos por debajo de cierto umbral de impacto los gestiona el PM local, por encima se requiere involucramiento del sponsor o del board. Sin este umbral explícito, los riesgos importantes quedan atrapados a nivel operativo demasiado tiempo, mientras los menores llegan innecesariamente al board.
Preguntas Frecuentes. ¿ISO 31000 requiere certificación formal para aplicarse? No, ISO 31000 es una guía, no una norma certificable como ISO 9001. Puede adoptarse como framework interno sin proceso de auditoría externa. ¿Cómo se integra ISO 31000 con PMBOK? PMBOK dedica un área de conocimiento entera al risk management y es plenamente compatible con los principios de ISO 31000 — muchos PMO los usan juntos, PMBOK para la estructura de proyecto, ISO 31000 para la profundidad del proceso.
Si estás planificando una expansión multi-país y quieres una evaluación honesta de los riesgos específicos de tu caso, reservamos una call: analizamos juntos dónde están los puntos ciegos reales.
