La estructura de desglose de riesgos ahora tiene una rama de IA

Tu registro de riesgos tiene cuarenta filas, está al día y aun así el proyecto te sorprendió por un lado que nadie había mirado. No es raro y no es culpa del registro. Un registro lista riesgos de a uno, y una lista plana esconde justamente los huecos.

Qué es la RBS y en qué se diferencia del registro

El 15 de septiembre de 2026 PMI publicó una entrada que la define con precisión. La estructura de desglose de riesgos, la RBS por sus siglas en inglés, es un mapa jerárquico y orientado a las fuentes de todo lo que puede poner en riesgo tu proyecto, organizado desde categorías amplias hasta orígenes específicos.

La analogía que usa es la que mejor la explica. Así como la EDT organiza el trabajo que hay que hacer, la RBS organiza el riesgo que ese trabajo trae consigo. Arriba van las categorías, que clásicamente son técnico, gestión, comercial y externo. Cada una se abre en subramas más específicas, tantos niveles como el proyecto necesite.

Y acá está la distinción que conviene fijar, porque es la que casi todos se saltan. El árbol nombra fuentes, no riesgos. Los riesgos concretos y tu estrategia para cada uno siguen viviendo en el registro, mapeados contra las ramas. La RBS no reemplaza al registro, lo ordena por origen para que veas los racimos y los puntos ciegos que una lista plana tapa.

Según esa misma entrada, la disciplina no es nueva. La guía práctica de gestión de riesgos de PMI trata la categorización por fuente como algo central, y la Guía del PMBOK nombra la RBS como herramienta para organizar el riesgo.

Dónde aparece esto en el examen

En el temario de julio de 2026 el riesgo vive en Entorno de negocio, el dominio que pesa el 26 por ciento, y no donde estaba antes. Si eso te suena nuevo, el movimiento completo lo contamos en el post de Business Environment.

La tarea se llama planificar y gestionar el riesgo, y tiene siete habilitadores. Identificar los riesgos, analizarlos, monitorearlos y controlarlos, desarrollar el plan de gestión de riesgos, mantener el registro de riesgos, ejecutar el plan y comunicar el estado del impacto de un riesgo en el proyecto.

Mira el primero y el quinto juntos. Identificar los riesgos y mantener el registro son habilitadores distintos, y el temario los separa a propósito. La RBS trabaja en el primero. El registro es el quinto. Confundirlos es el error que se paga en las preguntas donde el enunciado te dice que el equipo revisó el registro y aun así apareció una amenaza que nadie vio venir.

Las cuatro categorías clásicas y las siete fuentes de riesgo de IA salen de la entrada publicada por PMI el 15 de septiembre de 2026.

Para qué sirve de verdad

PMI le reconoce tres usos y el segundo es el que más gente se pierde.

El primero es cubrir todas las fuentes. Las ramas de arriba funcionan como lista de arranque en los talleres de identificación, para que ninguna categoría entera se te escape sin nombrar. El tercero es informar y reutilizar, porque los totales suben agregados para la dirección y bajan al detalle para el equipo, y el mismo árbol se reutiliza entre proyectos para comparar.

El segundo es encontrar dónde está la mayor exposición, y tiene una vuelta de tuerca. Mapeas cada riesgo a su rama más baja y sumas por rama el puntaje de probabilidad por impacto. Lo que te dice dónde mirar primero es el total más alto, no el conteo más alto. Una rama con dos riesgos graves pesa más que una con quince menores, y una lista ordenada por cantidad te manda exactamente al lado equivocado.

La rama que PMI agregó este año

El árbol clásico supone dos cosas, que los sistemas se comportan de forma predecible y que las decisiones las toma una persona. La IA rompe las dos, con comportamiento probabilístico, acción autónoma y procesos de decisión que pueden ser difíciles de explicar.

La propuesta de PMI no es rehacer el árbol. Es conservar las categorías de arriba y colgar una rama distinta, la del riesgo de IA y sistemas inteligentes, que se abre en siete fuentes.

Datos, que cubre calidad, sesgo, privacidad, procedencia y deriva. Modelo, que cubre exactitud, robustez, deriva, alucinación y calibración. Autonomía, que es actuar más allá de la autoridad prevista, fallar al escalar o ejecutar sin supervisión suficiente. Explicabilidad, que es opacidad y dificultad de auditar. Gobernanza, que es responsabilidad poco clara y controles débiles. Ética, que es injusticia, daño, mal uso y erosión de la confianza. Y ciberseguridad específica de IA, que incluye inyección de instrucciones, envenenamiento de datos y acceso inseguro a herramientas.

Cada fuente se define, se le asigna a alguien que la vigile y la rama entra al lado de las que ya tenías. El estándar de IA de PMI, que desglosamos en su momento, es el que da el marco más amplio detrás de todo esto.

Lo que no cambia

La entrada cierra con tres principios que valen para cualquier árbol. Fuentes y no síntomas, porque cada rama tiene que nombrar un origen capaz de generar muchos riesgos. Adaptar el árbol, porque ninguna RBS sirve para todo proyecto y se parte de una genérica. Y que cada rama necesite a alguien mirándola, porque una fuente que nadie vigila se pasa sola.

Hay una frase final que conviene llevarse al examen y a la oficina. La automatización puede sostener el registro y hasta proponer la respuesta. Lo que nunca sostiene es la responsabilidad.

Apúntate y te avisamos

En The PM Architect escribimos las guías de estudio del PMBOK en cinco idiomas, con casos reales de aula y ejercicios con explicación. Serán gratis. Deja tu correo en la página principal y te avisamos en cuanto estén disponibles.