Jak zarządzać ryzykiem w projekcie?

Ryzyko w projekcie to zdarzenie, które może dopiero wystąpić i wpłynąć na koszt, termin, zakres albo jakość. Problem jest już faktem. Dlatego zarządzanie ryzykiem polega na wcześniejszym rozpoznaniu zagrożeń, ocenie ich znaczenia, zaplanowaniu reakcji i regularnym monitorowaniu – zamiast na ciągłym gaszeniu pożarów.

Proaktywność zamiast gaszenia pożarów

Każdy projekt przypomina rejs, którego trasa może przebiegać po spokojnych wodach, ale może też zostać zakłócona przez sztorm. Kierownik projektu nie kontroluje wszystkich warunków, jednak może wcześniej sprawdzić mapę, przygotować warianty działania i ustalić, kto reaguje na pierwsze oznaki zagrożenia.

W praktyce oznacza to przejście od reaktywnego rozwiązywania problemów do proaktywnego zarządzania ryzykiem. Ryzyko ma charakter potencjalny. Na przykład opóźnienie dostawy może zagrozić terminowi, ale dopóki dostawa nie została opóźniona, mówimy o ryzyku. Gdy opóźnienie już nastąpi, staje się problemem i wymaga bieżącego rozwiązania.

Co trzeba wiedzieć przed rozpoczęciem?

W podejściu opisanym w PMBOK Guide ryzyko oznacza niepewne zdarzenie lub warunek, który może wpłynąć na cele projektu. Skutki mogą dotyczyć harmonogramu, budżetu, zakresu, jakości lub rezultatu końcowego. Ryzyko można zwykle opisać przez prawdopodobieństwo wystąpienia oraz przewidywany wpływ.

Niepewność jest pojęciem szerszym. Oznacza brak pełnej wiedzy o przyszłych warunkach, gdy wiarygodne oszacowanie prawdopodobieństwa może być trudne albo niemożliwe. W zarządzaniu projektem nie należy traktować tych terminów jako synonimów.

Ryzyko nie zawsze oznacza zagrożenie. Może być także szansą, czyli zdarzeniem, które potencjalnie skróci realizację, zmniejszy koszt albo poprawi jakość. W przypadku zagrożeń celem jest ograniczenie prawdopodobieństwa lub skutków, a w przypadku szans – zwiększenie prawdopodobieństwa ich wykorzystania.

Każde istotne ryzyko powinno mieć właściciela ryzyka. To konkretna osoba odpowiedzialna za obserwowanie sytuacji, aktualizowanie informacji i uruchomienie uzgodnionej reakcji. Właściciel nie musi sam wykonywać wszystkich działań, ale nie może być jedynie nazwiskiem wpisanym do tabeli.

Jak wdrożyć zarządzanie ryzykiem w 6 krokach?

Proces można dopasować do wielkości projektu. Mała inicjatywa może potrzebować krótkiej sesji zespołowej i prostego rejestru. Projekt z dużym budżetem, wieloma interesariuszami lub zależnościami zewnętrznymi wymaga bardziej formalnego planu.

1. Ustal sposób pracy z ryzykiem – określ, kto identyfikuje ryzyka, jak często odbywa się przegląd, jakie poziomy prawdopodobieństwa i wpływu stosuje zespół oraz kiedy ryzyko wymaga eskalacji. Zapisz też role, format raportowania i miejsce prowadzenia rejestru.
2. Zidentyfikuj możliwe zdarzenia – zbierz informacje od zespołu, interesariuszy, ekspertów i osób, które realizowały podobne projekty. Nie ograniczaj się do zagrożeń technicznych. Sprawdź także założenia, zależności, dostępność zasobów, dostawców, decyzje klienta i zmiany zakresu.
3. Oceń prawdopodobieństwo i wpływ – określ, jak realne jest wystąpienie danego zdarzenia oraz jakie mogą być jego skutki dla terminu, kosztu, zakresu i jakości. W większości projektów wystarczy analiza jakościowa oparta na ustalonej skali. Analiza ilościowa ma sens przy dużej złożoności lub wysokiej wartości projektu.
4. Ustal priorytety – połącz ocenę prawdopodobieństwa z oceną wpływu. Ryzyka o wysokim prawdopodobieństwie i dużym wpływie powinny otrzymać uwagę w pierwszej kolejności. Pomaga w tym macierz ryzyka, która porządkuje wpisy i pokazuje, gdzie potrzebna jest szybka decyzja.
5. Zaplanuj reakcję i wyznacz właściciela – zapisz, co zespół zrobi przed wystąpieniem ryzyka, jakie będą sygnały ostrzegawcze i jaki plan awaryjny uruchomi się po materializacji zdarzenia. Przypisz odpowiedzialność konkretnej osobie.
6. Monitoruj i aktualizuj – podczas realizacji projektu sprawdzaj istniejące ryzyka, identyfikuj nowe, zmieniaj ich statusy i ocenę. Rejestr nie jest dokumentem tworzonym raz na początku. Powinien odzwierciedlać bieżącą sytuację projektu.

Do identyfikacji ryzyk możesz wykorzystać kilka uzupełniających się technik:

• Burza mózgów – zespół wskazuje możliwe zdarzenia bez oceniania ich na początku sesji.
• Wywiady – rozmowy z interesariuszami, ekspertami i osobami mającymi doświadczenie w podobnych przedsięwzięciach.
• Analiza SWOT – rozpoznanie mocnych i słabych stron projektu oraz szans i zagrożeń w jego otoczeniu.
• Listy kontrolne – wykorzystanie ryzyk pojawiających się w podobnych projektach, procesach lub obszarach branżowych.

Przy identyfikacji zweryfikuj także założenia projektu. Przekonanie, że dostawca będzie dostępny, decyzja klienta zapadnie w określonym terminie albo kompetentna osoba pozostanie w zespole, nie jest jeszcze potwierdzonym faktem. Niezweryfikowane założenie może stać się źródłem ryzyka.

Jak reagować na zidentyfikowane zagrożenia?

Nie istnieje jedna strategia pasująca do każdego ryzyka. Reakcję dobiera się do poziomu wpływu, kosztu działania, tolerancji interesariuszy i możliwości zespołu. Dla ryzyk negatywnych najczęściej stosuje się cztery podstawowe strategie:

Akceptacja nie oznacza ignorowania ryzyka. Powinna określać, kto obserwuje sytuację, jakie są progi reakcji i co zespół zrobi, gdy ryzyko zacznie się materializować. W przypadku szans stosuje się analogiczne podejścia, między innymi wykorzystanie, wzmacnianie, dzielenie i akceptację.

Jeśli ryzyko przekracza budżet, kompetencje albo uprawnienia zespołu, należy je eskalować do sponsora lub osoby decyzyjnej. Czasem właściwą reakcją jest zmiana założeń projektu, a w skrajnym przypadku rezygnacja z jego realizacji.

Co powinien zawierać rejestr ryzyk?

Rejestr ryzyk jest centralnym narzędziem codziennej pracy. Może mieć formę arkusza, modułu w systemie do zarządzania projektami albo krótkiej tabeli utrzymywanej przez kierownika projektu. Ważniejsza od narzędzia jest regularna aktualizacja i jasna odpowiedzialność.

Minimalny rejestr powinien zawierać następujące elementy:

• Opis ryzyka – konkretne zdarzenie, a nie ogólne hasło, takie jak „problemy z dostawcą”.
• Przyczynę i możliwy skutek – informację, co może wywołać ryzyko i jak wpłynie ono na projekt.
• Prawdopodobieństwo i wpływ – ocenę według wspólnej skali przyjętej przez zespół.
• Priorytet – wynikający z połączenia prawdopodobieństwa i wpływu.
• Właściciela ryzyka – osobę odpowiedzialną za obserwowanie i reakcję.
• Strategię oraz plan działania – działania zapobiegawcze, reakcję i ewentualny plan awaryjny.
• Status i datę przeglądu – na przykład zidentyfikowane, aktywne albo zamknięte.

Opis „brak zasobów” jest zbyt ogólny. Lepszy zapis brzmi: „Jeśli specjalista ds. integracji nie zostanie przydzielony do 15 maja, testy interfejsu mogą opóźnić etap wdrożenia o dwa tygodnie”. Taki format ułatwia ocenę, wybór właściciela i ustalenie sygnału ostrzegawczego.

Jak monitorować ryzyko i budować kulturę otwartości?

Plan zarządzania ryzykiem jest dokumentem żywym. Podczas każdego przeglądu projektu sprawdź, czy zmieniło się prawdopodobieństwo lub wpływ, czy pojawiły się nowe informacje, czy działania ograniczające przynoszą efekt i czy ryzyko nie stało się problemem.

Monitorowanie nie powinno ograniczać się do odczytania tabeli na spotkaniu statusowym. Kierownik projektu powinien rozmawiać z właścicielami ryzyk, obserwować zależności w harmonogramie i reagować na sygnały z zespołu. Przydatna lista kontrolna obejmuje:

• Czy rejestr został zaktualizowany po ostatnim przeglądzie?
• Czy każde ryzyko o wysokim priorytecie ma właściciela i termin kolejnego działania?
• Czy ustalone działania ograniczające zostały wykonane?
• Czy zmieniły się założenia, zależności, zakres, budżet albo harmonogram?
• Czy pojawiły się nowe ryzyka lub sygnały ostrzegawcze?
• Czy któreś ryzyko przekształciło się już w problem wymagający natychmiastowego rozwiązania?

Do sygnałów ostrzegawczych należą między innymi powtarzające się opóźnienia zadań, brak decyzji po stronie interesariusza, wzrost liczby błędów, niedostępność kluczowej osoby, zmiana wymagań bez oceny skutków oraz przekraczanie budżetu przez powiązane zadania.

Kultura organizacyjna decyduje o jakości informacji w rejestrze. Jeśli zgłoszenie ryzyka jest traktowane jak przyznanie się do winy, członkowie zespołu będą je ukrywać do momentu, gdy stanie się problemem. Kierownik projektu powinien nagradzać wczesne sygnały i analizować sytuację bez szukania winnego. Rejestr nie służy do rozliczania ludzi, lecz do podejmowania lepszych decyzji.

Najprostszy sposób na rozpoczęcie pracy od jutra to zorganizowanie krótkiej sesji identyfikacji, utworzenie rejestru, przypisanie właścicieli trzem najważniejszym ryzykom i ustalenie terminu pierwszego przeglądu. Taki proces daje zespołowi realną kontrolę nad niepewnością, bez tworzenia dokumentacji większej niż sam projekt.