Projektový Underground

Hodnocení a kvantifikace rizik v projektu si ve většině případů vystačí s bodovací škálou a se slovním vyjádřením, jak jsme viděli ve 3. díle seriálu o rizicích. Je to v souladu se standardem PMBoK od PMI a k němu navazujících Practice Guides i v souladu s obvyklou potřebou a zkušeností běžné praxe. Budou však projekty a organizace, zejména technicky a technologicky orientované, které budou mít potřebu kvantitativního rozkladu rizik. Riziko v projektu budou považovat za náhodný jev, který je možné a i vhodné vyjádřit v pravděpodobnostním rozdělení. V okamžiku, kdy riziko vnímáme v projektu jako náhodný jev, můžeme pro jeho dopad a výskyt hledat různá a vhodná pravděpodobnostní rozdělení (tj. rozložení náhodné veličiny) o různém průběhu a podobě. V praxi nejčastěji užívanou podobou pravděpodobnostního rozdělení je trojúhelníkové nebo rovnoměrné rozdělení (intervalové), jak jsme viděli ve 4. díle seriálu o rizicích. Sofistikovanějším přístupem, pokud má praktický a ekonomický význam pro projekt, jsou poté jako další krok v analýze a hodnocení rizik simulační modely.

Základní simulační model je možné sestavit a použít v rámci metody Monte Carlo. Klíčem k jejímu užití je obvykle kombinace s intervalovým, resp. trojúhelníkovým rozdělením, případně s jeho modifikací. Uveďme si ilustrační příklad a postup metody:

Ilustrativní příklad rizika pro simulaci

V projektu typu waterfall je plánován balík práce, u kterého pracnost nesmí překročit 25 MD (limit). Optimistická hodnota pracnosti souhrnného úkolu byla odhadnuta na 13 MD (O), pesimistická hodnota pracnosti na 36 MD (P). Vícenáklady za každý MD nad limit jsou Kč 8 000.

Lze uvažovat o užití trojúhelníkového rozdělení s modifikací pro výskyt rizika „překročení požadované pracnosti“:

Parametr a může být pro účely simulace náhodně (funkce random()) vybírán z intervalu hodnot (0;2). Cílem je odhadnout výskyt a poté dopad možného rizika.

Sestavení a výpočet modelu v podobě aplikace metody Monte Carlo můžeme provést např. v MS Excel. Na základě velkého množství hodnot z generátoru náhodných čísel, např. v počtu 10 000, simulujeme možnou pracnost daného úkolu. Co výpočet náhodného čísla, to dopočítaná pracnost úkolu dle uvedeného vzorce. Interval parametru a je možné nastavit libovolně – čím vyšší hodnota parametru je, tím jsme více a více pesimističtí. Interval (0;2) lze považovat za spíše optimistický. Pokud bychom pravou hodnotu intervalu nastavili na 5 nebo 10, výsledky simulace by již riziko posouvaly do kategorie „skoro jisté“. Pro účely vyhodnocení je vhodné vypočtené hodnoty pracnosti zaokrouhlit na celé číslo a tuto sadu hodnot vyjádřit pomocí histogramu (stanovení četností hodnot pracnosti). Dle histogramu již v souladu s metodikou PMBoK PMI pro řízení rizik a na základě zadaného limitu (25 MD) určíme hranici pro výpočet výskytu rizika (součet četností hodnot vyšší než limit). Výskyt rizika je tedy relativní četnost sledovaného jevu v dané populaci hodnot (červeně označené sloupce v grafu). Dopad rizika můžeme poté stanovit pomocí váženého součtu vícenákladů, tj. součtem součinů dílčích četností a vícenákladů. Pro uvedený příklad může být výsledkem tento histogram:

Z uvedeného histogramu je zřejmé, že riziko není vhodné ve zde uvedeném ilustrativním příkladu považovat za málo významné nebo nevýznamné. Výskyt rizika „překročení požadované pracnosti“ u balíku práce je 41,1 %. A to je parametr nastaven spíše optimisticky – pokud bychom jej zvýšili, výskyt rizika by byl ještě vyšší. Požadovaný limit pracnosti úkolu je tedy „nízko“ a u daného úkolu můžeme očekávat spíše vyšší pracnost, která může vést třeba i ke zpoždění úkolu nebo i projektu. Pokud bychom uvažovali o dopadu, vážený součet dle zobrazených četností při ceně Kč 8 000 za každý MD navíc je Kč 16 456. Obě uvedené hodnoty, výskyt i dopad, jsou poplatné užitému výrazu pro modifikované trojúhelníkové rozdělení, parametru a, a počtu realizovaných výpočtů v simulaci (hodnoty obou výsledků se budou s vyšším počtem výpočtů zpřesňovat).

Jak už bylo řečeno: Hodnocení rizik, tj. kvantifikace rizik s cílem jejich prioritizace, může mít různé podoby, resp. různou míru a složitost. Je možné sáhnout po jednoduché cestě a osvědčené praxi, nebo v případě nutnosti využít matematické modely a metody. V každém případě by však mělo platit „železné“ pravidlo pragmatičnosti – rizika je třeba prioritizovat z důvodu přerozdělování rozpočtu a provádění prevence bez zbytečné složitosti, abstrakce a byrokracie. Pokud nevede identifikace a hodnocení rizik k jednoznačné a věcné prevenci, a ke konkrétní obraně v projektu, je řízení rizik „bezzubé“.

Kvantifikace rizik nebývá v projektech a v projektových týmech při hodnocení rizik obvyklá. Mnohdy si tým vystačí s „kvalitativní analýzou“, která dle standardů PMI je užívána v podobě slovní a bodovací stupnice – tento přístup je dostačující, viz předchozí díl našeho seriálu. Neboť cílem je vždy prioritizace rizik, tj. možnost srovnání rizik mezi sebou z hlediska důležitosti při prevenci a vynakládání zdrojů. Ovšem jsou případy, kdy je třeba riziko jednoznačně vyčíslit. Příkladem může být potřeba vyjednávání se sponzorem o dopadu možného rizika a související výše rozpočtu na rizika. Tam je možné uvažovat o užití např. trojúhelníkového rozdělení (optimistická hodnota, nejčastější hodnota, pesimistická hodnota), intervalového rozdělení (optimistická a pesimistická hodnota) nebo i o výpočtu za pomoci simulace (užití např. metody Monte Carlo).

Trojúhelníkové rozdělení, alias vážený průměr (E) s nejčastější hodnotou (N):

Trojúhelníkové rozdělení je výhodné pro kvantifikaci rizik v okamžiku, kdy známe optimistickou hodnotu dopadu (O), pesimistickou hodnotu dopadu (P) a nejčastější hodnotu dopadu (N). Nejčastější hodnotou (ve statistice modus) se rozumí takový dopad, který je obvyklý, resp. obvykle nakonec nastane, je zkušeností mnoha kolegů i naší dlouhodobou zkušeností a oprávněným odhadem, ale jistotu v něm pro dané riziko v našem projektu nemáme, neboť musíme počítat i s pesimistickým scénářem. Rozdělení hodnot potom může mít různý tvar. Na obrázku vlevo je nejčastější hodnota blízká optimistické, tj. „obvykle to dopadne lépe“. To je „klasická“ podoba trojúhelníkového rozdělení, která se obvykle užívá. Pro účely rizik může být ale zavádějící, neboť přece „věci dopadají spíše hůře“. Ale pro účely vyjednávání se sponzorem o velikosti rozpočtu na rizika může mít svůj význam – hrozby nevidíme pro projekt tak špatně, jsme optimisté. Zatímco na obrázku vpravo je nejčastější hodnota blízká středu rozdělení – naše dlouhodobá zkušenost se blíží střední hodnotě dopadu posuzovaného rizika (ale není totožná!). K uvedeným tvarům trojúhelníku potom náleží určitý výpočet váženého průměru (střední hodnota rozdělení, E). V případě obrázku vpravo se potom jedná o prostý vážený průměr, který také má své místo – při vyjednávání o rozpočtu na rizika jsme spíše neutrální, nebo i sponzor je neutrální, tj. významně se neobává ani není optimistou.

U trojúhelníkového rozdělení je dopad rizika citlivý na umístění nejčastější hodnoty, kterou však často nemusíme znát, nemusíme si být s ní jistí. V takovém případě můžeme použít modifikaci trojúhelníkového rozdělení, tj. upravený tříbodový odhad, v kterém nejčastější hodnota je zastoupena parametrem a pro vyjádření naší míry optimismu:

Modifikovaný tříbodový odhad (trojúhelníkové rozdělení) může být pro nás velmi atraktivní. Parametr a zastupuje naši nebo sponzorovu míru optimismu či pesimismu. Parametr a chápejme jako index v rozsahu hodnot 0 až nekonečno, kdy hodnota 0 znamená „bezbřehý“ optimismus, hodnota 1 příklon k neutrálnímu postoji (odhad v podobě prostého průměru), zatímco hodnota 2 a vyšší až „zoufalý“ pesimismus. Parametr a zde modeluje tvar trojúhelníkové rozdělení dle našich preferencí nebo postoje sponzora. Parametr také může vycházet ze zkušeností s daným typem projektu, zdrojů, technologií nebo z posuzované oblasti rizika. Tento přístup se nám velmi hodí i pro simulaci rizik (modelování preferencí stakeholderů).

Nehovořili jsme zde však o výskytu rizika, pro jeho přímý výpočet je trojúhelníkové rozdělení spíše nevhodné. Pokud však použijeme trojúhelníkové rozdělení pro odhad dopadu, výskyt rizika poté můžeme stanovit pomocí jeho distribuční funkce nebo odhadnout zjednodušeně v podobě výpočtu dle rovnoměrného rozdělení (nejčastější hodnotu, vrchol trojúhelníku, zde zanedbáváme):

A jak by to bylo s užitím intervalového nebo rovnoměrného rozdělení pro kvantifikaci rizika? Nebo jak užitečné mohou být simulace při analýze a kvantifikaci rizik? To už si ponechme pro jiný díl našeho seriálu. Pro dnešek bylo matematiky dost, ač manažerské a dle standardů PMI.

Když už se rizik přestaneme „bát“, my i náš tým, dokonce i naši stakeholdeři, nastává zpravidla okamžik „co s nimi“. Pokud je známe a opravdu jsme udělali identifikaci poctivě a systematicky, prošli jsme všechny „zákoutí a komůrky“ projektu, máme rizik hodně a je třeba je prioritizovat (nastavit míru ošetření, prevence aj.). Toto „ošklivé“ slovo je důležité a představuje klíč a de facto princip k řízení rizik. Rizika, ať už s kladným nebo záporným působením, jsou v reálném projektovém životě hojná, a je jich mnoho (mělo by být – jinak je něco špatně). Pokud máme nadšený tým, který identifikuje a identifikuje, uvádí další a další případy a možnosti našeho projektového selhání s vazbou na aktivity, aktiva a aktéry projektu (zdroje, užité technologie, členy týmu, dodavatele, podílníky aj.), vystává otázka, které riziko a „jak moc“ ošetřit či odvrátit. Rizika je třeba seřadit podle důležitosti.

Zapomeňme na jednoduché označení „malé“, „střední“ a „velké“. To ponechme dávné projektové prehistorii. Každé riziko je nutné rozlišit podle tří dimenzí, metrik či proměnných (ideálně): na dopad, výskyt a proximitu. Dopad neboli působení si každý představí snadno – je to takový objem práce, peněz či naší energie/úsilí, které v projektu ztratíme nebo musíme vynaložit na nápravu. U dopadu nás to láká k vyčíslení ve finančních jednotkách. To ale není vždy praktické ani možné. Výskyt je už poněkud méně jasný – je to pravděpodobnost nebo šance vzniku rizika? A jak ji ocenit? Řekněme, že výskyt je relativní četnost výskytu rizika, že se zkrátka a dobře objeví či zjeví tam a tam, kde ho nejméně čekáme. Zde by nás lákalo použít procento, resp. procentuální vyjádření pravděpodobnosti (riziko je přeci náhodný jev). S proximitou si ale často kdekdo neví rady – blízkost rizika v čase málokdy někomu něco říká. Ale je opět důležitá – proximita, tedy blízkost rizika v čase, sleduje důležitost rizika z hlediska naší přípravy a vynakládání zdrojů (nejen finančních). Pro proximitu platí jednoduchá poučka: čím blíže je riziko v čase realizace projektu, tím více roste možné ohrožení a bývá zahajována prevence nebo narůstá její nasazení (riziko začne vázat zdroje z projektu). U proximity se nabízejí pro její ohodnocení v čase dny nebo týdny (případně hodiny), jenž zbývají do možné realizace rizika. Pokud bychom ale se nechali zlákat, a dopad ohodnotili ve finančních jednotkách, výskyt v procentuálním vyjádření a proximitu ve dnech, měli bychom velký problém s určením priority rizik podle jedné jediné zástupné hodnoty, která je porovnatelná mezi sebou v rámci seznamu rizik. Finanční jednotky, procenta a dny (týdny, hodiny) nelze mezi sebou násobit nebo porovnávat, jedná se o neslučitelné veličiny. Zde se musíme opřít o doporučení standardů PMI (nejen jich) a použít jednotící bodovou škálu, třeba i se slovním vyjádřením.

Bodová škála v běžné praxi, kdy projektem není výstavba jaderné elektrárny nebo kosmický výzkum za miliardy, postačí jednoduchá, např. v podobě 1 až 3 bodů. Důležité je, zejména pro tým a stakeholdery pro jejich porozumění, uvést slovní vyjádření. Takto vytvořenou metriku můžeme prohlásit za „hodnotící tabulku“ jednotnou pro celý projekt a tým (tím by se stala součástí plánu řízení rizik). A jak provádět hodnocení rizik s užitím této tabulky? Poté, co s tabulkou seznámíme tým či stakeholdery, můžeme nechat všechna identifikovaná rizika ohodnotit – každý oslovený se vyjádří a ke každému riziku přiřadí body za dopad, výskyt a proximitu.

Pro každé riziko poté použijeme střední hodnotu (vážený průměr, prostý průměr nebo modus za celý tým pro danou dimenzi a riziko). Dopad, výskyt či proximita jsou poté porovnatelné. Pro porovnání či vyjádření důležitosti rizik potom můžeme použít matici rizik (dopad, výskyt) nebo bublinkový graf (dopad * výskyt je velikost bubliny, proximita je vzdálenost od hladiny). Priorita rizik je jednoznačně dána, díky našemu postupu, a to prostým součinem všech tří dimenzí. Plánování prevence s odstupňovanou alokací zdrojů může začít 😊.

Hodnocení rizik, tj. kvantifikace rizik s cílem jejich prioritizace, může mít různé podoby, resp. různou míru a složitost. Je možné použít pro stanovení dimenzí např. trojúhelníkové rozdělení (optimistická hodnota, nejčastější hodnota, pesimistická hodnota), intervalové rozdělení (optimistická a pesimistická hodnota) nebo i výpočet za pomoci simulace (užití např. metody Monte Carlo). Ale to už je „jiný příběh“, který si ponecháme pro další pokračování tohoto seriálu.

Říká se, že riziko jako ohrožení musí být konkrétní a specifické, jinak je prevence „bezzubá“. V praxi jsme ale často svědky obecného popisu rizik, kdy v popisu daného ohrožení zůstáváme na úrovni „businessu“. Ohrožení druhu „zpoždění termínu“ nebo „vícenáklady“ nelze mnohdy lépe specifikovat, ale vysloveny být musí. Neváží se jednoznačně ke konkrétní aktivitě v projektu nebo ke konkrétnímu zdroji (členu týmu) – ač fáze „hledání viníka“ je nedílnou součástí každého „dobrého projektu“. Účinnou prevenci nelze stanovit (s doložitelným působením). Taková rizika rádi v obecném duchu popíšeme i naceníme. Důležité je o nich hovořit, diskutovat. Je to ale řízení rizik v „dobré tradici“ PMI? Ano i ne. Ano proto, že rizika typu ohrožení pojmenujeme a komunikujeme. Ne proto, že je nelze jednoznačně a účinně řídit (rozuměj skrze prevenci a korekci mitigovat).

Abychom rizika mohli skutečně řídit, musíme znát kde, kdy, komu a čemu „se dějí“. Ne nadarmo se říká, že kdo nemá zpětnou vazbu, neřídí. I řidič v autě má zpětná zrcátka (dnes i kameru, čidla aj.). Ať už je ohrožení prvotně popsáno jakkoliv obecně, je nutné se „dopídit“ konkrétní či původní příčiny, která se vždy děje v daném okamžiku, dané osobě, v daném úkolu (a ohrožuje konkrétní výstup či hodnotu projektu). Jak na to? Co si zavést pravidla „3A“: Aktér (komu), Aktivum (čemu), Aktivita (kdy a kde). Na každé „A“ bychom měli znát odpověď.

Teď jistě někteří praktici začnou kroutit hlavou – žádné poučky a pravidla nedokážou být stejně barevné jako samotná praxe – seniorní a zkušení dodají, „to nebude fungovat vždy a všude“. Pravdu budou mít jen na půl. Tam, kde ohrožení vychází z interních rizik projektu, se nám toto pravidlo „3A“ hodí, kde budou rizika externí, definovat je nedokážeme. Pointou ale je, snažit se mít cílenou a účinnou prevenci, a tu bez přímé vazby na úkoly v projektu nezajistíme.

A jak vzletné pravidlo „3A“ může souviset se strategiemi dle PMI? Jednoduše. Užijeme jej jen u strategie mitigate, tam, kde chceme mít prevenci. Anebo zkusme se na to podívat obráceně. Kde můžeme bez uzardění naplnit všechny 3 kolonky (Aktér, Aktivita, Aktivum) – při identifikaci je máme okamžitě na „jazyku“ – platí nebo by měla platit strategie mitigate.

Může být i jiný přístup, bližší „obecnému“ až „business“ pojmenování rizik? Stačí si vzpomenout na „dobrou praxi“ jiných metodik, na „rizikový faktor“ (vnější působení) a „zranitelnost“ (vlastnost aktiva). Rizikový faktor je vnější vliv v dané situaci, zatímco zranitelnost je vlastnost předmětu či aktivity v ohrožení, která je slabým místem či místem působení rizika. Obojí se nám opět pěkně hodí při identifikaci rizik. Obecně pojmenované ohrožení popíšeme scénářem události a na základě scénáře dohledáme (rozkryjeme) rizikový faktor a zranitelnost. Opět by někteří mohli namítnout, není to opět fádní teorie, bezpředmětná poučka? Není. Uveďme si klasický příklad: Autonehoda při služební cestě, rizikovým faktorem je náledí (počasí) a zranitelností stav pneumatik (přilnavost), případně stav a bdělost řidiče (obojí, auto i řidič (zaměstnanec), jsou aktivem v daném ohrožení).

Toto pojetí je také velmi atraktivní, hodí se nám vždy tam, kde je ohrožení externí, působí z vnějšku na úkoly projektu. Příčinu nemusíme mít možnost ovlivnit ale prevence je možná. Řekněme, že je to vedle pravidla „3A“ druhý možný přístup. Pravidlo „3A“ uplatněme u vnitřních ohrožení, rizikový faktor a zranitelnost u vnějších ohrožení. Vždy cílíme na konkrétní prevenci a mitigaci rizik.

Co říci na závěr? Snad je to, že ať už použijeme jedno či druhé uvedené pravidlo (doporučení) nebo nějaké uplně jiné, rizika vždy identifikujeme a hodnotíme v týmu, ideálně i za účasti stakeholderů. Obrázek sklíčeného projektového manažera, který sedí sám ve své kanceláři v půl osmé večer, a „vymýšlí“ rizika, už opravdu ponechme minulosti a říši hororových příběhů.