Projektový Underground

Když už se rizik přestaneme „bát“, my i náš tým, dokonce i naši stakeholdeři, nastává zpravidla okamžik „co s nimi“. Pokud je známe a opravdu jsme udělali identifikaci poctivě a systematicky, prošli jsme všechny „zákoutí a komůrky“ projektu, máme rizik hodně a je třeba je prioritizovat (nastavit míru ošetření, prevence aj.). Toto „ošklivé“ slovo je důležité a představuje klíč a de facto princip k řízení rizik. Rizika, ať už s kladným nebo záporným působením, jsou v reálném projektovém životě hojná, a je jich mnoho (mělo by být – jinak je něco špatně). Pokud máme nadšený tým, který identifikuje a identifikuje, uvádí další a další případy a možnosti našeho projektového selhání s vazbou na aktivity, aktiva a aktéry projektu (zdroje, užité technologie, členy týmu, dodavatele, podílníky aj.), vystává otázka, které riziko a „jak moc“ ošetřit či odvrátit. Rizika je třeba seřadit podle důležitosti.

Zapomeňme na jednoduché označení „malé“, „střední“ a „velké“. To ponechme dávné projektové prehistorii. Každé riziko je nutné rozlišit podle tří dimenzí, metrik či proměnných (ideálně): na dopad, výskyt a proximitu. Dopad neboli působení si každý představí snadno – je to takový objem práce, peněz či naší energie/úsilí, které v projektu ztratíme nebo musíme vynaložit na nápravu. U dopadu nás to láká k vyčíslení ve finančních jednotkách. To ale není vždy praktické ani možné. Výskyt je už poněkud méně jasný – je to pravděpodobnost nebo šance vzniku rizika? A jak ji ocenit? Řekněme, že výskyt je relativní četnost výskytu rizika, že se zkrátka a dobře objeví či zjeví tam a tam, kde ho nejméně čekáme. Zde by nás lákalo použít procento, resp. procentuální vyjádření pravděpodobnosti (riziko je přeci náhodný jev). S proximitou si ale často kdekdo neví rady – blízkost rizika v čase málokdy někomu něco říká. Ale je opět důležitá – proximita, tedy blízkost rizika v čase, sleduje důležitost rizika z hlediska naší přípravy a vynakládání zdrojů (nejen finančních). Pro proximitu platí jednoduchá poučka: čím blíže je riziko v čase realizace projektu, tím více roste možné ohrožení a bývá zahajována prevence nebo narůstá její nasazení (riziko začne vázat zdroje z projektu). U proximity se nabízejí pro její ohodnocení v čase dny nebo týdny (případně hodiny), jenž zbývají do možné realizace rizika. Pokud bychom ale se nechali zlákat, a dopad ohodnotili ve finančních jednotkách, výskyt v procentuálním vyjádření a proximitu ve dnech, měli bychom velký problém s určením priority rizik podle jedné jediné zástupné hodnoty, která je porovnatelná mezi sebou v rámci seznamu rizik. Finanční jednotky, procenta a dny (týdny, hodiny) nelze mezi sebou násobit nebo porovnávat, jedná se o neslučitelné veličiny. Zde se musíme opřít o doporučení standardů PMI (nejen jich) a použít jednotící bodovou škálu, třeba i se slovním vyjádřením.

Bodová škála v běžné praxi, kdy projektem není výstavba jaderné elektrárny nebo kosmický výzkum za miliardy, postačí jednoduchá, např. v podobě 1 až 3 bodů. Důležité je, zejména pro tým a stakeholdery pro jejich porozumění, uvést slovní vyjádření. Takto vytvořenou metriku můžeme prohlásit za „hodnotící tabulku“ jednotnou pro celý projekt a tým (tím by se stala součástí plánu řízení rizik). A jak provádět hodnocení rizik s užitím této tabulky? Poté, co s tabulkou seznámíme tým či stakeholdery, můžeme nechat všechna identifikovaná rizika ohodnotit – každý oslovený se vyjádří a ke každému riziku přiřadí body za dopad, výskyt a proximitu.

Pro každé riziko poté použijeme střední hodnotu (vážený průměr, prostý průměr nebo modus za celý tým pro danou dimenzi a riziko). Dopad, výskyt či proximita jsou poté porovnatelné. Pro porovnání či vyjádření důležitosti rizik potom můžeme použít matici rizik (dopad, výskyt) nebo bublinkový graf (dopad * výskyt je velikost bubliny, proximita je vzdálenost od hladiny). Priorita rizik je jednoznačně dána, díky našemu postupu, a to prostým součinem všech tří dimenzí. Plánování prevence s odstupňovanou alokací zdrojů může začít 😊.

Hodnocení rizik, tj. kvantifikace rizik s cílem jejich prioritizace, může mít různé podoby, resp. různou míru a složitost. Je možné použít pro stanovení dimenzí např. trojúhelníkové rozdělení (optimistická hodnota, nejčastější hodnota, pesimistická hodnota), intervalové rozdělení (optimistická a pesimistická hodnota) nebo i výpočet za pomoci simulace (užití např. metody Monte Carlo). Ale to už je „jiný příběh“, který si ponecháme pro další pokračování tohoto seriálu.

Říká se, že riziko jako ohrožení musí být konkrétní a specifické, jinak je prevence „bezzubá“. V praxi jsme ale často svědky obecného popisu rizik, kdy v popisu daného ohrožení zůstáváme na úrovni „businessu“. Ohrožení druhu „zpoždění termínu“ nebo „vícenáklady“ nelze mnohdy lépe specifikovat, ale vysloveny být musí. Neváží se jednoznačně ke konkrétní aktivitě v projektu nebo ke konkrétnímu zdroji (členu týmu) – ač fáze „hledání viníka“ je nedílnou součástí každého „dobrého projektu“. Účinnou prevenci nelze stanovit (s doložitelným působením). Taková rizika rádi v obecném duchu popíšeme i naceníme. Důležité je o nich hovořit, diskutovat. Je to ale řízení rizik v „dobré tradici“ PMI? Ano i ne. Ano proto, že rizika typu ohrožení pojmenujeme a komunikujeme. Ne proto, že je nelze jednoznačně a účinně řídit (rozuměj skrze prevenci a korekci mitigovat).

Abychom rizika mohli skutečně řídit, musíme znát kde, kdy, komu a čemu „se dějí“. Ne nadarmo se říká, že kdo nemá zpětnou vazbu, neřídí. I řidič v autě má zpětná zrcátka (dnes i kameru, čidla aj.). Ať už je ohrožení prvotně popsáno jakkoliv obecně, je nutné se „dopídit“ konkrétní či původní příčiny, která se vždy děje v daném okamžiku, dané osobě, v daném úkolu (a ohrožuje konkrétní výstup či hodnotu projektu). Jak na to? Co si zavést pravidla „3A“: Aktér (komu), Aktivum (čemu), Aktivita (kdy a kde). Na každé „A“ bychom měli znát odpověď.

Teď jistě někteří praktici začnou kroutit hlavou – žádné poučky a pravidla nedokážou být stejně barevné jako samotná praxe – seniorní a zkušení dodají, „to nebude fungovat vždy a všude“. Pravdu budou mít jen na půl. Tam, kde ohrožení vychází z interních rizik projektu, se nám toto pravidlo „3A“ hodí, kde budou rizika externí, definovat je nedokážeme. Pointou ale je, snažit se mít cílenou a účinnou prevenci, a tu bez přímé vazby na úkoly v projektu nezajistíme.

A jak vzletné pravidlo „3A“ může souviset se strategiemi dle PMI? Jednoduše. Užijeme jej jen u strategie mitigate, tam, kde chceme mít prevenci. Anebo zkusme se na to podívat obráceně. Kde můžeme bez uzardění naplnit všechny 3 kolonky (Aktér, Aktivita, Aktivum) – při identifikaci je máme okamžitě na „jazyku“ – platí nebo by měla platit strategie mitigate.

Může být i jiný přístup, bližší „obecnému“ až „business“ pojmenování rizik? Stačí si vzpomenout na „dobrou praxi“ jiných metodik, na „rizikový faktor“ (vnější působení) a „zranitelnost“ (vlastnost aktiva). Rizikový faktor je vnější vliv v dané situaci, zatímco zranitelnost je vlastnost předmětu či aktivity v ohrožení, která je slabým místem či místem působení rizika. Obojí se nám opět pěkně hodí při identifikaci rizik. Obecně pojmenované ohrožení popíšeme scénářem události a na základě scénáře dohledáme (rozkryjeme) rizikový faktor a zranitelnost. Opět by někteří mohli namítnout, není to opět fádní teorie, bezpředmětná poučka? Není. Uveďme si klasický příklad: Autonehoda při služební cestě, rizikovým faktorem je náledí (počasí) a zranitelností stav pneumatik (přilnavost), případně stav a bdělost řidiče (obojí, auto i řidič (zaměstnanec), jsou aktivem v daném ohrožení).

Toto pojetí je také velmi atraktivní, hodí se nám vždy tam, kde je ohrožení externí, působí z vnějšku na úkoly projektu. Příčinu nemusíme mít možnost ovlivnit ale prevence je možná. Řekněme, že je to vedle pravidla „3A“ druhý možný přístup. Pravidlo „3A“ uplatněme u vnitřních ohrožení, rizikový faktor a zranitelnost u vnějších ohrožení. Vždy cílíme na konkrétní prevenci a mitigaci rizik.

Co říci na závěr? Snad je to, že ať už použijeme jedno či druhé uvedené pravidlo (doporučení) nebo nějaké uplně jiné, rizika vždy identifikujeme a hodnotíme v týmu, ideálně i za účasti stakeholderů. Obrázek sklíčeného projektového manažera, který sedí sám ve své kanceláři v půl osmé večer, a „vymýšlí“ rizika, už opravdu ponechme minulosti a říši hororových příběhů.

Říká se, že řízení rizik je nedílnou součástí řízení projektu i organizace. Je to pravda? Laskavý čtenář zná jistě odpověď. Řízení rizik je „nechtěné“ dítko – řízení rizik máme, ale neradi se mu věnujeme na 100 % tak, jak by si zasloužilo. Riziko je již ve standardu PMBoK verze 6 i 7 pojímáno jednoznačně jako náhodná událost s negativním (threat) nebo pozitivním dopadem (opportunity). Už dávno jsou pryč ty časy, kdy riziko bylo zejména ohrožení, hrozba, bez jakékoliv příležitosti.

Přínosem pro soudobé řízení rizik jsou strategie, které PMBoK dlouhodobě uvádí a doporučuje, viz tabulka níže. Strategie jsou návodné a srozumitelné, dobře se již vžily do běžné praxe projektových manažerů. Otázkou ale je jejich výběr či uplatnění – kde a proč u kterého rizika která strategie má být uplatněna.

Pojďme se podívat zejména na ohrožení, která nás trápí obvykle nejvíce. S příležitostmi si obvykle snadno poradíme, kdo by se jim bránil? Ty si ponechme na další číslo zpravodaje.

Jak na strategie v případě ohrožení?
V případě ohrožení je možné jednotlivé strategie rozdělit do rozhodovacího „stromu“:

Čtyři klasické strategie, které standard PMBoK uvádí již dlouhé roky, jsou dobře známé i dobře popsané a představují tu nejlepší „best practice“. Dají se velmi dobře a pohodlně použít jako jakýsi „mentální framework“. Po identifikaci rizika typu ohrožení je možné nejdříve zvážit jeho odmítnutí (avoid), pokud je to možné a vhodné, např. provést změnu projektu (přeplánování, výběr jiné technologie atp.). Pokud není možné ohrožení odmítnout, nabízí se dané ohrožení na někoho převést (transfer), např. uzavřením pojistky či smluvní doložky (o riziko se podělíme). Pokud ani to není možné ani výhodné, musíme zvážit případnou prevenci a s ní spojené vynakládání zdrojů a rozpočtu na rizika. A to může bolet, jde do tuhého. Pokud se rozhodneme prevenci neprovádět (můžeme si to dovolit), ohrožení akceptujeme (accept). Pokud je ohrožení významné a mimo např. Risk Appetite, plánujeme a realizujeme opatření (mitigate).

Strategie, která je uvedena ve standardu PMBoK a není v uvedeném rozhodovacím stromu, je Escalate. Je to novinka a zatím nikdo moc neví jak na ni. Zdá se, že představuje „případy vyšší moci“, kdy projektový manažer a jeho tým ví o ohrožení, které neovlivní, které je mimo rozsah a řízení projektu, které ale může nastat a být i fatální. Je třeba o takové neblahé budoucnosti projektu informovat, zejména stakeholdery a vedení firmy. Nebo je to jinak?