Se pot vedea și cele scrise de PMI pe acest subiect…

Concepte și terminologie

Risc

De-a lungul timpului, noțiunea de „risc” a avut diverse definiții. Dar, oricum, ele erau legate de noțiunea de incertitudine. Având în vedere că aici e vorba despre „organizație”, s-ar putea spune așa:

Incertitudine

Wikipedia ne oferă o definiție mai generală a incertitudinii:

Aici deja avem o problemă! „Probabilități cunoscute”? Organizația este o creație umană, un sistem care prin modul lui de funcționare în cadrul economic și social nu permite cunoașterea probabilităților de apariție și manifestare a unor condiții viitoare.

Oricum, ceea ce ne-a oferit cursul în discuție a fost aceasta:

Obiective ale organizației

Obiectivele reprezintă stări viitoare dezirabile pentru organizație, exprimate (în măsura în care este posibil) în termeni numerici. Dacă ele sunt și SMART, cu atât mai bine! Cuantificarea obiectivului îl deosebește pe acesta de ceea ce se numește scop.

O organizație poate avea diverse categorii de obiective:

• Strategice: obiective concepute pentru a susține viziunea și misiunea organizației (e vorba de obiectivele pe termen lung).
• Operaționale: obiective pe termen scurt, cu aspecte practice, legate de exemplu de creșterea eficienței operațiunilor, sau de atingerea obiectivelor de performanță.
• Raportare: obiective legate de date și rapoarte financiare și operaționale fiabile.

De multe ori se folosește un slogan:

Deși poate plicticos, cei interesați merită să arunce o privire pe un curs în domeniu, de tipul „Teorie și comportament organizațional”.

Managementul riscurilor

O posibilă definiție a acestui proces ar putea fi aceasta:

Atenție: cuvintele bold-uite chiar au importanță! 😉

Și pentru că suntem aici, iată un document util:

Ce-ar mai fi util de precizat: în general, în mentalul fiecăruia dintre noi facem o asociere simplă, aceea că riscul înseamnă pericol, amenințare. Ei bine, în cadrul acestei abordări de management al riscurilor ni se spune că riscurile pot fi (totuși) de două tipuri:

• Amenințări – cele care, dacă se manifestă, vor avea impact negativ asupra obiectivelor.
• Oportunități – cele care, dacă se manifestă, vor avea impact pozitiv asupra obiectivelor.

Impactul riscului

Impactul se poate defini pe scurt ca fiind efectul manifestării riscului, sau consecința manifestării lui asupra organizației.

Probabilitatea riscului

Probabilitatea ar putea fi definită ca șansa producerii/manifestării respectivului risc.

Și-aici e deja problema. Vorbim despre viitor. Incertitudinea e o caracteristică a acestuia. Nu se pot face decât estimări asupra probabilității de manifestare a unui risc, estimări care, cu siguranță, vor fi specifice (deci subiective) celui care le face. Cu cât mai multor oameni le vom cere astfel de estimări, cu atât mai multe estimări diferite vom obține. Această problemă e punctul slab și rădăcina greșelii umane în ceea ce se numește managementul riscului. Iar metodologiile dezvoltate de „specialiști” trec relativ ușor peste această mare, mare problemă.

Deocamdată o las așa, rezumându-mă doar la a o sublinia ca problemă! Scopul articolului e doar de a face o trecere în revistă a ceea ce au dezvoltat „experții” în riscuri…

Calculul riscului

E simplu. Metodologia ne spune că:

Alte terminologii utilizate

• Atitudinea la risc – atitudinea unei organizații față de risc, cea care influențează modul de abordare a acestora (acceptare, tolerare, evitare, etc.); se mai poate numi și apetitul pentru risc (a se vedea și „Toleranţa la risc” de mână cu „apetitul”.
• Politica de management al riscurilor – exprimă angajamentul organizației cu privire la activitatea de gestionare a riscurilor.
• Responsabilul riscului – numit de multe ori „proprietarul” riscului, dintr-o preluare greșită (așa cum facem de multe ori și în multe domenii) a traducerii mot à mot din englezescul „risk owner”.
• Proces de management al riscurilor – un proces care aplică sistematic procedurile și politicile de management unui anumit set de activități.
• Stabilirea contextului – definirea parametrilor interni și externi pe care organizația trebuie să-i ia în considerație atunci când gestionează riscuri.
• Risc rezidual – riscul rămas după implementarea măsurilor de tratare a unui risc inițial.
• Profilul de risc – o documentare a descrierii unui set de riscuri.
• Nivelul de risc (magnitudinea) – estimat cu luarea în considerare a combinației probabilitate/impact.

• Planificarea Managementului Riscului – procesul prin care se stabilește metodologia de realizare a managementului riscului, cei implicați (roluri și responsabilități), precum și procedurile ce vor fi folosite.
• Identificarea Riscurilor – procesul prin care toate părțile interesate (stakeholders) sunt implicate în obținerea lungii liste a riscurilor; riscurile pot fi identificate la nivel de companie/departament/pachet de lucru/proces.
• Analiza Calitativă de Risc – procesul prin care se analizează subiectiv riscurile identificate anterior, cu luarea unei decizii referitoare la riscurile ce trebuie luate în considerare – „lista scurtă”; probabilitatea și impactul sunt „determinate” calitativ.
• Analiza Cantitativă de Risc – procesul prin care se analizează numeric atât probabilitatea, cât și impactul riscurilor.
• Planificarea Răspunsului la Risc – procesul prin care se determină strategiile pentru reducerea riscurilor prin descreșterea probabilității și/sau a impactului amenințărilor și creșterea probabilității și/sau impactului oportunităților.
• Monitorizarea și Controlul Riscului – procesul prin care strategiile sunt implementate în organizație; cuprinde și observarea evenimentelor declanșatoare de risc, identificarea noilor riscuri și evaluarea eficacității răspunsurilor la risc; managementul riscului e un proces iterativ!

Planificarea Managementului Riscului

Contextul extern

Contextul extern ar fi reprezentat de mediul extern în care organizația urmărește să-și atingă obiectivele. Acesta include:

• contexte socio-culturale, politice, juridice, de reglementare, financiare, tehnologice, economice, naturale, etc.;
• mediul competitiv, internațional, național, regional sau local;
• factorii cheie și tendințele cu impact asupra obiectivelor organizației;
• relațiile cu părțile interesate externe.

Contextul intern

Contextul intern este mediul intern în cadrul căruia organizația urmărește să-și atingă obiectivele, acesta incluzând:

• structura organizatorică, rolurile și responsabilitățile definite;
• politicile, obiectivele și strategiile organizației;
• capabilitățile, înțelese în termeni de resurse și cunoștințe;
• cultura organizațională;
• relațiile cu părțile interesate interne;
• sisteme informatice, fluxuri informaționale și procesul de luare a deciziilor (atât formale, cât și informale);
• standarde și modele adoptate de organizație.

Planul de management al riscurilor în organizație

Metodologia

Include:

• Identificarea riscurilor
• Analiza riscurilor:
  • Analiza calitativă
  • Analiza cantitativă
• Planificarea răspunsului la risc
• Monitorizarea și controlul riscurilor

Roluri și responsabilități

Vorbim aici despre așa numita metodă RACI.

• R – Responsible – responsabilul de realizare a acțiunii
• A – Accountable – cel ce-și dă acordul asupra acțiunii și evoluției sale, cel care are autoritatea, A fiind superior lui R
• C – Consulted – cel ce urmează a fi consultat, deținând informații în calitate de expert și având capacitatea de a ajuta la finalizarea proiectului
• I – Informed – cel ce urmează a fi informat și notificat asupra rezultatelor, fără a fi consultat

Buget alocat

Se referă la identificarea costurilor provenite din execuția proceselor de management al riscurilor:

• personal utilizat
• resurse materiale utilizate
• alte cheltuieli

Când / în ce moment?

Fiind un proces continuu, Managementul Riscurilor presupune stabilirea intervalelor de timp la care procesele se vor repeta, pentru a aprecia dacă:

• apar riscuri noi, sau dacă
• riscurile identificate își modifică parametrii.

Categorii de risc

Exemple de astfel de categorii:

• Tehnice:
  • de suprafață
  • de adâncime
  • infrastructură
  • tehnologice
  • operabilitate
• Economice:
  • cost – ciclu de viață
  • metode de evaluare, rata de dicount
  • metode economice (VAN, RIR, etc.)
• Comercial
  • contractare și achiziții
  • aspecte legislative
  • competiție
  • piață
• Organizațional/operațional
  • guvernanța
  • structuri organizaționale
  • resurse
  • proceduri, reglementări, standarde, manuale
  • sisteme IT
  • interfețe
• Socio-politic
  • autorități
  • guvern
  • părți interesate (nevoi, interese, așteptări)
  • comunitate

Plan de management al riscurilor

Pentru fiecare proces al organizației supus analizei și planificării riscului, este necesară definirea unei scări pentru stabilirea probabilității și impactului acestuia asupra procesului. Aceste scări vor ține evident seama de „apetitul de risc” al organizației. Iată o astfel de posibilă scară:

unde:

• VH ⇒ Very High (foarte înalt)
• H   ⇒ High (înalt)
• M  ⇒ Medium (mediu)
• L   ⇒ Low (redus)
• VL ⇒ Very Low (foarte redus)

Tot în cadrul planificării, e necesar un tabel unitar care să definească într-un mod cât mai clar, pe tipuri de obiective, între ce valori se încadrează diversele niveluri ale impactului riscurilor. Iată un exemplu:

Evaluarea impactului asupra obiectivelor
Obiective	Very Low	Low	Moderate	High	Very High
Cost	Creșteri nesemnificative	Creștere < 5%	Creștere între 5 - 10%	Creștere între 10 - 20%	Creștere > 20%
Timp	Întârzieri nesemnificative	Întârzieri < 5%	Întârzieri între 5 - 10%	Întârzieri între 10 - 20%	Întârzieri > 20%
Scop	Schimbare marginală a domeniului de aplicare	Schimbare minoră a domeniului de aplicare	Schimbare moderată a domeniului de aplicare	Schimbare majoră a domeniului de aplicare	Schimbare totală a domeniului de aplicare
Calitate	Nerespectarea unui criteriu minor de acceptare	Nerespectarea mai multor criterii minore de acceptare	O diminuare a calității ce impune aprobarea clientului	O diminuare a calității inacceptabilă pentru client	Eșecul calității

Și ajungem la definiții ale probabilității și impactului, un tabel specific fiecărui tip de proiecte/procese ale organizației, care se va folosi la nivel unitar în cadrul organizației, el rezultând din apetitul de risc al organizației. Folosirea lui unitară în cadrul proiectelor/proceselor de același tip este obligatorie, în caz contrar proiectele/procesele neputând fi comparate din punct de vedere al riscurilor.

				Impact
P r o b a b i l i t a t e		Very Low	Low	Medium	High	Very High
	Very Low	0	1	2	3	4
	Low	1	2	3	4	5
	Medium	2	3	4	5	6
	High	3	4	5	6	7
	Very High	4	5	6	7	8

Toleranțele părților interesate (stakeholders)

La acest aspect trebuie să se răspundă la întrebarea: care este toleranța la risc a organizației? Practic, se vor lua în discuție următoarele:

• Care este limita de tolerabilitate?
• Ce reprezintă un risc critic pentru organizație?

Funcție de răspunsuri, se pot face ajustări legate de culorile celulelor tabelului de mai sus.

Formate de raportare

Pentru a formaliza sistemul sunt necesare definiri ale formatelor de raportare, cu răspunsuri clare la următoarele întrebări:

• Se utilizează aplicații informatice?
• Care este perioada de raportare?

Identificarea riscurilor

Fiind critic, procesul de identificare a riscurilor, presupune interacțiunea cu toate părțile implicate (stakeholders), el având ca obiective?

• identificarea unei lungi liste de amenințări și oportunități la nivelul departamentelor organizației
• păstrarea unui format standard în acțiunea de identificare pe modelul: CAUZĂ – RISC – EFECT
• înțelegerea tuturor riscurilor

Frecvent întâlnită în acestă acțiune este o confuzie: considerarea unor evenimente ca riscuri, în condițiile în care acestea sunt de fapt certitudini.

Riscurile cu o probabilitate de apariție de 80÷90% pot fi încadrate ca certitudini și excluse din registrul riscurilor, acestea urmând a fi tratate ca probleme (issues), ele căutând a fi tratate adecvat.

Pentru identificarea corectă a unui risc este utilă folosirea unei fraze de tipul:

Iată exemple de definire greșită/corectă a unor riscuri:

sau

Metode de identificare a riscurilor

O primă observație: prin simpla identificare a riscurilor se diminuează nivelul de risc, fiind necesară aici introducerea noțiunilor de Necunoscut Cunoscut (Unknown Knowns) Necunoscut Necunoscut (Unknown Uncnowns).

Printre metodele folosite de identificare a riscurilor se numără:

• Lista de categorii
• Istoricul organizației
• Brainstorming
• Analiza „Pre-Mortem”
• Diagrame de afinitate
• Interviuri cu Experți
• Tehnica Grup Nominal
• Metoda Delphi
• Diagrama „Cauză-Efect” (Fishbone)
• „FMEA” – Analiza mod defectare și efect
• Analiza SWOT
• Diagrame de influență (Influence Diagram)

Registrul de riscuri

Întreaga informație colectată prin metodele de mai sus se vor concretiza în REGISTRUL de RISC, care, în principiu ar trebui să arate așa:

Analiza calitativă a riscurilor

Procesul de analiză calitativă a riscurilor are ca principal obiectiv stabilirea riscurilor care impun un răspuns imediat.

Obiective specifice:

• evaluarea subiectivă a probabilității și impactului fiecărui risc în parte
• crearea listei scurte de riscuri prin determinarea riscurilor critice care urmează a fi analizate cantitativ și/sau care vor fi tratate în cadrul următorului proces de Răspuns la Risc
• luarea unei decizii de tip GO/NO-GO

Evaluarea calității datelor

Această etapă își propune răspunsul la întrebarea: cât de bine sunt înțelese riscurile identificate? Se recomandă următorii pași:

• Gradul de înțelegere al fiecărui risc
• Cantitatea datelor disponibile despre fiecare risc
• Siguranța și integritatea acestor date

Pentru a facilita acest proces e utilă completarea următorului tabel:

Scala Probabilitate – Impact

• Probabilitate – șansele de manifestare a riscului.
• Impact – efectul manifestării riscului asupra obiectivelor proiectului.

În mod obișnuit, o interpretare a probabilității și impactului funcție de o scară prestabilită va reduce subiectivismul și părtinirea (motivațională, intenționată sau cognitivă) și diferențele de percepție. În acest sens ar fi utilă completarea unui tabel de forma:

Se va fixa un impact și o probabilitate de apariție pentru fiecare risc.

Este sarcina organizației să determine care combinație dintre probabilitate și impact reprezintă risc sever, major, moderat, minor, sau ușor. Acest lucru va permite încadrarea riscurilor pe categorii, pe baza matricii de probabilitate și impact. Se obține Scorul Riscului:

La ce e utilă această matrice? Păi riscurile al căror scor cad în zona roșie a matricii sunt cele care impun acțiune imediată, ele fiind critice. Riscurile cu scoruri din zona galbenă sunt cele pentru care se planifică acțiuni în vederea tratării lor, iar cele cu scoruri din zona verde sunt considerate că pot fi ținute sub control, dar (atenție!), și acestea își pot schimba probabilitatea/impactul, putând astfel migra spre alte zone… critice.

Întreaga informație acumulată până la acest moment este introdusă în Registrul de Risc, cu următoarele elemente:

• Tipuri de Risc
• CAUZĂ – RISC – EFECT
• Potențial Responsabil și Răspuns
• Factor declanșator (Trigger)
• Categorii de Risc
• Probabilitate
• Impact
• Scor Risc

Abia după această etapă, urmează o decizie care să opteze între două variante:

• Analiza Cantitativă a riscurilor, care se bazează pe faptul că
  • toate riscurile au fost identificate (oare cum ar putea cineva să facă o astfel de afirmație, când vorbim de viitor?) 😉
  • merită investiția de timp și bani
  • e un proiect/departament cu prioritate mare
  • e mică toleranța de depășire de costuri/durate

sau

• Planificarea Răspunsului la Risc, ce se bazează pe elemente ca
  • buget mic sau proiect de scurtă durată
  • organizația/echipa de proiect nu are experiență în gestionarea riscului și nu a depășit etapa de analiză cantitativă.

Analiza cantitativă a riscurilor

Procesul are ca obiectiv principal analiza numerică a probabilității și impactului fiecărui risc și analiza expunerii la risc.

Obiectivele specifice se referă la:

• decizia cu privire la riscurile pentru care trebuie inițiat un răspuns imediat
• evaluarea obiectivă a probabilității și impactului fiecărui risc
• determinarea nivelului de risc
• determinarea impactului, funcție de care se poate continua fără acțiuni de răspuns, sau cu acțiuni de răspuns
• determinarea probabilității atingerii obiectivelor

Valoarea Monetară Așteptată – Expected Monetary Value (EVM)

Este metoda folosită pentru determinarea efectului riscurilor. Se calculează astfel:

Oportunitățile fiind considerate beneficii, nu sunt luate în considerare la stabilirea EVM.

Simularea Monte-Carlo

E necesară introducerea noțiunii de distribuție de probabilitate (repartiție), cea care descrie probabilitatea valorilor uneia sau mai multor variabile aleatorii.

Desigur, există mai multe tipuri de distribuții de probabilitate. S-a făcut afirmația că „cea mai precisă” este cea triunghiulară (Simson)

Se afirmă că simularea Monte-Carlo:

• evaluează gradul de încredere al planificării, luând în calcul evenimentele de risc, dar și distribuții ale probabilității
• determină probabilitatea de finalizare a proiectului/programului/portofoliului la data și bugetul stabilite deterministic
• determină marker-ii de probabilitate (P10, P50, P90, etc.) pentru durata și costul proiectului (ex.: 10% șanse ca proiectul să dureze x și să coste y)
• determină un buget de contingență (rezervă)
• printr-o analiză de senzitivitate, determină care sunt activitățile apărute cel mai de pe drumul critic și care sunt cele mai importante riscuri, permițând o ordonare pe baza priorităților

Arborele de decizie

Arborii de decizie sunt reprezentări ale a unor situații reale, folosite pentru observarea potențialului impact al luării unor decizii, cu luarea în considerare a riscurilor, din punct de vedere al probabilității de apariție și al impactului acestora. Caracteristici:

• un arbore de decizie analizează evenimentele viitoare, facilitând luarea unei decizii justificate la momentul curent;
• calculează Valoarea Monetară Așteptată (EVM) în situații complexe;
• se bazează pe principiul excluderii mutuale (două evenimente nu se pot întâmpla în aceeași situație).

Planificarea răspunsului la risc

Procesul de Planificare a Răspunsului la Risc are ca principal obiectiv determinarea acțiunii (ceea ce poate fi făcut) pentru a reduce riscul prin: diminuarea probabilității (de apariție) și/sau a impactului amenințărilor și creșterea probabilității și/sau impactul oportunităților.

Printre metodele folosite în acest scop se pot enumera: Brainstorming, Interviuri (cu specialiști), Lecții Învățate (Lessons Learned).

Strategii de răspuns la Amenințări

Există câteva tipuri de strategii de tratare a Amenințărilor:

• Evitarea – eliminarea riscului prin eliminarea cauzei
• Reducerea – prin reducerea probabilității sau a impactului
• Transferul – alocarea riscului unei părți terțe (prin subcontractare sau achiziționarea de asigurări)
• Acceptarea – acceptarea poate fi Pasivă sau Activă (elaborând un plan de rezervă)

Strategii de răspuns la Oportunități

Și Oportunitățile pot fi tratate, folosind strategii de tipul:

• Exploatare – creșterea oportunității prin creșterea probabilității cauzei
• Creștere – creșterea timpului, calității sau valorii monetare prin creșterea probabilității sau impactului
• Împărțire – reținerea doar a unei părți din oportunitate, partajând-o cu partenerii
• Acceptare – acceptarea Pasivă sau Activă (elaborând un plan de rezervă)

Noțiuni utile

• Risc Rezidual – riscul rămas după procesul de planificare și răspuns; include atât riscurile acceptate pasiv, cât și riscurile rămase după realizarea acțiunii de răspuns.
• Plan de contingență – acțiune planificată pentru situația manifestării riscului.
• Plan secundar (fallback) – acțiune planificată pentru cazul manifestării riscului și planul de rezervă (contingență) nu este eficient sau eșuează.
• Responsabil Risc – are ca sarcină detectarea posibililor declanșatori ai riscului și gestionarea răspunsului la risc dacă acesta apare; el trebuie implicat în dezvoltarea planului de rezervă și a celui secundar.
• Responsabil Acțiune Risc – este responsabil cu implementarea acțiunilor pre-aprobate de răspuns la risc, lucrează împreună cu Responsabilul de Risc care este responsabil pentru eficacitatea răspunsului la risc.
• Riscuri Secundare – sunt Riscuri generate de o strategie de răspuns la un alt risc; se impune ca acestea să treacă prin procesul de analiză calitativă și/sau cantitativă, ele necesitând, de asemenea, un răspuns.
• Rezerva – cantitatea de timp sau cost adăugată proiectului pentru gestionarea riscurilor.
  Metode de determinare a Rezervei:
  • 10% – adăugarea unui procentaj de timp și/sau cost pentru rezerva de contingență și de management;
  • GUESS-Estimare (vezi Guesstimate) – bazat pe numărul de riscuri și pe scorul de risc al proiectului;
  • Valoarea Monetară Estimată – calculul Valorii Monetare Așteptate poate echivala cu rezerva de contingență + 5% pentru rezerva de management;
  • Simularea Monte-Carlo

Monitorizarea și controlul riscurilor

Procesul de Monitorizare și control al riscurilor are ca principal obiectiv realizarea mentenanței sistemului creat deja.

• Implementarea planurilor de răspuns la risc, gestionarea procesului
  Responsabilii de risc se vor preocupa de implementarea acțiunii de contingență ca urmare a unui răspuns la factori declanșatori; Managerul de Proiect trebuie să se asigure că planul de contingență și cel secundar sunt bine înțelese.
• Gestionarea contingenței și a rezervei de management
  Rezervele de contingență sunt folosite pentru gestionarea necunoscutelor cunoscute, iar rezervele de management pentru gestionarea necunoscutelor necunoscute.
• Crearea unor workaround-uri
  Un „workaround” este un răspuns neplanificat la un Risc Neidentificat apărut.
  Sunt acțiuni reactive, nu proactive. Planurile de contingență și cele secundare trebuie să fie primordiale!
• Controlarea riscurilor
  Evaluarea performanței proiectului include și managementul de risc!
  Se va lua în considerare numărul riscurilor identificate ce nu au fost incluse în evaluarea inițială. Mai mult, numărul de „workaround”-uri poate fi un indicator de performanță!
• Actualizarea registrului riscurilor
  Revizuirea riscurilor – cu implicarea stakeholder-ilor în procesul de control al riscurilor și gestionare a schimbărilor (ședințe săptămânale).
  Audit de Risc – Evaluarea responsabililor de risc: determinarea eficienței responsabililor, a eficacității planurilor de contingență și secundare.
• Reiterarea proceselor de identificare, analiză și răspuns
  Managementul de risc este un proces iterativ, ce continuă până la finalizarea proiectului, procesele de management al riscurilor se succed, putând duce la identificarea unor noi riscuri (sau oportunități 😉 ).
• Re-estimarea proiectului
  Pe măsură ce noi informații sunt descoperite, schimbări și noi riscuri pot apărea, estimările trebuind de aceea revizuite, pentru a ne asigura că cerințele își păstrează viabilitatea.
• Menținerea informării stakeholder-ilor despre statusul riscurilor proiectului
  Riscurile trebuie tratate ca activități și raportate prin folosirea unor instrumente ca:
  • Planul de management de proiect
  • Rapoarte lunare
  • Grafice
  • Registrul de Risc
• Crearea Lessons Learned
  Lecțiile învățate trebuie să includă obligatoriu și informații despre riscuri. Ce a mers bine, ce a mers rău, ce poate fi îmbunătățit în viitor?
  Scop:
  • Prevenirea întâmpinării acelorași probleme în viitor
  • KAIZEN – îmbunătățirea continuă a proceselor
  • Economisire – Timp și Buget în activitățile viitoare

Zone: Management de Proiect, Management, Tehnice.