Řízení rizik projektu

1. Řízení rizik projektu

Rizika projektu (ale i celé firmy) je tedy potřeba určitým způsobem řídit. Cílem takového řízení je snížení pravděpodobnosti nastání a dopadu rizik na průběh projektu a jeho produkt.

Nejprve pro pořádek uveďme definici rizika. PMBOK definuje projektové riziko jako „nejistou událost nebo podmínku, která, pokud nastane, bude mít dopad na alespoň jeden z obecných cílů projektu“ (kam se dle PMBOK řadí termín, náklady, rozsah a kvalita). Riziko je tedy dáno dvěma základními předpoklady: musí být nejisté a musí mít dopad na projekt.

Kroky, které musíme v rámci řízení rizik podniknout, lze dle PMBOK rozdělit do šesti oblastí – vytvoření plánu pro řízení rizik, identifikace rizik, provedení kvalitativní a kvantitativní analýzy, naplánování opatření proti rizikům a monitorování rizik.

Protože ale projekt není uzavřený systém, působí na něj mnoho faktorů, které mohou v jeho průběhu nová rizika vytvořit nebo naopak ta stará eliminovat. Z toho důvodu je řízení rizik kontinuální proces, který probíhá po celou dobu projektu. Nejedná se tedy o to provést jednorázových šest kroků a myslet si, že tím jsme s riziky skončili – je nutné se věnovat řízení rizik i v průběhu realizace.

1.1. Vytvoření plánu pro řízení rizik

Stejně jako nelze ad hoc reagovat na nastalou situaci – a právě proto potřebujeme risk management – nemůžeme ani ad hoc jednotlivé kroky řízení rizik provádět. To znamená, že nejprve potřebujeme jasný plán, který pro úkony řízení rizik určí standardy a metodologii.

V tomto kroku je nutné se shodnout na používaném jazyku a odborných termínech, odpovědnostech a rolích jednotlivých členů týmu z hlediska řízení rizik, načasování (tedy kdy se budou další kroky řízení rizik provádět a jak často se budou opakovat), rozpočet nákladů na řízení rizik (ten musí být následně zahrnut do celkového rozpočtu projektu) a metodologii (tedy jaké metody se budou používat, jaké formuláře, s jakou strukturou a další konkrétní detaily ve zvolených metodách).

1.2. Identifikace rizik

V tomto kroku se zjišťuje, jaká rizika mohou potenciálně projekt ovlivnit, a dokumentují se všechny jejich vlastnosti. Je potřeba do této části procesu zapojit nejen projektového manažera a projektový tým, ale také zákazníky, uživatele, externí experty a další stakeholdery. Ne nadarmo se říká, že víc hlav víc ví. Z psychologického hlediska je dobré zapojit do identifikace všechny osoby, které se budou dále podílet na vytváření a implementaci opatření proti rizikům. Účastí na identifikaci si totiž tyto osoby vytvoří pocit vlastnictví a odpovědnosti za rizika a uvědomí si možné souvislosti mezi jednotlivými riziky – spíše tak dosáhnou očekávaných výsledků, než kdyby jim bylo riziko přiděleno shora.

Jak již bylo řečeno, identifikace rizik je iterativní záležitostí. Probíhá tedy po celou dobu projektu – vždy se mohou objevit zcela nová rizika, která je nutné identifikovat a řídit. Některá rizika naopak s postupem projektu ztrácí smysl.

Mezi vstupy do procesu identifikace rizik patří vytvořený plán pro řízení rizik (aby bylo jasné, kdo se má na identifikaci podílet a jak konkrétně má proces vypadat), všechny dosud vytvořené plány (protože každý plán inherentně obsahuje určitá rizika nesplnění), registr stakeholderů (aby nebylo zapomenuto na žádného stakeholdera, jehož pohled na rizika by mohl být pro identifikaci užitečný) a všechny projektové dokumenty včetně relevantních dokumentů z minulosti (například databáze rizik).

Metod, které lze v rámci identifikace rizik využít, je několik. Základem je pečlivé projití veškeré dokumentace, plánů, předpokladů a smluv. Samotná kvalita plánů, stejně jako konzistence mezi plány navzájem a mezi předpoklady, požadavky a cíli projektu, může ukazovat na potenciální rizika.

Dále lze využít kontrolní seznamy (checklisty) rizik vytvořené z minulých podobných projektů – checklist poskytuje rychlý základ pro identifikaci rizik, nikdy ale nemůže obsahovat všechna rizika, a proto je nutné zkoumat i faktory, které se na checklistu neobjevují. Budou-li nalezena další rizika, je potřeba checklist aktualizovat, aby byl pro příště zase o něco kompletnější.

Mezi další techniky patří brainstorming, Delphi metoda, diagramy příčin a následků (také známy jako Ishikawovy diagramy nebo diagramy rybí kosti), systémové a procesní modely nebo SWOT analýza.

Výstupem identifikace rizik musí být registr rizik. Do tohoto registru je zaneseno každé riziko v předem dané formalizované podobě a právě do tohoto registru se postupně doplňují podniknuté kroky a ostatně všechno, co se rizika nějakým způsobem týká. Cílem je získat přehledný seznam rizik, který potom vstupuje do dalších procesů řízení rizik. Některá opatření proti rizikům mohou být identifikována už v této fázi – jak lidé přicházejí s nápady na rizika, přicházejí někdy také rovnou i s návrhy na opatření proti nim. V tom případě jsou tato opatření do registru rizik zanesena také.

1.3. Kvalitativní analýza rizik

Ve chvíli, kdy jsou rizika identifikována, je potřeba zjistit, kterým se musíme věnovat prioritně a která můžeme nechat v pozadí. Je totiž jasné, že všechna rizika nebudou stejně závažná.

Pro určení velikosti rizika se v současnosti používají jeho dvě základní charakteristiky. Jak jsme řekli na začátku této kapitoly, projektové riziko musí být nejisté a musí mít dopad na projektové cíle. Při tom je vcelku logické, že závažnost rizika bude růst s tím, jak roste pravděpodobnost jeho nastání, a také s tím, jak roste velikost jeho dopadu. V poslední době se v některých analýzách rizika používá také třetí faktor, a to pravděpodobnost včasného odhalení rizika (více viz metoda FMEA). Metody analýzy rizik potom dělíme podle toho, zda pracují s konkrétně vyčíslenými hodnotami pro pravděpodobnost a velikost dopadu, nebo jen s určitými hrubými intervaly (často doplněnými slovním popisem).

Kvalitativní analýza, jak už název napovídá, s konkrétními čísly nepracuje. Nejčastěji používaným nástrojem je zde mapa rizik nebo také matice rizik. Její konkrétní podoba se může mírně lišit a musí se formalizovat během procesu vytvoření plánu pro řízení rizik. Příklad takové mapy rizik viz následující Obrázek 7-1 :

Zdroj: PMBOK

Na osách jsou základní faktory rizika – pravděpodobnost jeho nastání a velikost jeho dopadu. Na obou osách se znázorňuje zpravidla pět intervalů (nicméně může jich být méně i více). Jednotlivá rizika jsou pak zanesena do příslušných buněk. Vzhledem k tomu, že se nepracuje s konkrétními čísly, může být určování pravděpodobnosti nastání a velikosti dopadu do značné míry subjektivní a zkreslené. Je proto nutné nespoléhat se na jeden zdroj, ale ideálně vést rozhovory s více stakeholdery, vyžádat si expertní odhady a konzultovat dokumentaci.

Mapa rizik po svém dokončení umožňuje rychlé nalezení nejzávažnějších rizik, kterým je potřeba se věnovat prioritně, a také prakticky zanedbatelných rizik, které bude stačit monitorovat.

1.4. Pohled na riziko

Na riziko se můžeme dívat ze dvou pohledů. Pokud budete například investovat do akcií, pak je s takovou investicí nepochybně spojeno určité riziko. Zde je ale riziko chápáno, jak v pozitivním, tak negativním smyslu. Daná akcie tedy může vynést více i méně, než se původně očekávalo. Takovéto riziko označujeme jako tzv. podnikatelské riziko. V rámci projektů je častější uvažování s tzv. čistým rizikem. Zde se jedná pouze o negativní složku podnikatelského rizika – tedy možnost nedosažení očekávaných výsledků, nikoliv jejich přesažení.

Nicméně je možné v rámci řízení rizik rozšířit pohled i o podnikatelské riziko a do mapy rizik doplnit kromě hrozeb (které vedou k nedosažení cílů) také příležitosti (které vedou k přesažení cílů). Taková mapa by potom vypadala následujícím způsobem.

Zdroj: PMBOK

1.5. Kvantitativní analýza rizik

Kvantitativní analýza rizik se snaží vyčíslit pravděpodobnost nastání rizika a velikost jeho dopadu konkrétními hodnotami. To poté umožňuje získat závažnost rizika jako součin pravděpodobnosti nastání a velikosti dopadu. Samozřejmě, že klíčovým problémem je určení způsobu, jak se k potřebným číslům dostat. Proto se někdy přistupuje k určitému kompromisu, kterým tuto podkapitolu začneme. Jedná se o tzv. semikvantitativní analýzu. V tomto případě se používá také mapa rizik, nicméně každému intervalu na osách je přiřazena určitá číselná hodnota, například způsobem, který uvádí Obrázek 7-3 :

Zdroj: PMBOK

Používáme-li stupnici rozdělenou na pět částí, pak velmi nepravděpodobné riziko dostane na vertikální ose jedničku, nepravděpodobné dvojku atd. Riziko se zanedbatelným dopadem dostane na horizontální ose jedničku a naopak riziko s kritickým dopadem dostane pětku. Závažnost rizika je potom dána součinem obou hodnot, což dovoluje identifikovaná rizika jasně seřadit podle jejich závažnosti, aby bylo jasné, kterým je potřeba věnovat největší pozornost.

1.6. Nepravděpodobnost rizik

Tento konkrétní přístup má ale jeden významný nedostatek. Prakticky jistá rizika se zanedbatelným dopadem dostanou hodnocení pět krát jedna, tedy pět. Vysoce nepravděpodobná rizika s kritickým dopadem ale dostanou hodnocení jedna krát pět, tedy také pět. Přitom je ovšem jasné, že druhý jmenovaný typ rizika, což může být například povodeň nebo požár, bude závažnější a bude muset být nutně prioritizován před prvně jmenovaným typem rizika, což může být například poškození kladiva.

Z tohoto důvodu se v rámci semikvantitativního hodnocení nejčastěji využívá na ose velikosti dopadu určitá forma progresivní stupnice (exponenciální, geometrická řada apod.), například místo jedna, dva, tři, čtyři, pět se použije stupnice jedna, dva, čtyři, osm, šestnáct. Konkrétní forma osy je opět flexibilní a musí být stanovena na začátku celého procesu řízení rizika.

Stále jsme ještě ale nepracovali s konkrétními reálnými údaji. Kvantitativní analýza počítá s tím, že lze jak pravděpodobnost nastání, tak velikost dopadu rizika přesně určit a číselně vyjádřit.

U pravděpodobnosti lze postupovat například na základě minulé zkušenosti (a to buď naší vlastní, nebo i cizí, máme-li dostupné spolehlivé informace). Pokud určitou aktivitu provádíme pravidelně, jsme schopni určit, procentuálně kolikrát se během dané aktivity sledované riziko projeví. Potom máme pravděpodobnost vyčíslenou přímo. Další možností je sledování dílčích jevů – to je užitečné tehdy, pokud aktivitu sice provádíme poprvé, ale s dílčími úkony již máme zkušenosti. Pokud sledujeme pravděpodobnost poruchy přístroje, pak k ní můžeme dojít také přes pravděpodobnosti poruch jednotlivých jeho součástek – je zde ovšem nutné, aby byly tyto jevy nezávislé, což v praxi nelze snadno zaručit. Pokud nezávislé nejsou, lze využít složitějších metod jako modelování, Monte Carlo simulace nebo rozhodovací stromy. Pro složité technické systémy (například bezpečnostní analýzy jaderných elektráren) se používá metoda Probabilistic Safety Assessment (PSA), pro kterou existuje i softwarová podpora.

Samozřejmě vždy existuje možnost expertního odhadu – potom je ale nutné využít například Delphi metodu pro zajištění objektivnosti.

Velikost dopadu se zpravidla vyjadřuje v penězích a lze ji určit podobným způsobem. Opět můžeme mít s daným rizikem zkušenosti nebo informace. Povodeň nás mohla potkat již před pěti lety a my přesně víme, kolik nás všechny opravy a další práce stály. Stejně tak můžeme využít expertních odhadů, modelů a simulací.

Máme-li obě vlastnosti rizika vyčíslené konkrétními hodnotami, můžeme pomocí jejich součinu získat závažnost rizika. Pokud tedy víme, že k povodni dojde v tomto roce s pravděpodobností 10% (zv. desetiletá voda), a také víme, že nás bude odstranění případných škod stát 2 000 000 korun, potom je závažnosti rizika 2 000 000 krát 0,1, tedy 200 000 korun. Toto vyčíslení nejenom umožňuje přesně seřadit rizika podle jejich závažnosti, navíc také stanovuje určitý limit nákladů pro ošetření daného rizika. Pokud závažnost (nebo také očekávaná škoda) je 200 000 korun, potom nemá smysl například pojistit se na rok za 300 000 korun (přesněji řečeno zde také závisí na postoji rozhodovatele k riziku).

1.7. Citlivostní analýza

Další možností je citlivostní analýza. Nejprve musíme být schopni vyjádřit závislost cílové proměnné (což mohou být například náklady projektu) na jednotlivých sledovaných rizikových faktorech (což mohou být například ceny vstupních surovin nebo doby trvání aktivit) pomocí určitého matematického vzorce. Poté budeme postupně po jedné měnit hodnoty rizikových faktorů o stejné množství procent (například 10%) nepříznivým i příznivým směrem a sledovat, jak se změní velikost cílové proměnné v absolutním i relativním vyjádření. Srozumitelnější bude vše na následujícím jednoduchém příkladu:

Takto provedená analýza také poskytuje odrazový můstek pro tvorbu scénářů.

Výstupem kvalitativní i kvantitativní analýzy rizik musí být prioritizovaný seznam rizik a aktualizovaný registr rizik. V něm musí být pro každé identifikované riziko vyplněna alespoň jeho závažnost. Při použití některé pokročilé metody, jako například Monte Carlo simulace, lze vypočítat také pravděpodobnost dosažení stanoveného termínu nebo nepřekročení daného rozpočtu pro celý projekt.

Přestože kvantitativní analýza poskytuje na pohled pěkné a přehledné výsledky, je nutné si uvědomit, že stojí na více či méně přesných odhadech. Nemá smysl dělat kvantitativní analýzu pro dosažení přesnější kategorizace rizik, pokud budeme nuceni polovinu parametrů od oka odhadnout. Kvalita takovýchto metod je vždy odvozena především od kvality vstupních dat. Pokud budou tato data nepřesná, pak ani sebelepší metoda nemůže poskytnout relevantní výsledky. Stejně tak je nutné mít přesné modely, uvědomovat si hranice jejich použitelnosti, umět tyto modely ovládat a interpretovat jejich výstupy. V každém případě je nutné vždy konfrontovat výsledky modelů a simulací s realitou.

1.8. Naplánování opatření proti rizikům

Ve chvíli, kdy jsou rizika identifikována a určitým způsobem seřazena podle závažnosti, můžeme začít plánovat opatření proti rizikům.

PMBOK rozlišuje z tohoto pohledu čtyři rozdílné strategie, které lze při plánování opatření využít. První z nich je strategie Avoid, neboli vyhnutí se riziku. Ta předpokládá, že se plán projektu změní takovým způsobem, aby riziko přestalo být relevantní. Pokud například stavíme novou továrnu a v zamýšlené lokalitě hrozí nebezpečí povodní, potom strategie vyhnutí se riziku navrhuje přesunout továrnu do takové lokality, kde žádná povodeň reálně hrozit nebude. Tato strategie eliminuje riziko úplně, ovšem často vyžaduje radikální kroky, které s sebou mohou nést významné náklady. Proto se strategie Avoid používá zpravidla jen pro rizika s vysokou pravděpodobností nastání a významným dopadem na projekt. Extrémním případem vyhnutí se riziku je pak kompletní uzavření projektu – není projekt, nejsou rizika.

Druhou strategií je strategie Transfer neboli přenos. Zatímco v případě strategie Avoid se fakticky pravděpodobnost nastání eliminovala na nulu, Transfer se zaměřuje na dopad rizika. Jak už název napovídá, smyslem je přenést negativní dopady rizika na třetí subjekt. To je samozřejmě v naprosté většině případů spojeno s určitými finančními náklady, protože nikdo dobrovolně další rizika nést chtít nebude. Typickým příkladem takového přenosu je pojištění, kdy za určitý poplatek pojišťovna přebírá potenciální negativní dopady rizika. Rizika lze přenášet také na dodavatele nebo odběratele, tam je ale nutné mít takovou vyjednávací pozici, která to umožní. Moderní přístupy k podnikovému řízení rizik ale stejně mluví o nutnosti řídit rizika napříč celým dodavatelským řetězcem. V tom případě nemá takový přenos rizika na dodavatele smysl. Dalšími příkladem přenosu rizika jsou záruční doby. Strategie Transfer se využívá často v případech, kdy je pravděpodobnost nastání rizika nízká a jeho dopad kritický.

Třetí možnost představuje strategie Mitigate neboli zmírnění. V tomto případě lze zmírnit jak velikost dopadu rizika, tak i pravděpodobnost jeho nastání. Konkrétní kroky se odvíjí vždy od situace a jsou závislé na tom, o jaký projekt se jedná. Pokud například potřebujeme pět dělníků ve výrobě, tak pokud jich najmeme šest, snižujeme pravděpodobnost rizika, že jich nebude ve výrobě dostatek. Takováto redundance v systému snižuje pravděpodobnost nastání, ale samozřejmě s sebou nese určité náklady. Podobně můžeme působit na velikost dopadu. Instalací automatických hasicích zařízení například velmi významně snížíme dopad potenciálního požáru. Ke strategii zmírnění přistupujeme v případě velmi pravděpodobných rizik s mírným dopadem nebo tehdy, jestliže je závažnost rizika významná a ostatní strategie nejsou možné (vyhnout se riziku nedá a nikdo nás proti němu nepojistí).

Poslední alternativou je strategie Accept neboli přijmutí rizika. Ta se používá tehdy, kdy není žádná jiná možnost, jak riziko ošetřit (případně jsou tyto možnosti příliš drahé) a zároveň riziko významně projekt neohrožuje (nemůžeme akceptovat závažné riziko). Rozlišujeme potom dvě alternativy. Buď pasivní, nebo aktivní přijetí. Pasivní přijetí vyžaduje pouze monitorování rizika, tedy sledování, zda se náhodou nevyvine v závažnější riziko. Aktivní přijetí kromě monitorování také podniká určité přípravné kroky pro případ, že riziko opravdu nastane. Ty mohou mít podobu například finančních rezerv.

Výstupem procesu plánování opatření musí být opět aktualizovaný registr rizik. Ten v této fázi musí být doplněn o naplánovaná opatření pro každé riziko, včetně personálního zajištění (kdo bude rizika monitorovat, kdo za něj zodpovídá a kdo bude opatření provádět).

1.9. Monitorování a controlling rizik

Plánem samozřejmě nic nekončí, ba naopak. Skvěle naplánovaná opatření jsou k ničemu, pokud potom nebudou implementována, případně budou implementována špatně. Stejně tak je nutné pravidelně kontrolovat, zda se podmínky nezměnily – zda jsou předpoklady stále platné, zda jsou všechna rizika stále aktuální nebo zda se neobjevila nová rizika. Stejně tak je nutné sledovat čerpání případných rezerv a postup všech pracovníků. Ten se musí shodovat s plánem vytvořeným na počátku celého procesu řízení rizik.

Registr rizik musí být pravidelně aktualizován podle vývoje situace. Jsou do něj zanášena opatření, která byla skutečně provedena a jejich případný efekt. Všechno, co se rizika týká, musí být dokumentováno, aby tyto informace mohly být použity v budoucnu u dalších projektů.

Na základě vývoje rizik může být také nutné provádět v projektu změny, aktualizovat všechny plány projektu a další dokumentaci.