Zarządzanie ryzykiem w projekcie IT – co można zrobić z ryzykiem?

Typ ryzyka a rodzaj reakcji

Stwierdzenie ryzyka z reguły przywodzi na myśl jedną konkretną odpowiedź: należy zrobić coś, dzięki czemu zagrożenie się nie urzeczywistni, czyli mitygować je. Warto jednak pamiętać, że nie jest to jedyna możliwość. Są też inne metody zarządzania ryzykiem. Mogą one nawet wydawać się dość proste, gdy o nich czytamy, może dlatego zaskakująco często o nich zapominamy.

W pierwszym artykule Co to jest ryzyko i jak nim zarządzać wspomniałem, że ryzyko nie zawsze musi być negatywne. Czasem wiąże się z korzyściami i taką sytuację nazywamy potocznie szansą. Słowo szansa kojarzy się jednak często z zależnością od zdarzeń zewnętrznych lub szczęścia. Ważne, by pamiętać, że w przypadku ryzyk pozytywnych możemy reagować inaczej niż w przypadku zagrożeń.

Jak reagować na ryzyko negatywne?

• Mitygacja. To zmniejszenie prawdopodobieństwa wystąpienia ryzyka poprzez wykonanie dodatkowej pracy. Na przykład: jeżeli istnieje ryzyko, że boty będą zaśmiecać  bazę naszego newslettera, dodajemy weryfikację captcha, aby zmniejszyć to prawdopodobieństwo.
  Mitygacja bywa jednak znacznie bardziej kosztowna niż na przedstawionym przykładzie, warto więc policzyć jej koszt względem wydatków związanych z potencjalnym ryzykiem. Czasem okazuje się, że szkoda jest tańsza niż mitygacja.
• Uniknięcie. To eliminacja potencjalnej przyczyny ryzyka. Instynktownie robimy to bardzo często – np. jeżeli jest ryzyko, że wytworzenie danej funkcjonalności zajmie nam nie 3 dni, a 3 tygodnie, decydujemy,  że może lepiej nie robić jej wcale. Bierzemy wtedy pod uwagę jej wartość biznesową, terminy, itd. Uniknięcie jest często najtańszą metodą, choć może wiązać się z kosztami ukrytymi (np. zmniejszona wartość produktu dla klienta).
• Transfer. Oznacza  przeniesienie odpowiedzialności na kogoś innego i nie chodzi tu o korporacyjną spychologię. Transfer ryzyka może polegać np. na wykupieniu ubezpieczenia od konkretnych szkód. Może też przybrać formę wynajęcia dostawcy zewnętrznego, który będzie zobowiązany do dostarczenia rozwiązania i poniesie wszelkie ryzyka z tym związane. Mimo transferu i tak mogą dotykać nas negatywne skutki ryzyk, np. opóźnienia. Na rynkach, gdzie time-to-market jest najważniejszy, zwykła kara umowna nie zrekompensuje straty względem konkurencji, gdy ta wyprzedzi nas w dostarczeniu rozwiązania.

Jak reagować na ryzyko pozytywne?

• Wykorzystanie (odwrotność uniknięcia). To upewnienie się, że pozytywne ryzyko się spełni. Możemy przypisać do projektu najzdolniejszego programistę, aby dzięki temu dostarczyć rozwiązanie na rynek jako pierwsi.
• Wzmocnienie skutku (z ang. enhance, proszę wybaczyć koślawe tłumaczenie). To odwrotność mitygacji, czyli dodanie określonych działań w celu nasilenie efektu lub prawdopodobieństwa pozytywnych rezultatów. Przykładem może być powiększenie zespołu dla zwiększenia wydajności pracy.

Różnice między wykorzystaniem a wzmocnieniem są w moim odczuciu czysto teoretyczne, warto je wymienić, choć w praktyce oba rozwiązania wiążą się z dążeniem do wykorzystania szansy.

• Współdzielenie. Połączenie sił dla wspólnego czerpania korzyści, np. zakup urządzenia, wynajęcie eksperta, wykorzystanie infrastruktury, współdzielenie kosztów, lobby i wiele innych.

Jakie są inne opcje? Dla obu typów ryzyk istnieje także prozaiczna opcja dodatkowa, czyli akceptacja.

• Akceptacja. W codziennym życiu jest to piąty etap radzenia sobie z żalem, zazwyczaj poprzedzony zaprzeczaniem czy gniewem. W projekcie można uniknąć tych wcześniejszych etapów – często dobrze przeprowadzona analiza ryzyka wskazuje, że możemy z nim żyć.
  Czasem pojawia się pytanie, po co w ogóle analizować, skoro nic z tym nie robimy. Porównuję to do przejścia przez jezdnię: zawsze jest ryzyko, że coś może nam się stać. Jednak gdy nie zdajemy sobie sprawy, co nam może grozić, pakujemy sie na jezdnię z zawiązanymi oczami.
  Akceptacja ryzyka jest często sprawdzianem dojrzałości managera. Szczególnie w środowisku korporacyjnym manager będzie dążył do kosztownej mitygacji zamiast akceptacji. Dlaczego? Ponieważ boi się wziąć odpowiedzialności za porażkę, w razie akceptacji ryzyka.
  Jest to znacznie szerszy problem kultury organizacji, ale sprowadza się często do sytuacji, gdzie akceptacja oznacza w rzeczywistości “oby to nie wybuchło, bo będzie problem”.

Podsumowanie

Przedstawiony przeze mnie podział jest dość teoretyczny i niektórym może wydawać się kolejnym podręcznikowym, sztucznym rozróżnieniem czegoś, co jest powszechnie rozumiane. Uważam jednak, że ta klasyfikacja niesie za sobą znacznie większą wartość i jest ważnym elementem procesu zarządzania ryzykiem.

Kluczowa  dla projektu jest świadomość, że nie zawsze musimy mitygować ryzyko, aby nie wystąpiło. Zaskakująco często zapominamy o dość prostych sposobach i podążamy utartymi ścieżkami. Dodatkowo, warto pamiętać, że akceptacja ryzyka to nie kapitulacja czy stracony czas – jest to świadoma decyzja, jeden z etapów strategii zarządzania ryzykiem. Gotowość do podjęcia takiej decyzji czasem może pomóc w odróżnieniu dobrych managerów od złych.