4. Hlavní rizika projektu 4.1. Analýza rizik – metoda RIPRAN TIP: Postupujte dle jednotlivých kroků (představených níže – s. 6, bod č. 3 Metoda RIPRAN) analýzy rizik dle metody RIPRAN (vyplňte danou tabulku a slovně na konci okomentujte) Příklad vyplněné tabulky Pořadové číslo rizika Hrozba Scénář Poznámka Pravděpodobnost Dopad na projekt Hodnota rizika Návrh na opatření Předpokládané náklady Termín realizace opatření Osobní odpovědnost (vlastník rizika) Nová hodnota sníženého rizika 1. Výskyt chřipkové epidemie v jarním období březen-duben. Onemocní téměř 30 % zaměstnanců. Předpokládáme počasí podle předpovědi jako v předchozím roce. 50 % Výpadek pracovní kapacity a zpoždění zakázky o 3 měsíce – penále 600 000 Kč. 300 000 Kč Očkování proti chřipce 2 000 Kč vakcína Očkování v lednu Dohodnuto s podnikovým lékařem – odsouhlaseno zaměstnanci na pracovních poradách Výjimečná onemocnění budou kompenzována přesčasy – nulová hodnota rizika 2. …… ……… ……… ….. ….. …. ___________________________________________________________________________ Trocha teorie… Analýza rizik – vymezení Cílem teoretického úvodu je vysvětlit základní pojmy a stručně charakterizovat jednotlivé fáze analýzy rizik. Analýza rizik by měla přinést odpověď na otázku, působení jakých hrozeb je váš projekt vystaven, jak moc jsou jeho zdroje vůči těmto hrozbám zranitelné, jak vysoká je pravděpodobnost, že hrozba zneužije určitou zranitelnost a jaký dopad by to na projekt mohlo mít. V analýze rizik se používají následující pojmy: * aktivum (asset) – vše co má pro společnost (projekt) nějakou hodnotu a mělo by být odpovídajícím způsobem chráněno, * hrozba (threat) – jakákoliv událost, která může způsobit narušení důvěrnosti, integrity a dostupnosti aktiva * zranitelnost (vulnerability) – vlastnost aktiva nebo slabina na úrovni fyzické, logické nebo administrativní bezpečnosti, která může být zneužita hrozbou. * riziko – pravděpodobnost, že hrozba zneužije zranitelnost a způsobí narušení důvěrnosti, integrity nebo dostupnosti. * opatření (countermeasure) – opatření na úrovni fyzické logické nebo administrativní bezpečnosti, které snižuje zranitelnost a chrání aktivum před danou hrozbou. Kromě toho se můžeme ještě setkat s následujícími pojmy, které již nejsou tak časté, nicméně je vhodné o nich vědět: * ohrožení (exposure) – skutečnost, že existuje zranitelnost, která může být zneužita hrozbou * narušení (breach) – situace, kdy došlo k narušení důvěrnosti, integrity nebo dostupnosti v důsledku překonání bezpečnostních opatření. Velmi často dochází ke ztotožnění pojmu riziko a hrozba. Je třeba si však uvědomit, že hrozba může být zdrojem pro jedno nebo více rizik a že hrozba sama o sobě riziko nepředstavuje. Hrozby pouze zneužívají zranitelnosti vedoucí k ohrožení, což je riziko, které lze snížit prostřednictvím opatření chránící aktiva před působením těchto hrozeb. Tuto skutečnost nejlépe ilustruje následující obrázek. Analýza rizik Pokud jde o vlastní přístup k provedení analýzy, tak např. ISO/IEC 13335 uvádí čtyři různé přístupy: * Základní přístup – žádná analýza rizik se neprovádí, pouze je vybrána a implementována základní sada opatření z nějakého katalogu. * Neformální přístup – jedná se o pragmatický přístup k analýze rizik, kdy se provádí rychlá, orientační analýza rizik založená na zkušenostech expertů a vyhodnocení možných scénářů. * Formální přístup – jedná se o detailní analýzu rizik, kdy se provádí hodnocení aktiv, hrozeb a zranitelností nejčastěji za použití matematického aparátu. * Kombinovaný přístup – na základě provedené orientační analýzy rizik, kdy byla pro organizaci identifikována kritická aktiva nebo procesy, se provede detailní analýza rizik. Od určité velikosti a komplexnosti informačního systému, který je předmětem analýzy, je vhodné analýzu rizik pojmout jako projekt. Vlastní analýza rizik se skládá z několika fází: identifikace a kvantifikace aktiv, hrozeb, zranitelností a stanovení výsledného rizika. Z pohledu projektového řízení by se daly tyto fáze označit jako milníky. Samotná analýza rizik může být provedena interně nebo externě. V každém případě budeme muset v rámci každé fáze provést těchto několik kroků: * identifikace respondentů – určit osoby, se kterými budeme komunikovat a na které se budeme s žádostí o poskytnutí informace obracet * získání informací – informace budeme získávat od osob, které jsme identifikovali v předchozím kroku a to formou interview nebo dotazníků. * analýza informací – informace, které jsme v předchozím kroku získali, musíme analyzovat, * interpretace informací – výsledky analýzy musíme vhodným způsobem interpretovat, a to tak, aby byly pro respondenta srozumitelné * verifikace informací – odpovědi jednotlivých respondentů a závěry, ke kterým jsme dospěli, bychom si měli nechat jednotlivými respondenty schválit. * dokumentace informací – to jediné, co zákazníkovi po skončení projektu zůstane, je dokumentace. Nyní si stručně popíšeme jednotlivé fáze analýzy rizik. Analýza aktiv V rámci analýzy rizik musíme identifikovat pro společnost kritická aktiva a určit jejich hodnotu. Tento krok se někdy označuje jako inventarizace aktiv, v rámci kterého se vytváří tzv. registr aktiv. Analýza hrozeb Dalším krokem je identifikace hrozeb a kvantifikace hrozeb. Tato fáze se také někdy nazývá analýza hrozeb (threat analysis), při které vycházíme buď ze seznamu obecných (generických) hrozeb nebo specifických hrozeb, které můžeme identifikovat. Analýza zranitelností V tomto kroku musíme identifikovat a kvantifikovat všechna slabá místa na úrovni fyzické, logické a administrativní bezpečnosti. Tato fáze se někdy nazývá analýza zranitelností (vulnerability analysis/ vulnerability assessment). Stanovení výše rizika nebo škody V okamžiku, kdy známe hodnotu aktiv, pravděpodobnost hrozeb a míru zranitelnosti, může přistoupit k vyjádření rizika. Pokud jsme provedli kvantitativní analýzu rizik, vyjádříme výši rizika v peněžních jednotkách a pokud byla provedena kvalitativní analýza rizik, vyjádříme výši rizika ve stupních. Závěr: Analýza rizik nám říká, co všechno se může stát, proč se to může stát, jak se to může stát, kde se to může stát a koho se to bude týkat. Význam a postavení rizika v projektovém řízení 1. Cíl projektového řízení Project Risk Management zahrnuje procesy, které se zabývají identifikací, analýzou a reakcí na rizika v projektech, s cílem minimalizovat jejich vliv na projekt. Cíl projektového řízení je představován úspěšným projektem. Za úspěšný projekt považujeme takový, u kterého: - Bylo dosaženo plánovaných cílů - Ukončení projektu proběhlo podle plánu - Byl dodržen plánovaný rozpočet - Byly využity disponibilní zdroje - Realizace proběhla s optimálním vynaloženým úsilím - Návrh a projekt proběhl jakostně - Projekt nemá negativní vliv na okolí, na účastníky projektu ani na jiné projekty V praxi se velmi často setkáváme s neúspěšnými projekty. Za neúspěšný projekt považujeme takový projekt, kdy: - Nebyl dosažen některý z plánovaných cílů - Projekt nebyl dokončen v plánovaném termínu - Byly překročeny plánované náklady - Nebyly využity disponibilní zdroje nebo chyběly potřebné zdroje - K dosažení cílů, splnění termínu a nákladů bylo vynaloženo nepřiměřené úsilí - Projekt probíhal zmateně a vyskytovala se celá řada kritických situací, jejich příčiny se daly předpokládat - Projekt má negativní dopady na okolí nebo na jiné projekty Řada projektů vykazuje dokonce kombinaci několika výše uvedených neúspěšných charakteristik. Obecných příčin neúspěchu projektu je celá řada: - Vymezení projektu (cíle, termín, náklady, zdroje) neodpovídá skutečným potřebám - Měnící se požadavky na projekt vlivem změn v okolí projektu, které nebyly akceptovány - Podcenění plánovaných nákladů - Chybějící potřebné činnosti - Nesprávná volba dodavatelů jednotlivých částí projektu - Nesprávná identifikace výchozího stavu - Špatné řízení projektového týmu - Nesprávná práce týmu - Podcenění řady nepříznivých faktorů nebo dokonce jejich ignorování - Nedostatečně přesný návrh projektu - Nedostatečná kvalifikace členů týmu - Nedostatečná zainteresovanost koncového uživatele výsledků na projektu - Nezvládnutí metod projektového řízení - Špatné klima a špatná úroveň řízení práce ve firmě, kde je projekt realizován - Nesprávné propojení na jiné projekty - Mlhavě definované cíle - Špatné odhady času a nákladů u konkrétních činností - Nezvládnutá úloha vedoucího projektu - Fluktuace pracovníků týmu - Špatně sestavený tým….a jiné příčiny…. Projektové řízení si však prostřednictvím rozboru rizika projektu chce dopředu zajistit co možná největší naději na úspěšný projekt. To je hlavním účelem prováděné analýzy projektového rizika. Proto si musíme klást již při návrhu projektu otázky jako: Nakolik můžeme očekávat, že náš projekt bude úspěšný? Nakolik můžeme očekávat, že náš projekt nebude úspěšný? Co může ohrozit úspěch našeho projektu? Co může podpořit úspěch našeho projektu? Co můžeme dělat pro zvýšení očekávané úspěšnosti projektu? Co můžeme dělat pro snížení očekávané neúspěšnosti projektu? Zodpovězení těchto otázek a širší analýza příčin nám pomáhá připravit opatření, která snižují možnost neúspěchu projektu a zvyšují pravděpodobnost úspěchu projektu. Význam působení okolí na projekt V řadě případů jsou zdrojem příčin neúspěchu projektu chyby jednotlivých pracovníků projektového týmu. Můžeme je chápat jako vnitřní příčiny neúspěchu projektu. Ty lze relativně snadno eliminovat dobrou přípravou členů týmu a zvýšením jejich odborných znalostí a zkušeností. Přitom u softwarových projektů do těchto příčin patří chyby v programových produktech, v důsledku špatné práce programátorů. Daleko větší, nepříznivější a někdy obtížně předvídatelný vliv na neúspěch projektu mají vlivy, které přicházejí z okolí projektu. Takové můžeme nazvat vnější příčiny neúspěchu projektu. Tyto vlivy mohou často přicházet jako reakce na vlivy, které má projekt na své okolí. Jaké změny může způsobit okolí projektu? - Změnu cíle - Změnu cesty k cíli - Změnu disponibilních prostředků - Změnu podmínek realizace projektu Správný projektový manažer se proto nesoustřeďuje jen na projekt, ale sleduje i okolí projektu! 2. Základní východiska metody RIPRAN Metoda RIPRAN (viz dále) vychází z principu rizikového inženýrství, že pro analýzu rizika je potřeba určit nejprve následující čtveřici a připravit jejich relevantní seznam: Hrozba - Scénář - Pravděpodobnost - Ztráta Protože počet náhodných událostí nelze nikdy přesně určit, nemůže být seznam úplný. Neúplnost seznamu je způsobena i znalostmi resp. neznalostmi členů projektového týmu. Proto hovoříme o reprezentativním seznamu, tj. o takovém seznamu, který prezentuje všechna významná rizika, která jsme byly schopni určit a která bereme jako základ pro konkrétní analýzu rizik. Uveďme stručně význam těchto pojmů, jak je chápe metoda RIPRAN. Hrozba (Thread) Nebezpečí, které hrozí a které je příčinou zhoubných následků a potíží v projektu. (Např. silná vichřice, nedostatečná půjčka, námraza, devalvace měny, stávka, výpověď vedoucího projektu, špatná subdodávka pro projekt, ...) Scénář (Scenario) Děj, který předpokládáme v projektu jako následek výskytu hrozby. (Např. Nedostaneme půjčku - nebudeme mít pro projekt finanční krytí, Onemocní Franta - ztratíme jediného pracovníka, který to umí pro náš projekt udělat...) Pravděpodobnost (Probability) Pravděpodobnost realizace scénáře vyjádřená v intervalu < 0,1> Pravděpodobnost vztahujeme k době trvání projektu - resp. k tzv. referenční době, kdy se cítíme, být ohroženi hrozbou. Poznamenejme, že se jedná o pravděpodobnost, že k hrozbě s určitou pravděpodobností je přiřazen scénář s určitou pravděpodobností. Obvykle se předpokládá, že oba jevy jsou na sobě nezávislé. Jestliže pravděpodobnost vichřice je 0,03 a pravděpodobnost, že když přijde vichřice a povalí stavební jeřáb, je 0,7, pak výsledná pravděpodobnost, kterou budeme uvažovat v příslušném případě je 0,7 x 0,03 = 0,021 1) Např. pro silnou vichřici o síle 11 stupňů Beaufortovy stupnice v naší zeměpisné š. a d. je pravděpodobnost v průběhu jednoho roku 0,01, ale pro dobu 100 roků je to hodnota 0,63. 2) Např. kladení kabelů má proběhnout od 1. března do 25. března, pak nás zajímá pravděpodobnost přízemních mrazíků v tomto časovém období. Ztráta (Loss) Ztráta pro projekt, vzniklá realizací scénáře. Vyjadřujeme ji obvykle v peněžních jednotkách (ale můžeme i jinak, velikostí časového zpoždění, ztráty na životech pracovníků, apod.). Ke každé n-tici můžeme připojit hodnotu rizika. Hodnota rizika = pravděpodobnost x ztráta 3. Metoda RIPRAN Charakteristika metody Metoda RIPRAN (RIsk PRoject ANalysis), představuje jednoduchou empirickou metodu pro analýzu rizika projektů, zvláště pro středně velké firemní projekty. Vychází důsledně z procesního pojetí analýzy rizika. Chápe analýzu rizika jako proces (vstupy do procesu-výstupy z procesu-činnosti transformující vstupy na výstup s určitým cílem). Metoda akceptuje filosofii jakosti (TQM) a proto obsahuje činnosti, které zajišťují jakost procesu analýzy rizika, jak to vyžaduje norma ISO 10 006. Metoda je navržena tak, že respektuje zásady pro Risk Project Management, popsané v materiálech IPMA. Je zaměřena na zpracování analýzy rizika projektu, kterou je nutno provést před vlastní implementací. Neznamená to, že bychom neměli s hrozbami pracovat v jiných fázích. Naopak, v každé fázi životního cyklu projektu musíme provádět činnosti, které jednak shromažďují podklady pro samostatnou analýzu rizik projektu pro fázi implementace projektu, a které vyhodnocují případná rizika neúspěchu té fáze, kterou provádíme. Zaznamenaná rizika pak použijeme pro celkovou analýzu rizik projektu. Celý proces analýzy rizik dle této metody se skládá ze čtyř základních kroků: 1. Identifikace nebezpečí projektu 2. Kvantifikace rizik projektu 3. Reakce na rizika projektu 4. Celkové posouzení rizik projektu. Krok 1 V tomto kroku prování projektový tým identifikaci nebezpečí sestavením seznamu, nejlépe ve formě tabulky. Poř. číslo rizika Hrozba Scénář Poznámka 1. Výskyt chřipkové epidemie v jarním období březen-duben. Onemocní téměř 30 % zaměstnanců. Předpokládáme počasí podle předpovědi jako v předchozím roce. 2. …… ……… ……… Text řádku můžeme získat buď tak, že hledáme odpověď na otázku: Co se může přihodit v projektu nepříznivého, když…? Tento postup, kdy k hrozbě hledáme možné následky: HROZBA →SCÉNÁŘ Můžeme také postupovat opačně a získat kompletní text řádku odpovědí na otázku: Co může být příčinou, že to a to nepříznivého v projektu nastane? Tedy postup, kdy ke scénáři hledáme jeho příčinu: SCÉNÁŘ→ HROZBA Hrozbou zde rozumíme konkrétní projev nebezpečí (např. technická závada v elektrické instalaci). Scénářem rozumíme děj, který nastane v důsledku výskytu hrozby (např. dojde k požáru rozestavěné dřevěné stavby). Důležité je uvědomit si, že hrozba je příčinou scénáře. Krok 2 V tomto kroku se provádí kvantifikace rizika. Tabulka, sestavená v prvním kroku se rozšíří o pravděpodobnost výskytu scénáře, hodnotu dopadu scénáře na projekt a výslednou hodnotu rizika v Kč, která se vypočte: Hodnota rizika = pravděpodobnost scénáře * hodnota dopadu Poř. číslo rizika hrozba scénář Poznámka Pravděpodobnost Dopad na projekt Hodnota rizika 1. Výskyt chřipkové epidemie v jarním období březen-duben. Onemocní téměř 30 % zaměstnanců. Předpokládáme počasí podle předpovědi jako v předchozím roce. 50% Výpadek pracovní kapacity a zpoždění zakázky o 3 měsíce – penále 600 000 Kč. 300 000 Kč 2. …… ……… ……… ….. ….. …. Metoda umožňuje i verbální kvantifikaci, kdy se využívá slovní hodnocení např. Vysoká pravděpodobnost Nad 66 % Střední pravděpodobnost 33 – 66 % Nízká pravděpodobnost Pod 33 % Velký nepříznivý dopad na projekt · Ohrožení cíle projektu · Ohrožení koncového termínu projektu · Možnost překročení celkového rozpočtu projektu · Škoda více než 30 % z hodnoty projektu Střední nepříznivý dopad na projekt · Škoda 0,51 – 19,5 % z hodnoty projektu · Ohrožení termínu, nákladů, zdrojů některé dílčí činnosti, což bude vyžadovat mimořádné akční zásahy do plánu projektu Malý nepříznivý dopad na projekt · Škody do 0,5 % z celkové hodnoty projektu · Dopady vyžadující určité zásahy do plánu projektu Krok 3 Sestavují se opatření, která mají snížit hodnotu rizika na akceptovatelnou úroveň. Návrhy na opatření se sestavují obvykle do tabulky. Poř. číslo rizika Návrh na opatření · Předpokládané náklady · Termín realizace opatření · Osobní odpovědnost (vlastník rizika) Nová hodnota sníženého rizika 1. Očkování proti chřipce · 20 00 Kč vakcína · Očkování v lednu · Dohodnuto s podnikovým lékařem – odsouhlaseno zaměstnanci na pracovních poradách Výjimečná onemocnění budou kompenzována přesčasy – nulová hodnota rizika 2. …. … …. Metoda RIPRAN umožňuje i textovou formu zachycení výsledků analýzy rizik v následující doporučené formě: Pořadové číslo rizika: 1 - Hrozba: - Scénář: - Pravděpodobnost: - Dopad: - Návrhy na opatření, zodpovídá, termín, náklady, vlastník rizika: - Výsledná snížená hodnota rizika: Pořadové číslo rizika: 2 - Hrozba: - Scénář: - Pravděpodobnost: - Dopad: - Návrhy na opatření, zodpovídá, termín, náklady, vlastník rizika: - Výsledná snížená hodnota rizika: Pořadové číslo rizika: 3 - Hrozba: - Scénář: - Pravděpodobnost: - Dopad: - Návrhy na opatření, zodpovídá, termín, náklady, vlastník rizika: - Výsledná snížená hodnota rizika: Pořadové číslo rizika: 4 - Hrozba: - Scénář: - Pravděpodobnost: - Dopad: - Návrhy na opatření, zodpovídá, termín, náklady, vlastník rizika: - Výsledná snížená hodnota rizika: Atd…. Krok 4 Posoudí se celková hodnota rizik a vyhodnotí se, jak vysoce je projekt rizikový a zda je možno pokračovat v jeho realizaci bez zvláštních opatření. U této metody je zřejmé, že vyžaduje pracovat s podrobným rozborem hrozeb, scénářů, hodnot pravděpodobnosti a hodnot dopadů. Přináší pro projekt přesnější výsledky analýzy rizik a podporuje tým v nalézání opatření ke snížení rizika tím, že nabízí typová opatření ke snížení rizika, která pomáhají nalézt týmu snadněji konkrétní opatření.