Что не так с управлением рисками?

Управление рисками — один из обязательных аспектов управления любым проектом. Мы все читали об этом, писали в резюме, что успешно этим занимались, думаю, некоторые даже реально делали это на практике. Сейчас, когда весь мир облажался с одним из самых серьёзных рисков и проворонил глобальную пандемию, думаю, можно задать вслух вопрос — «ОК, что не так с управлением рисками?».

Серьёзно, гугл предлагает по этой теме полмиллиона ссылок. И ещё полтора миллиарда, если спрашивать на английском. Есть, где подсмотреть ответы при желании, не находите? И ведь это не очень сложно для понимания: есть угрозы — они выявляются, оцениваются и на них придумывается ответ. Тогда почему по рискам продолжает выходить столько литературы, и почему мы раз за разом продолжаем испытывать проблемы с этой темой на практике?

Предупреждаю сразу — ответа в статье не будет. Но я могу поделиться с вами своими наблюдениями о проблемных ситуациях, связанных с темой управления рисками, и некоторыми идеями из теоретической плоскости. Возможно, обмен подобными знаниями поможет сообществу совместно выработать эффективные подходы.

Проблемные моменты в управлении рисками:

1. Формальные процедуры отнимают слишком много времени.
2. Риски не ведутся в принципе.
3. Риски скрываются, либо не распознаются вовремя, либо не распознаются вообще.
4. Риски выдумываются.
5. РП не понимает, что такое риск в принципе и как его обрабатывать.
6. Руководство не понимает, что такое риск.
7. Задним умом все умные.
8. Никто не уделяет РП внимания, пока нет проблем.
9. Нет бюджета на покрытие рисков / ограниченность в инструментах.
10. Проблема мотивации (РП не является заинтересованной стороной).
11. Нестабильная среда.
12. Эмоциональное выгорание / перенапряжение.

Недостаток опыта, исторически сложившаяся в компании модель управления, а иногда принцип экономии мышления подталкивают РП к тому, чтобы не приходя в сознание заполнять формы, шаблоны и бланки, надеясь, что это само, за счёт скрытой магии предков, решит все проблемы с рисками.

Не решит. Даже если на курсах всё выглядело логично и просто. Даже если руководство до смерти хочет этот отчёт. Даже если незаполненные поля так и манят, чтобы их заполнили. Если у вас нет чёткого понимания, как именно это приносит пользу проекту, скорее всего, вы следуете цивилизованной версии культа карго и строите самолёт из палок.

Я ни в коем случае не призываю к анархии, а инструменты формализации рисков действительно могут быть полезными. Вопрос в том, насколько их применение целесообразно в данном конкретном проекте? Если компания, независимо от масштаба проектов, отличающихся в сотни раз по проектным переменным, загоняет всех РП в одно программное обеспечение «Супер Управление Проектами и Рисками», есть риск, что вы станете заложником ПО.

Постарайтесь трезво оценить, для чего вы заполняете конкретно эту форму управления рисками конкретно в этом проекте?

Чтобы улучшить коммуникацию с руководством? В этом случае убедитесь, что этот отчёт кто-то читает. (Никто.)

Чтобы не запутаться самому? Я готов спорить на ваш бюджет для покрытия рисков, что вы могли бы сделать это проще, быстрее и удобнее своим личным способом.

Просто потому что так принято? Если компания успешна — это хорошее место, чтобы начать карьеру. Вопрос лишь в том, как долго подобное объяснение будет вас устраивать.

Следствие. Возможно, в самом начале проекта у РП бывает достаточно свободного времени для записи нескольких синтетических рисков. Однако потом на это просто не остается времени. Некогда фиксировать и придумывать варианты решений, нужна высокая скорость реакции и мгновенные действия. Угроза либо устраняется немедленно, либо с ней вообще ничего нельзя сделать. Знакомо? Добро пожаловать в нестабильную среду — чуть дальше я расскажу про неё подробнее.

Нет, это не вы злодей. Вы всего лишь адекватно реагируете на ситуацию, хотя это и «не по правилам».

В таких условиях единственное время для работы с рисками — это до запуска проекта. Здесь закладываются и обрастают страховочными коэффициентами сроки и бюджеты, как ответ на все возможные проблемы. Иначе проект просто не запускается.

И да, глупо ждать, что управление рисками будет делаться внутри проекта, если оно не делалось до его запуска. А РП часто привлекается уже после того, как всё решено, и проект запущен. В такой ситуации в описании роли для РП можно для краткости записать «жертвенное животное» — будет недалеко от истины.

С предельным случаем, когда риски не ведутся и не должны, всё понятно. А что делать в остальных случаях? Если посмотреть на экосистему проекта и построить видовое распределение рисков (по стоимости), то в общем случае вы увидите вот такую картинку, очень похожую на распределение Парето или Ципфа.

Доказательство данного утверждения выходит за рамки данной статьи, а про рамки читательского терпения даже не подозревает, поэтому опустим его, но оставим ссылку для самых любознательных.

По шкале y — стоимость риска, по шкале x — частота встречаемости. Логично, что у вас будет несколько крупных рисков, побольше средних и огромная куча мелких. Вид этой кривой будет меняться в зависимости от среды и специфики проекта — она будет становиться более или менее пологой.

Идея заключается в том, что руководитель проекта должен разбить её на 3 части.

Левая выделенная область (единичные дорогостоящие риски) должны быть зафиксированы в реестре, но РП не должен за них отвечать. Это риски за рамками его возможностей.

Правая выделенная область — это мелочи, которые вообще не должны попадать в реестр рисков. Их слишком много, а их влияние слишком ничтожно, чтобы тратить силы на их обработку.

Между ними — область рисков, с которой РП активно работает, ведёт и отвечает за эти риски.

Границы стоимости рисков лучше заранее уточнить у руководства.

Намеренное сокрытие рисков — это край. Но прежде чем уволить РП за такое, имеет смысл разобраться, что явилось причиной.

Возможно, он находился под жёстким психологическим прессом и надеялся, что пронесёт, а про слишком поздно выявленный риск никто не узнает. Или это спровоцировал жёсткий KPI и система штрафов. (Вы ведь используете такую? Она очень мотивирует!) Или это непрофессионализм. Понимание причин поможет сделать организационные выводы, чтобы следующий РП не сломался в том же месте.

Но что делать, если риски распознаются слишком поздно? Очевидно, пересмотреть «настройки» проекта — горизонт планирования и частоту контроля. В идеале горизонт распознавания риска должен определяться исходя из способности компании адекватно реагировать на него. Управление рисками — это не соревнования на лучшее предсказание, это рутинное выстилание соломы в местах почти неизбежных падений.

Недостаток опыта и избыток свободного времени могут привести к выдумыванию рисков. Просто потому что отчёт не терпит пустоты, а в любом проекте должны быть риски. Ведь да? Обратите внимание на риски, которые практически не меняются во времени и по которым единственная возможная реакция — это принятие. Некоторые из них могут оказаться надуманными и вообще не стоящими отслеживания.

Вообще — большой вопрос, стоило ли тратить силы на отслеживание риска, который может быть только принят. Случится — примете. Но зачем тратить на это ресурсы сейчас?

Критерии, позволяющие отсекать надуманные риски:

● вы ничего не можете с ними сделать (единственная возможная реакция — принятие),

● невозможно достоверно оценить вероятность.

У риска должен быть владелец. Подумайте, кто будет отслеживать этот риск, выполнять действия по его предотвращению, другими словами — нести за него ответственность. Если такая ответственность может быть легко принята, возможно, это не риск.

Это удивительно, учитывая, какое количество курсов и литературы выпускается по этой теме. Но мне доводилось сталкиваться с непониманием базовых вещей, например, что риск — это вероятностное событие, а в его описании должны указываться последствия. Требуйте от РП, чтобы риски были зафиксированы по формуле:

Из-за (причины) существует риск (вероятное событие), что приведет к (последствия).

Не забывайте умножать вероятности. Если наступление негативных последствий зависит от риска, А (вероятность 0,5) и риска встретить динозавра (тоже 0,5), то итоговая вероятность равна 0,25, а не 1. Алгебраично! © 

Все это знают, но всё равно хочется повторить, что существуют позитивные риски. Негативный контекст термина «риск» подталкивает к упрощенному и одностороннему пониманию рисков, как сплошь негативных явлений. Корректнее было бы использовать термин «неопределенность», потому что вероятность подкидывает не только проблемы, но и возможности.

Последствия — это, в идеале, степень влияния на проектные переменные. Если из описания последствий это не считывается, возможно, логическое построение неполное, а значит вам будет сложно оценить и коммуницировать этот риск.

РП не волшебник. Он не может предотвратить всё плохое, что может произойти с проектом. Отчёт о рисках это не доказательство обратного, а инструмент, при помощи которого руководство может корректно ответить на риски, с которыми РП не справится самостоятельно. Примечательно, что в методике PRINCE2, которая заимствует способ управления рисками из MoR, есть прямое указание, что риск может зафиксирован кем угодно. И, хотя это не сказано напрямую, совершенно логично, что ответные действия на риски также не могут быть делом одного человека. Это такое же общее дело, как и их выявление.

Постарайтесь понять, что от вас ожидает руководство в части управления рисками. Если магию — заранее предупредите, что вне Хогвартса вам запрещено.

Будьте готовы к тому, что когда риск сработает, все будут уверены, что его можно было избежать. Это специфика восприятия. Вы принимали решения, когда ситуация была в будущем и носила вероятностный характер. Даже если всё было зафиксировано, доложено и спланировано, оценка ваших действий будет происходить, когда ситуация станет фактом. Строго говоря — вас оценивает уже другое руководство.

Но подобные состояния измененного сознания не противоречат законодательству и считаются социально приемлемой нормой. Это не повод ничего не делать, скорее — обстоятельство, которое стоит иметь в виду, если вы столкнетесь с неконструктивной критикой.

Нужно подстраиваться. Если отчёты и письма не читают — попробуйте другой формат коммуникации. Если вы заметили, что вас игнорируют — это хороший повод пересмотреть подход к адаптации проекта (tailoring). Возможно, нет нужды в ежедневно отправляемом отчёте, достаточно СМС раз в неделю. Или наоборот, имеет смысл повесить «часы судного дня» в холле. Если и это не помогает — либо вы переоцениваете значимость проекта, либо в нём не заинтересованы. Первое вполне естественно и легко проверяется путём сравнения ожидаемых выгод от реализации проекта с текущими доходами компании. Второе — повод для беспокойства, потому что проект без заинтересованной стороны нежизнеспособен и с причинами происходящего лучше разобраться как можно скорее.

Приведу цитату из руководства Фрэнка Терли (Frank Turley), замечательного автора и тренера.

Я один раз встречал проект, в котором был заложен бюджет на покрытие рисков. Но тратить его было нельзя.

Как правило, никто не выделяет на это средства отдельно. Всё закладывается в бюджет проекта. С одной стороны, это держит РП в тонусе, с другой — связывает руки. К сожалению, когда риски заложены в бюджет, РП приходится выбивать даже ничтожные суммы на мероприятия, которые могли бы существенно снизить риски.

Подумайте, если вы всё равно закладываете в бюджет премию РП, возможно, стоит включить её в бюджет на покрытие рисков. РП будет заинтересован в разумном использовании этих средств.

Не все проблемы можно решить организационными мероприятиями. Не связывайте РП руки и в реестре рисков появится что-то более интересное, чем «принятие» в столбик.

Из-за некорректно выстроенной системы мотивации или её отсутствия можно наблюдать ситуации, когда РП не прикладывает должного усилия для выдерживания проектных переменных. А поскольку объектом риска являются эти самые переменные, то всё управление рисками превращается в необязательную процедуру. Если РП не получает от сокращения сроков никаких выгод — зачем стараться? Зачем пытаться предотвратить возможные проблемы?

Даже если бюджет проекта ограничен — помимо финансовой мотивации есть ещё и просто живой человеческий интерес, можно использовать его. Профессионал проведет любой проект на любую тему, но если у вас есть выбор — лучше назначить РП, которому тема проекта близка. Долгая возня со скучным проектом кого угодно приведёт к эмоциональному выгоранию и апатии. Тема мотивации — это огромный айсберг, у которого блестит только маленькая финансовая верхушка, а остальное прячется в толще психологии. У меня нет цели раскрывать эту тему подробно, я только обозначаю здесь довольно очевидную причину, по которой управление рисками в проекте может быть ослаблено.

Я хочу предложить вам небольшое мыслепреступление. Мы всё время так пристально следим за своими ценными проектами — давайте отвлечемся и посмотрим в другую сторону, наружу, из проекта.

Глядя на этот океан хаоса, единственное, о чём мы можем спросить себя (поскольку нас всё же волнует проект, даже когда мы на него не смотрим) — это: «Как часто меняется среда, в которой выполняется проект, и насколько он к этим изменениям чувствителен?»

Представьте, что у вас есть качественно составленный реестр рисков и даже прописаны ранние симптомы их срабатывания. Отлично, можно сказать, вы знаете ваши текущие координаты и скорость. Но это ничего не говорит об «ускорении», о том, с какой скоростью условно нормальная среда, в которой проект стартовал, имеет тенденцию превращаться в полный хаос и безумие.

Обратите внимание, я не говорю «превратится». Это невозможно предсказать, и я не призываю для успешного управления рисками проекта строить «модель всего». Но, когда мы смотрим на среду и пытаемся оценить её качества, становится очевидно, что выявляемые нами риски — это не какие-то абстрактные угрозы и «случайности», а именно те точки, в которых проект подвержен влиянию среды.

Представьте, что вы делаете мобильное приложение для управления пенсионными накоплениями (да, как будто они существуют). Какие риски вам принесёт среда? Пенсионная реформа раз в два года и продление «заморозки» накоплений неопределенное число раз на неопределенный срок! При таких вводных вообще нецелесообразно затевать проект.

Смещение акцента вашего внимания изнутри проекта наружу может не только помочь в выявлении рисков, но и дать понимание того, как в целом лучше организовать проект. Пример из жизни — автоматизация обмена данными с закупочной площадкой. Всё было хорошо, кроме сроков проекта. Площадка вносила изменения в формат обмена данными раз в несколько месяцев. Реализация, тестирование и сдача каждый раз начинались сначала. Очевидно, что с такой динамикой среды относительно безопасным был бы проект со сроком в 3−4 недели.

Чтобы быть успешными мы должны быть быстрее, чем среда. Если ситуация меняется каждую неделю, какой смысл составлять план на месяц? Да, процедура управления рисками для того и существует, чтобы иметь возможность выполнять проекты в любой среде и тем более необходима, чем больше разнообразных рисков необходимо учесть. Но без пропорционального увеличения скорости реакции мы не будем успевать, и все формальные процедуры превратятся в фарс. Кому нужна стратегия ответа на риск, когда он уже неделю как сработал вместе с парой других, которые не успели даже выявить? Динамика среды — это ваша индульгенция при ослаблении формальных процедур. Просят отчёт каждый час? Ок, он будет по СМС.

И вот тут я хочу сделать небольшое отступление и напомнить про одну очень полезную штуку, модель «Кеневин» (Cynefin framework). Я познакомился с ней, когда изучал гибкую методологию разработки. В брошюре Свидетелей Аджайла было написано что-то вроде: «Смотрите, это модель Кеневин, в соответствии с ней в условиях сложных систем лучше применять Аджайл. Применяйте Аджайл. Аминь.» Приведенная в модели классификация показалась мне интересной, но что с ней делать на практике так и осталось загадкой. Однако в оригинальном описании модели речь идет не о системе, а о «доменах» или «контекстах». Что в моем понимании ближе к среде, в которой выполняется проект, чем к самому проекту как системе. Это более осмысленно с точки зрения теории систем и сама модель начинает играть новыми красками. Не исключено, что всем это было очевидно.

Возвращаясь к теме рисков — если вы правильно классифицировали среду, то можете применить соответствующий подход к управлению рисками:

● Простая среда — управление рисками может быть сильно упрощено, а сами риски и стратегии ответа на них очевидны;

● Усложненная среда — управление рисками необходимо. Может помочь эксперт в предметной области для выявления рисков или декомпозиции «ситуации в целом» до каких-то понятных блоков с последующим выявлением рисков по каждому из них;

● Сложная среда — управление рисками необходимо, но крайне сложно, т.к. вы не понимаете причинно-следственные связи, а без этого «выстрелить» может откуда угодно. Соответственно, более эффективной здесь видится полу-реактивная модель поведения, когда фиксируются только понятные крупные риски, горизонт прогнозирования/выявления рисков сильно сокращен и вы готовы периодически «разбираться по ситуации»;

● Хаотическая среда — управление рисками невозможно в принципе. Сам факт нахождения в такой среде — это риск. Всё, что вы можете — это реагировать на её выпады в сторону проекта. По сути, для успешного функционирования в такой среде больше подходит выполнение задач, чем организация проектов. Чем короче и проще шаги — тем больше вероятность «проскочить» между непредсказуемыми негативными факторами.

Любое живое существо, помещенное в состояние непрекращающегося стресса, начинает страдать, терять шерсть (при наличии) и испытывать проблемы со здоровьем. Как ни странно — руководители проектов тоже относятся к категории живых существ и испытывают на себе действие кортизола и норадреналина точно так же, как и все остальные.

Даже если вы дипломированный супергерой, наша физиология складывалась миллионы лет и не собирается меняться только из-за того, что высшие приматы освоили проектную практику. Риск — это опасность. Если вы постоянно находитесь в опасности, то защитные механизмы психики либо начнут вас обманывать, выдавая опасное за нормальное, либо разгрузят мозг любыми другими гормональными фокусами, которых в запасе у организма достаточно.

Понаблюдайте за собой, попробуйте оценить, сколько угроз вам комфортно отслеживать одновременно, как часто вы о них вспоминаете не в контексте формальных процедур и надо ли реально так часто о них думать. Не возникает ли ощущение паники, зацикленности, желание выписать все задачи на стикеры, заклеить ими всю стену и проверять каждые пять минут? Не кажется ли место под столом наиболее привлекательным и безопасным? Есть ли промежутки времени, в которые у вас всё нормально или всё валится не переставая?

Мы все очень по-разному реагируем на внешние раздражители и ресурс психики у всех разный. Но следствие из этого — вовсе не то, что один РП может работать в экстремальных условиях, а другой — слабак и «не собрался, тряпка». Следствие такое, что от постоянного стресса люди со слабой психикой закончат неврозом, а с сильной — психосоматическим инфарктом или язвой. Это очень серьезные риски, не забывайте их тоже иметь в виду.

Но еще до того, как всё станет серьезно, есть ряд грязных уловок психики, которые стоит иметь в виду, чтобы не усугубить ситуацию.

1) Вам органически не может хотеться заниматься сложными рисками.
Организм экономит ресурсы, если хотите философской классики — «экономит мышление». Нам больше нравится заниматься простым и понятным — оно так красиво раскладывается по коробочкам! Но почему риск сложный? Потому что вы не до конца понимаете причинно-следственные связи и вам лень разбираться. В этом придется перебарывать себя, это нормально.

2) Ещё один «прикол» от перегруженного мозга — прятать сложные задачи.
Не хочу довести вас до параноидального состояния в попытке увидеть суслика, которого реально нет, но если вы начали систематически забывать и упускать из вида важные моменты, скорее всего, у вас перегрузка и нужно запрашивать помощь и контроль своих действий.

3) Зависимость оценки от опыта.

Некоторые проблемы кажутся вам незначительными только потому, что вы не понимаете, насколько глубока кроличья нора. С рисками то же самое. Если вы не являетесь признанным экспертом по норам, лучше позаботиться и пригласить на консультацию соответствующую Алису. Эксперты обычно долго рассказывают множество страшных и неприятный вещей, но если вы не прислушаетесь и будете играть в «не вижу препятствий», то все эти страшные вещи произойдут именно с вами.

4) Мы готовимся к тому, что знаем, «к прошедшим войнам».
Вспоминаем известные риски и пытаемся использовать готовые рецепты. Использование опыта это хорошо и всячески поощряется проектными методологиями. Но если при этом не учитывать изменение среды, то старая реакция может оказаться неадекватной в новых условиях. А если ситуация действительно повторяется раз за разом, то либо это «не очень проект», либо наша реакция не очень эффективна и стоит решать проблему иначе. Ничего статичного в принципе не существует. Не бывает так, что из года в год, из проекта в проект повторяется один и тот же риск. Мы либо не отследили изменения, либо сами закладываем в проект бомбу и это не риск, а саботаж.

5) Нацеленность на успех.
Никто не планирует поражения, но они случаются. Мы все в той или иной мере являемся заложниками желания успеха. Проведите мысленный эксперимент по уничтожению проекта — это поможет не только снять стресс, но и откроет новое видение в отношении рисков.

6) Всё под контролем.
Не поддавайтесь на эту иллюзию, всегда будет «слепое пятно», сумеречная зона, неконтролируемые флуктуации. У меня был НИОКР, который пострадал из-за выпавшего снега. Не спрашивайте. Некоторые вещи просто невозможно предугадать.

Управление рисками — это история про то, насколько эффективно мы способны выявлять причинно-следственные связи. Никто не умеет предсказывать будущее, но можно использовать опыт, отслеживать тенденции, и делать более или менее успешные предположения о том, как будет развиваться проект.

Для успешной оценки важны характеристики среды, её динамика, и динамика проекта как системы. Даже если у вас идеально описано состояние проекта на момент его запуска и составлен лучший реестр рисков за всю историю человечества — помните, что вы не демон Лапласа, точно спрогнозировать всё даже при идеально описанных начальных условиях невозможно. Поведение хаотических систем можно предсказать только на очень коротком промежутке времени, поэтому важно принимать во внимание скорость, с которой происходят изменения в среде и скорость, с которой вы способны на них реагировать. А сам процесс управления рисками должен быть итерационным, с постоянным уточнением начальных условий (текущей ситуации).

И если даже такая длинная статья не убедила вас в том, что всё предугадать невозможно, посмотрите короткое видео. Мы не можем предсказать даже положение нашей планеты, какие ещё тут могут быть риски?

Автор: Даниил Гранкин, Заместитель генерального директора по направлению «Энергетика» АО «Инфотех Груп»
Подпишитесь на @pmclub, чтобы не пропустить новые статьи!