Risikostyring i projekter: sådan undgår du overraskelser

Der er tre uger til leveringen. Alt har set fint ud på statusmøderne, farverne i rapporten har været grønne siden juni, og styregruppen er tilfreds. Så ringer leverandøren og fortæller, at den ene komponent er forsinket med fem uger.

Ingen havde talt om, hvad I ville gøre i den situation. Ikke fordi ingen havde tænkt tanken — to i projektgruppen havde nævnt det i foråret — men fordi tanken aldrig blev skrevet ned nogen steder, hvor den kunne blive til en beslutning.

Det er sådan projekter går galt. Sjældent på grund af det, ingen kunne forudse. Næsten altid på grund af det, nogen forudså og ingen gjorde noget ved.

En risiko er ikke et problem — endnu

Skellet lyder akademisk og er meget praktisk. En risiko er noget, der kan ske. Et problem er noget, der er sket. De to ting håndteres af forskellige mennesker med forskellige værktøjer og forskellige tidshorisonter.

Risikoen har en ejer, en sandsynlighed og en plan. Problemet har en løsning og en deadline. Blandes de sammen — og det gør de i de fleste projektlogs — ender risikologgen som en liste over ting, der allerede er gået galt. Så er den ikke et styringsværktøj længere, den er en dagbog.

Test det på din egen liste: hvis punktet er formuleret i datid, er det ikke en risiko. En ordentlig formulering har altid en årsag og en konsekvens: "Hvis leverandøren ikke leverer i uge 34, kan testfasen ikke starte til tiden, og go live rykker en måned."

Risici findes ikke af sig selv

De fleste projektledere identificerer risici ved at sætte sig ned og tænke. Det giver mellem fem og ti punkter, og de er som regel de samme, som stod på det forrige projekts liste.

Tre metoder giver markant mere:

• Spørg dem, der skal udføre arbejdet. De kender de tekniske og praktiske faldgruber, du ikke kan se fra projektkontoret.
• Hold en pre-mortem. Bed gruppen forestille sig, at projektet er kørt fuldstændig af sporet, og at det er om et år. Hvad skete der? Formuleringen fjerner høfligheden fra svarene, fordi ingen skal spå — de skal bare forklare.
• Gå interessentlisten igennem. Hver interessent, der kan sige nej, forsinke en godkendelse eller ændre kravene, er en potentiel risiko.

Gør det tidligt, og gør det igen. Risikobilledet i en analysefase ligner ikke det i en implementeringsfase, og en liste, der ikke er rørt siden opstartsworkshoppen, er lige så meget værd som ingen liste.

Risikologgen behøver ikke være kompliceret

Et regneark med seks kolonner er nok til langt de fleste projekter. Det, der afgør, om den bliver brugt, er ikke antallet af felter, men om den kommer frem på hvert eneste statusmøde.

Læg mærke til kolonnen med ejer. Den er den vigtigste og den, der oftest står tom. En risiko uden navn bliver ikke fulgt af nogen, og så er den ikke styret — den er bare noteret.

Sandsynlighed gange konsekvens, med et forbehold

Den klassiske prioritering ganger sandsynlighed med konsekvens og sorterer efter resultatet. Det virker fornuftigt, og det duer til det meste. Men det har en indbygget svaghed, du bør kende.

Metoden behandler en meget sandsynlig småting og en usandsynlig katastrofe som lige vigtige, hvis de får samme produkt. Det er de sjældent. Falder et it-system permanent ud, eller ryger en nøgleperson, kan konsekvensen være så alvorlig, at sandsynligheden er underordnet.

Brug derfor prioriteringen som udgangspunkt, ikke som facit, og hold øje med de risici, der kan vælte hele projektet. De skal have en plan, uanset hvor usandsynlige de er.

Fire måder at håndtere en risiko på

Når risikoen er beskrevet og prioriteret, skal der vælges en strategi. Der er fire, og de fleste projekter bruger kun én af dem:

1. Undgå. Lav om på projektet, så risikoen forsvinder — vælg en anden teknologi, et andet leveranceomfang, en anden rækkefølge.
2. Reducér. Sænk sandsynligheden eller konsekvensen. Test tidligere, del leverancen op, byg buffer ind.
3. Overfør. Læg risikoen hos en anden gennem kontrakt, forsikring eller en aftale om bod. Bemærk, at ansvaret flytter — konsekvensen for projektet gør det sjældent.
4. Accepter. Beslut bevidst at leve med den, og skriv ned hvad I gør, hvis den indtræffer.

Den fjerde er fuldt legitim og bliver alligevel sjældent skrevet ned, fordi det føles som at give op. Det modsatte er tilfældet: en accepteret risiko med en beredskabsplan er styret. En ignoreret risiko er ikke.

Vil du have metoderne sat i system sammen med resten af projektværktøjskassen, er et kursus i projektledelse stedet, hvor det hænger sammen med planlægning, interessenter og styring.

Standarderne siger stort set det samme

Du behøver ikke købe en standard for at styre risici, men det er værd at vide, at de anerkendte rammer er enige om fremgangsmåden.

ISO 31000:2018, som hedder Risk management — Guidelines og udkom i februar 2018, beskriver risikostyring som principper, en ramme og en proces, der dækker identifikation, analyse, evaluering, behandling, overvågning og kommunikation. Standarden er en vejledning, ikke et certificerbart krav — den kan altså ikke bruges til at få et stempel, men den kan bruges til at holde jeres egen praksis op mod noget internationalt anerkendt.

PRINCE2 i syvende udgave, der udkom i september 2023, har risiko som en af sine syv praksisser sammen med blandt andet business case, kvalitet og planer. Pointen i begge tilfælde er den samme: risikostyring er ikke en aktivitet, du laver ved projektstart. Det er noget, der kører hele vejen igennem.

"Vi har ikke tid til risikostyring"

Indvendingen kommer typisk fra projekter, der har travlt — altså præcis dem, hvor en overraskelse gør mest skade. Og den er ikke helt urimelig: en risikoworkshop på fire timer i et projekt på seks uger er ude af proportion.

Løsningen er ikke at droppe det, men at skalere det. Et lille projekt kan nøjes med fem risici på en side og ti minutter på hvert statusmøde. Et stort program har brug for mere. Det, der ikke kan skaleres væk, er de tre grundelementer: skriv risikoen ned, giv den et navn, og tag den frem igen.

Regnestykket er til at overskue. Ti minutter om ugen i et projekt på et halvt år er cirka fire timer i alt. Det er mindre end den forsinkelse, en enkelt overset afhængighed typisk koster.

Sådan kommer du i gang

Du kan have en fungerende risikostyring i dit igangværende projekt inden fredag:

1. Saml projektgruppen i en time og hold en pre-mortem. Skriv alt ned uden at vurdere undervejs.
2. Formulér hver risiko som hvis-så med årsag og konsekvens. Slet dem, der viser sig at være problemer.
3. Sæt sandsynlighed og konsekvens på med tre niveauer. Diskussionen undervejs er mere værd end tallene.
4. Giv de ti største en ejer med navn og en aftalt handling.
5. Læg logfilen, hvor alle kan se den, og sæt den som fast punkt på statusmødet.
6. Gennemgå den ved hver faseovergang og luk det, der ikke længere er relevant.

Punkt seks er det, de fleste springer over. En log, der kun vokser, bliver til sidst så lang, at ingen læser den.

Når risikostyring skal blive en vane i hele porteføljen

Det er til at lære at styre risici i ét projekt. Det er sværere at få en organisation til at gøre det ensartet, så en styregruppe kan sammenligne to projekters risikobillede uden at oversætte mellem to forskellige logfiler.

Skal du have hele værktøjskassen på plads, giver projektlederuddannelsen den samlede ramme, mens Foundation of Project Management er en mere kompakt indgang. Arbejder I visuelt med planer og afhængigheder, er visual planning i projektarbejdet en god måde at gøre risiciene synlige for alle i teamet frem for kun for projektlederen.

Start med det, der koster en time: saml gruppen og spørg, hvad der kan gå galt. Du får svar, du allerede burde have haft.