På tal om projekt ...

Använder ni en statisk aktivitetslista i projektet? Dvs brukar ni ta fram en lista över aktiviteter, notera när de måste vara klara och sen inte följa upp listan? Förhoppningsvis svarar de flesta “Självklart inte!”. Listan skulle ju inte tillföra mycket om man inte sedan aktivt arbetade med den.

Nästan lika självklart som det verkar vara att arbeta med sina aktiviteter verkar det vara att inte arbeta med sina risker. Projekt som anses hyfsat välskötta brukar åtminstone genomföra en riskinventering under planeringsfasen och ta fram en lista med ett antal kolumner: vilka riskerna (inledningsvis) bedöms vara och konsekvenserna av om riskerna faller in, och sen kolumner för allvarlighetsgrad och sannolikhet som multipliceras så att riskerna kan graderas sinsemellan.

Men är inte det bra kanske vän av ordning undrar? Jovisst, en enkel riskhantering enligt ovan är fantastiskt bra om man kompletterar med följande tre saker:

• Åtgärder. Det kan låta uppenbart, men fördelen med risker är att de inte inträffat än, vilket ger oss tid att förebygga dem, vilket oftast är väsentligt billigare än att åtgärda ett redan inträffat problem. Men det kräver förstås att vi inte bara noterar vilka risker som kan inträffa, utan funderar över vad vi kan göra för att helt undvika att risken infaller, mildra effekterna av en infallen risk, ha reservplaner beredda osv.
• Kontinuerlig uppföljning. Riskarbetet behöver kontinuerligt följas upp ur åtminstone två aspekter. Dels behöver vi gå igenom själva riskerna. Har några tillkommit eller fallit bort? Är vår bedömning av riskernas prioritet densamma? Och dels behöver vi följa upp hur arbetet går med alla aktiviteter vi fattat beslut om för att minimera de negativa effekterna av riskerna.
• Kopplingar till styrgrupp och budget. Styrgruppen måste involveras i riskarbetet, eller snarare i de övergripande beslut/riskavvägningar som påverkar projektets övergripande ramar. Om till exempel komponenten A som ska byggas är förknippad med stora risker kanske man redan från början ska bygga en prototyp av den alternativa komponenten B för att tjäna tid om A visar sig inte hålla måttet. Det kommer vara tidseffektivt men påverka projektets budget. Tyngre beslut av detta slag ska självklart styrgruppen aktivt vara med och fatta, och den budget som styrgruppen fastställer ska också innehålla reservposter som är relevanta i förhållande till projektets risknivå och föreslagna åtgärder. Eller som PMI slår fast: en projektbudget utan reservposter är inte en budget.

Utan proaktiva åtgärder, en kontinuerlig uppföljning av såväl riskläget som vidtagna åtgärder samt aktiv medverkan av styrgruppen och diskussion om ekonomiska konsekvenser blir tyvärr riskhanteringen oftast en lista över hur ont olika saker förmodligen kommer att göra om de inträffar.

När jag granskar projekt ser jag ibland risklistor som innehåller formuleringar av typen

• Risk: Om vi blir av med våra resurser blir projektet försenat
• Åtgärd: Försök få hög prioritet på projektet

Den här sortens riskhantering är i princip helt meningslös och upplevs snarast som att projektledaren säger “det här är allt som kan gå fel och så här ont kommer det att göra” och “jag har i alla fall tagit upp många risker”. Det finns flera allvarliga brister med en sådan hantering av riskerna:

• För det första blir risklistan för lång, och full av självklarheter som gäller för samtliga projekt, vilket gör att de viktiga riskerna inte får tillräcklig uppmärksamhet. Självklart kan en resursrisk sticka ut och vara väldigt påtaglig för ett projekt, t ex kanske man är beroende av en nyckelperson som man har anledning att tro inte kommer finnas tillgänglig i den omfattning som behövs. Men då måste också åtgärderna vara betydligt mer fokuserade än att försöka få hög prioritet, t ex genom att man börjar lära upp en andraresurs, tar in en extern konsult i god tid, förändrar planeringen eller liknande.
• För det andra signalerar formuleringen att projektet leds av en projektledare som tror att syftet med risklistan är att påpeka allt som kan gå fel så att man har ryggen fri vid eventuella problem. Men det är inte det som är syftet med riskhantering. Syftet med riskhantering är att utnyttja tiden från nu fram till en potentiell skada skulle kunna inträffa genom att vidta åtgärder för att t ex undvika skadan helt, minimera konsekvenserna av den, förbereder alternativa handlingsplaner osv. Utan dessa åtgärder (innan skadan inträffat) finns ingen riskhantering. Vidtar man i stället korrigerande åtgärder efter skadan inträffat är det överhuvudtaget inte riskhantering vi pratar om – utan reaktiv problemlösning.

Följande faktorer anser jag vara viktiga i en framgångsrik riskhantering:

• De risker som tas upp ska vara relevanta och allvarliga för just det aktuella projektet
• Risklistan bör uppdateras regelbundet, t ex vid varje projektmöte
• Till varje risk måste det finnas en eller flera åtgärder, normalt tidssatta som i vilken aktivitetslista som helst, som gör att tiden fram till en eventuell skada utnyttjas för att minimera/eliminera skadans konsekvenser. Dessa åtgärder måste löpande följas upp så att man kan bedöma om de haft avsedd verkan på risken.
• Ju allvarligare en risk är, desto fler alternativa och kompletterande åtgärder bör man genomföra. Det är bättre att ha fem olika åtgärder för den största risken och helt hoppa över de minsta riskerna än att försöka ha “minst en åtgärd per risk”.
• Styrgruppen bör involveras i riskhanteringen. Det gäller särskilt risker vars hantering har stor påverkan på tid/kvalitet/leverans. Man kanske har en tekniskt tveksam lösning som om den inte håller kommer att medföra en stor försening. För att hantera det scenariot kan man i förväg arbeta på en alternativ lösning som medför väsentligt ökade kostnader. I det fallet måste styrgruppen involveras i beslutet så man får ett förankrat beslut på om tidsplanen är viktigast (bygg den alternativa lösningen parallellt) eller kostnaden (bygg den alternativa först när vi vet att huvudlösningen misslyckats).