ANALIZA MO LIWO CI ZASTOSOWANIA TECHNIK WSPIERAJ CYCH ZARZ DZANIE RYZYKIEM W PROCESACH REALIZACJI PROJEKTÓW INFORMATYCZNYCH JACEK WINIARSKI Uniwersytet Gda ski Streszczenie Celem artykułu jest analiza mo liwo ci zastosowania wybranych spo ród najbardziej popularnych, dwudziestu pi ciu technik wykorzystywanych do wspierania zarz dzania ryzykiem w procesach realizacji projektów. W tek cie porównano zarz dzanie ryzykiem opisane w trzech metodykach: PRINCE2, PMBoK oraz ISO/IEC 16085. Nast pnie przyporz dkowano wybrane techniki do poszczególnych etapów procesu zarz dzania ryzykiem w przedsi wzi ciach informatycznych. Kryterium doboru stanowiła maksymalizacja korzy ci z zastosowania danej techniki. Słowa kluczowe: zarz dzanie projektami informatycznymi, zarz dzanie ryzykiem, in ynieria oprogramowania 1. Wprowadzenie W nauce i praktyce opracowano ponad tysi c metodyk zarz dzania projektami IT, ale w ród nich tylko kilka zajmuje si szczegółowo procesem gospodarowania ryzykiem. Do powszechnie stosowanych tak zwanych ci kich metodyk, uwzgl dniaj cych problematyk ryzyka, nale PRINCE2 i PMBoK. Istnieje te kilka metodyk badaj cych ryzyko, wspieranych przez organizacje standaryzacyjne czy te przez du e firmy informatyczne. S to ISO/IEC 16085, SCRAMM, MSF. Ka da z wymienionych metodyk opisuje, jak ma przebiega proces zarz dzania ryzykiem, dziel c go na szczegółowe etapy. Jednocze nie adna z nich nie okre la, jakie techniki maj zosta u yte do oceny ryzyka w poszczególnych fazach procesu zarz dzania. To wła nie zastosowanie prawidłowo dobranych technik umo liwia w praktyce wyznaczenie np. wielko ci prawdopodobie stwa wyst pienia danego zagro enia czy te okre lenia wielko ci niezb dnych zapasów, które b d mogły zosta zu yte do zniwelowania przewidywanego wpływu niekorzystnych zdarze. Proces zarz dzania ryzykiem podzielony na etapy, jakie proponuj wymienione powy ej metodyki odgrywa najwa niejsz rol w trakcie realizacji projektów IT, ale dopiero u ycie stosownych technik pozwala na wyznaczenie wielko ci, na podstawie których powinny by podejmowane kluczowe decyzje dotycz ce przebiegu realizacji badanego przedsi wzi cia. Brak wskazania i przyporz dkowania technik do wyszczególnionych w metodykach etapów zarz dzania ryzykiem nale y uzasadni tym, i metodyki te maj słu y wspieraniu realizacji ka dego projektu IT. Musz one zatem by niezale ne od wielko ci, czasu trwania projektu i ostatecznego przeznaczenia tworzonego systemu. W konsekwencji tego wymagania, autorzy projektuj cy poszczególne metodyki zdecydowali si pozostawi swobod doboru technik, osobom zarz dzaj cym indywidualnymi przedsi wzi ciami informatycznymi. Do bada nad mo liwo ci zastosowania w procesach zarz dzania ryzykiem w trakcie realizacji projektów IT zostało wybranych 25 technik, powszechnie wykorzystywanych do wspierania procesów realizacji przedsi wzi gospodarczych.
236 Analiza mo liwo ci zastosowania technik wspieraj cych zarz dzanie ryzykiem 2. Struktura procesów zarz dzania ryzykiem porównanie wybranych metodyk Procesy zarz dzania ryzykiem opisane w metodykach PRINCE2, PMBoK oraz ISO/IEC 16085 posiadaj wiele cech wspólnych. Ka dy z nich funkcjonuje w oparciu o cykl Deminga. Ró nice widoczne s dopiero w szczegółowych wytycznych dotycz cych parametrów np: opisuj cych ryzyko czy te charakteryzuj cych struktur organizacyjn maj c nadzorowa realizacj projektu. Metodyka PRINCE2 została zaproponowana jako narz dzie wspieraj ce realizacj zamówie publicznych w Wielkiej Brytanii. Okre la ona nast puj ce etapy zarz dzania ryzykiem [1]: identyfikacj ryzyka, ocen prawdopodobie stwa wyst pienia potencjalnego ryzyka, ocen prawdopodobnych skutków (wpływu) ryzyka, okre lenie pilno ci (nagło ci) potencjalnych zagro e, zaplanowanie działa umo liwiaj cych unikni cie wpływu ryzyka, opracowanie działa zmniejszaj cych ryzyko (je eli działania prowadz ce do jego unikni cia zawiod ). Norma ISO/IEC 16085 przyj ta w pa dzierniku 2004 roku jest metodyk słu c do planowania przedsi wzi informatycznych zaproponowan w celu identyfikacji i oceny potencjalnych zdarze mog cych niekorzystnie wpłyn na przebieg planowanego b d realizowanego projektu IT. Proces zarz dzania ryzykiem zdefiniowany w normie ISO/IEC 16085 obejmuje [2] i [3]: okre lenie zakresu zarz dzania ryzykiem, wdro enie strategii zarz dzania ryzykiem, identyfikacj ryzyka, stał analiz ryzyka według ustalonych kryteriów, zdefiniowanie miar ryzyka, zmian ryzyk i monitorowanie skuteczno ci działa, podejmowanie działa prowadz cych do ograniczenia wpływu lub unikni cia ryzyka. Metodyka PMBoK, została opracowana na potrzeby zamówie publicznych zlecanych przez administracj pa stwow w USA, okre la ona nast puj ce etapy procesu zarz dzania ryzykiem: planowanie zarz dzania ryzykiem, identyfikacj ryzyka, klasyfikacj ryzyka, pomiar ryzyka, planowanie metod reagowania na ryzyko, kontrol i nadzorowanie ryzyka. Przedstawione ró ne etapy procesów zarz dzania ryzykiem posiadaj zbli one znaczenia. Wszystkie one mog by zaadaptowane na ka dym poziomie organizacji dla przedsi wzi IT o ró nych rozmiarach, znajduj cych si w ró nych stadiach cyklu ycia systemu. W adnym z etapów z wymienionych metodyk nie okre la si precyzyjnie jak np. identyfikowa ryzyko, jak mierzy jego wielko czy te jak wyznacza prawdopodobie stwo wyst pienia zdarze mog cych niekorzystnie oddziaływa na przebieg projektu. Do dalszych bada, maj cych na celu przyporz dkowanie wszystkim etapom zarz dzania ryzykiem najbardziej skutecznych technik, autor wybrał opis procesu zaproponowany w PMBoK. Metodyka ta z całej rodziny tzw. ci kich metodyk jest z pewno ci najcz ciej wykorzystywana
POLSKIE STOWARZYSZENIE ZARZ DZANIA WIEDZ Seria: Studia i Materiały, nr 17, 2008 237 przy wytwarzaniu oprogramowania komputerów. 3. Analiza szczegółowa etapów procesu zarz dzania ryzykiem w projektach IT 3.1. Planowanie zarz dzania ryzykiem Planowanie procesu zarz dzania ryzykiem w pracach projektowych posiada dwa zasadnicze cele. Pierwszym z nich jest przygotowanie i zorganizowanie procesu zarz dzania ryzykiem, drugi to konstrukcja struktury organizacyjnej, której podstawowymi zadaniami b d : izolowanie i zmniejszanie ryzyka, eliminowanie ryzyka (je eli jest to mo liwe i ekonomicznie uzasadnione), planowanie alternatywnych sposobów działania oraz okre lenie koniecznych rezerw czasowych i finansowych. Planowanie zarz dzania ryzykiem jako integralna cz procesu zarz dzania projektem powinno by powtarzane podczas jego realizacji w regularnych odst pach czasu oraz wykonywane dodatkowo w sytuacjach wyst pienia stanów wyj tkowych. W praktyce wi kszo du ych przedsi wzi IT jest realizowana na podstawie planów wielokrotnie modyfikowanych. Zmiany te ostatecznie maj doprowadzi do bardziej skutecznych działa na rzecz osi gni cia wyznaczonego celu. Na cz powstałej w ten sposób dokumentacji powinien składa si równie plan zarz dzania ryzykiem, opisuj cy aktualne rezultaty oraz status procesu planowania zarz dzania ryzykiem. Ogólny schemat planu zarz dzania ryzykiem, który mo e zosta zastosowany w procesach realizacji projektów informatycznych powinien składa si z pełnej charakterystyki o miu obszarów. S to [4]: opisu projekt: celu projektu, prezentacji kluczowych funkcji, opis wymaganych własno ci operacyjnych, technicznych oraz koniecznego wsparcia, podsumowanie projektu: podsumowanie wymogów, charakterystyki zarz dzania, opisu zintegrowanego harmonogramu, uwarunkowania zarz dzania ryzykiem: strategia zarz dzania ryzykiem w organizacji, tolerancja grup interesu wobec ryzyka, schemat planu zarz dzania ryzykiem w organizacji, struktura zarz dzania ryzykiem: definicje, rozwi zania, synchronizacji w czasie, miernika, poziomy odniesie, wdro enia (ocen, obserwacji i podziałów obowi zków i odpowiedzialno ci), problemy zwi zanych z realizacj : identyfikacji ryzyka, klasyfikacji ryzyka, pomiaru ryzyka, planowania metod reagowania na nie, nadzorowania i kontroli ryzyka, pozostałe planów zwi zanych z projektem, podsumowanie metodologii, bibliografia, zestaw akceptacji. Menad er przedsi wzi cia IT uwzgl dniaj cy wy ej opisane zagadnienia, powinien zaproponowa dla ka dego projektu indywidualny plan zarz dzania ryzykiem. Technikami, które umo liwiaj wykonanie tego zadania w procesach realizacji przedsi wzi informatycznych s : metodologie zarz dzania ryzykiem, spotkania planistyczne, analizy zało e. Istniej równie techniki, które cho zostały zaprojektowane w celu wspierania innych etapów procesu zarz dzania ryzykiem, ale zastosowane podczas planowania zarz dzania ryzykiem w praktyce okazuj si przydatnymi narz dziami dostarczaj cymi wielu cennych informacji. Mo na do nich zaliczy : ankiety eksperckie, przegl d dokumentacji, technik delfick, analiz SWOT, sza-
238 Analiza mo liwo ci zastosowania technik wspieraj cych zarz dzanie ryzykiem blony projektu, szacowanie zale no ci, systemy ocen, mno niki ryzyka, macierz reagowania na ryzyko, nadzorowanie wyników, przegl dy i audyty ryzyka. 3.2. Identyfikacja ryzyka Niew tpliwie najwa niejszym etapem w procesie zarz dzania ryzykiem w pracach projektowych jest identyfikacja zdarze, mog cych niekorzystnie wpłyn na realizacj przedsi wzi cia. Identyfikacja ryzyka ma na celu wykrycie poszczególnych rodzajów zagro e, wyst puj cych w badanym projekcie. W rzeczywisto ci liczba zdarze mog cych spowodowa niekorzystne zmiany jest nieograniczona. W praktyce trudno podda szczegółowej analizie wpływ wszystkich mo liwych zakłóce na wykonanie planowanych zada. Ale te nie ma potrzeby zajmowania si zdarzeniami, które albo mog mie nieistotny wpływ na przebieg realizacji projektu albo ich prawdopodobie stwo wyst pienia jest na tyle małe, e mo na je przyj (z akceptowalnie du ym przybli eniem) za niemo liwe do zaistnienia. W procesie identyfikacji ryzyka nale y rozpozna istotne zagro enia, a nast pnie je opisa. Do identyfikacji zagro e nale y zastosowa odpowiednie techniki umo liwiaj ce znalezienie zdarze mog cych niekorzystnie wpłyn na realizacj prac projektowych. Techniki do tego u ywane mo na podzieli na dwie grupy. Pierwsza z nich to techniki słu ce przede wszystkim do identyfikacji ryzyka, a druga to techniki wykorzystywane głównie do gromadzenia informacji o ryzyku. Do technik, które słu do identyfikacji ryzyka w pracach projektowych z bran y IT nale y zaliczy : listy kontrolne, przegl d dokumentacji, analiz zało e, ankiety eksperckie, technik delfick, burz mózgów, metod Crawforda, metod analogii. Do technik gromadzenia informacji o ryzyku znajduj cych zastosowanie w procesach realizacji projektów informatycznych zalicza si : analiz SWOT, analiz PERT, diagramy przepływów (diagramy blokowe), diagramy GERT, diagramy VERT, diagramy przyczynowo-skutkowe Ishikawy (tzw. rybiego szkieletu), wykresy pola sił. Ostatecznym rezultatem przeprowadzenia procesu identyfikacji ryzyka jest dokument opisuj cy poszczególne rodzaje ryzyka wyst puj ce w projekcie IT konstrukcj i tre ci powinien on umo liwi wykonanie kolejnego etapu procesu zarz dzania ryzykiem, jakim jest podział ryzyka na grupy (klasy). 3.3. Klasyfikacja ryzyka Klasyfikacja ryzyka jest to zadanie polegaj ce na uporz dkowaniu ryzyka według kryteriów takich jak: prawdopodobie stwo wyst pienia oraz wielko przewidywanych strat. Jak wykazuje praktyka projektowa, w tego typu przedsi wzi ciach poziom ryzyka przypisany poszczególnym zidentyfikowanym zagro eniom jest relatywny i odzwierciedla osobowo analityka. W technikach pomiaru wielko ci zagro enia dominuj metody heurystyczne, wykorzystuj ce jako podstaw intuicj badaczy. W takiej sytuacji to samo zagro enie mo e zosta przez ka dego eksperta ró nie ocenione. Klasyfikacja zagro e jest etapem poprzedzaj cym zastosowanie systemów oceny ryzyka, których u ycie ma na celu mo liwie jak najwi ksz eliminacj elementów intuicyjnych. Budowa systemów oceny ryzyka w uproszczonym modelu polega na opisie jego skutków, wyborze odpowiedniej skali, wyznaczeniu granic poszczególnych poziomów, a nast pnie przydzieleniu danego ryzyka do odpowiedniej grupy i przyporz dkowaniu mu wielko ci. Tak zaprojektowany system powinien pozwoli na ocen i klasyfikacj ka dego rozpoznanego rodzaju zagro enia w analizowanym przedsi wzi ciu. Niestety zastosowanie wielko ci niewymiernych uniemo liwia
POLSKIE STOWARZYSZENIE ZARZ DZANIA WIEDZ Seria: Studia i Materiały, nr 17, 2008 239 wykonanie precyzyjnych porówna i uszeregowa. Skale u yte do wyceny prawdopodobie stwa zaistnienia zagro e i oceny potencjalnego jego wpływu na projekt (skutków), w praktyce powinny by mo liwie jak najprostsze. Dla wielko ci opisowych cz sto stosuje si trzy kategorie: wysokie, rednie i niskie. Mened erowie zarz dzaj cy ryzykiem mog dla ka dego projektu zindywidualizowa skale potencjalnych skutków. W technikach oceny ryzyka realizowanych za pomoc niewymiernych wielko ci, zidentyfikowane rodzaje ryzyka przelicza si poprzez zastosowanie zindywidualizowanych systemów wag, okre lonych dla ka dego projektu. W praktyce zarz dzania jest to etap, w którym mened erowie cz sto korzystaj z wielko ci nieempirycznych, w celu ich wyznaczenia u ywaj intuicji. W odniesieniu do kosztów i harmonogramu skutki ryzyka mo na z du dokładno ci wyrazi za pomoc wielko ci wymiernych np. procentowo, przy u yciu warto ci bezwzgl dnych lub jako wielko ci zale ne od okre lonych zada czy te funkcji [1]. Z wielko ci prawdopodobie stwa jest inaczej. Cho warto ta jest zazwyczaj intuicyjnie wyznaczana, to nie indywidualizuje si jej w zale no ci od analizowanego projektu. Poziom prawdopodobie stwa wyst pienia zagro enia w projektach informatycznych najcz ciej okre la si jednym z czterech alternatywnych sposobów: za pomoc wielko ci wymiernych: procentowo, liczbowo np. z przedziału od 0 do 1, lub od 1 do 10 (jak w metodzie Heega), za pomoc okre le warto ciuj cych (opisowo): małe prawdopodobie stwo, rednie, du e - zwyczajowo wymagana jest skala, co najmniej trzystopniowa, poprzez porównanie (np. b dzie tak jak w projekcie realizowanym dwa lata temu) - sposób rzadko w praktyce stosowany, jako cz stotliwo wyst pienia (np. przynajmniej w trzech przypadkach na dziesi ). Do technik słu cych klasyfikacji ryzyka, które wykorzystuje si w procesach realizacji projektów informatycznych nale y zaliczy : systemy oceny ryzyka, modele ryzyka, sztuczne sieci neuronowe. Do grupy technik, które posiadaj inne podstawowe zastosowanie, ale ich wykorzystanie mo e wspomóc proces klasyfikacji ryzyka w przedsi wzi ciach IT mo na natomiast zaliczy : ankiety eksperckie, metodologie zarz dzania ryzykiem, oceny planu, analizy zało e, macierz reagowania na ryzyko. 3.4. Pomiar ryzyka W pomiarach ryzyka, b d cego permanentnym elementem ka dej działalno ci gospodarczej prowadzonej w warunkach rynkowych, nie mo na unikn równie elementów intuicyjnych. Eksperci zajmuj cy si t problematyk stawiaj sobie pytanie, jak na podstawie danych zebranych w przy zastosowaniu metod heurystycznych wyrazi w wielko ciach wymiernych ryzyko pojawiaj ce si podczas realizacji np. projektów informatycznych. Poszukiwany sposób pomiaru ryzyka ma pozwoli na wyliczenie jego wielko ci zarówno dla indywidualnych zada grób zada, jak i dla całego przedsi wzi cia. Cało ciowo przeprowadzone badanie ryzyka powinno umo liwi dokonanie prawidłowej oceny szans na terminow realizacj badanego projektu, pozwoli na okre lenie niezb dnego poziomu rezerw (lub ich cz ci) oraz stworzy podstawy do przeprowadzenia szczegółowej analizy typu, co-je li, która okazuje si by bardzo pomocn mi dzy innymi w planowaniu rodków prewencji. W wyniku przeprowadzenia pomiaru ryzyka menad erowie uzyskuj :
240 Analiza mo liwo ci zastosowania technik wspieraj cych zarz dzanie ryzykiem list monitorowan, jest to zestawienie zidentyfikowanych zagro e, uporz dkowane według przewidywanego stopnia istotno ci ich wpływu na analizowany projekt, krzyw skumulowanego rozkładu prawdopodobie stwa (opcjonalnie). Listy monitorowane (ang. watch list) to rozbudowane narz dzie ewidencyjne. W praktyce umieszczanych jest w nich bardzo wiele informacji. Do najwa niejszych mo na zaliczy : opis rodzajów ryzyka wraz z potencjalnymi ich skutkami uporz dkowanymi według stopnia przewidywanego oddziaływania na analizowany projekt oraz planowane metody reagowania na zidentyfikowane niebezpiecze stwa. Krzywa skumulowanego rozkładu prawdopodobie stwa, w praktyce rzadko mo liwa do wyznaczenia, jest metod graficznej prezentacji warto ci ryzyka zasobów kosztowych, czasowych i wydajno ciowych. Osoba zarz dzaj ca ryzykiem posiadaj c omawian krzyw mo e z łatwo ci okre li konieczne poziomy rezerw dla ka dego z badanych zasobów. Do najcz ciej stosowanych technik pomiaru ryzyka w procesach realizacji przedsi wzi informatycznych zalicza si : metody punktowe (np. zasobowa, czasowa, Heega), symulacj np. Monte Carlo, analiz szacowania zale no ci, analiz decyzji - oczekiwanej warto ci pieni dza, analiz PERT (GERT czy te VERT). Jako pomocnicze techniki mo na zastosowa w projektach IT: ankiety eksperckie, metodologie zarz dzania ryzykiem, technik delfick, analiz zało e, systemy oceny. 3.5. Planowanie metod reagowania na ryzyko Opracowanie planów metod reagowania na ryzyko jest jednym z etapów procesu zarz dzania ryzykiem. W czasie jego wykonania okre la si za pomoc, jakich działa maj by rozwi zane problemy, b d ce konsekwencj zaistnienia poszczególnych rodzajów zagro e, zidentyfikowanych i ocenionych podczas realizacji procesu zarz dzania ryzykiem. Uogólniaj c, w praktyce wyró nia si nast puj ce kategorie metod reagowania na ryzyko [5]: unikanie ryzyka, transfer ryzyka, łagodzenie ryzyka, akceptacja ryzyka. W wielu sytuacjach, podczas realizacji indywidualnych zada czy te całych grup czynno ci projektowych zachodzi mo liwo wykonania ich na kilka istotnie ró nych sposobów. Istnieje wówczas mo liwo wyznaczenia jednego rozwi zania, a specjalnie dobrane kryterium wyboru b dzie miało na celu wskazanie cie ki realizacji obci onej ryzykiem mniejszym ni pozostałe warianty. Jest to typowa sytuacja decyzyjna, umo liwiaj ca zastosowanie strategii unikania ryzyka. Menad erowie akceptuj dany wariant wykonania zadania, poniewa wi e si z nim potencjalnie najmniej niekorzystny wynik. Nie zawsze unikanie ryzyka nale y uzna za wła ciwe kryterium wyboru sposobu realizacji zada. Bywa tak, i podj cie si bardziej ryzykownych rozwi za wi e si z wi ksz elastyczno ci w gospodarowaniu zasobami i umo liwia uzyskanie wy szej wydajno- ci. Transfer ryzyka to działanie polegaj ce na przeniesieniu odpowiedzialno ci lub ewentualnych konsekwencji zwi zanych z danym rodzajem ryzyka na inn grup interesariuszy. Transferu mo na dokona równie na rzecz innych organizacji lub osób niebior cych udział w przedsi wzi ciu, w tym np: ubezpieczycieli, kontrahentów, dostawców, partnerów czy te klientów.
POLSKIE STOWARZYSZENIE ZARZ DZANIA WIEDZ Seria: Studia i Materiały, nr 17, 2008 241 Akceptacja ryzyka to najbardziej popularna ze wszystkich metod reagowania na pojawiaj ce si zagro enia. Proces ten polega na podejmowaniu okre lonych działa, prowadz cych do niwelacji prawdopodobie stwa lub\i skutków wyst pienia zdarze, których konsekwencje mog niekorzystnie oddziaływa na proces realizacji przedsi wzi cia. Osoba zarz dzaj ca projektem powinna zaproponowa plan łagodzenia ryzyka, a nast pnie kontrolowa jego wdro enie. Niezb dne elementy tego planu powinny by wkomponowane w cały przebieg przedsi wzi cia w postaci np. kamieni milowych redukcji ryzyka czy nowatorskich metod realizacji zada. Zaproponowany plan łagodzenia ryzyka powinien równie by uwzgl dniony podczas tworzenia zestawie m.in. kosztów, harmonogramu czy te przy układaniu struktury podziału pracy. Akceptacja ryzyka polega na przyj ciu i ud wigni ciu wszystkich konsekwencji wynikaj cych z ewentualnego wyst pienia zdarze niekorzystnie oddziaływuj cych na przebieg realizacji przedsi wzi cia. Istniej dwie podstawowe odmiany akceptacji ryzyka aktywna i pasywna. Akceptacja pasywna polega na przyj ciu skutków zdarzenia ryzyka bez podejmowania jakichkolwiek działa w celu rozwi zania pojawiaj cych si problemów, jakie si z nim wi. Działania podejmowane przez pracowników przyjmuj cych t postaw ograniczaj si zwykle do dokumentacji ryzyka oraz komunikowania menad erom, e dany rodzaj ryzyka faktycznie istnieje i e organizacja godzi si ud wign wszystkie konsekwencje zwi zane z jego wyst pieniem. Akceptacja aktywna równie polega na pogodzeniu si z ryzykiem, ale wymaga stworzenia i wdro enia specjalnego planu działania w razie wyst pienia ryzyka. Plan ten mo e by w niektórych przypadkach nawet i planem odwrotu. Plany te powinny zawiera szczegółowe instrukcje dotycz ce metod reagowania na ryzyko, czy te w wersji uproszczonej stanowi okre lon dokładnie wielko rezerw bud etu i czasu. Plan odwrotu jest stosowany w sytuacjach, gdy plany działa - strategie, specjalnie przygotowane na wypadek wyst pienia zagro enia w procesie realizacji projektu, oka si niewystarczaj ce. Jest on działaniem ostatecznym, które ma zabezpieczy projekt (czy te firm ) przed całkowitym niepowodzeniem realizowanego przedsi wzi cia. Sens wydzielenia ewentualnych rezerw finansowo-czasowych, czy te wyznaczenia ich wielko ci w praktyce cz sto budzi w ród decydentów wiele emocji. Niektórzy postrzegaj rezerwy jako rodek na niwelowanie wszelkich problemów w procesie realizacji przedsi wzi cia, inni jako sposób na niepotrzebne wsparcie dla niekompetentnych wykonawców projektu. Nie istniej uniwersalne zasady okre lenia wielko ci rezerw, uzale niaj cych je od specyfiki planowanego projektu informatycznego. Poziom rezerw powinien by funkcj akceptowalnego ryzyka danego projektu, ogólnego poziomu ryzyka oraz zwyczajów przyj tych w firmie. Wybór wła ciwej techniki planowania reakcji na ryzyko wi e si cz sto z konieczno ci okre lenia osobnej strategii dla ka dego rodzaju ryzyka. Mo e równie wymaga wyznaczenia, która z przyj tych strategii b dzie zastosowana jednocze nie do kilku rodzajów ryzyka czy te w sytuacji, gdy kilka ryzyk posiada jedn przyczyn. W takich przypadkach narz dziem cz sto wykorzystywanym w procesach realizacji projektów IT jest macierz reagowania na ryzyko. Do grupy technik, których zastosowania mo e wesprze proces planowania reagowania na ryzyko nadaj cych si do zastosowania w przedsi wzi ciach informatycznych zalicza si : ankiety eksperckie, spotkania planistyczne, porównanie analogii, burz mózgów, metod Crawforda, analiz SWOT, szablony projektu, analiz sieciow.
242 Analiza mo liwo ci zastosowania technik wspieraj cych zarz dzanie ryzykiem 3.6. Nadzorowanie i kontrolowanie ryzyka Po wykonaniu etapów identyfikacji, klasyfikacji, wyceny i planowania metod reagowania na ryzyko uzyskane wnioski powinny zasta wprowadzone w ycie. Proces nadzorowania i kontrolowania polega na wdro eniu planu zarz dzania ryzykiem, który powinien by integraln cz ci planu realizacji projektu. Z procesem nadzorowania i kontrolowania ryzyka wi si dwa istotne dla przedsi wzi problemy. Pierwszy z nich polega na efektywnej realizacji planów zarz dzania ryzykiem i zadbaniu o ich aktualno. Drugi dotyczy wła ciwego dokumentowania przebiegu procesu zarz dzania ryzykiem. Realizacja planów nadzorowania i kontrolowania ryzyka musi odbywa si równocze nie z wykonywaniem projektu informatycznego. Je eli oba plany s prawidłowo zintegrowane wówczas plany dotycz ce ryzyka s wdra ane niemal mechanicznie. Tymczasem, wymóg konieczno ci utrzymania aktualno ci planów zarz dzania ryzykiem nie jest czynno ci prost. Proces nadzorowania ryzyka to permanentna obserwacja poszczególnych rodzajów ryzyka oraz warunków, jakie s z nim zwi zane. Badacze realizuj cy to zadanie formułuj wiele pyta, na które za pomoc wybranych technik poszukuj odpowiedzi, s to np. czy przyj te metody reagowania na ryzyko s skuteczne, czy pojawiły si nowe istotne rodzaje ryzyka, albo te czy zało enia projektu nie uległy zmianie. Uzyskane odpowiedzi mog doprowadzi do modyfikacji planów realizacji a w sytuacjach skrajnych nawet do zaniechania jego dalszego wykonywania. Najwa niejszym elementem procesu nadzorowania i kontrolowania ryzyka jest reagowanie na zdarzenia ryzyka wtedy, gdy faktycznie zaczynaj one stanowi istotne zagro enie. Wszystkie niedoci gni cia nawet i bardzo starannie wykonanych planów ujawniaj si najcz ciej w trakcie ich wdra ania. Niektóre przyj te strategie post powania okazuj si bardzo skuteczne inne całkowicie nieprzydatne. Wówczas mo e okaza si, e planowanie kontroli ryzyka trzeba wykona ponownie, a w sytuacjach skrajnych powtórzy cały proces zarz dzania ryzykiem jeszcze raz zaczynaj c od identyfikacji zagro e. W wyniku przeprowadzenia procesu nadzorowania i kontroli ryzyka osoby zarz dzaj ce projektem otrzymuj wiele ró norodnych informacji. Jest tak, gdy zmieniaj si wielko ci prawdopodobie stwa, jak i równie charakter potencjalnych skutków ryzyka. Zmiany te musz by natychmiast uwzgl dnione w planie nadzorowania i kontroli ryzyka. W praktyce zarz dzania projektami IT wykorzystywane s jako narz dzia do nadzorowania i kontroli ryzyka przede wszystkim trzy techniki, nale do nich: szablony projektu, nadzorowanie wyników, przegl d i audyty ryzyka. Natomiast jako technik wspieraj ce nadzorowanie i kontrolowanie ryzyka w projektach IT nadaj si fragmentarycznie nast puj ce techniki: przegl d dokumentacji, ocena planu i listy kontrolne. 5. Dobór technik zarz dzania ryzykiem do poszczególnych etapów realizacji projektów IT Kryteria, które ostatecznie przes dz, jakie techniki powinien wybra i wdro y menad er na danym etapie realizacji przedsi wzi cia informatycznego, zale od specyfiki planowanego b d realizowanego projektu IT. Powinny one uwzgl dnia : koszty wdro enia danej techniki, infrastruktur i wyposa enie projektu, czas wdro enia, łatwo zastosowania, niezb dne zaanga owanie czasowe konieczne by menad er mógł za pomoc danej techniki nadzorowa
POLSKIE STOWARZYSZENIE ZARZ DZANIA WIEDZ Seria: Studia i Materiały, nr 17, 2008 243 skutecznie wybrany fragment projektu. Istotne s równie elementy zwi zane z sam technik, takie jak: dokładno, wymagany poziom szczegółowo ci oraz u yteczno otrzymanych wyników. Ostateczna decyzja mened era o wyborze techniki (b d kilku technik) wpieraj cych zarz dzanie ryzykiem na poszczególnych etapach realizacji projektu IT, zale y równie od specyfiki wymaga projektowych (wielko ci i innowacyjno ci), pozyskanych finansów oraz obranych metod jego realizacji. Tabela 1. Mo liwo ci zastosowania wybranych technik zarz dzania ryzykiem Techniki zarz dzania ryzykiem Planowanie zarz dzania ryzykiem Identyfikacja ryzyka Klasyfikacja ryzyka Pomiar i reagowanie na ryzyko Planowanie metod reagowania na ryzyko Nadzorowanie i kontrola ryzyka Ankiety eksperckie Spotkania planistyczne Metodologie zarz dzania ryzykiem Przegl d dokumentacji Porównanie analogii Ocena planu Technika delficka Burza mózgów Metoda Crawforda Analiza SWOT Szablony projektu Listy kontrolne Analizy zało e Analizy decyzji Szacowanie zale no ci Analiza sieciowa Metody punktowe Techniki PERT, GERT, VERT Systemy oceny Modelowanie ryzyka Sztuczne sieci neuronowe Metody symulacyjne (Monte Carlo) Mno niki ryzyka Macierze reagowania na ryzyko Nadzorowanie wyników Przegl dy i audyty ryzyka Legenda: podstawowe zastosowanie, wspieraj ce zastosowanie. ródło: opracowanie własne na podstawie [4].
244 Analiza mo liwo ci zastosowania technik wspieraj cych zarz dzanie ryzykiem 6. Uwagi ko cowe Podczas wykonywania bada potencjalnych zagro e, mog cych pojawi si podczas realizacji projektów IT, najlepsze efekty osi ga si poprzez zastosowanie wybranej techniki (b d kilku uzupełniaj cych si technik), a nast pnie przekazanie uzyskanych wyników do oceny do wiadczonym ekspertom. W tym celu pracownicy odpowiedzialni za ryzyko w projekcie stosuj odpowiednio dobran technik (jedn, b d kilka) wspomagaj c zarz dzanie ryzykiem, a nast pnie bazuj c na do wiadczeniu osób wielokrotnie zarz dzaj cych projektami IT, podejmuj kluczowe decyzje. Niestety, nawet i takie post powanie nie zapewnia uzyskania całkowicie pewnych i kompletnych wyników. Ekspert posiada wiedz dotycz c przeszło ci, a badacz dysponuje narz dziami umo liwiaj cymi jedynie wnioskowanie na podstawie wielko ci wyznaczonych w oparciu o zastosowanie metod heurystycznych. Bibliografia 1. Cadle J., Yeates D.: Zarz dzanie procesem tworzenia systemów informatycznych, WNT, Warszawa 2004. 2. Grocholski L., Niemiec A.: Norma ISO/IEC 16085 procesy w yciu oprogramowania zarz dzanie ryzykiem, W: Ryzyko przedsi wzi informatycznych, Pracownia poligraficzna Wydziału Informatyki Politechniki Szczeci skiej, Szczecin 2005 3. ISO/IEC 16085:2004, Infromation technology Sotware Life Cycle Processes Risk management. 4. Pritchard C.L.: Zarz dzanie ryzykiem w projektach. Teoria i prak-tyka, WIG PRESS, Warszawa 2002. 5. Szyjewski Z.: Zarz dzanie projektem informatycznym, Agencja Wydawnicza PLACENT, Warszawa 2001.
POLSKIE STOWARZYSZENIE ZARZ DZANIA WIEDZ Seria: Studia i Materiały, nr 17, 2008 245 THE ANALYSIS OF POSSIBILITIES OF THE USE OF THE TECHNIQUES SUPPORTING RISK MANAGEMENT IN IT PROJECTS Summary The aim of the article is the analysis of possibilities of application of the techniques, which are commonly used for risk management supporting in IT projects. This text compares different approaches to risk management in three methods: PRINCE2, PMBoK and ISO/IEC 16085. The researched techniques have been applied to certain stages of risk management in IT projects, where a criterion of choice of a certain method was reaching of maximum of benefits. Keywords: risk management, software management, project IT management Zakład Biznesu Elektronicznego Wydział Ekonomii Uniwersytet Gda ski, 81-824 Sopot, ul. Armii Krajowej 119/121 e-mail: Jacek.Winiarski@ug.gda.pl http://ekonom.univ.gda.pl/