Projektien riskienhallinta II – Schedule Quantitative Risk Analysis

Edellisessä riskiblogin kirjoituksessa haastattelimme Veli-Veikko Elomaata ja käsittelimme yleisellä tasolla projektin riskien arviointiin liittyviä näkökulmia: aika, raha, laatu sekä turvallisuus. Tässä kirjoituksessa Veli-Veikko ottaa näkökulmaksi ainoastaan aikatauluun vaikuttavien riskien analysointiin käytettävän menettelytavan, Schedule Quantitative Risk Analysis’n.  Annamme puheenvuoron Veli-Veikolle:

Projektien luonne

Projekteille on luontaista alku, toteutus ja lopetus. Ne on yleensä jaettu tavoitteiden mukaisesti osatehtäviin, joille on määritelty aikataulu välitavoitteineen. Toteutuksen aikana voi tulla muutoksia, lähtötietojen ja lopputavoitteen määrittelyn kattavuudesta riippuen. Nämä muutokset voivat vaikuttaa tehtävien kestoon tai toteutusjärjestykseen ja johtua esimerkiksi tavoitteiden muutoksesta tai tarkentumisesta, epävarmuuden vaihteluväleistä, riskien (positiivisten/negatiivisten) toteutumisesta tai riskien hallintaan liittyvien toimenpiteiden vaikutuksesta toteutukseen.

Riskeillä on merkittäviä muutosvaikutuksia projektin lopputulokseen riippuen riskin toteutumisajankohdasta. Toteutuksen edetessä on luonteenomaista, että projektin riskien lukumäärä vähenee tehtävien määrän vähentyessä. Kuvassa 1 (PMI 2013, s. 40) on esitetty, miten hankkeen alkuvaiheessa projektin riskit ja epävarmuudet ovat suurimmillaan, sekä miten niiden määrä pienenee projektin edetessä. Kuitenkin projektin edetessä muutosten vaikutukset projektin lopputulokseen kasvavat eksponentiaalisesti, jolloin riskien toteutumisella on hyvin voimakkaat vaikutukset.  Tämä havainto korostaakin riskitarkastelun kattavuuden merkittävyyttä sekä riskien hallintatoimenpiteiden oikea-aikaista, tarvittaessa myös etupainotteista, toteuttamista.

Jotta oikea-aikainen riskienhallinta voidaan toteuttaa, on hyödyllistä käyttää aikataulupohjaista riskienhallintaa, jossa tehtäväkohtaiset riskit tunnistetaan sekä niiden vaikutus simuloidaan sopivaa ohjelmistoa hyödyntäen. 

Kuva 1: Projektin riskit, epävarmuudet ja aika

Aikataulupohjainen riskienhallinta

Aikataulupohjaisessa riskienhallinnassa lähtökohtana on luonnollisesti projektin aikataulun hallinta. Sen tulee olla suunniteltu sisältämään projektin luonteen mukaisesti oikeanlaiset tehtävät sekä niiden väliset loogiset linkitykset. Tehtävien kestojen tulee olla realistiset, jotta myös riskien toteutuessa voidaan todentaa niiden vaikutus kokonaisaikatauluun tai tietyn tehtävän kestoon, siinäkin tapauksessa että riskiä ei olisi ennen sen toteutumista kyetty tunnistamaan ja hallintatoimenpiteitä määrittämään. Aikataulun tulee olla jaoteltuna siten, että siinä ei ole merkittävästi toisistaan suhteellisesti pituudeltaan poikkeavia tehtäviä, eli karrikoidusti sanottuna vuoden pituisessa hankkeessa ei voi olla muutamaa puolen vuoden mittaista tehtävää loppujen tehtävien ollessa kahden viikon mittaisia. Epäsuhtainen tehtävien pituus aiheuttaa nimittäin sen, että ylipitkät tehtävät saavat simuloinnissa helposti liian merkittävän aseman.

Alla olevassa kuvassa 2 on esitetty ote aikataulusta siirrettynä Acumen Risk – ohjelmaan (vinkki: klikkaa hiirellä kuvaia ja ne avautuvat suurempana ja tarkalla resoluutiolla!). Näkymässä ovat projektin tehtävät, jäljellä olevat kestot ja keston epävarmuuden arviointijana. Aikataulun tulee olla riittävän kattava sekä aikataulutehtävien loogisesti linkitettyinä, ilman pakottavia aloitus-/lopetuspäivämääriä. Aikataulumallinnus toteutetaan jäljellä olevan aikataulun mukaan. Joissain hankkeissa aikataulussa olevien tehtävien määrä voi ylittää mallinnuksen tarvitseman aikataulutehtävien määrän. Tällöin kannattaakin keskittyä projektin kriittisistä tehtävistä muodustuvaan kriittiseen polkuun, joka kertoo projektin vähimmäisekestoajan, sekä kriittistä polkua lähellä olevien tehtävien huomioon ottamiseen.

Kuva 2: Aikataulu Acumen Risk -ohjelmassa

Kun soveltuvat aikataulutehtävät on valittu, toteutetaan ensin aikataulun epävarmuustarkastelu joko jokaiselle tehtävälle erikseen tai määrittelemällä ylätasolta kaikkia tehtäviä koskeva samanlainen prosentuaalinen tehtävien keston epävarmuus. Tämän epävarmuustarkastelun jälkeen toteutetaan tehtäväkohtainen riskien tunnistaminen. Tunnistamisessa on tärkeää keskittyä kyseessä olevaan tehtävään sekä siihen miten kyseisen tehtävän toteutuksen aikana voi tulla tapahtumia, jotka pidentävät tai lyhentävät toteutuksen kestoa. Liian usein tulee tilanteita, jossa tunnistamisessa viitataan edeltävän tehtävän myöhästymiseen tmv. ilman merkittävämpää, edeltävää tehtävää auttavaa riskien tunnistamista. Kuvassa 3 on esitetty näkymä, jossa on käynnissä aikataulutehtäväkohtainen riskien kohdentaminen. Tässä vaiheessa voidaan riski kohdentaa useammalle tehtävälle tai vain yksittäiselle tehtävälle. Usein riskeillä on tapana kohdentua usealle tehtävälle, mutta kuitenkin erilaisella todennäköisyydellä sekä vaikutuksella.

Kuva 3: Aikataulutehtäväkohtainen riskien kohdentaminen

Riskien kohdentamisen jälkeen toteutetaan riskiladatun aikataulun analysointi. Tähän analysointiin käytetään MonteCarlo -menetelmää, joka rakentaa aikataulusta aikatauluepävarmuuden sekä tehtäväkohtaisen riskien kohdentamisen perusteella erilaisia skenaarioita. Kuvassa 4 on esitetty näkymä, jossa on käynnissä tuhannen iteraation laskenta.

Kuva 4: Iteraatioiden laskenta

Aikataulun analysoinnin visualisointi

Riskiladatun aikataulun analysoinnin tulosten raportointiin voidaan käyttää useita eri graafisia esitystapoja. Itse käytän eniten riskihistogrammia, jonka avulla voidaan tutkia mikä on aikataulun riskitaso. Kuvassa 5 on esitetty riskihistogrammi, joka näyttää mm. aikataulun luotettavuuden sekä mahdollistaa sen tutkimisen, millaisella luotettavuustasolla projektin aikataulu on toteutettavissa. Usein käytettyjä luotettavuuden arvoja ovat P50 ja P80. Esimerkiksi P80 luku kertoo, että 80 persentiiliä mallinnuksen tuloksista jää alle kyseisen päivämäärän. Kuvasta 5 katsottuna 80 persentiiliä toteutuu 4.6.2013 mennessä. Tämän avulla voi haastaa alkuperäisen aikataulun ja arvioida uudelleen mahdollista projektin päättymisajankohtaa.

Kuva 5: Riskihistogrammi

Hyödyllisiä raportointinäkymiä ovat myös nk. tornadokuvaajat. Tornadokuvaajan avulla voidaan selvittää missä tehtävässä epävarmuudet sekä riskit ovat merkittävimpiä hankkeen kannalta ja panostaa riskienhallintatoimenpiteitä juuri sinne, missä on suurin vaikutus hankkeen aikatauluun. Kuvassa 6 on esitetty tornadokuvaaja, joka esittää projektin kannalta merkittävimmät aikataulutehtävät, joista tehtävään 0560-Foundationiin kohdistuu suurimmat epävarmuudet sekä riskit. Hallintatoimenpiteinä olisivat tietenkin tehtävään kohdistuvien epävarmuuksien ja riskien pienentäminen, mutta myös aikataulutehtävien uudelleenorganisointi, mikäli mahdollista.

On myös mahdollista tehdä vertailua siitä, miten riskienhallintatoimenpiteet vaikuttavat aikataulun luotettavuuteen. Kuvasta 6 näkee myös punaisella käyrällä jakauman aikataulun luotettavuudesta ennen toimenpiteiden tekemistä ja sinisellä käyrällä   toimenpiteiden jälkeisen luotettavuuden.

 

Kuva 6: Tornadokuvaaja

Tässä kirjoituksessa on siis pohdittu aikataulupohjaista riskienhallintaa ja sitä, miten riskit mahdollisesti vaikuttaisivat projektin päättymisajankohtaan. Mallinnuksessa on olennaista tiedostaa, että malli on juuri niin hyvä kuin sen pohja, eli aikataulu. Kokemukseni mukaan liian usein tulee vastaan tilanteita, joissa aikataulun rakenne ei ole soveltuva mallinnukseen. Tämä johtaa siihen, että ns. riskimallia varten joudutaan tekemään erillinen aikataulu. Tällöin menetetään paljon tärkeää informaatiota sekä myös aiheutetaan ylimääräisiä kustannuksia hankkeelle. Olennaista on siis se, että aikataulu on looginen ja hyvin suunniteltu sekä vastaa sitä, miten projekti oikeasti käytännössä toteutetaan. Ilman kunnollista suunnittelua ei ole mahdollista tehdä kunnollista aikataulupohjaista riskitarkastelua.


Kuvien lähteet:

Project Management Institute: PMBOK 5th Edition, 2013

www.deltek.com

Käyttäisinkö Exceliä? Vai tietojärjestelmää?

Markkinoilla on tarjolla jos jonkinmoista riskienhallinnan tietojärjestelmää. On yksittäisiä ratkaisuja ja kattavia strategisen johtamisen ja toiminnan suunnittelun työkaluja, joissa riskienhallinta on osana. Lisäksi useimpiin ERP-järjestelmiin saa ainakin jonkinlaisen riskienhallinnan palikan. Valmiiden tuotteiden lisäksi yrityksellä on mahdollisuus luoda oma järjestelmä, esimerkiksi jonkin jo olemassa olevan järjestelmän osaksi. Nämä ovat mittavia hankkeita vaatimusmäärittelyineen, kehitysiteraatioineen ja käyttöönottoineen.

Vaihtoehdoista huolimatta moni suurikin yritys tyytyy edelleen käyttämään perinteistä Exceliä riskirekisterinään. Perustelut Excelin käytölle löytyvät usein kustannuksista tai siitä, että valmiiden järjestelmien ei koeta tarjoavan riittävän joustavaa työkaluvalikoimaa yrityksen muuttuviin tarpeisiin. Kasvava tarjonta lisää kuitenkin vaihtoehtoja eri hintaluokkiin, joten kustannusten ei tarvitse olla esteenä järjestelmän käyttöönotolle, jos on valmis tekemään kompromissejä toiminnallisuuksien osalta. Toisaalta, valmiitakin järjestelmiä on yleensä mahdollista räätälöidä pienellä lisäpanostuksella.

Perustuen kirjoittajien omaan kokemukseen riskienhallintajärjestelmien hankinnasta, valikoima painottuu vahinkoriskien hallintaan keskittyviin vakuutuslähtöisiin järjestelmiin ja ERM-näkökulmaa tukevat järjestelmät ovat vähemmistössä. Tämä saattaa olla yksi syy Excelin suosiolle organisaatioissa, joissa haetaan nimenomaan kokonaisvaltaisen riskienhallinnan järjestelmätukea.

Tiedämme, että moni riskienhallintapäällikkö pohtii tälläkin hetkellä, mitkä työkalut sopisivat parhaiten oman riskienhallintatyön tueksi. Listasimme oman näkemyksemme mukaisia plussia ja miinuksia eri vaihtoehdoille ja toivomme  sen auttavan myös lukijoita päätöksenteossa. Loppujen lopuksi kaikki vaihtoehdot ovat hyviä, kyse on siitä, mitkä ovat priorisoidut tarpeesi ja mikä vaihtoehto niitä parhaiten vastaa.


Excel-pohjaiset riskirekisterit:

– tiedon yhdistely raportointiin manuaalista

– muutos- ja historiatietojen seuranta käyttäjien omien merkintöjen varassa (rekisteristä tulee ajan mittaan sateenkaarenkirjava)

– vakiomuotoisiksi tarkoitetut riskirekisterit lähtevät elämään omaa elämäänsä ja muotoituvat käyttäjiensä näköisiksi

– tiedonhallinnan näkökulmasta riskeinä tiedon eheyden, saatavuuden ja luottamuksellisuuden vaarantuminen, jos (ja usein kun) tiedostoja lähetellään sähköpostin liitteinä ja tallennetaan henkilökohtaisiin kansioihin. Pääarkisto muodostuu riskienhallintapäällikön ”pöytälaatikkoon”.

+/- hyödyntämisessä rajana vain riskienhallintapäällikön mielikuvitus ja taidot

+ tietoturvaan pystyy vaikuttamaan toimintatapoja ohjeistamalla. Saatavuutta voi parantaa esimerkiksi luomalla arkiston osaksi dokumentinhallintajärjestelmää tai sharepointia, jolloin myös sähköpostiliitetiedostojen lähettely käy tarpeettomaksi.

+ ketterä ja edullinen


Erillinen tietojärjestelmä:

– harvoin  käytettäessä käyttökokemus jää usein huonoksi. Vaikuttaa organisaation asennoitumiseen koko prosessiin.

– kustomointi tuo lisää hintaa ja hankaloittaa versiopäivityksiä, joten riskienhallintaprosessia voidaan joutua optimoimaan järjestelmän tarpeisiin

– Monet järjestelmät ovat pilvipohjaisia, joka voi muodostua ongelmaksi suhteessa yrityksen luottamuksellisen tiedon käsittelyä ohjaavaan tietoturvapolitiikkaan

-/+ käyttöoikeuksien hallinta järjestelmän sisällä tulee vastata yrityksen politiikkaa luottamuksellisen tiedon käsittelystä.  Kokemuksemme mukaan tämä on ominaisuus, jossa on suuret erot  toiminnallisuuksissa ja käytettävyydessä eri järjestelmien välillä.

+ muutos- ja historiatietojen seuranta sekä automaattiset muistutukset tehtävistä

+automatisoitu raportointi ja tiedon analysointityökalut, vähemmän työtä ja virhenäppäilyn mahdollisuuksia


Muuhun toiminnan ohjaamiseen ja seurantaan integroitu järjestelmä:

– vakiototeutus voi olla kankea ja ominaisuudet puutteellisia riskienhallinnan prosessin näkökulmasta

– kehitystyössä muut  asiat ajavat ohi

-/+tietoturva vastaa yrityksen yleistä linjaa

+käyttökokemus yleensä hyvä, koska samaa järjestelmää käytetään muihinkin prosesseihin liittyen ja perustoiminnallisuudet tuttuja

+ muutos- ja historiatietojen seuranta sekä automaattiset muistutukset tehtävistä

+ voi mahdollistaa riskien konkreettisen linkittämisen toimintaan ja tavoitteisiin, jolloin niiden seuranta helpommin toteutuu osana normaalia toimintaa eikä jää erilliseksi vuosiharjoitukseksi