Vejledning til risikoværktøjet MITIGATOR.

Transkript

1 Vejledning til risikoværktøjet MITIGATOR Version 2.1 Oktober 2017

2 INDHOLDSFORTEGNELSE 1. INTRODUKTION TIL VEJLEDNINGEN 3 2. OPRET RISICI 6 3. OPBYG DIT RISIKOREGISTER 9 4. ETABLER RISIKOSTYRINGSPROCESSEN FORETAG EN RISIKOANALYSE FORBERED LEDELSESINFORMATION TIL MØDER OVERFØR RISICI TIL ISSUEREGISTERET EVALUERING AF RISIKOARBEJDET VED FASEOVERGANG PROJEKTAFSLUTNING SYSTEMKRAV BEGREBSLISTE 29 Har du brug for hjælp og support, kan du kontakte os i Black Swan Institute på mail: info@blackswaninstitute.dk. Yderligere kontaktoplysninger findes på vores hjemmeside 2 af 31 Sid

3 1. Introduktion til vejledningen Mitigator er dit værktøj til at skabe et bedre overblik over risici og et trin på vejen til at praktisere risikoledelse i din organisation. Værktøjet henvender sig især til styring af projekter, programmer og mindre porteføljer og skal i praksis anvendes af projektledere og risk managers til at identificere, vurdere, planlægge og implementere risici. De indtastede risikodata giver brugeren real-time risikoanalyser og input, som kan indgå direkte i styregruppemøder og styregrupperapportering. Værktøjet har også issuestyring, som giver mulighed for at flytte risici som er indtruffet over i issueregisteret, hvor det er muligt at håndtere og følge op på issues. De metodiske principper bag Mitigator bygger på rammeværket M_o_R, bygger på ISO-standarderne og er compliant med statens model til risikostyring. Vejledningen viser med billeder og fortæller med tekst, hvordan du kommer i gang med at anvende risikoværktøjet Mitigator i risikostyringen af projekt, program eller portefølje. Du får i 12 kapitler en introduktion til funktionaliteten med korte eksempler og forslag til i hvilke situationer, du kan bruge de forskellige muligheder du får med Mitigator. Du kan løbende finde opdateret information, guides og nyheder på websites som supplerer denne vejledning. Menupunktet Vejledning i risikoværktøjet er et link til dette website. Herinde finder du også kontaktinfo til support og hjælp. Og har du behov for rådgivning til at forbedre risikostyringen eller foretage mere avancerede analyser af risikoarbejdet og risikoledelsen i styregruppen, kan du kontakte os på info@blackswaninstitute.dk. Vi tilbyder også virksomhedstilpassede uddannelses- og træningsforløb for projekter, porteføljer og styregrupper. Kom godt i gang Når du åbner Mitigator i Microsoft Excel, finder du forsiden. Du har til værktøjet tilknyttet en topmenu, som du ser, når du vælger fanen Mitigator Risikoværktøj. 3 af 31 Sid

4 Hjem - Opret dit projekt, program eller din portefølje På forsiden skal du indtaste oplysninger om projektet, programmet eller porteføljen ved at klikke i felterne. Du kan bruge tabulator funktionen til at skifte mellem felterne. Når du er færdig med at udfylde alle seks felter, klik på tabulatoren og gå til topmenuen for Mitigator risikoværktøj. Til højre på forsiden ser du en realtidsoptælling af åbne og lukkede risici i dit risikoregister. Tallene opdateres, når du opretter og lukker en risiko. Det vil også være afspejlet i optællingen, hvis en risiko åbnes igen eller overflyttes som et issue. Der er også en realtidsoptælling af åbne og lukkede issues. Et issue er en risiko, som er indtruffet eller er direkte oprettet i Opret risiko og overført som issue under oprettelsen, jf. beskrivelse af Issuehåndtering i kapitel 7. Stamdata Opsætning af parametre Før du begynder at oprette risici, skal du sætte stamdata op for dit projekt, program eller din portefølje. Stamdata er oplysninger om dit projekt/program/portefølje som den enkelte risiko kan kobles til og som danner grundlag for værktøjets diagrammer og tabeller, hvormed du kan foretage en risikoanalyse af dit datagrundlag. Du skal vælge fra en liste af stamdata og under hver liste oprette de oplysninger, som er relevante. Det betyder, at du skal definere forretningsmål, interessenter, integrationer, leverandører, risikoaktører, risikoejere, organisationsniveau og rådgivere som er gældende for dit projekt. Oplysningerne skal indtastes, før du begynder at oprette risici, så de risici du opretter, kan kobles til stamdata. 4 af 31 Sid

5 1. Klik på Stamdata i menuen 2. Følgende formular og valgmuligheder kommer frem 3. Klik på den liste, du vil oprette 4. Opret emner til hver liste ved at skrive i boksen Emne, og tryk tilføj. 5. Sørg for til sidst at slette de forslag, der allerede ligger under hver liste ved at markere hver enkel, så den bliver blå, og tryk på slet. 6. Hvis du fx har tastet et forretningsmål forkert eller vil ændre det, skal du oprette det enkelte mål på ny i listen og derefter slette det gamle. Husk eksempelvis at mærke risici op på det ændrede forretningsmål i risikoregisteret, hvis du har ændret på målene i stamdata. Bemærk, at det ikke er nødvendigt at udfylde alle de mulige emner, men kun de I aktuelt arbejder med i projektet. Jo flere stamdata der udfyldes og som risici kobles til jo flere diagrammer kan oprettes i risikoanalysen. 5 af 31 Sid

6 Listen Organisationsniveau handler om at få valgt og oprettet projekt, program eller portefølje, så risikoarbejdet afspejler den rette organisation. Projekter behøver ikke oprette organisationsniveau, men kan oprette delprojekter. Programmer skal oprette programniveauet og de underliggende projekter. Porteføljer skal oprette samtlige projekter i porteføljen. Det giver mulighed for at tilknytte hver risiko til projekter i programmet eller porteføljen og dermed kunne foretage analyser på tværs af program og portefølje. Mere om det senere. De konkrete lister vil blive grundigere beskrevet og gennemgået under kapital Opret risici Når stamdata er udfyldt, er du klar til at oprette risici til dit risikoregister. Opret risiko Fremgangsmåden er, at du vælger Opret risiko i menuen: Der hentes nu formularen til Opret risiko, som giver dig mulighed for at indtaste oplysninger om hver risiko id og tilknytte relevante stamdata, som er indtastet under Stamdata. Formularen er opbygget sådan, at der i top, bund og til venstre er faste felter, som er konstante i alle trin af formularen. De felter udfyldes først. Udfyld et kort navn på risikoen, som giver et indtryk af risikoens tema. Felterne Oprettet og Opdateret udfyldes automatisk med datoer for oprettelse og senere opdatering, hvis der rettes i risikoen. 6 af 31 Sid

7 Indsæt nu risikoårsag, risikohændelse og risikoeffekt. Det skal være tydeligt for enhver, hvad risikohændelsen er, når den indtræffer, og den skal være formuleret, så den er en klar trussel eller mulighed. Indsæt derefter årsager til at risikoen kan indtræffe. Hvad vil forårsage en risiko. Der kan være flere forskellige årsager. Beskriv gerne de største og vigtigste. Herefter indsættes risikoeffekt, som er den konsekvens, som risikoen vil få for projektet. Det kan være risikohændelsen medfører en forsinkelse, dårligere kvalitet, fordyrelser eller måske en udhuling af de forventede gevinster. Der kan sagtens være flere konsekvenser. Du får mulighed for at vurdere konsekvenserne i fane 2. Vurdering, så feltet risikoeffekt er blot en beskrivelse af forventede effekter med ord. Risikobank I formularen har du adgang til en bank af risici, som tidligere er indtruffet i andre store projekter, programmer og porteføljer. Du har mulighed for at søge i risikobanken og indlæse risici, så du kan anvende andres erfaringer i dit risikoarbejde. Du klikker i feltet Risikobank og i toppen af formularen dukker en søgebjælke frem. 7 af 31 Sid

8 Du kan søge på to forskellige måde. Du kan søge ud fra risikokategori eller på valgfrit søgeord. Du vælger mellem de to øverst til venstre i bjælken. Søger du på risikokategori får du valget mellem følgende muligheder: 1. Forretningsbehov 2. Tilrettelæggelse 3. Teknisk Løsning 4. Interessenter 5. Slutbrugerprodukt 6. Idriftsættelse Søgeresultatet vises til højre i en dropdown. Du kan vælge fra resultatlisten og klikke på indsæt. Så udfyldes formularen med beskrivelse af risikoen. Hvis ikke den valgte risiko er relevant, kan du klikke på ryd i bjælken og foretage en ny søgning. Hvis den valgte risiko er relevant kan du nu tilpasse teksten til dit projekt, tilknytte stamdata og udfylde de resterende datafelter. Husk at gemme de indtastede data. Vælger du at søge på valgfrit søgeord fungere søgning og Indsæt på samme måde. Du skifter blot til søgeord øverst til venstre og fortsætter som beskrevet herover. Der kan kun fremsøges én risiko til hver formular. Vælger du således at gemme en risiko fra risikobanken, skal du derefter lukke formularen og åbne en ny Opret Risiko. Her får du igen tilbuddet om at hente risikobeskrivelser fra Risikobanken. 8 af 31 Sid

9 Risikostyringsprocessen udfyld risikoformularen Når de faste felter er udfyldt, så er du klar til at arbejde med den trinvise risikoproces, som består af trinene: 1. Identificering, 2. Vurdering, 3. Planlægning, 4. Implementering I mange situationer vil det ikke være muligt, at udfylde alle faneblade i formularen under oprettelsen af risikoen. Det vil ske i flere trin og som en del af risikostyringsprocessen. Risikostyringsprocessens fire trin er en kontinuerlig proces, som vil foregå med jævn mellemrum. Det kan fastsættes i styregruppen, hvor ofte det forventes, at risikoprocessen gennemløbes og risikoregistret dermed opdateres. Det kan anbefales, at der udfyldes så meget som muligt, for at sikre, at risikoarbejdet ikke kun koncentreres om at identificere og dokumentere, men også får fokus på at vurdere, planlægge og implementere risikominimerende handlinger. I kapital 5 vil vi gennemgå hver af de fire trin i risikostyringsprocessen. For en forklaring på de enkelte felter se kapitel Opbyg dit risikoregister Når du har oprettet en række risici, kan du se en oversigt ved at vælge Risikoregister. 9 af 31 Sid

10 Her kommer en samlet oversigt over alle indtastede og gemte risici. Det er dit risikoregister. Registret giver dig nogle muligheder. Du kan få overblik ud fra nogle udvalgte parametre. Herunder er risikoregistret sat op til at vise id, kategori, risikoværdi, projektfase, risikoejer og navn på risikoen. Dette er en del af grundopsætningen af Mitigator, hvor de viste parametre kan ændres og tilpasses efter behov. Opsætning af andre parametre i visningen skal ske med hjælp fra Black Swan Institute. Søge på risici Du kan søge på risici i Risikoregistret ved at bruge funktionen Filter og vælge Søg. Det giver en mulighed for at sortere på forskellige relevante parametre. Det kan være en søgning på alle risici i Anskaffelsesfasen. Det kan være en søgning på alle risici, som Seniorleverandør er ansvarlig for. Der er mange muligheder. Søgeresultatet kan bruges til at afgrænse og resultatet kan eksporteres til PowerPoint. Du kan også bruge søgningen på at udvælge risici, som du ønsker at arbejde videre på. Se vælge og fravælge risici og rette risici herunder. Eksportér Risici der eksporteres til PowerPoint giver mulighed for at printe og arbejde videre med risici i workshop og møder. Risikokortene kan sorteres efter forskellige parametre og kan fx hænges op på væggen til at risikoworkshop. Her vil deltagerne kunne udvælge, prioritere og supplere risici, så risikoarbejdet bliver beriget med flere perspektiver og fra flere deltagere. Resultatet skal efterfølgende indtastes i Mitigator, hvorefter det vil være afspejlet i diagrammer, tabeller og i risikoregistret. 10 af 31

11 Vælge og fravælge risici Du vælger risici ved at klikke på den konkrete risiko i risikoregistret. Du kan godt vælge flere, men du kan kun åbne en af gangen. Der er en funktionalitet til at vælge og fravælge nede i højre hjørne Alle, som ved afkrydsning i feltet vælger hele søgeresultatet eller fravælger det. Det er en god funktionalitet til at nulstille valg, så der kan vælge én konkret risiko, som du ønsker at åbne. Rette risici Åbner du risikoen, får du formularen for risikokortet op. Nu kan du rette i informationerne og arbejde videre med at vurdere, planlægge og implementere handlinger. Du får brug for at bruge funktionaliteten rette, når du vil arbejde videre med de enkelte konkrete risici. Når du gemme de data du har indtastet, opdateres risikoregistret med de nye data. 4. Etabler risikostyringsprocessen Som tidligere nævnt vil risikostyringsprocessen være en on-going og kontinuerlig proces igennem projektet. Det bør afklares, om der er en risikostyringsproces for organisationen, som projektet, programmet eller porteføljen er underlagt. Den vil udstikke rammerne for processer og governance. Hvis ikke der er etableret rammer for risikostyringsprocessen, bør styregruppen tage stilling til processer og kadencer i forhold til styregruppemøder og rapportering til direktionen, følgegrupper og eventuelt projektkontor. Det er styregruppens rolle og ansvar, at sikre, at der er etableret ramme for projektstyring og at de udfyldes tilfredsstillende og så styregruppen kan praktisere risikoledelse. I standarderne er der fire trin i risikostyringsprocesserne og de er også grundlaget i Mitigator. Herunder gennemgår vi kort, hvad der ligger i arbejdet med hver af de fire trin og hvordan de fungerer i risikoværktøjet og i hvilke situationer de bedst indgår i risikoarbejdet. 11 af 31

12 1. Identificering Under identificering af en risiko kobles en række parametre til risikoen. I Mitigator har vi valgt at gøre dem til stamdata, så det er hurtigt, nemt og sker standardiseret. Så du skal blot vælge dropdown for hvert parameter. Det er kun forfatternavn, som skal indtastes med fritekst. Her kan vælges initialer og rolle i risikoarbejdet. Lægges leverandørens risikolog ind i Mitigator, bør det fremgå af Forfatter, at det er leverandørens identificering af en risiko. Forretningsmål kobler risiko til det mål i projektet, som risikoen truer. Risikoen kan true flere mål, men du vælger det mål, der trues mest. Er der ikke forretningsmål i projektet, så udgør det en risiko i sig selv og så er det en risiko, som du bør oprette for projektet. Risikokategori og underkategori er relevante for at kunne opdele og adskille de potentielt mange risici i nogle kategorier, som er kendte fra projekter og programmer, som værende relevante. Risikokategorierne sikrer også, at du har et effektivt redskab til at tjekke om jeres risikoarbejde er kommet hele vejen rundt om projektets potentielle risici. Mange projekter har flest risici vedrørende tilrettelæggelse og teknisk løsning, men glemmer og undervurderer risici vedrørende idriftsættelse, interessenter og slutbrugerproduktet. Underkategori hjælper dig yderligere til at sortere risici i projekter med særligt mange risici og til at stille skarpt på eksempelvis test eller go-live, da det vil være muligt at trække risici ud på underkategori. Projektfase knytter risici til nærhed, altså til hvornår risikoen forventes at indtræffe. Det giver mulighed for at sortere risici ud fra hvilken fase den indtræffer og dermed kvalitetstjekke at, der er afdækket risici for alle faser. Sortering på projektfase giver også mulighed for at stille skarpt på risici i de kommende faser, før projektet overgår til fasen. 12 af 31

13 Organisationsniveau er som tidligere beskrevet oprettelsen af den organisering som projektet, programmet eller porteføljen indgår i. Her oprettes navne på projekter i programmet og porteføljen, så risici kan kobles til det rigtige niveau, når de skal håndteres. 2. Vurdering Under vurdering skal der vurderes sandsynlighed og konsekvens for risikoen. Konsekvens vurderes i forhold til fire parametre. Konsekvens for tidsplanen, projektøkonomien, de potentielle gevinster og for kvaliteten af leverancerne. Der vurderes på en skala fra 1 til 5. Der er plads til at beskrive konsekvensen. Sandsynlighed vurderes også ud fra en 5 skala. Hvor hvert trin svarer til 20 procents sandsynlighed. Sandsynlighed ganges sammen med højeste konsekvens og det giver risikoværdien. Risikoværdien er inddelt i tre niveauer, som har farverne grøn, gul og rød knyttet til niveauet for risikoværdien. Resultatet kan ses i risikomatricen, jf. kapitel 6. Der er også en vurdering af økonomisk risikoværdi, som beregnes ud fra en trepunktsestimering. Det er en mulighed for at etablere en risikopulje, drøfte den med styregruppen og projektsponsor. Etableres en risikopulje vil det være muligt at monitorere og løbende beregne den økonomiske risikoværdi som følge af mitigering og identificeringen af nye trusler og muligheder. 13 af 31

14 3. Planlægning Identificering og vurdering er bare første skridt på vejen til at arbejde med risici. De bringer ikke selvstændig værdi. Det er først, når der planlægges, hvilke risici der skal håndteres og at beslutningerne om håndtering implementeres. Planlægningsprocessen indeholder valg af risikoreaktion. Der er samlet set 10 risikoreaktioner. Seks risikoreaktioner omhandler trusler. Fire risikoreaktioner omhandler muligheder. Valg af risikoreaktion hænger tæt sammen med beskrivelse af mitigeringsstrategi og mitigering. Vælges reaktionen Reducér, skal der beskrives en strategi, som kan reducere sandsynligheden for at risikoen indtræffer. Vælges reaktionen fall back er det et valg om at afbøde konsekvenserne. Der sættes datoer på kritiske tidspunkter, så beslutningen om mitigerende handling og tidsplan for handlingerne relaterer sig til de tidspunkter, hvor der skal handles for ikke at risikoen indtræffer, før den er blevet mitigeret. Der vælges også om der er behov for at udarbejde en beredskabsplan til det tilfælde, at risikoen indtræffer. Planlægning er risk manager og/eller projektleders oplæg til styregruppen, som indspil til en beslutning om den handling, som foreslås at blive implementeret. Efter beslutning opdateres planlægning, så de rigtige oplysninger indgår til næste proces som er implementering, hvor opfølgning på beslutninger foregår. 14 af 31

15 4. Implementering Det sidste trin i risikoprocessen er implementering. Data fra 3. Planlægning er overført og der udfyldes oplysninger om niveau for eskalering, hvis risikoen øges. Der indsættes oplysninger om opfølgning, om datoen er overskredet, risikoejer og risikoaktør, så der er mulighed for at trække data ud til brug for styregruppens opfølgning og overvågning af implementeringen. Der indsættes også én ud af fire statusmarkeringer: Det giver mulighed for at skabe overblik over risikoarbejdet og dokumentere det samlede risikoarbejde ved faseovergange og projektafslutning. 5. Foretag en risikoanalyse Mitigator giver dig mulighed for løbende at foretage en risikoanalyse af de indtastede risici. Analysen giver dig et visuelt overblik over kvaliteten af dit risikoarbejde. Du får et indtryk af om datafelterne er tilstrækkeligt udfyldt, om risici dækker alle risikokategorier, alle risikofaser og er afdækket ift. alle forretningsmål. Jo flere data du har indtastet jo bedre risikoanalyse kan du foretage. Der er forudbestemt en række diagrammer i Mitigator, som du vælger fra en dropdown: 15 af 31

16 Vigtigt: Diagrammerne kan kun vises optimalt, hvis der er indtastede de nødvendige data i formularen til Opret Risiko. Hvis diagrammerne mangler data, så skal du gå tilbage til Risikoregistret, vælge risici du vil rette i og indtaste de manglende data. Herefter kan du gå tilbage til Diagrammer og se resultatet afspejlet i det valgte. I det følgende viser vi eksempler på de diagrammer, som det er muligt at hente under menuen Diagrammer. De viste figurer er dannet med udgangspunkt i casedata. Det er kun muligt at danne tilsvarende diagrammer, hvis du indtaster data i formularen og dermed opretter et risikoregister. Diagrammerne kan bruges til, at du får overblik over dit risikoregister, visuelt kan se fordelingen af risici på relevante parametre og dermed kan tjekke kvaliteten af sit risikoarbejde. Du kan også bruge diagrammerne i dit materiale til styregruppen til at give status, i oplæg til workshops, i møder med interessenter og til forelæggelser for direktionen. Du klipper blot diagrammet ud af værktøjet og ind i et andet Office produkt eller det format, som din organisation nu arbejder med. Bemærk, du kan ændre på farver, når du indsætter diagrammerne i dine ledelsesdokumenter. Eksempler på diagramtyper Der er valgt en tilfældig rækkefølge på visningen af diagrammer i det følgende, som ikke nødvendigvis følger rækkefølgen i dropdown i værktøjet. 16 af 31

17 Risici fordelt på forretningsmål Risici fordelt på forretningsmål Målgruppe kan foretage analyse Risikoprocessen giver mening Risikobanken giver værdi Målgruppe forstår stamdata Vejledningen er intuitiv Målgruppen vælger Mitigator 2.0 Diagrammet viser, risikopåvirkningen på hvert forretningsmål. Det giver et overblik over fordelingen og kan anvendes til at sætte særligt fokus på risici, som påvirker et konkret forretningsmål. Hvis der ikke er identificeret risici på alle forretningsmål, bør det være et opmærksomhedspunkt. Det kan skyldes, at der ikke er fokus på målet eller, at der ikke har været afdækket risici med det perspektiv. Diagrammet kan således indgå i et kvalitetstjek af risikoarbejdet. Risici fordelt på mål og risikoværdi 4 Risici fordelt på mål Høj Lav Medium Ovenstående diagram viser som lagkagediagrammet fordelingen af risici på forretningsmål. Her er sorteret yderligere på risikoværdi, så det er muligt at se, hvilke forretningsmål der trues mest. Diagrammet kan bruges til at udvælge, hvilke risici der bør prioriteres og hvilke mål der potentielt er truet set i et risikoperspektiv. 17 af 31

18 Risici fordelt på Risikokategori Risici fordelt på risikokategori 6. Idriftsættelse 1. Forretningsbehov Tilrettelæggelse 5. Slutbrugerprodukt 3. Teknisk løsning 4. Interessenter Risici kan også analyseres i forhold til en fordeling på risikokategori. Der indgår seks risikokategorier i Mitigator. Risikokategorierne repræsenterer centrale temaer i et projektperspektiv. Forretningsbehov handler om grundlaget for investeringen og de forretningsmål, som skal realiseres for at opnå et forretningspotentiale. Tilrettelæggelse handler om hvordan forretningsbehovene påtænkes at blive tilrettelagt og ud fra hvilke projektmodel, tidsplan, ressourcer og kompetencer. Teknisk løsning handler om teknologi, it-anskaffelser, it-arkitektur, integrationer, datakonverteringer og test. Interessenter handler om samarbejdspartnere og interessenter, som er involveret eller har indflydelse på resultatet. Slutbrugerprodukt er den endelige løsning set ud fra slutbruger, brugsscenarier og brugervenlighed. Sidst er der idriftsættelse som handler om at implementere, realisere, drifte og vedligeholde den nye løsning. Alle seks kategorier repræsenterer kendte risici og muligheder, som er vigtige set i et risikoperspektiv. Risici fordelt på risikokategori og risikoværdi Risikokategori på risikoværdi 6. Idriftsættelse 5. Slutbrugerprodukt 4. Interessenter Medium Lav Høj 3. Teknisk løsning 2. Tilrettelæggelse af 31

19 Mangler der risici på en risikokategori kan det skyldes manglende opmærksomhed og derfor ikke nødvendigvis manglende risici. Det bør undersøges og efterprøves. I diagrammet herover er risikokategori suppleret med risikoværdi. Det giver en sortering, så der kan fokuseres særligt på de højeste risici på risikokategorierne. Risici fordelt på projektfase og risikoværdi Projektfase Høj Lav Medium 0 Nærheden til risikoens er også en relevant visning i risikoarbejdet. Er der afdækket risici for alle faser eller er fokus primært på indeværende og næste fase. Der kan være en tendens til, at være biased mod at tænke i nuværende fase og fx tre måneder frem. Det giver et forholdsvist begrænset udsyn og kan være kritisk, hvis nogle risici i realiseringen skal mitigeres allerede i anskaffelsesfasen. Her er også sorteres på risikoværdi, så der kan fokuseres på risici med højst værdi. Status på mitigering Status på mitigering Ikke startet I gang Afventer Afsluttet 13 Beslutning, opfølgning og dokumentation på planlægning og implementering kan følges med diagrammet Status på Mitigering, hvor der ses en fordeling på de fire former for aktuel status. Er af 31

20 risici besluttet at skulle mitigeres, men på gentagne styregruppemøder fortsat har status ikke startet, bør styregruppen bekymre sig og bede om status. Afventer risici mitigering, bør der sættes advarselsindikator og følges op løbende. Afsluttede mitigering er et godt tegn og viser dermed fremdrift. Gøres status ved hver faseovergang og ved projektafslutningen, kan de data indgå i en tværgående analyse af porteføljen. Risici fordelt på risikoejere og risikoværdi Risiko-ejere Høj Lav Medium Alle risici bør have en risikoejer i styregruppen. Diagrammet herover viser fordelingen og hvilke risikoejer, som har flest og størst risici. Hvis der ikke er ejere på styregruppeniveau, kan der i stamdata oprettes andre ejere på funktion eller ved navn og dette vil fremgå af diagrammet. Risici fordelt på interessenter og risikoværdi Interessenter Interessent 3 Interessent 2 Medium Lav Høj Interessent Diagrammet Interessenter viser risici, som påvirkes af interessenter. Det kan bruges til at følge eksterne risici og som dialogredskab i følgegrupper og interessentfora. Optimalt bør interessenter bidrage til risikoarbejdet og få tildelt ansvaret med at håndtere risici, som de har indflydelse på. Suppleres diagrammet med en tabel over risici, er det et godt grundlag for et møde med interessenter. (jf. kapitel 6 om møder). 20 af 31

21 Samlet risikopulje og risikobudget for hver risiko Risikopulje Total Diagrammet med risikopulje viser de beregnede økonomiske konsekvenser af, at den enkelte eller alle risici indtræffer. Det er et godt redskab for projekter, som har beregnet en risikopulje og som styrer et risikobudget for styregruppen. Det bør suppleres med tabellen Risikopulje, som viser risikobudgettet. Risikopuljen med trepunktsestimater Risikopulje - fordeling Sum af RISIKOVÆRDI (KR): BEST CASE Sum af RISIKOVÆRDI (KR): MOST LIKELY Sum af RISIKOVÆRDI (KR): WORST CASE Sum af ØKONOMISK RISIKOVÆRDI 0 Total Beregningen af en risikopulje er i Mitigator baseret på en trepunktsestimering og en beregnet økonomisk risikoværdi. Diagrammet herover viser således de tre punkter (gennemsnitligt for alle risici) for best case, worst case og most likely. De tre punkter er suppleret af den økonomiske risikoværdi, som er beregnet ved (best case+4xmost likely+worst case) /6. 21 af 31

22 Risici fordelt på risikoreaktioner Risikoreaktion Del (trussel) Afvis (mulighed) Undgå (trussel) Reducér (trussel) Medium Lav Høj Acceptér (trussel) Fall back (trussel) Diagrammet med risikoreaktioner viser de valgte risikoreaktioner for de risici, som er under planlægning og implementering. De giver et indblik i, valg af risikoreaktion kontra risikoværdi. Eksempelvis er der valgt at acceptere 5 risici, som alle har en middel eller lav risikoværdi. Det er positivt. Det havde været interessant at se nærmere på, hvis der havde været risici med høj risikoværdi, hvor det var valgt at acceptere truslen. Der er flere risikoreaktioner end de seks vist i diagrammet, de er blot ikke valgt i de data, som er afspejlet herover. Beredskabsplan i forhold til risikoværdi Beredskabsplan 4,5 4 3,5 3 2,5 2 1,5 Lav Høj Medium 1 0,5 0 Nej Ja Det sidste diagram viser, om der er udarbejdet en beredskabsplan. Det kunne være relevant at udarbejde beredskabsplaner for de fleste høje risici. Et fokusområde kunne derfor her være at se nærmere på de røde risici i søljen med nej til beredskabsplaner. Diagrammerne hjælper derfor med at analysere data og giver mulighed for at stille skarpt og analysere enkelte risici fremfor at arbejde med dem alle på én gang. Suppleres diagrammerne med tabellerne i menuen, er der både diagrammer som viser tendenser og tabeller, som kan give adgang til data om de interessante og udvalgte fokuspunkter. 22 af 31

23 De viste diagrammer er standard i Mitigator, men det er muligt at få værktøjet konfigureret med andre diagrammer. Der kan eksempelvis opsættes et diagram der viser risiko fordelt på underkategori, så det er muligt at se fordelingen af risici på test, go-live og forandringsledelse og de andre underkategorier til risikokategori (se risikokortet under fanen 1. identificer, hvor der kan tilknyttes underkategori). Beslut hvilke diagrammer I har brug for ved opstarten eller kontakt os senere, så kan Black Swan Institute konfigurere dem for jer, mens jeres data er i risikoregistret. 6. Forbered ledelsesinformation til møder De mange muligheder for at danne diagrammer giver overvejende et kvantitativ og visuelt indblik i risikoarbejdet og en mulighed for at analysere store datamængder og udvælge områder af særlig interesse. Skal der arbejdes konkret med udvalgte emner og forberedes møder i styregruppen, følgegruppen, direktionen og med leverandøren, så er menuen Tabeller et godt supplement. Der er konfigureret en række standardtabeller i Mitigator: Den første klassiske tabel er risikomatricen, der viser risikoværdien suppleret med farver for medium, høj og lille risikoværdi. Scoringen og farvelægningen er baseret på Prince2. Risikomatricen kan sortere risici. Den kan vise alle, ingen eller udvalgte. 23 af 31

24 Det kan være relevant, at udvælge top 5 risici til møder i styregruppen. Det giver mulighed for, at styregruppen løbende behandler de største risici. Risikomatricen kan suppleres med tabellen Risikovurdering, hvor indholdet af risici i risikomatricen kan hentes og vedlægges materialet til et møde. Tabellen ser sådan ud: 24 af 31

25 Der er mange standardtabeller og de er navngivet til ud fra dets funktion. De vil ikke blive gennemgået her. Principperne er de samme i alle tabeller. Det er muligt, at klippe tabellerne ud og paste dem i andre Office produkter. Til præsentation, status og videre behandling af data. Det er også muligt, at træne sit team og styregruppe til at se risikodata i Mitigator og dermed lave en online visning under mødet. 7. Overfør risici til issueregisteret Indtræffer en risiko bliver den til et issue. I Mitigator overføres risikoen til issueregisteret. Det foregår inde i formularen: 25 af 31

26 Når der er valgt Overfør > Issue kommer der en ny formular: Her indtastes oplysninger om den indtrufne risiko, så det dokumenteres, hvad der reelt er sket i modsætning til risikoen, som er potentiel. Når der gemmes i formularen, er issuet oprettet i issueregisteret og kan indgå i issuehåndtering. Styregruppen beslutter, hvem der er ansvarlig for issuestyring og hvordan issues håndteres i regi af projektplanerne og hvordan der følges op. Issueregisteret har samme udformning som risikoregistret: 26 af 31

27 8. Evaluering af risikoarbejdet ved faseovergang I risikostyringen af et projekt er faseovergange og ledelsesfaser særlig vigtige at bruge til at gøre status, evaluere og opdatere risikoregistret. Nogle vælger at arbejde med tidsmæssige kadencer som opdatering hver måned eller hvert kvartal. Styregruppen skal godkende faseovergang og det sker de fleste steder med en faseovergangsrapport. I rapporten er det oplagt at gøre status på det historiske risikoarbejde og opdatere risici i et fremadskuende perspektiv. I Tabeller er der oprettet Evaluering, som kan bruges til at trække data ud. 9. Projektafslutning I Tabeller kan der dannes en tabel med både åbne og lukkede risici samt åbne og lukkede issues og dermed kan der samles alle data fra risikostyringen og lade dem indgå ved projektafslutningen og dermed opsamle data i projektet og sammenholde dem på tværs af porteføljen og/eller programmet. Det giver en mulighed for at evaluere risikoarbejdet i projektforløbet med input fra Mitigator. Det skaber også et grundlag for at opsamle erfaringer i organisationen og lære af dem over tid, så organisationen bliver bedre til risikostyring og får mulighed for at påbegynde en indsats for at reducere eller helt fjerne typiske risici, som knytter sig specifikt til organisationen arbejde med projekter og programmer. Det er muligt med tabellen Evaluering at sortere på åbne og lukkede risici og issues og en række af de andre parametre, som indgår i tabellen. Andre tabeller i Mitigator kan i øvrigt også indgå i projektafslutning. Det afhænger basalt set af, hvilke informationer, som organisationen ønsker at inkludere i status og analyse af projektforløbet. Dette grundlag kan kombineres med inddragelse af både projektgruppe, leverandør og styregruppe, så projektafslutningen også suppleres med erfaringer og input fra relevante interessenter. 27 af 31

28 10. Systemkrav Risikoværktøjet Mitigator kan køre i alle Microsoft Excel versioner 2011 eller nyere til PC (Mitigators dynamiske funktioner fungerer ikke i Excel til Mac). Bemærk, at Windows 10 har sikkerhedsindstillinger, der skal tilpasses, når du downloader risikoværktøjet fx fra vedhæftningen i en . For at kunne bruge værktøjet, skal du gøre følgende: 1. Tryk på Filer i øverste venstre hjørne af Excel. 2. Klik på Indstillinger 3. Klik derefter på Center for sikkerhed og rettighedsadministration nederst i boksen til venstre. 4. Klik på Beskyttet visning. 5. Fjern de tre flueben, og værktøjet kan nu køre optimalt. 28 af 31

29 11. Begrebsliste Risikonavn: Risikoårsag: Risikohændelse: Risikoeffekt: Risikoreaktion: Kort navn der beskriver risikoen. Beskrivelse af årsager til den pågældende risiko. Hver risiko kan have flere årsager. Beskrivelse af den hændelse risikoen medfører. Beskrivelse af de konsekvenser risikoen medfører. Angivelse af risikoreaktion. Du kan vælge mellem 9 forskellige risikoreaktioner, jf. standardstrategier i Management of Risk. De 9 risikoreaktioner er: Undgå (trussel) Reducer (trussel) Fall back (trussel) Overfør (trussel) Acceptér (trussel) Del (trussel) Del (mulighed) 29 af 31

30 Udnyt (mulighed) Forøg (mulighed) Afvis (mulighed) Mitigeringsstrategi: Status: Kategori: Beskrivelse af hvilken strategi for ønskes for at mitigere risikoen. Valg af strategisk tiltag hænger sammen med valg af risikoreaktion. Vælg status for risikoen: Åben: Der er en risiko for, at hændelsen indtræffer. Lukket: Der er ikke længere en risiko for, at hændelsen indtræffer. Overført som issue: Risikoen er indtruffet. Vælg Risikokategori: Forretningsbehov Tilrettelæggelse Teknisk løsning Interessenter Slutbrugerprodukt Idriftsættelse Kategorierne følger de risikokategorier, som også anvendes i Statens model, dog her udvidet med en kategori for idriftsættelse. Forretningsmål: Organisation: Hovedfase: Sandsynlighed: Risikoaktør: Risikoejer: Højeste score: Risikoværdi: Angivelse af forretningsmæssige mål for projektet. Opbygge den organisation som projektet indgår i. Er det er program oprettes programniveauet og alle projekterne. Er det en portefølje oprettes porteføljens projekter. Er det et projekt er det ikke nødvendigt at vælge noget i Stamdata, men det er muligt at oprette delprojekter, hvis der ønskes en kobling af risici til delprojekterne. Angivelse af hovedfase hvori risikoen kan indtræffe Vælg på en skala fra 1-5 sandsynligheden for, at risikoen indtræffer. Angivelse af person som har det primære ansvar for at håndtere, vurdere, planlægge og implementere en handling for at mitgiere risikoen. Angivelse af person på ledelsesniveau som har det ledelsesmæssige ansvar for, at risikoen håndteres. Mitigator finder den højeste score af de angivne konsekvenser, som bliver ganget med sandsynligheden for at beregne risikoværdien for den enkelte risiko. Risikoværdien beregnes automatisk (sandsynlighed*konsekvens) 30 af 31

31 Tidsplan: Tidsplan beskrivelse: Økonomi: Gevinster: Kvalitet i leverance: Overskredet: Overført som issue: Deadline for tiltag: Opfølgning: Opdateret: Oprettet: Måned for indtræffen: Underkategori: Leverandør: Snitflade: Interessent: Vælg på en skala fra 1-5 konsekvensen ift. tidsplan ved, at risikoen indtræffer. Beskrivelse af konsekvenserne for tidsplanen, hvis risikoen indtræffer. Vælg på en skala fra 1-5 konsekvensen ift. projektudgifter ved, at risikoen indtræffer. I feltet under kan du beskrive af konsekvenserne for tidsplanen, hvis risikoen indtræffer. Vælg på en skala fra 1-5 konsekvensen ift. effektiviseringsgevinster ved, at risikoen indtræffer. Beskrivelse af konsekvenserne for effektiviseringsgevinster, hvis risikoen indtræffer. Vælg på en skala fra 1-5 konsekvensen ift. effektiviseringsgevinster ved, at risikoen indtræffer. I feltet under beskrives konsekvenserne for leverancer og kvalitet, hvis risikoen indtræffer. Angiv, om deadline for tiltag i forbindelse med den enkelte risiko er overskredet. Notér dato for, hvornår risikoen er overført som issue (dette fremgår automatisk af issueregisteret). Notér dato for, hvornår der er deadline for tiltag for den enkelte risiko. Notér deadline for, hvornår der skal ske opfølgning på risikoen. Når en risiko opdateres, angives dato for opdatering automatisk. Når en risiko oprettes, angives dato for oprettelse automatisk. Angiv, hvornår den pågældende risiko tidligst forventes at indtræffe. Angiv, hvilken underkategori risikoen tilhører. Valget af underkategori hænger sammen med risikokategorierne, som er angivet tidligere. Når risikokategori er angivet, vil der dannes en liste med muligheder for underkategorier, der passer til det overordnede valg. Vælg hvilken leverandør, der er tilknyttet risikoen (de forskellige leverandører skal opsættes for det enkelte projekt eller program i stamdata). Vælg hvilken snitflade, der er til risikoen (de forskellige tekniske snitflader/integrationer skal opsættes for det enkelte projekt eller program i stamdata). Vælg hovedinteressent for den enkelte risiko (de forskellige interessenter skal opsættes for det enkelte projekt/program i stamdata). 31 af 31

32 Forfatter: Berørte projekter: Advarselsindikator: Eskalering: Beredskabsplan: Risikoværdi (kr.): Best case: Risikoværdi (kr.): Most likely: Risikoværdi (kr.): Worst case: Notér, hvem der har oprettet risikoen (evt. initialer). Notér, hvis andre projekter er berørte af samme risiko. Angiv, hvad der er advarselsindikator på risikoens indtræffen. Skriv her det nuværende eskaleringsniveau i organisationen: Projektleder Projektejer Projektstyregruppe Programleder Programejer Programstyregruppe Angiv, om der er udarbejdet en beredskabsplan for risikoens indtræffen. Angiv forventede omkostninger i kr., hvis risikoen indtræffer i det bedst tænkelige scenarie. Angiv forventede omkostninger i kr., hvis risikoen indtræffer i det forventede scenarie. Angiv omkostninger i kr., hvis risikoen indtræffer i det værst tænkelige scenarie. Økonomisk risikoværdi: Ud fra de tre indtastede risikoværdier (best case, most likely, worst case) beregnes den økonomiske risikoværdi automatisk. Det sker ud fra formlen: 32 af 31