VEJLEDNING TIL RISIKOVURDERINGER

VEJLEDNING TIL RISIKOVURDERINGER

INDLEDNING VEJLEDNINGENS FORMÅL I 2014 nedsatte Københavns Kommunes direktørkreds Københavns Kommunes IT-projektråd med topledere fra offentlige og private organisationer. Formålet er at bidrage til en kvalificeret håndtering af risikofyldte it-projekter og modne Københavns Kommunes arbejde med it-projekter. IT-projektrådets medlemmer rådgiver kommunens forvaltninger og institutioner, tilbyder sparring til direktionerne og deltager aktivt i risikovurdering af alle it-projekter, der lever op til et eller flere af kriterierne for at skulle risikovurderes: HVAD ER ET IT-PROJEKT? IT-projektrådet skal som hovedregel risikovurdere alle it-projekter med samlede omkostninger på 5 mio. kr. eller derover, it-projekter der bygger på ny teknologi, har særligt borgerrettede leverancer, har høj politisk prioritet eller hvis projektet går på tværs af flere forvaltninger. Visse it-projekter med investeringer over 5 mio. kr. betragtes i denne sammenhæng ikke som it-projekter. Det gælder i de tilfælde, hvor der fx er tale om ren anskaffelse, hvor der købes nyt udstyr, som erstatter det eksisterende fx servere, telefoni og scannere. Der kan også være tale om projekter, som består i anskaffelse af udstyr, som er nyt for forvaltningen, men hvor elementet af udvikling eller tilpasning, herunder i form af internt ressourceforbrug, er yderst begrænset. Projektet eller programmets samlede projektomkostninger overstiger 5 mio. kr. Projektet eller programmets løsning baserer sig på ny teknologi Projektet eller programmet har særligt borgerrettede leverancer Projektet eller programmet har høj politisk prioritet Projektet eller programmet går på tværs af flere forvaltninger. Såfremt it-projektet kun i mindre grad resulterer i en anskaffelse, og i højere grad tilrettelægges som en længerevarende aftale om levering af en tjenesteydelse, er det fortsat størrelsen af de samlede udgifter, der knytter sig til den reelle anskaffelse og udvikling af it-projektet, der er afgørende for, om it-projektet skal gennemgå en risikovurdering. OMKOSTNINGER PÅ 5 MIO. KR., NY TEKNOLOGI, BORGERRETTEDE LEVERANCER, HØJ POLITISK PRIORITET ELLER TVÆRFORVALTLIGE LØSNINGER MEDFØRER RISIKOVURDERING Formålet med denne vejledning er at hjælpe forvaltninger og institutioner i Københavns Kommune med at forstå, hvilke it-projekter der skal risikovurderes, og hvordan det sker. Vejledningen giver også projektledere kendskab til processen, så de ved, hvad der forventes af dem under en risikovurdering. For yderligere indsigt i rollefordelingen læs Rollebeskrivelser i forbindelse med risikovurderinger. Vurderer den projektejede direktion, at der ikke skal foretages en risikovurdering, til trods for at projektet opfylder et eller flere af kriterierne, skal der fremsendes en skriftlig begrundelse til IT-projektrådet. Det vil i mange tilfælde være nødvendigt at vurdere projektbeskrivelsen for at afgøre, om et it-projekt bør risikovurderes. IT-projektrådets sekretariat tilbyder at hjælpe forvaltningerne med denne vurdering. Vurderingen sker på baggrund af den projektbeskrivelse, som forvaltningen sender til sekretariatet for IT-projektrådet eller gennem en tidlig dialog mellem projektleder og IT-projektrådets sekretariat. Hvis it-projektet opfylder et eller flere af kravene, skal det risikovurderes. Risikovurderinger sker i regi af IT-projektrådet. Risikovurderingen

resulterer i et anbefalingsbrev til den projektejende direktion. I vejledningens trin 1-4 gennemgås processen for risikovurdering. HVORNÅR SKAL ET IT-PROJEKT INDSENDES TIL RISIKOVURDERING? It-projekter skal risikovurderes ved afslutningen af analysefasen og før anskaffelsen begyndes (se Figur 1). Faserne defineres ud fra itprojektmodellen. Det er vigtigt, at projektet kontakter IT-projektrådets sekretariat allerede når projektet er i sin tidlige opstartsfase. Forretningsmodel Business case og gevinstpotentialer Organisering og projektmodel Kendskab til markedet Teknologiske overvejelser og potentielle tekniske løsninger Implementeringsovervejelser og inddragelse af interessenter Slutbrugerprodukt ved overgang til drift og når løsningen tages i brug. TRIN 1 INDMELDING AF IT-PROJEKT FORVALTNINGERNE SKAL INDMELDE NYE IT-PROJEKTER Det er forvaltningernes ansvar at sikre, at IT-projektrådet i god tid bliver informeret om nye it-projekter. Figur 1 - IT-projektmodellen med risikovurdering HVORNÅR ER ANALYSEFASEN AFSLUTTET? Analysefasen er først afsluttet, når de centrale analyser er gennemført og alle de centrale oplysninger til at begynde kravspecificering og udbud er afdækket. Forvaltningen forventes efter analysefasen at have kendskab til og styr på centrale områder som: Sekretariatet for IT-projektrådet vil løbende kontakte forvaltningerne for at vedligeholde en oversigt over planlagte it-projekter. IT-projektrådet gennemgår og drøfter oversigten på deres fire årlige rådsmøder. Sekretariatet følger også løbende med i, om der eksisterer it-projekter der opfylder kriterierne, som ikke er indmeldt til IT-projektrådet. Det er altid projektlederen og ikke eksterne konsulenter, der tager kontakt til sekretariatet. Projektlederen vil i samarbejde med sekretariatet vurdere, hvornår it-projektet er klar til risikovurdering. Forvaltningerne skal indmelde it-projektet i god tid, da sekretariatet for IT-projektrådet skal rekruttere vurderingspersoner og reservere tid hos et rådsmedlem. Sekretariatet bestræber sig på at imødekomme forvaltningernes ønske om et vurderingstidspunkt. Der er dog størst 3

sandsynlighed for, at vurderingstidspunktet kan imødekommes, hvis projektet indmeldes senest fire arbejdsuger før risikovurderingen ønskes påbegyndt. Når it-projektet er indmeldt, indgår det i planlægningen af ITprojektrådets opgaver. Det er forvaltningens ansvar at kontakte sekretariatet for at fastlægge en dato for indsendelse af projektgrundlaget, der er det materiale, projektet skal risikovurderes på baggrund af. Fastlæggelsen af datoen afhænger af, hvornår forvaltningen forventer, at styregruppen og en repræsentant fra den projektejede direktionen har godkendt projektgrundlaget. FØLG IT-PROJEKTMODELLEN It-projekterne som falder indenfor kriterierne for risikovurdering, anbefales at følge it-projektmodellen på et overordnet plan. Hvilke projektmetoder der anvendes indenfor de enkelte faser er op til projektet selv. Ligeledes anbefales det, at projekterne udarbejder projektdokumentation som indeholder de informationer der efterspørges i IT-Projektrådets skabelon til Projektinitieringsdokument, da det erfaringsmæssig giver bedre styring af projekterne. Skabeloner som kan anvendes til risikovurdering kan hentes på IT-projektrådets hjemmeside; www.itprojektraad.kk.dk. Sekretariatet for IT-projektrådet tilbyder rådgivning og vejledning under udarbejdelsen af vurderingsgrundlaget. Skriv til IT-projektrådets postkasse IT-projektraad@ks.kk.dk eller udfyldt kontaktformularen på hjemmesiden og få mere information. Projektinitieringsdokument (PID) eller lignende projektbeskrivelse. o Inkl. risikoanalyse, interessentanalyse og gevinstrealiseringsplan Business case (med tilhørende bilag og bagvedliggende udregninger). Foruden PID og business case opfordres projekterne til at fremsende en styregruppeaftale. Skabeloner til ovenstående dokumenter findes på IT-projektrådets hjemmeside. Projektet er altid velkommen til at medsende flere dokumenter end PID og Business case, da det giver vurderingspersonerne og rådsmedlemmet et bedre vurderingsgrund og i sidste ende et mere anvendeligt anbefalingsbrev til projektet. Det kan fx være dokumenter som resultat af markedsundersøgelse, case beskrivelser/brugerscenarier og slutproduktbeskrivelse. HVORNÅR INDSENDES PROJEKTGRUNDLAGET TIL RISIKOVURDERING? Risikovurderingsprocessen sættes i gang på den fastlagte dato for indsendelse af projektgrundlag. Projektgrundlaget sendes elektronisk til ITprojektrådets postkasse IT-projektraad@ks.kk.dk den aftalte dato. Dokumenterne skal være godkendt af styregruppen samt et direktionsmedlem i den projektejende forvaltning. HVAD SKAL PROJEKTET SENDE? Forvaltningen skal sende følgende dokumenter om it-projektet til ITprojektrådet: 4

TRIN 2 RISIKOVURDERINGEN RISIKOVURDERINGSPROCESSEN Risikovurderingsprocessen er skitseret i Figur 2. Hvis projektet er indmeldt i god tid, og det er muligt at finde tid i alle deltagernes kalendere så kan en risikovurdering afvikles over ca. 14 dage. Set fra projektets side starter de 14 dage en uge efter indsendelsen af projektgrundlaget. Denne uge er indlagt som en mulighed for sikring og udfoldelse af projektgrundlaget. Risikovurderingen dækker over læsedag for vurderingspersoner, formøde mellem rådsmedlem og vurderingspersoner samt dialogmøde, hvor rådsmedlem og forvaltning deltager. Forvaltningen deltager dermed først i risikovurderingens afsluttende fase. Dialogmødet afholdes som oftest hos den projektejende forvaltningen. Risikovurderingsprocessen indeholder to dele; en faglig risikovurdering samt IT-projektrådets vurdering af risikoprofil og formulering af anbefalinger til projektet. DEL 1: DEN FAGLIGE RISIKOVURDERING Til den faglige risikovurderingen rekrutterer sekretariatet tre til fire vurderingspersoner fra vurderingskorpset, der går på tværs af alle forvaltninger i Københavns Kommune. Personerne har alle solid erfaring fra store it- og udviklingsprojekter. De vil typisk dække forskellige kompetenceområder som business case, teknologi, arkitektur samt test, forretningsmodeller og processer. Vurderingspersonerne mødes om projektgrundlaget og begynder den faglige risikovurdering og forbereder formødet med det ansvarlige rådsmedlem. En facilitator fra sekretariatet hjælper vurderingspersonerne igennem den faglige risikovurdering og sikrer, at risikovurderingsprocessen forløber planmæssig. Formødet er en mulighed for, at vurderingspersoner og rådsmedlem kan drøfte observationer og mangler i projektgrundlaget og få en dialog om it-projektets risici. Formødet ender med en prioriteret liste af anbefalinger til projektet, som danner grundlaget for dialogmødet. Dialogmødet afholdes som oftest i den projektejende forvaltning. Ved mødet deltager rådsmedlemmet og en repræsentant fra den projektejende forvaltnings direktion samt projektejer og -leder. Under mødet gennemgår rådsmedlemmet resultaterne fra den faglige risikovurdering og drøftelserne fra formødet. På baggrund af drøftelserne på dialogmødet er det muligt for direktionsmedlemmet at beslutte at sætte risikovurderingen på pause med henblik på at forbedre projektgrundlaget eller ændre på it-projektets scope. Det kan være lige fra en pause på få dage til flere måneder. Forvaltningen vurderer selv, hvornår risikovurderingen ønskes færdiggjort. Figur 2 Risikovurderingsprocessen i praksis (for stor figur se s. 8) 5

DEL 2: RISIKOPROFILEN OG ANBEFALINGER Efter dialogmødet vil rådsmedlemmet udarbejde anbefalinger og vurdere it-projektets risikoprofil. Risikoprofilen vil enten være normal eller høj. Anbefalingerne kan spænde meget bredt og tager udgangspunkt i de identificerede risici eller mangler. Risikoprofil og anbefalinger sendes til det ansvarlige direktionsmedlem samt projektejer og -leder. Afhængigt af risikoprofil og anbefalinger, kan der være en videre dialog og opfølgning. It-projektet skal slutteligt redegøre for, hvordan IT-projektrådets anbefalinger håndteres i projektet. Dette gør projektet i et responsum. SÅDAN FORBEREDER FORVALTNINGEN SIG TIL EN RISIKOVURDERING IT-projektrådet baserer sin risikovurdering på en analyse af forvaltningens projektgrundlag via en række centrale emner, som har betydning for den samlede risikoprofil for it-projektet: Forretningsmæssige forhold Governance Markedsafklaring og teknisk løsning Projektets tilrettelæggelse Slutbrugere og slutprodukt Det er derfor vigtigt, at forvaltningen har forholdt sig aktivt til netop disse fem centrale emner, når projektet sendes til risikovurdering. Den bedste måde for projektet at sikre sig en grundig og anvendelig risikovurdering, er ved at udfylde IT-projektrådets skabelon til projektinitierings dokumentet (PID). Denne skabelon kan findes på IT-projektrådets hjemmeside sammen med øvrige projektværktøjer. FORVALTNINGENS INTERNE RESSOURCEFORBRUG I FORBINDELSE MED RISIKOVURDERING Nedenstående aktiviteter kræver interne ressourcer: Forbered det ansvarlige direktionsmedlem på processen omkring godkendelse af projektgrundlaget, dialogmødet og det efterfølgende anbefalingsbrev samt responsum. Indarbejd procestid i projektplanerne til de 14 dages risikovurdering. Der kan arbejdes videre med it-projektet, mens det er til risikovurdering i IT-projektrådet. TRIN 3 OPFØLGNING PÅ ANBEFALINGER Anbefalingsbrevet vil indeholde en vurdering af it-projektets risikoprofil og en række konkrete anbefalinger der har til hensigt at reducere risici. Risikoprofilen kan enten være normal eller høj. Risikoprofilen er funderet i en analyse af projektgrundlaget i forhold til nedenstående områder: Forretningsmæssige forhold (fx hvordan ser forretningsmodellen ud og er den realiserbar) Governance (fx er interessenter inddraget og hvordan er styringen overvejet) Markedsafklaring og teknisk løsning (fx er løsningen velovervejet) Projektets tilrettelæggelse (fx er projektet planlagt efter forskrifterne og realiserbart) Slutbrugere og slutprodukt (fx er slutbruger identificeret og inddraget) Rådets arbejde fungerer som et review af projektet, og rådets rolle er rådgivende. Det er derfor forvaltningens ansvar at tage stilling til 6

anbefalingerne og indarbejde passende aktiviteter i det videre projektforløb. Forvaltningen modtager anbefalingerne i et anbefalingsbrev og tilbagesender et responsum til IT-projektrådet som beskriver håndteringen af anbefalingerne. Et år efter projektafslutning vil sekretariatet for IT-projektrådet følge op på gevinstrealiseringen. Forvaltningen skal på det tidspunkt oplyse nøgletal om it-projektets gevinstrealisering. LØBENDE STATUSRAPPORTERING Der indhentes løbende statusrapporter til brug ved rådsmøder. Status indhentes via en statusskabelon, hvor alle igangværende, risikovurderede it-projekter vil blive bedt om at opdatere status på økonomi, tid og kvalitet i form af farverne grøn, gul og rød. Hvis et projekts status er i gul eller rød tilbyder IT-projektrådet at genbesøge projektet og eventuelt gennemføre en ny risikovurdering. TRIN 4 PROJEKTAFSLUTNING Når it-projektet afsluttes, og it-systemet overgår til drift i den forretningsenhed, der overdrages til, skal it-projektet formelt afsluttes. IT-projektrådet skal ikke se den endelige projektafslutningsrapport, men forvaltningen skal deklarere over for IT-projektrådet, at projektet er afsluttet. Dette sker gennem de løbende statusrapporteringer, hvor der ved projektafslutningen statusrapporteres for sidste gang. Projektleder afgiver, som ved de andre statusrapporteringer, økonomiske nøgletal og andre centrale oplysninger. Under tidsplan skal den faktiske slutdato for it-projektets gennemførelsesfase anføres. It-projektet er nu principielt afsluttet, og der skal fremover ikke statusrapporteres for it-projektet. SPØRGSMÅL TIL RISIKOVURDERINGER Du er altid velkommen til at kontakte IT-projektrådets sekretariat. Mail: IT-projektraad@ks.kk.dk Telefon: 4044 8656 / 2169 2723 7

Figur 3 - Risikovurderingsprocessen i praksis 8