מבוא למתודולוגיות ניהול סיכונים בפרויקטי IT

אחד הנושאים החשובים ביותר בניהול פרויקטים הוא תוכנית ניהול הסיכונים. לא התעסקתי עם זה עד היום לעומק בעיקר כי זה לא נושא סקסי והוא נתפס כמשהו שצריך לעשות, לסמן V ולשכוח מזה וכמה שיותר מהר.

בארגז הכלים במסגרת שלב תכנון הפרויקט התייחסתי לנושא בקצרה ונגעתי דוקא בצדדים הפסיכולוגיים של תוכנית ניהול הסיכונים.

בגן החיות של המתודולוגיות יש מספר שיטות בבנית תוכנית ניהול סיכונים. אלא שבגלל שזה לא משהו שמקדישים לו יותר מידי משמעות, רב מנהלי הפרויקטים עושים שימוש באיזה שיטה שטחית שהועברה אליהם ע"י אחרים שלא רצו לנהל סיכונים או שהם נתקלו בה באיזה קורס של ניהול פרויקטים ולקחו משם רק את התוצאה הסופית של התוכנית ולא את הדרך.

כשבחנתי מה אומרים בשוק על ניהול סיכונים נדהמתי איך כולם מדקלמים את אותם מושגים ברמת שיטחיות מפחידה אפילו במאמר שאמור להציג מתודולוגית ניהול פרויקטים מהמובילות בעולם כל ההיתחסות לנושא ניהול הסיכונים התבטא ב"זיהוי הסיכונים בפרויקט, הכנת תכנית סיכונים כולל דירוג ההשפעה והסבירות, הכנת "תכניות מגרה" להתמודדות עם סיכונים והפעלת תכנית לצמצום השפעת הסיכונים". אני לא בטוח שמישהו יכול לעשות עם התאור הזה משהו בכלל.

חשוב לזכור שכל פרויקט ובמיוחד פרויקטים בתחום ה-IT הם פרויקטים מורכבים. לאורך חיי הפרויקט נתקלים בהרבה בעיות בלתי צפויות שתוצאותיהם מובילות לאיחור בלו"ז של הפרויקט, חריגה מהתקציב או התפשרות על תכולות שבסופו של דבר מביאים להתנגדות בקבלת המערכת בארגון. למרות שלא ניתן למנוע לגמרי את הבעיות האלו, אפשר לשלוט בהם באמצעות תוכנית ניהול סיכונים. זה יכול לסייע בהתמודדות עם הבעיות לפני שהם מתרחשות.

הבעיה עם מרבית השיטות היא

• סיכון הוא רעיון מופשט ומעורפל ולמנהל הפרויקט אין את הכלים הדרושים להגדרת הסיכון באופן מדוייק מספקי לצורך לניתוח מעמיק.
• הרבה שיטות קיימות לניהול סיכונים מבוססות על סיכונים הניתנים לכימות לצורך ניתוח והמשתמשים בקושי יכולים לספק הערכה מדוייקת להסתברות והאובדן שיביאו לתוצאות אמינות בניתוח הסיכון. מצד שני, תעדוף סיכונים מתבסס על סוביקטיביות מוחלטת.
• לסיכונים יש משמעות שונה לבעלי עניין שונים. חלק מהשיטות הקיימות מספקות תמיכה בטיפול בבעלי עניין השונים והציפיות שלהם.
• כל סיכון משפיע על הפרויקט ביותר מדרך אחת. מרבית הגישות לניהול סיכונים מתמקדות בעלויות, לו"ז ואיכות הסיכון, ולא בשילוב שלהם או בהתייחסות למאפיינים אחרים (כמו תחזוקה עתידית, או מוניטין החברה) שעשויים להיות גורמים חשובים שמשפיעים על תהליך קבלת ההחלטות.
• רבות ממתודולוגיות ניהול הסיכונים נתפסות כמורכבות או יקרות מידי לשימוש.

לכן בשביל להתחיל לנהל סיכונים כמו תמיד צריך שיטה מוכחת. בעולם יש מגוון מתודולוגיות לניהול סיכונים בפרויקטי תוכנה ובחרתי להציג 5 מתודולוגיות מהעולם שנחשבות למובילות בתחום ה-IT:

BOEHM

מתודולוגיה זו פותחה ע"י Barry Boehm. הוא פיתח סדרה של עקרונות ושיטות לניהול הסיכון של פיתוח תוכנה. Barry Boehm מאמין שניהול סיכונים מסייע לאנשים למנוע אסון, למנוע עבודה חוזרת ולהביא למצבי של Win-Win בפרויקטי תוכנה. המודל של Boehm לניהול סיכוני תוכנה מתמקד ברעיון של "חשיפה לסיכון" כפי שמוגדר ע"י הקשר בין ההסתברות של תוצאה שאינה רצויה והאובדן שנובע מתוצאה זו שקובע את העוצמה של הסיכון.

RISKIT

מתודולוגיה זו פותחה ב-1996 באוניברסיטות מרילנד. שיטת ה-RISKIT מעשית בארגונים גדולים. המטרה המקורית מאחורי הפיתוח של מתודולוגיה זו היתה החוסר בשיטה אמינה באותו זמן. העקרונות סביבם נבנתה מתודולוגית ה-RISKIT היו שמתודולוגית ניהול סיכונים צריכה להיות קלה לשימוש ודורשת זמן מוגבל בכדי להשיג תוצאות, אחרת לא ישתמשו בה. המתודולוגיה צריכה לספק תמיכה מקיפה באמצעות קוים מנחים פרקטים ליישום והיא צריכה לתמוך בתקשורת בין המשתתפים בפרויקט והיא צריכה להיות אמינה.

SEI-SRE

מתודולוגיה זו נוסדה בחיל האויר האמריקאי ופותחה ע"י Software Engineering Institute. במקור פותחה המתודולוגיה כמתודולוגיה לניהול פרויקטים וניהול הסיכונים התווסף מאוחר יותר. מתודולוגית SEI-SRE (Software Engineering Institute, Software Risk Evaluation) מספקת מסגרת להערכת סיכונים שיכולים לפגוע בהצלחת הפרויקט.

SERUM

מתודולוגית SERUM (Software Engineering Risk: Understanding and Management ) משלבת את השימוש ניהול סיכונים Implicit וניהול סיכונים Explicit. ניהול סיכונים Implicit זה שיטה בה תהליך תוכנה מתוכנן לצמצם סיכון. ניהול סיכונים Explicit זה שיטה בה סיכונים מופנים ישירות באמצעות זיהוי, הערכה, תעדוף, תכנון, החלטה ובקרה של התהליך.

SERUM שם דגש על ניהול סיכונים Implicit , כך שהסיכון הכללי המתאים לכל הפרויקטים אינו צריך להיות מטופל באופן מפורט. בגלל סיבה זו, מספר הסיכונים שיש לטפל בהם באופן מפורט מצומצם ובכך מקל על ניהול הסיכונים ומאפשר טיפול במרבית הסיכונים במידה מספקת.

SERIM

המטרה של SERIM (Software Engineering Risk Index Management) היא לאפשר הערכת גורמי הסיכון בפיתוח תוכנה ממספר נקודות מבט שונות ופיתוח תוכניות פעולה ממוקדות לניהול סיכונים לפני שהם מתממשים. SERIM לוקח את פגישות הסטאטוס המחזוריות של פרויקטי פיתוח תוכנה כך שבהם ניתן להתמקד בסיכונים שבעדיפות גבוהה. לאחר שהסיכון מזוהה, SERIM מסייע לפתח תוכנית פרואקטיבית למצמם את הסיכון לפני שהוא מחבל בפרויקט.

לסיום, אפילו באתר של NASA במאמר Continuous Risk Management at NASA כתוב "מרבית מנהלי הפרויקטים מסכימים שניהול סיכונים עובד, אבל הקושי נמצא ביישום המעשי שלו, אפילו כאשר צריך לעשות זאת. תונכנית ניהול הסיכונים נכתבת בחופזה ואז נזרקת לפינה לאסוף אבק".