4. Risico's en valkuilen

Elk project loopt risico. Sommige risico's zie je aankomen, andere overvallen je. Het verschil tussen een project dat landt en een project dat strandt zit zelden in pech, en bijna altijd in de vraag of iemand vooraf heeft opgeschreven wat er mis kan gaan.

Wat een risico is, en wat niet

Een risico is een gebeurtenis die nog niet heeft plaatsgevonden, maar die je project raakt als ze wel gebeurt. Een leverancier die te laat levert. Een sleutelpersoon die uitvalt. Een vergunning die langer duurt dan gedacht. Techniek die niet doet wat beloofd is.

Dat onderscheid tussen gebeurtenis en toestand lijkt haarklieverij, maar het bepaalt of je er iets mee kunt. "Onvoldoende capaciteit" is geen risico, dat is een probleem dat je nu al hebt; daar maak je geen risicoanalyse voor maar een oplossing. "Twee teamleden vertrekken vóór de oplevering" is wel een risico: een gebeurtenis die kan optreden, met een kans die je kunt schatten en een gevolg dat je kunt inschatten. Merk je dat een regel op je risicolijst eigenlijk een klacht is, herschrijf hem dan als een zin met "als ... dan".

Stap 1: risico's boven tafel krijgen

Dit is de lastigste stap, want je moet bedenken wat er nog niet is gebeurd. Vier werkvormen die helpen: laat elk teamlid drie risico's noemen en cluster ze daarna; kijk naar afgeronde, vergelijkbare projecten en welke problemen daar opdoken; loop de zes fases van je eigen project langs met de vraag wat er in die fase kan misgaan; en praat met stakeholders buiten het team, want die zien dingen die je intern mist.

In deze stap filter je niet. Een risico dat achteraf onzin blijkt kost je één regel op een lijst. Een risico dat je nooit hebt opgeschreven kost je je planning.

Stap 2: kans maal impact

Voor elk risico schat je twee dingen in. De kans dat het optreedt, op een schaal van 1 (zeer onwaarschijnlijk) tot 5 (vrijwel zeker). En de impact als het optreedt, ook van 1 (verwaarloosbaar) tot 5 (catastrofaal). Die twee vermenigvuldig je, en dat getal is je risicoscore.

De scores lopen van 1 tot 25. Alles tot en met 6 kan op de waakvlam: je weet ervan, meer niet. Tussen 8 en 12 hoort een maatregel, want dit gaat je raken. Vanaf 15 krijgt een risico voorrang in je overleg met de opdrachtgever. Een risico met kans 4 en impact 5 scoort 20 en staat dus bovenaan. Een risico met kans 2 en impact 2 scoort 4 en mag wachten.

Die getallen zijn geen wetenschap. Twee projectleiders komen zelden op precies dezelfde score uit, en dat hoeft ook niet. Waar het om gaat is de rangorde: je wilt weten welke drie risico's bovenaan staan, niet of iets een 15 of een 16 is. Het gesprek waarin je team over die inschatting van mening verschilt levert vaak meer op dan de uitkomst.

Stap 3: er iets aan doen

Een risico op je lijst zetten is één ding, er iets mee doen is het volgende. Voor elk risico in de gele of rode zone kies je een beheersmaatregel. Er zijn vier manieren om met een risico om te gaan.

Vermijden. Je verandert de aanpak zo dat het risico verdwijnt. Is een nieuwe technologie te onzeker, dan kies je een beproefde oplossing. Je levert er meestal iets voor in, en dat is de prijs.

Verminderen. Je brengt de kans of de impact omlaag: extra testen, een tweede review, een tussentijdse oplevering zodat je eerder ziet of iets werkt. Dit is de categorie waar de meeste maatregelen in vallen.

Overdragen. Je legt het risico bij een andere partij: een verzekering, een vaste prijsafspraak met een leverancier, een servicecontract met boeteclausule. Het risico verdwijnt niet, het wordt van iemand anders.

Accepteren. Je weet ervan en doet er bewust niets aan, omdat een maatregel meer kost dan de schade die je ermee voorkomt. Je houdt het wel in de gaten. Accepteren is een keuze, geen vergeten.

Leg per maatregel vast wie hem uitvoert en wanneer, anders blijft het bij goede bedoelingen. En spreek er een trigger bij af: het signaal waaraan je herkent dat het risico zich daadwerkelijk voltrekt. Bijvoorbeeld: is de bouwtekening op 15 maart nog niet binnen, dan stappen we over op leverancier B. Zonder trigger merk je pas dat het risico is opgetreden als het al gevolgen heeft.

De vijf valkuilen

Naast de risico's die bij jouw project horen, zijn er patronen die in vrijwel elk project terugkomen. Ze hebben minder met pech te maken en meer met gedrag.

Scope creep. Tijdens de uitvoering blijft de opdrachtgever wensen toevoegen. Elk verzoek is op zichzelf klein, maar opgeteld loopt het project uit en wordt het budget te krap. Het tegengif staat in hoofdstuk 2: een expliciete uit-lijst, en elke wijziging via een formeel verzoek met de gevolgen voor tijd en geld erbij.

Te optimistische planning. Schattingen worden gemaakt onder ideale omstandigheden, zonder buffer voor vakantie, ziekte of onverwacht meerwerk. Tel standaard vijftien tot vijfentwintig procent op bij je inschatting, of werk met een aparte risicobuffer die je bewust beheert.

Onduidelijke opdracht. Je begint zonder dat helder is wat het resultaat moet zijn. Halverwege blijkt dat opdrachtgever en team een verschillend beeld hadden. De definitiefase overslaan lijkt tijdwinst en kost later een veelvoud.

Communicatie verwaarlozen. Iedereen is druk, dus de stuurgroep krijgt geen update, het team weet niet wat de opdrachtgever vindt, en de eindgebruiker hoort pas bij de oplevering dat het project bestaat. Onverwachte weerstand is dan zo goed als gegarandeerd.

Niet bijsturen. Je ziet dat het misgaat, maar wacht met ingrijpen omdat je hoopt dat het meevalt. Dat gebeurt zelden. Hoe eerder je een probleem benoemt, hoe meer opties je nog hebt.

Samenvatting

• Een risico is een gebeurtenis die nog niet is gebeurd, geen toestand die er al is. Schrijf het op als "als ... dan ...".
• Verzamel eerst breed en filter niet; daarna schat je per risico de kans (1 tot 5) en de impact (1 tot 5).
• Kans maal impact geeft de risicoscore: tot 6 waakvlam, 8 tot 12 een maatregel, vanaf 15 voorrang.
• De rangorde is belangrijker dan het exacte getal. Het gesprek over de inschatting levert vaak het meeste op.
• Vier strategieën: vermijden, verminderen, overdragen of accepteren. Accepteren is een keuze, geen vergeten.
• Leg per maatregel een eigenaar, een datum en een trigger vast, en bespreek de lijst elke twee tot vier weken.
• De vijf valkuilen: scope creep, te optimistisch plannen, een onduidelijke opdracht, communicatie verwaarlozen en te laat bijsturen.
• Let op trends, niet alleen op de kleur van dit moment. Vier weken oranje is erger dan één week rood.