OK יועצים לניהול

רובנו הגדול מכיר את הצורך בניהול סיכונים. במקרים מסוימים התהליך נעשה כדי לצאת ידי חובה. תצפיותיי בארגונים מראות שבמקרים רבים התהליך לא מבוצע בצורה שיטתית, ומתקיימת מראית עין של תהליך ניהול סיכונים. כמו ללכת בלי ולהרגיש עם. משתמשים בתבנית של ניהול סיכונים, רושמים בטבלה מספר נושאים, לא עוקבים באופן שוטף אחר התממשות או אי התממשות הסיכון. כתוצאה מסיבות אלה ואחרות התהליך אינו מביא תועלת.

ניהול סיכונים (תזכורת)

המטרה של תהליך ניהול סיכונים הוא לזהות בעיות פוטנציאליות לפני שהן קורות, כך שאפשר יהיה לתכנן פעילויות שמטרתן למנוע או להפחית את התוצאה השלילית במקרה של התממשות אותן בעיות. זהו תהליך מניעה המטפל בבעיות מוקדם ככל האפשר ובכך מקטין את השפעתן השלילית.

המאמר שלהלן ממפה טעויות נפוצות בתהליך ניהול הסיכונים. הטעויות יכולות לקרות בכל אחד משלושת שלבי התהליך של ניהול סיכונים. שימו לב, מאמר זה מניח שמתקיימים השלבים שלהלן. הנחה שלא תמיד עומדת במבחן המציאות.

להלן שלושה שלבים הכוללים יחדיו שבע שאלות לגבי האופן בו אתם מנהלים סיכונים; קיום או אי קיום של כל אחת מהפרקטיקות המיוצגות בשאלות, משפיע באופן ישיר על הצלחה או  סיכון בתהליך ניהול הסיכונים שלכם.

תנו לעצמיכם 15 נקודות על כל שאלה שעניתם בחיוב. יד על הלב – לאיזה ציון הגעתם?

שלב ראשון –  הכנה לתהליך ניהול הסיכונים

ההכנה כוללת מיסוד אסטרטגיה לזיהוי, ניתוח והפחתת סיכונים. האסטרטגיה בדרך כלל כוללת זיהוי מקורות של סיכון, חלוקת הסיכונים לקטגוריות, ופרמטרים איכותיים וכמותיים המשמשים להעריך, לתחום ולפקח על ניהול יעיל של הסיכונים. השלב הזה הוא שלב מתודי, שנועד לעודד אותנו לחפש סיכונים מסוגים שונים ולארגן אותם מראש.

שאלה ראשונה – האם אתם מחליטים מראש על מקורות וקטגוריות לסיכונים?

מקורות הסיכון הן משפחות ונושאים שעלולים "לייצר" סיכונים. לדוגמא: איחור באספקת תוצר מגורם חיצוני, יישום טכנולוגיות חדשניות, אי זמינות של תשתיות ומשאבי אנוש, ועוד. קטגוריות מאגדות סיכונים בעלי מכנה משותף, לדוגמה: שלבים במחזור חיים של פיתוח מוצר או שירות, סוגי תהליכים ועוד. כל אחד מאלה איננו סיכון, אלא תחום שבו יש לחפש את הסיכונים. ניהול סיכונים בהתאם למקורות וקטגוריות, מאפשר ללמוד מניסיון העבר, ולנקוט בפעילות המתקנת את סיבות השורש.

תשובה שלילית לשאלה הראשונה משמעותה אי הכנת תשתית ארגונית המאפשרת באופן שיטתי לבחון את האירועים המשפיעים על יכולת הארגון/פרויקט לעמוד במשימותיו, וכן לעדכן ולהתעדכן באופן הפעולה לגבי אירועים אלה.

שאלה שנייה – האם אתם מגדירים פרמטרים לניהול כמותי של סיכונים?

פרמטרים מקובלים לניהול כמותי של סיכונים:

Probability (P) – ההסתברות שהסיכון יתממש.
Impact (I) – מידת הבעיה שתיווצר במקרה שהסיכון יתממש.
Threshold (T) – ערך סף שכאשר מגיעים אליו מפעילים את תוכנית המגירה שהוכנה מראש למנוע או להפחית תוצאה שלילית במקרה של הפיכת סיכון לבעיה.

תשובה שלילית לשאלה השנייה משמעותה שלא ניתחתם את חומרת הסיכון ואת הרגע בו יש להפעיל תוכנית המגירה או להבין שהסיכון התממש והפך לבעיה.

שאלה שלישית – האם יש באמתחתכם אסטרטגיות לניהול סיכונים והאם אתם מפעילים שיקול דעת לגבי אופן הטיפול בכל סיכון וסיכון?

אסטרטגיה לניהול סיכונים כוללת נושאים כגון:

• הגדרת שיטות לזיהוי, ניתוח, תכנון דרכי פעולה להפחתת הסיכון, בקרה ומעקב אחר מצב הסיכון, וניהול התקשורת בין בעלי העניין על מצב הסיכון;
• זיהוי מקורות וקטגוריות של סיכונים והחלטה על תוכנית הפעולה בהתאם;
• ניהול כמותי של הסיכונים;
• פעילות פרו-אקטיבית למניעת סיכונים, כגון עריכת פיילוט, סימולציות, עבודה במקביל על מספר אפשרויות;
• קביעת מרווחי זמן לבחינת מצב הסיכונים
• ..ועוד

מחסור באסטרטגיה לניהול סיכונים עלול לגרום להתבדרות: החל מחוסר מיקוד באילו סיכונים להתמקד ובאיזה אופן לטפל בסיכונים ועד להעדר ניהול סיכונים בכלל.

שלב שני – מתקיים תהליך של זיהוי וניתוח סיכונים כדי להחליט על חשיבותם היחסית

מצב הסיכון ישפיע על כמות המשאבים שיושקעו בהפחתתו והתזמון שבו תוקדש תשומת לב ניהולית לטיפול בו.

שאלה רביעית – האם אתם מזהים סיכונים בתהליך שיטתי?

תהליך זיהוי הסיכונים מתבסס על האסטרטגיה שנקבעה, ומשתמש במקורות וקטגוריות הסיכונים שהוכנו מראש. חשוב ביותר לזהות את הסיכונים ולתעד אותם בצורה נכונה. לא כל דבר מסוכן הוא סיכון. ראו – מהו סיכון לפרויקט? דוגמאות לשיטות זיהוי סיכונים: ראיונות עם מומחים, למידה משיעורים שנלמדו בפרויקטים קודמים ועוד.

ניהול סיכונים לא שיטתי עלול לגרום לטעות בזיהוי הסיכונים המשמעותיים; סיכונים לא מזוהים הינם בעלי הסתברות גבוהה יותר למימוש מאשר סיכונים מנוהלים לאחר שזוהו. כל מנהל, עורך רשימת סיכונים בהתאם לניסיונו האישי בלבד, במקום לתרום ולהיתרם מהניסיון הארגוני הנצבר.

שאלה חמישית – האם אתם מעריכים ומתעדפים סיכונים (איכותית או כמותית)?

RPN – Risk Priority Number – מכפלה של שני הפרמטרים הסתברות והשפעה; ככל שהמספר גבוה יותר, יש לתת עדיפות לטיפול בסיכון המסוים.

תשובה שלילית לשאלה החמישית משמעותה אי תעדוף של הטיפול בסיכונים שזוהו. חוסר המיקוד יכול לגרום לטיפול בסיכונים שוליים במקום מרכזיים.

שלב שלישי – סיכונים מנוהלים כהלכה כדי להפחית את השפעתם הפוטנציאלית על מטרות הארגון/פרויקט

ניהול סיכונים כהלכתו כולל בחירה נכונה של אופן הטיפול בסיכון, וכן הוצאה לפועל של תוכנית המגירה ברגע שהתממש הסיכון והפך לבעיה.

שאלה שישית – האם אתם מכינים תוכנית לניהול סיכונים בהלימה עם האסטרטגיה שנקבעה לניהול סיכונים?

האם לכל סיכון מותאמת תוכנית טיפול (מניעה, בקרה, העברה, קבלה) בהתאם למידת ההשפעה שלו אם יתממש?

תשובה שלילית לשאלה השישית משמעותה טיפול שגוי בסיכונים שזוהו. למשל: החלטה על קבלה של סיכון שמשמעותה לא לעשות דבר במודע, כאשר אפשר היה לפעול למניעה באמצעים סבירים.

שאלה שביעית – האם אתם מפעילים את תוכנית השיכוך / מגירה שהכנתם?

האם נעשית בקרה פרו-אקטיבית- תקופתית על מצב הסיכונים? האם מצייתים לאסטרטגיה שקבעה כיצד לנהל, לבקר, לשתף בעלי עניין Iלדווח על מצב הסיכונים? האם היד על הדופק כל הזמן לגבי מצב כל סיכון, למול ערך הסף שנקבע להפעלת תוכנית המגירה?

תשובה שלילית יכולה לגרום לאי זיהוי הרגע להפעיל את תוכנית המגירה או לאי עדכון מצב הסיכון בעקבות שינוי של אחד מהפרמטרים שלו.

ניהול סיכונים – סוף דבר

כדי לנהל סיכונים כהלכה, ולא לוותר על אף פרקטיקה שתוארה לעיל, מומלץ לפתח אסטרטגיה לניהול התהליך, הנתמכת בתהליך ותבנית (Template) הנותנים מענה לכל השלבים והשאלות.
נזכור ששימוש בתבנית בלבד בלי להבין את כל הסוגיות בתהליך עלולה להיות מראית עין של תהליך ניהול סיכונים.

מה ניסיונכם בתחום? האם הינכם מנהלים על פי כל הפרקטיקות שתוארו לעיל? מה קורה אצלכם בעקבות אי מימוש אחת מהפרקטיקות? אשמח לשיתוף באחת הרשתות החברתיות שקישורן להלן

Photo by Kammeran Gonzalez-Keola from Pexels

בתחתית הדף ריכזנו עבורכם מאמרים נבחרים בנושא ניהול סיכונים. מוזמנים להגיב באחת הרשתות החברתיות שקישורן להלן.

מהדורת 2015 של תקן 9001 ISO דורשת שנפעיל חשיבה מבוססת סיכונים והזדמנויות. שמעתם טוב? איך מודדים מחשבות? כולנו כל הזמן מודאגים וחושבים על מה יכול להשתבש; מיעוטנו האופטימיים גם חושבים חיובית על ההזדמנויות העומדות בפנינו; לי זה נשמע כמו פשרה שהושגה בוועדה אחרי דיונים מתישים, כדי להתקדם הלאה.

במהדורת 2008 של תקן 9001 ISO הייתה דרישה לפעולה מונעת. רוב הארגונים לא ידעו מה לעשות עם הסעיף הזה ולכן הוחלט להוציאו מהתקן. לדרוש ניהול סיכונים כהלכתו כנראה נראה מוגזם למעצבי התקן, ולכן המציאו מין משהו ביניים כזה – חשיבה מבוססת סיכונים. לי זה מזכיר בדיחה ישנה שגמל הוא סוס שתוכנן על ידי ועדה.

מאמר זה דן בדרישת מהדורת 2015 של 9001 ISO בנושא חשיבה מוטת סיכונים והזדמנויות; לארגונים שיש מערכת ניהול איכות ותיקה ועובדת אני ממליצה להטמיע תהליך ניהול סיכונים כהלכתו; כאמור, התקן לא דורש זאת.

מהו "סיכון" ? האם כל דבר "מסוכן" הוא "סיכון" ? האם כל דבר שלילי הוא סיכון ?

המאמר – מהו סיכון לפרויקט? עונה על השאלה בפרוטרוט, כולל הסברים ודוגמאות; סיכון הוא אירוע בחיי פרויקט/ ארגון, המקיים את הקריטריונים הבאים:

• עתידי – האירוע עדיין לא קרה
• לא ודאי – יתכן שיקרה ויתכן שלא
• ספונטני – אינו בשליטת הפרויקט / ארגון
• ספציפי – נוגע להיבט מאד קונקרטי ומוגדר של המוצר / שירות של הארגון
• מזיק – אם יתרחש, יביא לפגיעה ביעדי הפרויקט / ארגון
• סיבתי – האירוע הוא הגורם לתוצאה השלילית (ולא התוצאה עצמה)

הזדמנות, היא אירוע בחיי הפרויקט, העונה על הקריטריונים שלעיל רק שתוצאת האירוע הינה חיובית; ניהול הזדמנויות נעשה בדיוק באותו אופן כמו ניהול סיכונים.

לפי 9001:2015 ISO, פעילות בהקשר של סיכונים והזדמנויות נדרשת בעת ההקמה או שינוי של מערכת האיכות. כאשר אנו מפתחים את תהליכי הליבה של הארגון, אנו הדרשים לחשוב בכל פעילות – מה יכול להשתבש, וכיצד אנו נערכים מבעוד מועד כדי למנוע את ההתרחשות הבלתי רצויה, או לפחות לשכך את המכה, והיה ויתרחש האירוע הבלתי רצוי. ניהול סיכונים יכול לכלול פעילות מגוונת: החל ממאמצים למנוע את התרחשותו, דרך מאמצים להפחתת הסיכוי לכך שיתרחש, או להפחתת ההשפעה שלו, ועד להשלמה עמו, במקרים בהם מאמצי המניעה עולים יותר מהמכה, והיה והסיכון יתממש.

תקן 9001:2015 ISO לא דורש תיעוד של ניהול הסיכונים; עדיין, לאורך ולרוחב הארגון מנהלים צריכים לדעת לזהות סיכונים בתהליכי הליבה המרכזיים, מבחינת סבירות הופעתם ואופן השפעתם; להיערך בזמן להתרחשותם, ולהפעיל תוכניות מגירה במידה והסיכון או הכשל מתממש.

נדרש לדון בסיכונים בסקר ההנהלה לנושא איכות.

סיכום

נושא ניהול סיכונים והזדמנויות מובא עתה לקדמת הבמה; נדרשת חשיבת מוטת סיכונים והזדמנויות בכל ההיבטים של הארגון, במיוחד בעת ניהול שיפורים והזדמנויות; לאו דווקא בנושאים הקשורים לאיכות המוצר או השירות. הדרישה המפורשת של 9001:2015 ISO היא לנהל סיכונים והזדמנויות, לאו דווקא לתעד אותם. כמו כן, נדרש לדון בסיכונים בסקר ההנהלה לנושא איכות. 

חזרנו לעיסוק בנושא ניהול סיכונים. נושא חשוב מאין כמוהו. למרות זאת, מעט ארגונים מטמיעים תהליך זה ברמת ניהול הפרויקט הבודד, ועוד פחות  ברמת הארגון. הגיליון הפעם מביא שלושה מאמרים "טריים" בנושא, וכן שלושה מאמרים שפורסמו לפני כשנתיים. נתחיל במאמרים החדשים: הראשון ברמת הפרויקט הבודד והשניים הבאים ברמת הארגון.

להיות 10 בניהול סיכונים בפרויקט – כדי להיות ארגון שהוא 10 בניהול סיכונים בפרויקט, על הנהלת החברה לספק למנהלי הפרויקטים תשתית תומכת לביצוע הפרקטיקות, דהיינו תהליכים תומכים ומשולבים. תשתית טובה מכילה את כל הפרקטיקות בתבנית אחת. תבנית זו היא ידע מרוכז וכדאי שיפתחו אותה מומחים בתהליך ניהול סיכונים. רוצים לדעת מהן הפרקטיקות? התשובה במאמר.

ניוזלטר מספר 18 הוא הניוזלטר השני בנושא ניהול סיכונים. בניוזלטר מספר 6 שפורסם בחודש יולי 2012 פורסמו שלושה מאמרים בנושא ניהול סיכונים. להלן תקציר המאמרים בתוספת קישורים למאמרים מאותו ניוזלטר.

המאמר הראשון, ניהול סיכונים בפרויקטים, מביא ניסיון מהשטח. הבנה טובה מהו סיכון, וניסוחו בצורה נכונה, מהווה כברת דרך רצינית כלפי הפיתרון. המאמר מביא שפע ניסוחי סיכונים בצורה שגויה, מסביר את הטעות ומציע ניסוח אלטרנטיבי. אחד הפרמטרים של ניסוח נכון של סיכון, הוא ביכולת שלנו לטפל בו בצורה פרו-אקטיבית; לא יעזור לפרוס ידיים בייאוש ולהגיד: אין משאבים, אין זמן וכדומה.

המאמר השני, בנושא פרה-מורטם, מציע דרך מעניינת, ללמוד מהניסיון בהתחלת הפרויקט ולא בסופו כדי להפחית סיכונים בפרויקטים. מסוקרנים? רוצו לקרוא.

המאמר השלישי, בעולם של סכנות הכי מסוכן לא להסתכן, מביא את נקודת המבט הארגונית הכוללת לנושא חדשנות, שיש הרואים בה סיכון. בעוד שבניהול פרויקטים מטרתנו היא להפחית סיכונים –  ההתייחסות במאמר זה לסיכון כמשהו חדש וחדשני, שונה מהשוטף, ומלמד אותנו שהכי מסוכן זה ללכת על בטוח ולא להסתכן.

גוף הידע בניהול פרויקטים (PMBOK Guide), מכיל עשרה תחומי ידע. כל תחום ידע מכיל פרקטיקות, אותן יש לבצע לאורך מחזור החיים של הפרויקט. מסיבות מתודיות, ה-PMBOK כתוב ב"קוביות", דהיינו – כל תחום ידע מתחלק לנושאים; כל נושא לאוסף של פרקטיקות אותן יש לבצע לאורך כל חיי מחזור הפרויקט.

אחד מעשרת תחומי הידע של ה- PMBOK הוא ניהול סיכונים בפרויקט. ניהול סיכונים בפרויקט לנהל את הסיכונים בפרויקט כדי להגדיל את ההסתברות להתרחשות אירועים חיוביים ולהקטין את ההסתברות להתרחשות אירועים שליליים ואת השפעתם.

כדי להיות ארגון שהוא 10 בניהול סיכונים בפרויקט, על הנהלת החברה לספק למנהלי הפרויקטים תשתית תומכת לביצוע הפרקטיקות. דהיינו תהליכים תומכים ומשולבים. תשתית טובה מכילה את כל "קוביות" ה-PMBOK בתוך מספר קטן של תבניות (Templates). פרקטיקות אלה כוללות כלים כמו תבנית לניהול סיכונים. את התבניות מפתחים מומחים במתודולוגיית ניהול פרויקטים לטובת מנהלי הפרויקטים.

מטרה: לנהל את הסיכונים בפרויקט כדי להגדיל את ההסתברות להתרחשות אירועים חיוביים ולהקטין את ההסתברות להתרחשות אירועים שליליים ואת השפעתם.

להלן הפרקטיקות של ניהול סיכונים אותן יש לבצע בשלבי מחזור חיי הפרויקט:

שלב: ייזום
מה עושים ולמה? ==

שלב: תכנון
מה עושים ולמה?
מתכננים את אופן ניהול הסיכונים בפרויקט  כדי להבטיח שדרגת ניהול הסיכונים, הסוג והנראות יתאימו לסיכונים ולחשיבות הפרויקט לארגון.
מזהים את הסיכונים שעשויים להשפיע על הפרויקט ומתעדים אותם.
מבצעים ניתוח איכותי של הסיכונים על ידי הערכת ההסתברות להתרחשותם ומידת השפעתם
מבצעים ניתוח כמותי של השפעות הסיכונים.
מתכננים מענה לסיכונים כדי להרחיב הזדמנויות ולצמצם איומים

שלב: ביצוע
מה עושים ולמה? ==

שלב: מעקב ובקרה
מה עושים ולמה?
מבקרים את אופן ניהול הסיכונים  באמצעות יישום תוכנית המענה לסיכונים ומעקב אחר הסיכונים שזוהו וניטור הסיכונים השיוריים. במהלך הפרויקט מזהים ומטפלים בסיכונים חדשים.

שלב: סגירה 
מה עושים ולמה? ==

הפרקטיקה הראשונה – "מתכננים את אופן ניהול הסיכונים בפרויקט" – מומלץ ביותר שאת הפרקטיקה הזאת יגדירו מומחים או יועצים שתחום התמחותם הוא ניהול סיכונים. כאשר מוגדרת השיטה הארגונית, ניהול הסיכונים מתבצע בצורה אחידה בכל הארגון.

האם אתם תוהים כיצד יתכן שבשלבי הייזום, ביצוע והסגירה אין פעילות הקשורה לניהול סיכונים?

הדבר נובע מכך שה-PMBOK מחלק את העולם לקוביות כדי להגדיר בצורה סדורה את הפרקטיקות. ברם, כידוע לכולנו החיים שלנו בכלל והפרויקטים בפרט, מתנהלים בצורה הוליסטית. לכן הפעולות הניהוליות הקשורות בניהול סיכונים בשלבי הייזום, ביצוע  והסגירה מתוארות בתהליך ניהול אינטגרציה. למשל מסמך תכנון הפרויקט מתייחס גם לתכנון ניהול הסיכונים בפרויקט.

ארגון שהוא 10 בניהול פרויקטים עובד בצורה אינטגרטיבית. בכל רגע בפרויקט יש את אוסף התבניות והכלים המשלבים את הפרקטיקות מכל תחומי הידע הנכונות לאותו זמן. למשל בשלב התכנון – עובדים עם תבנית אחת לתכנון הסיכונים הפרויקט המנחה כיצד לתכנן את ניהול הסיכונים יחד עם תכנון זמן, תכולה, איכות, תקשורת ועוד בצורה המותאמת לארגון הספציפי. באופן דומה – לגבי כל שלב ושלב בפרויקט.כך, הפרקטיקה הראשונה בתכנון אופן ניהול הסיכונים בפרויקט מנחה לגבי השיטה לניהול הסיכונים בפרויקט. מומלץ ביותר שאת השיטה בה מנהלים סיכונים בארגון יעצבו מומחים בתהליכי ניהול פרויקטים. ידע זה הוא חלק מנכסי הידע של הארגון. מנהל הפרויקט בשלב התכנון רק "תופר" את השיטה לפרויקט הספציפי שלו.

איך אתם מנהלים את הסיכונים בפרויקטים שלכם? אשמח לשיתופים באחת הרשתות החברתיות שקישורן להלן.

גוף הידע בניהול פרויקטים (PMBOK Guide), מכיל עשרה תחומי ידע.

כל תחום ידע מכיל פרקטיקות, אותן יש לבצע לאורך מחזור החיים של הפרויקט.

מסיבות מתודיות, ה-PMBOK כתוב ב"קוביות", דהיינו – כל תחום ידע מתחלק לנושאים; כל נושא לאוסף של פרקטיקות אותן יש לבצע לאורך כל חיי מחזור הפרויקט.

כדי להיות ארגון שהוא 10 בניהול פרויקטים, על הנהלת החברה לספק למנהלי הפרויקטים תשתית תומכת לביצוע הפרקטיקות. דהיינו תהליכים תומכים ומשולבים. תשתית טובה מכילה את כל "קוביות" ה-PMBOK בתוך מספר קטן של תבניות (Templates). את התבניות מפתחים מומחים במתודולוגיית ניהול פרויקטים לטובת מנהלי הפרויקטים.

כדי להיות 10 בניהול פרויקטים, עלינו:

1. להיות 10 בניהול אינטגרציה
2. להיות 10 בניהול תכולה
3. להיות 10 בניהול זמן
4. להיות 10 בניהול עלויות
5. להיות 10 בניהול איכות
6. להיות 10 בניהול משאבי אנוש
7. להיות 10 בניהול תקשורת
8. להיות 10 בניהול סיכונים
9. להיות 10 בניהול רכש
10. להיות 10 בניהול בעלי עניין

בהצלחה לכולנו !

אחת מדרישות החובה בתקן 9001:2008 ISO הייתה פעולה מונעת. ארגון מטמיע תהליך שיטתי לפעולה מונעת  כדי לקבוע פעולות לסילוק גורמים לאי-התאמות פוטנציאליות, כדי למנוע את הופעתן. דוגמאות לאי התאמות: ביצועים נמוכים, תלונות של לקוחות, אי עמידה ביעדים, אי שביעות רצון עובדים או ספקים ועוד.

בגרסת התקן  9001:2015 ISO.הוחלפה הדרישה לפעולה מונעת לתהליך של ניהול סיכונים.

האם לדעתכם יש הבדל בין פעולה מונעת לניהול סיכונים? אם יש הבדל – מהו?

כדי ענות על השאלה, נשווה את שני התהליכים, לפי שלביהם:

זיהוי

פעולה מונעת: קביעת אי-התאמות פוטנציאליות והגורמים להן
ניהול סיכונים: זיהוי הסיכון, ניתוח הסיכון

הערכת נזק

פעולה מונעת: הערכת הצורך בפעולה למניעת הופעתן של אי-התאמות
ניהול סיכונים: הערכת הסיכון (אומדן הנזק)

החלטה על פעולה

פעולה מונעת: קביעת הפעולה הדרושה ויישומה,
ניהול סיכונים: החלטה על אסטרטגית הפעולה לשיכוך נזקי הסיכון

מעקב ובקרה

פעולה מונעת: רישום תוצאות הפעולה שננקטה; סקירת האפקטיביות של הפעולה המונעת שננקטה
ניהול סיכונים: פיקוח ובקרה על הסיכון ובדיקת אפקטיביות הפעולות שננקטו

לאור האמור שלעיל נראה שלמעשה שניהול סיכונים הוא בעצם פעולה מונעת. בכל זאת, מדוע טורחים חכמי מועצת התקן ועושים שינוי שכזה?

מניסיוני בייעוץ לארגונים המעוניינים בתקן 9001 ISO למדתי כי במקרים רבים, אין הבנה ובטח שלא הטמעה של תהליך שיטתי לפעולות מונעות. מנהלי איכות בארגונים מתאמצים כדי להראות יישום של תהליך שכזה. ייתכן שהדבר נובע מכך שהתהליך לא ממש ברור וחסר את ההנחיה מה נדרש בעצם לעשות. לעומת זאת, תהליך ניהול סיכונים הוא תהליך מאד סדור ואף אפקטיבי.

סוף מעשה במחשבה תחילה

תהליך ניהול סיכונים מוסיף שתי פעולות חשובות מעבר לפעולה המונעת:

• האחת – ניתוח הסיכון. ההמלצה לטפל באותם הסיכונים עם הסתברות גבוהה שיקרו וכן עם נזק פוטנציאלי גבוה מאד.
• השנייה – החלטה על אסטרטגית הפעולה. יש מגוון אסטרטגיות לבחירה – החל מלא לעשות דבר, דרך פעולות למזעור הנזק ועד לפעולות למניעת הסיכון.

כלומר, תהליך ניהול סיכונים מוסיף נדבך של ניתוח סיכונים כדי לטפל רק בסיכונים עם פוטנציאל נזק גבוה, ולאחר שזוהו הסיכונים מכניס בחירת אסטרטגיית פעולה לטיפול בסיכון. כלומר – חשיבה בשלב הניתוח ולאחריו. חשיבה זו היא חשובה כי אין לנו משאבים לטפל בכל הסיכונים ולכן נבחר את אלה בעלי פוטנציאל הנזק הגבוה ביותר.

יש הבדל או אין הבדל?

אין הבדל מהותי. תהליך ניהול סיכונים הוא תהליך שמונע אי התאמות. כל פעילות יזומה לשיפור איכות של מוצר או תהליך, מניחה שיש סיכון ומחיר לאי-עשייה של אותה פעולת מניעה או שיפור. תהליך ניהול סיכונים מוסיף נדבכים של שיטתיות ובהירות לתהליך.

הפעולה המתקנת היא חלק מתהליך ניהול סיכונים. תהליך ניהול סיכונים שיטתי מחייב לתעד את תהליך הבחירה לפעולה המתקנת ואת ההחלטה על אסטרטגיית הפעולה. תיעוד זה נסקר בישיבות צוות וסקרי הנהלה. תהליך התיעוד והסקירה מאפשר שיתוף וקבלת החלטה מושכלת. תהליך של פעולה מונעת מבוצע בדרך כלל בראשו של מנהל מסוים ומה שצף מעל פני השטח הוא בעיקר תוצאת הפעולה המתקנת.

האם השינוי חשוב?

לטעמי, חשוב ביותר. ניהול סיכונים הוא תהליך ממוקד ושיטתי שניתן להפעילו בכל רמות הארגון. האתגר הוא לנהל סיכונים בצורה נכונה. לדעת להבדיל בין אירוע עתידי שמהווה סיכון לבין כל מצב מסוכן או בעייה ניהולית שלא טופלה בזמן ונקראית בטעות סיכון. גרסת התקן החדש אינה מכתיבה תהליך ניהול סיכונים שיטתי, אלא דורשת שתהיה חשיבה בכיוון (Risk-Based-Thinking). ככל שעובר הזמן מרגע שהתקן הושק לעולם, ארגונים בכל זאת עוברים לאט לאט מחשיבה מבוססת סיכונים לניהול סיכונים.

ניהול סיכונים (תזכורת)

המטרה של תהליך ניהול סיכונים הוא לזהות בעיות פוטנציאליות לפני שהן קורות, כך שאפשר יהיה לתכנן פעילויות שמטרתן למנוע או להפחית את התוצאה השלילית במקרה של התממשות אותן בעיות. זהו תהליך מניעה המטפל בבעיות מוקדם ככל האפשר ובכך מקטין את השפעתן השלילית.

להלן שלושה שלבים הכוללים יחדיו שבע שאלות לגבי האופן בו אתם מנהלים סיכונים; קיום או אי קיום של כל אחת מהפרקטיקות המיוצגות בשאלות, משפיע באופן ישיר על הצלחה או  סיכון בעבודה שלכם. האם עניתם בצורה חיובית על כל השאלות? שלושת השלבים, והפרקטיקות הכלולות בהם נכתבו בהשראת מודל ה-CMMI.

להלן איור הכולל את כל השלבים והפרקטיקות של ניהול סיכונים בגישת המודל, ובהמשך – הפירוט.

שלב ראשון –  הכנה לתהליך ניהול הסיכונים

ההכנה כוללת מיסוד אסטרטגיה לזיהוי, ניתוח והפחתת סיכונים. האסטרטגיה בדרך כלל כוללת זיהוי מקורות של סיכון, חלוקת הסיכונים לקטגוריות, ופרמטרים איכותיים וכמותיים המשמשים להעריך, לתחום ולפקח על ניהול יעיל של הסיכונים. השלב הזה הוא שלב מתודי, שנועד לעודד אותנו לחפש סיכונים מסוגים שונים ולארגן אותם מראש.

שאלה ראשונה – האם אתם מחליטים מראש על מקורות וקטגוריות לסיכונים?

מקורות הסיכון הן משפחות ונושאים שעלולים "לייצר" סיכונים לפרויקט, לדוגמא: איחור באספקת תוצר מגורם חיצוני, טכנולוגיות חדשניות, אי זמינות של תשתיות ומשאבי אנוש, ועוד. קטגוריות מאגדות סיכונים בעלי מכנה משותף, לדוגמה: שלבים במחזור חיים של פיתוח מוצר או שירות, סוגי תהליכים ועוד. כל אחד מאלה איננו סיכון, אלא תחום שבו יש לחפש את הסיכונים. ניהול סיכונים בהתאם למקורות וקטגוריות, מאפשר ללמוד מניסיון העבר, ולנקוט בפעילות המתקנת את סיבות השורש.

תשובה שלילית לשאלה הראשונה משמעותה אי הכנת תשתית ארגונית המאפשרת באופן שיטתי לבחון את האירועים המשפיעים על יכולת הארגון/פרויקט לעמוד במשימותיו, וכן לעדכן ולהתעדכן באופן הפעולה לגבי אירועים אלה.

שאלה שנייה – האם אתם מגדירים פרמטרים לניהול כמותי של סיכונים?

פרמטרים מקובלים לניהול כמותי של סיכונים:

Probability (P) – ההסתברות שהסיכון יתממש.
Impact (I) – מידת הבעיה שתיווצר במקרה שהסיכון יתממש.
Threshold (T) – ערך סף שכאשר מגיעים אליו מפעילים את תוכנית המגירה שהוכנה מראש למנוע או להפחית תוצאה שלילית במקרה של הפיכת סיכון לבעיה.

תשובה שלילית לשאלה השנייה משמעותה שלא ניתחתם את חומרת הסיכון ואת הרגע בו יש להפעיל תוכנית מגירה או להבין שהסיכון התממש והפך לבעיה.

שאלה שלישית – האם יש באמתחתכם אסטרטגיות לניהול סיכונים והאם אתם מפעילים שיקול דעת לגבי אופן הטיפול בכל סיכון וסיכון?

אסטרטגיה לניהול סיכונים כוללת נושאים כגון:

• הגדרת שיטות לזיהוי, ניתוח, תכנון דרכי פעולה להפחתת הסיכון, בקרה ומעקב אחר מצב הסיכון, וניהול התקשורת בין בעלי העניין על מצב הסיכון;
• זיהוי מקורות וקטגוריות של סיכונים והחלטה על תוכנית הפעולה בהתאם;
• ניהול כמותי של הסיכונים;
• פעילות פרו-אקטיבית למניעת סיכונים, כגון עריכת פיילוט, סימולציות, עבודה במקביל על מספר אפשרויות;
• קביעת מרווחי זמן לבחינת מצב הסיכונים
• ..ועוד

מחסור באסטרטגיה לניהול סיכונים עלול לגרום להתבדרות: החל מחוסר מיקוד באילו סיכונים להתמקד ובאיזה אופן לטפל בסיכונים ועד להעדר ניהול סיכונים בכלל.

שלב שני – מתקיים תהליך של זיהוי וניתוח סיכונים כדי להחליט על חשיבותם היחסית

מצב הסיכון ישפיע על כמות המשאבים שיושקעו בהפחתתו והתזמון שבו תוקדש תשומת לב ניהולית לטיפול בו.

שאלה רביעית – האם אתם מזהים סיכונים בתהליך שיטתי?

תהליך זיהוי הסיכונים מתבסס על האסטרטגיה שנקבעה, ומשתמש במקורות וקטגוריות הסיכונים שהוכנו מראש. חשוב ביותר לזהות את הסיכונים ולתעד אותם בצורה נכונה. לא כל דבר מסוכן הוא סיכון. ראו – מהו סיכון לפרויקט? דוגמאות לשיטות זיהוי סיכונים: ראיונות עם מומחים, למידה משיעורים שנלמדו בפרויקטים קודמים ועוד.

ניהול סיכונים לא שיטתי עלול לגרום לטעות בזיהוי הסיכונים המשמעותיים; סיכונים לא מזוהים הינם בעלי הסתברות גבוהה יותר למימוש מאשר סיכונים מנוהלים לאחר שזוהו. כל מנהל, עורך רשימת סיכונים בהתאם לניסיונו האישי בלבד, במקום לתרום ולהיתרם מהניסיון הארגוני הנצבר.

שאלה חמישית – האם אתם מעריכים ומתעדפים סיכונים (איכותית או כמותית)?

RPN – Risk Probability Number – מכפלה של שני הפרמטרים הסתברות והשפעה; ככל שהמספר גבוה יותר, יש לתת עדיפות לטיפול בסיכון המסוים.

תשובה שלילית לשאלה החמישית משמעותה אי תעדוף של הטיפול בסיכונים שזוהו. חוסר המיקוד יכול לגרום לטיפול בסיכונים שוליים במקום מרכזיים.

שלב שלישי – סיכונים מנוהלים כהלכה כדי להפחית את השפעתם הפוטנציאלית על מטרות הארגון/פרויקט

ניהול סיכונים כהלכתו כולל בחירה נכונה של אופן הטיפול בסיכון, וכן הוצאה לפועל של תוכנית המגירה ברגע שהתממש הסיכון והפך לבעיה.

שאלה שישית – האם אתם מכינים תוכנית לניהול סיכונים בהלימה עם האסטרטגיה שנקבעה לניהול סיכונים?

האם לכל סיכון מותאמת תוכנית טיפול (מניעה, בקרה, העברה, קבלה) בהתאם למידת ההשפעה שלו אם יתממש?

תשובה שלילית לשאלה השישית משמעותה טיפול שגוי בסיכונים שזוהו. למשל: החלטה על קבלה של סיכון שמשמעותה לא לעשות דבר במודע, כאשר אפשר היה לפעול למניעה באמצעים סבירים.

שאלה שביעית – האם אתם מפעילים את תוכנית השיכוך / מגירה שהכנתם?

האם נעשית בקרה פרו-אקטיבית- תקופתית על מצב הסיכונים? האם מצייתים לאסטרטגיה שקבעה כיצד לנהל, לבקר, לשתף בעלי עניין Iלדווח על מצב הסיכונים? האם היד על הדופן כל הזמן לגבי מצב כל סיכון, למול ערך הסף שנקבע להפעלת תוכנית המגירה?

תשובה שלילית יכולה לגרום לאי זיהוי הרגע להפעיל את תוכנית המגירה או לאי עדכון מצב הסיכון בעקבות שינוי של אחד מהפרמטרים שלו.

ניהול סיכונים – סוף דבר

כדי לנהל סיכונים כהלכה, ולא לוותר על אף פרקטיקה שתוארה לעיל, מומלץ לפתח אסטרטגיה לניהול התהליך, הנתמכת בתהליך ותבנית (Template) הנותנים מענה לכל השלבים והשאלות.

מה נסיונכם בתחום? האם הינכם מנהלים על פי כל הפרקטיקות שתוארו לעיל? מה קורה אצלכם בעקבות אי מימוש אחת מהפרקטיקות? אשמח לשיתוף באחת הרשתות החברתיות שקישורן להלן

כידוע לרבים מאיתנו, פוסט מורטם הוא תהליך שעושים לחולה לאחר שהוא מת כדי להבין את סיבת המוות. בהשאלה, משתמשים במושג כדי לבצע הפקת לקחים בסוף שלב, או בסוף פרויקט. ארגונים בעלי תהליכים בשלים מאד גאים בתהליכי הפוסט-מורטם שלהם, ובשיעורים שנלמדים בפרויקט אחד ומיושמים בפרויקט אחר.

האם לא עדיף לקיים את דיון הפקת לקחי הפרויקט, לפני שהוא נכשל בהשגת חלק מיעדיו, ובכך למנוע כישלונות אלה?

יד על הלב, כמה מאיתנו באמת חוקרים בהתחלת פרויקט את השיעורים שנלמדו בתהליכי פוסט-מורטם שבוצעו בפרויקטים דומים, ומנסים בצורה פרו-אקטיבית למנוע את הישנותם?

מאמר זה מציע טכניקה שונה לביצוע התהליך, Pre-Mortem, לפני שהחולה/הפרויקט מת, כדי לזהות כשלים לפני שהם קורים. טכניקה זו פורסמה לראשונה על ידי גרי קליין (Gary Klien) ופורסמה בשנת 2007 ב- Harvard Business Review במאמר בשם "Performing a Project Pre-mortem".

לעומת פוסט-מורטם, תהליך של Pre-Mortem חוקר סיבות עתידיות לכישלון הפרויקט טרם סיומו. את ה- Pre-Mortem מבצעים לאחר שכבר הוכנה תוכנית לפרויקט. ה-Pre-Mortem מציע לנוכחים במפגש סיעור המוחות, שידמיינו שהפרויקט כבר הגיע לסיומו, ומה הם יגידו בישיבת ה-Post-Mortem של אותו הפרויקט. מסתבר ששינוי מחשבתי קטן כזה, עוזר לאנשים להשתחרר מההגנות על התכנון שלהם. בישיבות פוסט-מורטם, במקרים בהם הפרויקט לא עמד ביעדיו, לא תמיד אנשים מוכנים לשתף את הסיבות האמיתיות לאי-ההצלחה, ונכנסים למגננה. לעומת זאת, דיון "פוסט מורטם" בטרם עת, מאפשר בקלות יתרה לחפש גורמים פוטנציאלים לאי-הצלחה.

בנוסף, תהליך הpre-mortem מתגבר על הקשיים הבאים, הקורים בתהליך post-mortem:

• בפוסט מורטם חברי הצוות מנסים להגיע לקונצנזוס, ולא לפגוע, ובכך הולך לאיבוד מידע חשוב. במקום זאת, בתהליך של פרה-מורטם חברי הצוות מחפשים את האילוצים שמונעים זרימה חלקה של ניהול הפרויקט.
• בפוסט מורטם, יש אנשים שחוששים להצביע על אחרים כאחראים לאי-הצלחה. בפרה-מורטם יותר קל להעלות חששות בתחום אחריות של חבר צוות אחר.
• תהליך הפרה-מורטם הוא תהליך עם עלות נמוכה, כיוון שהוא תהליך של מניעה. לעומת פוסט-מורטם שדן באירועים (נזקים) שכבר התרחשו.

כאשר מדמיינים את סיום הפרויקט, ועושים בדמיון תהליך של Post-Mortem – מצליחים להגיע לרשימה של סיכונים יותר ריאלית מאשר ללא טכניקה זו.

תיאור פגישת Pre-Mortem

מתבצעות הפעולות הבאות:

1. הכנה –חברי הצוות מתכנסים, לאחר שקראו את תכנון הפרויקט, או שתכנון הפרויקט מוצג בפניהם; על מנת למקד את סיעור המוחות, ולמנוע מצב של "מטרות נעות ומשתנות", הצוות מסכם מהם יעדי הפרויקט, שאי השגתם מהווה סיכון:
   •  יעדי לו"ז, תכולה או תקציב הפרויקט  אשר אי השגתם מהווה סיכון לפרויקט
   • יעדי איכות המוצר או רמת הביצועים שלו אשר אי השגתם מהווה סיכון למוצר
   • יעדי ביצועים פיננסיים, מוניטין וכדומה  אשר אי השגתם מהווה סיכון עסקי לארגון המפתח את המוצר
2. "מסע בזמן" – המשתתפים מתבקשים לדמיין שבידם כדור בדולח בו ניתן לראות את העתיד. כרגע הם בישיבת Post-Mortem  בסוף הפרויקט. חברי הצוות מתבקשים לחשוב מה יגידו בישיבת פוסט-מורטם של הפרויקט שלהם. כל אחד מהמשתתפים רושם על מדבקות צהובות את הסיבות שלדעתו "גרמו" לכשלים או הצלחות. המקור לסיבות לכשלים של כל אחד הוא חששות מכל נושא אפשרי בפרויקט, ולא רק הנושאים שבתחום אחריותו. במידת האפשר, מתארים על ציר הזמן של הפרויקט – מתי קרו האירועים.
3. הכנת רשימת סיבות לכישלון או הצלחה – כ"א מהמשתתפים רושם את הסיבות לכישלון, לדעתו. כאן באה לידי ביטוי האינטואיציה של כל אחד מחברי הצוות. כל חבר צוות מדמיין אירועים אחרים.
4. איחוד הרשימות האישיות לרשימה כוללת של כל הסיכונים בפרויקט. מוביל סיעור המוחות מסתובב בין שולחנות המשתתפים, מבקש מכל אחד מהמשתתפים, להצהיר בכל רם על סיבה אחת לכישלון או הצלחה; הסיבות נרשמות על הלוח, או שמדביקים את המדבקות הצהובות. עוברים בתור במספר סיבובים – כל משתתף בתורו מצביע על סיבה אחרת לכישלון. בסוף התהליך, יש רשימה מקיפה של סיבות וחששות לפרויקט. מקבצים את הסיבות לקטגוריות, על ידי הזזת המדבקות וקיבוצן לפי קטגוריות.
5. דיון – בוחרים 2-3 סיבות שזוהו כגורמות לכישלון גדול. מגדירים במשותף מהו החשש בדיוק, ומה ניתן לעשות כדי לשכך את עוצמתו, או למנוע את היווצרותו.
6. תודה – מודים למשתתפים ומתפזרים.

הערה : ניתן לעשות גם Pre-Mortem  לפני כל שלב בפרויקט ובאותה צורה להתמקד בחשיבה על גורמים להצלחה או אי הצלחה בשלב שעומד לפניהם.

לאחר פגישת Pre-Mortem 

מתבצעות הפעולות הבאות:

1. סיכום פגישה – מנחה הדיון מסכם את כל הנושאים שעלו בדיון.
2. הכנת רשימת סיכונים – מנהל הפרויקט עובר על רשימת החששות שעלו ב-Pre-Mortem  ומתרגם אותם לסיכונים. הסיכונים מוכנסים לטבלת מעקב. כל סיכון עובר ניתוח (הסתברות? השפעה?); הרשימה כולה עוברת תהליך של תיעדוף, כדי לטפל באותם הסיכונים שיכולים לגרום לנזק מרבי לפרויקט. נעזרים גם בזמני התרחשות האירועים כפי שזוהו  ב-pre-mortem.
3. ניהול סיכונים – טבלת הסיכונים מנוהלת כחלק מתהליך הבקרה של הפרויקט.
4. חזרתיות – תקופתית חוזרים על תהליך ה-Post Mortem כדי לזהות סיכונים נוספים.

מה בין pre-mortem לניהול סיכונים?

אחת הטכניקות המתקדמות בנושא ניהול פרויקטים, היא טכניקה של ניהול סיכונים. ניהול סיכונים, מתבצע בהכנת תוכנית הפרויקט ולכל אורך חיי הפרויקט, ונועד להפחית את השפעת הסיכונים על השגת יעדי הפרויקט במהלכו ובסופו.

תהליך ניהול סיכונים מורכב מהשלבים הבאים:

1. זיהוי סיכונים – הכנת רשימת סיכונים;
2. ניתוח סיכונים – מבחינת ההסתברות שיקרו, ומידת השפעתם השלילית על השגת יעדי הפרויקט;
3. תכנון אופי הטיפול בסיכון – הכנת תוכניות למניעת סיכונים או לשיכוך השפעתם;
4. ניטור הסיכונים – מעקב אחר הסיכונים – האם ההסתברות שיקרו או ההשפעה שלהם השתנתה? האם הסיכון הפך לבעיה?

מאמר זה מתמקד בשלב הראשון של ניהול סיכונים – הכנת רשימת סיכונים ראשונית. אחת הטכניקות להכנת רשימת סיכונים ראשונית, היא לקיים פגישת "סיעור מוחות". בפגישה זו המשתתפים מציעים "מועמדים" לסיכונים, כאשר איש לא מבקר, פוסל או שופט את המועמדים של משתתף אחר. תהליך pre-mortem מסייע ליצירת רשימת הסיכונים הראשונית.