Elke risico-gebeurtenis, of het nu een bedreiging of een kans is, heeft twee kenmerken: de waarschijnlijkheid dat het zou kunnen gebeuren en de impact die het zou hebben als het zou gebeuren.
Zelfs op de eenvoudigste projecten moeten risicogebeurtenissen worden beoordeeld op hun waarschijnlijkheid en impact aan de hand van een schaal zoals bijvoorbeeld hoog, gemiddeld en laag. Naarmate de complexiteit van de werkzaamheden toeneemt, moet de beoordeling verfijnder worden.
Een grondige beoordeling van risicogebeurtenissen voor projecten met een hogere complexiteit en voor programma's moet een schaal van vijf punten hebben met richtlijnen en numerieke waarden voor elk punt van de schaal.
Onderstaand voorbeeld is toegepast op bedreigingen en is overgenomen uit de PRAM Guide van APM1.
Deze risicocriteria-tabel geeft numerieke bandbreedtes voor de waarschijnlijkheid van zeer laag tot zeer hoog.
Zij bevat ook impactcriteria voor de drie elementen van de triple constraint. Het is duidelijk dat de richtlijnen voor wat hoog of laag is niet universeel zijn. Een vertraging van twee maanden op een project van zes maanden is heel anders dan een vertraging van twee maanden op een project van drie jaar.
Alle impactindicatoren in de tabel moeten de risicocontext van de werkzaamheden weergeven en in het bijzonder de risicobereidheid van de organisatie. Deze indicatoren worden vastgesteld afhankelijk van de context van de afzonderlijke projecten en programma's en worden opgenomen in het risicomanagementplan.
De waarschijnlijkheids- en impactscores worden gebruikt om te komen tot algemene waarden voor het rangschikken van de risicogebeurtenissen. Bijvoorbeeld:
-
Een risicogebeurtenis met een lage waarschijnlijkheid (0,3) en een grote impact (0,4) heeft een rangorde van 0,3 x 0,4 (0,12).
-
Een risico-gebeurtenis met een hoge waarschijnlijkheid (0,7) en een geringe impact (0,1) heeft een rangorde van 0,7 x 0,1 (0,07).
Interessant is dat een risicogebeurtenis met een lage waarschijnlijkheid/hoge impact een andere score heeft dan een hoge waarschijnlijkheid/lage impact. Dit komt doordat waarschijnlijkheidsscores op een lineaire schaal worden gedefinieerd, terwijl impactscores op een logaritmische schaal worden gedefinieerd. Het effect hiervan is dat meer de nadruk wordt gelegd op impact dan op waarschijnlijkheid.
Als alle mogelijke combinaties van rangschikkende waarde worden berekend voor zowel dreigingen als kansen, dan wordt onderstaande tabel gevormd.
Dit kan worden gepresenteerd in een RAG-formaat (Red-Amber-Green) met bijbehorende richtlijnen over hoe elk incident moet worden gemanaged in overeenstemming met de rode, oranje of groene status.
De richtlijnen voor de schalen, scores en status moeten worden vermeld in het beoordelingsgedeelte van het risicomanagementplan.
- Association for Project Management (2007), Project Risk Analysis and Management Guide, High Wycombe, UK
Met dank aan het BPUG-team voor de vertaling naar het Nederlands
