In questo articolo vogliamo condividere alcune difficoltà che abbiamo incontrato e risolto negli ultimi anni in cui abbiamo messo a punto una metodologia di Project Risk Management da applicare estensivamente in una società impegnata contemporaneamente su decine di progetti infrastrutturali e tecnologici.
Nel nostro caso, l’importanza di introdurre sistematicamente pratiche di risk management era stata enfatizzata dall’adozione delle norme ISO 9001:2015 e ISO 14001:2015, che richiedono un approccio basato sul risk management thinking e, per questo motivo, abbiamo avviato un processo che prevedeva:
- L’implementazione di un piano di sperimentazione PRM su commesse pilota;
- L’emissione di una Linea Guida basata sui risultati ottenuti dalle commesse pilota;
- La definizione e l’attuazione di un piano di applicazione del PRM sulle principali commesse.
Dopo alcuni mesi, si sono chiaramente delineate le tre sfide principali che erano:
- comprendere la natura del rischio,
- identificare un metodo efficace per gestirlo,
- creare un valore che fosse proporzionale allo sforzo richiesto per l’intero processo.
Il concetto di progetto
Uno dei primi fattori di difficoltà del Project Risk Management (d’ora in poi PRM) è generato proprio dal fatto che ha a che fare con “progetti” e cioè con
- – attività innovative
- – che coinvolgono risorse umane, materiali e finanziarie,
- – e mirano a ottenere un risultato unico, predefinito e specifico
- – per generare un cambiamento benefico attraverso il raggiungimento di obiettivi quantitativi e qualitativi[1].
Tutte queste caratteristiche di innovatività ed unicità rendono il PRM assolutamente necessario e, come vedremo nel seguito, anche difficile da eseguire.
È importante sottolineare che, per quanto ci possano essere degli aspetti comuni, ogni progetto è unico e mai sperimentato in precedenza, sia nel processo produttivo che nel risultato. Questa unicità è riconosciuta anche dalle norme UNI, che definiscono i progetti come processi unici consistenti di un insieme di attività coordinate e tenute sotto controllo. Questi processi sono intrapresi per conseguire obiettivi specifici, rispettando limiti di tempo, costo e risorse.
Ma cosa succede quando ci troviamo di fronte all’incertezza e alle carenze di conoscenza tipiche di ogni progetto unico? È qui che entra in gioco il Project Risk Management.
Il Project Risk Management è un’attività essenziale per affrontare in modo proattivo gli imprevisti che potrebbero influire negativamente sul raggiungimento degli obiettivi di un progetto. Consiste nell’identificare, valutare e gestire i rischi imprevisti che potrebbero compromettere il successo del progetto.
Per una definizione più specifica del Project Risk Management, ci è parso naturale fare riferimento alle pubblicazioni del Project Management Institute che proponeva una definizione molto pratica: «Il Project Risk Management è l’insieme dei processi di pianificazione, identificazione, analisi, risposta, monitoraggio e controllo dei rischi di un progetto. L’obiettivo che il Project Risk Management si propone di perseguire è quello aumentare la probabilità e l’impatto degli eventi positivi e di ridurre le probabilità e l’impatto degli eventi negativi.»[2]
L’implementazione di un efficace Project Risk Management è fondamentale per evitare ritardi, superamenti di budget e insuccessi nel raggiungimento degli obiettivi del progetto. Identificare e valutare i rischi è una parte essenziale del lavoro di un project manager, che deve essere in grado di anticipare e mitigare gli impatti negativi dei rischi prima che si verifichino.
La norma UNI 31000:2018[3], dedicata al Risk Management, fornisce una visione alta di questo processo nel momento in cui specifica che esso è un insieme coordinato di attività mirate a controllare e gestire il rischio di un’organizzazione il cui scopo è la creazione e la protezione del valore dell’organizzazione stessa.
In questo caso, viene sottolineato come il Risk Management non può essere una attività improvvisata e deve, al contrario, essere inquadrato in un framework[4] concepito per garantire che i risultati delle analisi devono essere controllati ed affidabili, devono arrivare nelle mani dei manager e devono generare azioni concrete che facciano il bene dell’organizzazione.
Il riferimento al “valore”, e cioè al rapporto tra la soddisfazione delle esigenze e le risorse impiegate nel conseguire tale soddisfazione, implica anche la necessità che i processi di Risk Management siano “cost effective” e cioè che creino benefici tangibili superiori al loro costo.
Per gestire i rischi in modo adeguato, è stato necessario seguire una serie di passaggi chiave. Innanzitutto, è stato fondamentale identificare i potenziali rischi capaci di influire sul cronoprogramma e sugli obiettivi del progetto. Una volta individuati, è stato importante analizzarli in modo approfondito, valutando la loro probabilità di accadimento, l’impatto che potrebbero avere e la vulnerabilità del progetto nei confronti di tali rischi.
Successivamente, è stato necessario creare, e far applicare, un piano di risposta che conteneva le azioni da intraprendere per gestire i rischi identificati ed includeva le strategie di trasferimento, mitigazione, evitamento o accettazione.
Difficoltà di utilizzo di tecniche e strumenti
Tra le principali sfide nell’applicazione delle teorie del Project Management Institute, abbiamo dovuto affrontare la difficoltà nell’utilizzo delle tecniche e degli strumenti proposti, spesso legata ai costi e alla complessità di tali metodologie. Concetti come “Brainstorming”, “Expert Judgement”, “Interpersonal and Team Skills” e “Representations of Uncertainty” possono sembrare semplici in teoria, ma nella pratica si scontrano con la realtà di costi elevati per gli esperti, difficoltà nel coordinare riunioni e brainstorming, e un gran lavoro di analisi richiesto.
Per superare queste difficoltà, è stato fondamentale abbracciare il concetto di “tailor made” o “adattamento sartoriale”: un processo di Risk Management non può essere semplicemente preso da un manuale e applicato alla propria situazione, ma deve essere adattato al contesto specifico, in modo da ottenere risultati tempestivi e generare valore superiore alle risorse impiegate.
La soluzione, quindi, ha implicato la creazione di un metodo personalizzato che tenesse conto della realtà aziendale, del prodotto o servizio offerto, delle condizioni di produzione, delle competenze degli analisti e delle esigenze dei manager.
Il problema dell’identificazione
Un’altra sfida ha riguardato la gestione dei risk register.
All’inizio, infatti, accadeva che questi registri fossero costituiti da elenchi di rischi identificati attraverso diversi metodi, è ciò rendeva difficile determinare se tutti i rischi significativi erano stati individuati e se si era fatto il massimo possibile per identificarli.
Inoltre, sviluppare un approccio di identificazione dei rischi che fosse economicamente vantaggioso e non comportasse un eccessivo dispendio di tempo per analisti e tecnici intervistati è stato complicato così come è stato difficile garantire l’omogeneità dei risk register, evitando la presenza di rischi molto specifici accanto a quelli generici, che spesso possono risultare sovrapposti.
Per superare queste sfide, è stato fondamentale effettuare un’accurata analisi del contesto e comprendere le vulnerabilità del processo. L’utilizzo di strumenti personalizzati, una solida base di conoscenza e analisti adeguatamente formati hanno contribuito a valutare e tarare correttamente gli input e gli output del processo. Inoltre, è stato fondamentale disporre di analisti in grado di interfacciarsi efficacemente con i risk owner e i project manager, al fine di raccogliere le informazioni più pertinenti ed elaborarle in modo appropriato.
Il problema dell’assessment
Anche l’assessment dei rischi ha rappresentato una sfida di rilievo, soprattutto a causa dell’incertezza e dell’assenza di metodi precisi per prevedere gli eventi futuri.
Dal momento che ogni progetto è unico, mancano esperienze consolidate e statistiche affidabili riguardo ai possibili esiti. Ciò comporta spesso una carenza di informazioni necessarie per valutare adeguatamente la probabilità e l’impatto di eventi che non si sono ancora verificati.
Per affrontare questa sfida, l’Assessment dei rischi deve basarsi sulle valutazioni esperte del settore e deve evitare di richiedere ai Project Manager di effettuare valutazioni eccessivamente complesse o impossibili da eseguire.
Una possibile soluzione consiste nello studio approfondito del concetto di “rumore”, ovvero della variabilità dei giudizi forniti da persone altrettanto esperte di fronte alla stessa situazione. Analizzando tale variabilità, si potrà comprendere fino a che punto sia possibile richiedere valutazioni senza costringere gli intervistati a “tirare ad indovinare”. Questo approccio consentirà di sviluppare un metodo di Project Risk Management più efficiente ed efficace, adattando le richieste di valutazione alle capacità e alle conoscenze degli esperti coinvolti nel processo decisionale[5].
Difficoltà nella creazione di valore aggiunto
Dopo alcuni tentativi, ci siamo accorto che il processo di Project Risk Management che stavamo implementando faticava a generare valore aggiunto in quanto l’identificazione e la valutazione dei rischi tendevano a seguire le idee preconcette del Project Manager (PM). Inoltre, le azioni di mitigazione venivano selezionate tra quelle già approvate e finanziate dal PM, e i rischi venivano visti come eventi futuri e incerti che, per questo motivo, avevano una priorità inferiore rispetto ai problemi concreti ed attuali.
Inoltre, il processo di Project Risk Management che avevamo sviluppato, derivante dalla nostra esperienza nel campo della safety e che prevedeva la trattazione dei rischi in maniera separata, presentava alcune problematiche teoriche e difficoltà nell’analisi.
Ad esempio, l’identificazione dei rischi era spesso incompleta, e gli assessment dei rischi apparivano inaffidabili. Ciò è dovuto al fatto che i rischi sono molteplici e dipendono da vari fattori, come il contesto, il progetto, il cliente, il Project Manager e il punto di vista di chi effettua l’assessment. Inoltre, la natura dei rischi e le loro interazioni sono complesse, e l’impatto e la probabilità dei rischi dipendono dagli altri rischi presenti, con correlazioni non sempre dirette e lineari.
Per superare queste difficoltà, è stato fondamentale adottare un approccio di Risk Management basato sul concetto di Rischio Globale di Progetto. Questo approccio si concentra sugli obiettivi globali del progetto e valuta il Livello di Rischio Globale, che rappresenta la combinazione dei potenziali rischi derivanti da tutti gli scenari compatibili con il progetto e il contesto. Una corretta valutazione del livello di rischio globale consente di qualificare la probabilità di raggiungimento di un determinato obiettivo.
Il calcolo del rischio globale si basa sulla simulazione dell’incidenza dei diversi eventi identificati, considerando la probabilità, l’impatto e la correlazione tra di essi. Questo processo può essere eseguito in modo semplice utilizzando fogli di calcolo come Excel, ma è importante che la metodologia sia “tailor-made”, ovvero personalizzata in base all’analisi specifica del progetto e sviluppata in stretta collaborazione tra un analista qualificato e il Project Manager.
Adottare un approccio di Risk Management basato sul concetto di Rischio Globale di Progetto consente di superare le limitazioni del processo tradizionale e di ottenere informazioni più affidabile su ciò che deve essere fatto per raggiungere gli obiettivi. Infatti, solo dopo che dispone di
- – un profilo di rischio, e cioè un grafico che colleghi una probabilità di superamento con uno scostamento rispetto ai tempi, i costi o la qualità dell’opera,
- – una lista dei top risk e delle top opportunities,
- – una lista dei fattori di rischio e gli stakeholder più critici associati ad un indice che permetta di comprendere il peso di ciascuno di essi,
il Project Manager (PM) acquisisce la possibilità di modificare il profilo di rischio del progetto attraverso l’adattamento delle attività pianificate.
Queste informazioni sono infatti necessarie a scegliere le opzioni migliori tra le principali strategie adottabili per conseguire una variazione del profilo di rischio che sono:
- implementare azioni di mitigazione, ovvero interventi di protezione o prevenzione, al fine di ridurre la probabilità o l’impatto dei rischi identificati per mezzo di una modifica del contesto che lo renda più favorevole al progetto in atto;
- perseguire opportunità, sfruttando la conoscenza approfondita del contesto per individuare opzioni progettuali o gestionali più efficaci rispetto a quelle inizialmente pianificate, ottenendo così risultati migliori di quelli previsti;
- attendere che il profilo di rischio cambi autonomamente, senza intraprendere alcuna azione specifica.
Difficoltà di trovare manager capaci di gestire efficacemente il rischio
Infine, uno degli ostacoli più significativi è individuare manager in grado di gestire efficacemente il rischio.
È fondamentale che il Project Manager mantenga un ruolo attivo nella gestione del rischio, poiché questa componente è intrinsecamente connessa al raggiungimento degli obiettivi del progetto e non può essere facilmente separata da esso.
In ogni caso, il Project Manager ha il compito di fornire tutti i dati di contesto e valutare le criticità che verranno integrate nell’analisi del rischio. Parallelamente, deve stimare la probabilità di tutti gli scenari potenzialmente rischiosi e, qualora necessario, prendere decisioni basate sui risultati dell’analisi di rischio. Tuttavia, spesso il Project Manager non possiede le competenze necessarie per condurre un’analisi di rischio adeguata e, in ogni caso, raramente dispone del tempo necessario per dedicarsi a tale attività.
In generale, è preferibile non intraprendere il Risk Management piuttosto che basarsi su analisi inaffidabili e, per questo motivo, l’analisi di rischio deve essere affidata a un analista esperto, capace di lavorare su diversi progetti e di generare valore per l’intero progetto. Questo professionista deve possedere una conoscenza approfondita delle teorie del rischio e delle tecniche avanzate, oltre a un’esperienza consolidata nella gestione dei rischi di un vasto portafoglio di progetti. Inoltre, deve avere l’autonomia necessaria per contraddire il Project Manager quando necessario.
Tuttavia, gli analisti qualificati sono una risorsa rara. Noi, per massimizzare il loro impatto, li impieghiamo su più progetti possibile.
Per garantire un efficace Project Risk Management, è quindi cruciale che l’analisi di rischio sia condotta da un professionista qualificato e supportata dalle competenze e risorse necessarie per generare valore per il progetto. In questo modo, si potrà superare la difficoltà di individuare manager capaci di gestire efficacemente il rischio e contribuire al successo del progetto nel suo complesso.
Conclusione
Insomma, l’analisi di oggetti unici ha richiesto una grande capacità di adattamento delle tecniche utilizzate.
Per ottenere un metodo di Project Risk Management (PRM) efficiente ed efficace, non è stato sufficiente seguire corsi di formazione, effettuare benchmarking o redigere un manuale universale. Infatti, non pensiamo più che possa esistere un approccio “pronto all’uso” per la gestione del rischio nei progetti, poiché il rischio è “l’incertezza che influisce sui nostri processi” e l’incertezza, proprio in quanto tale, tende a sfuggire a metodologie rigide e standardizzate.
Per superare queste difficoltà e garantire un metodo di PRM efficiente ed efficace, è stato fondamentale un costante impegno nel miglioramento delle competenze e delle metodologie, nonché l’adattamento alle specifiche esigenze di ogni progetto.
[1] Turner, J.R. (1992) The Handbook of Project Based Management: Improving Processes for Achieving Your Strategic Objectives. New York: McGraw- Hill.
[2] Project Management Institute (PMI), 2009: Practice Standard for Project Risk Management.
[3] UNI ISO 31000:2018: Gestione del Rischio – Linee Guida
[4] Il termine framework (in italiano “struttura di riferimento” o “quadro di riferimento”) si riferisce ad un insieme di regole, linee guida e criteri comuni che forniscono una struttura per organizzare, sviluppare e implementare un determinato processo o attività. In generale, un framework può essere utilizzato per descrivere una serie di passi o azioni che devono essere seguiti per raggiungere un determinato obiettivo o per risolvere un problema specifico.
[5] https://atc.mise.gov.it/images/documenti/Rivista/2020/Requisiti_per_una_metodologia_di_Risk_Assessment.pdf
