Mark ter Bals verwelkomde de deelnemers bij deze webinar over risicomanagement in projecten. Mark ter Bals werkt ruim 25 jaar in gemeenteland en omschreef zichzelf als een gemeentelijke allrounder. Hij is vooral werkzaam geweest aan de uitvoerende, resultaatgerichte kant van het vak: project-, proces- en programmamanagement, en de laatste jaren ook als strategisch adviseur. Daarnaast is hij nu ongeveer acht jaar trainer bij de VPNG en betrokken bij de vakgroep participatie.
Wat is een risico?
Een risico is volgens Mark eenvoudig te omschrijven: iets wat nu niet gebeurt, maar mogelijk optreedt met negatieve impact op het project. In de literatuur bestaat wel variatie in de definitie. Sommige methodieken benoemen kansen als positieve risico's. Mark gebruikt dat zelf niet, omdat het in de praktijk met een projectgroep verwarrend werkt: hij noemt een kans gewoon een kans. Ook voorwaarden waarvan onzeker is of eraan voldaan wordt, worden soms als risico geduid. Mark maakt daarin onderscheid: randvoorwaarden zijn zaken waaraan bijvoorbeeld de opdrachtgever moet hebben voldaan voordat je kunt starten, terwijl risico's gaan over onzekere omstandigheden onderweg waarvoor de projectmanager verantwoordelijkheid neemt.
Verder maakte Mark onderscheid tussen een risico en een issue. Een issue is een probleem dat geen uitstel kan hebben en waarvoor je nu de koppen bij elkaar moet steken, issuemanagement is daarmee altijd reactief. Een risico gaat over de toekomst en verkleurt tot een issue zodra het optreedt. Of je op dat moment al een plan klaar hebt liggen, hangt af van je risicomanagement. Mark gaf als voorbeeld de plotselinge afsluiting van de A28: voor de een een onverwacht probleem, voor Rijkswaterstaat een voorzien risico met een verhoogd inspectiebeleid als beheersmaatregel en een noodreparatie als terugvalplan.
Kans maal effect
Omdat het aantal potentiële risico's in een project oneindig is, gaat het er volgens Mark om de zin van de onzin te onderscheiden. De basisformule daarvoor is: omvang van het risico is kans maal effect. Sommige methodieken voegen factoren toe, zoals responstijd of blootstelling. Mark liet zien dat responstijd relevant kan zijn bij bijvoorbeeld een tsunami-evacuatie, en blootstelling bij straling of fijnstof, maar gebruikt beide zelf niet. Ook maatschappelijke beleving wordt soms als aparte factor toegevoegd. Mark gaf aan dat hij maatschappelijke impact liever meeneemt als onderdeel van het effect.
Houd je het simpel, en dat is volgens hem in 99 procent van de gevallen aan te bevelen, dan kom je uit bij een matrix met een aantal stappen in kans en in ernst. Linksonder staan risico's die je naast je neer kunt leggen, rechtsboven in het rood de risico's waar je echt iets mee moet, en daartussen een oranje zone die niet genegeerd mag worden. Zulke matrices kunnen worden uitgebreid of mathematisch worden gemaakt, bijvoorbeeld met een schaal die van 0 via 2 naar 10 loopt om verschillen uit te vergroten.
Soorten effect
Welke effecten je meeweegt, is een keuze die past bij het soort project. Mark benoemde drie veelgebruikte indelingen:
- Tijd, geld en kwaliteit: de sturingsdriehoek die projectmanagers toch al gebruiken. Deze drie zijn tot op zekere hoogte inwisselbaar. Moet het sneller, dan kan dat extra geld kosten, en is het geld op, dan levert dat tijd of kwaliteit in. Bij kwaliteit gaat het om alle eigenschappen van het eindresultaat.
- Tijd, geld, kwaliteit, informatie en organisatie: sluit mooi aan bij bekende projectmanagementtechnieken.
- De RISMAN methodiek: tijd, geld, kwaliteit, veiligheid, omgeving en imago. De RISMAN-methodiek is in de jaren negentig ontwikkeld en wordt vooral gebruikt in de weg- en waterbouw.
Mark werkt zelf het liefst met de RISMAN-methodiek, omdat imago daarin is opgenomen. Bepaalde risico's zijn namelijk niet of nauwelijks in geld uit te drukken, zoals een wethouder die een motie van wantrouwen krijgt. Bij veiligheidsrisico's die gaan over mensenlevens of gezondheid vindt hij het uitdrukken in geld onprettig.
De RISMAN-brillen
De RISMAN-methodiek biedt zeven manieren van kijken naar de bron van een risico, de zogeheten brillen. Er kan politiek, financieel, juridisch, technisch, organisatorisch, geografisch of maatschappelijk van alles misgaan. Door die brillen bewust een voor een op te zetten, voorkom je dat invalshoeken over het hoofd worden gezien. Dat kun je volgens Mark nooit alleen: wie politiek-strategisch is aangehaakt, is vaak minder sterk in de techniek, en andersom. Daarom heb je de opdrachtgever, de wethouder en vaak ook een jurist nodig bij het maken van de risicoanalyse.
Risicomanagement als cyclisch proces
Risicomanagement is een cyclus die je als projectleider steeds opnieuw doorloopt: risico's identificeren, ze prioriteren door te scoren, beheersmaatregelen kiezen, die maatregelen implementeren en vervolgens evalueren en opnieuw beginnen. Prioriteren kan op een zachte manier, door in het team te bepalen wat erger is, of door er getallen aan te hangen en in Excel uit te rekenen wat het hoogst scoort.
Het identificeren van risico's is volgens Mark nog maar het begin, daarna begint het pas. Bij het kiezen van maatregelen hoort ook de bewuste keuze om iets niet te doen. Is plan B duur en de kans groot dat plan A doorgaat, dan kun je besluiten pas te starten zodra het risico optreedt. Bij een harde deadline, zoals het organiseren van verkiezingen, ligt dat anders: dan neem je alvast een alternatief stembureau in beeld.
Formeel wordt de cyclus tijdens een gezamenlijke vergadering doorlopen. Schriftelijk kan ook, maar dan doe je het één op één en mis je het gesprek. Mark beveelt aan de risicoanalyse en de actualisatie ervan echt als team te doen. Het kiezen van de beheersmaatregelen is formeel aan de projectmanager, die er verantwoordelijk voor is, maar een goede projectmanager laat zich daarbij door het team adviseren.
Restrisico
De eerste stap in het verkleinen van het risico is volgens Mark nog geen risicomanagement, maar wat in het Engels effective control heet: je project projectmatig aanpakken. Faseren, heldere beslissingsbevoegdheid, een duidelijke afbakening, een projectplan en een opdrachtgever met doorzettingsmacht verminderen het projectrisico al aanzienlijk. Daarna volgen de specifieke beheersmaatregelen, het treatment plan. Wat overblijft is het restrisico: het risico waarmee je begon, minus het effect van alle getroffen maatregelen. Als het goed is, zit dat op een niveau dat je acceptabel vindt, is dat niet zo, dan moet je meer maatregelen treffen en daar opnieuw geld en tijd tegenaan zetten. Het risico wordt volgens Mark nooit nul.
Beheersmaatregelen
Beheersmaatregelen kun je indelen in soorten. Voor het kiezen zelf is dat volgens Mark niet doorslaggevend, maar het helpt wel om het rijtje langs te lopen als je zoekt naar mogelijkheden:
- Uitsluiten: het risico volledig wegnemen, zoals Rijkswaterstaat deed met de noodreparatie.
- Beperken: de kans verkleinen, bijvoorbeeld met een verhoogd inspectieregime, of de impact verkleinen. Calamiteitenplannen en terugvalplannen zijn hiervan ook varianten.
- Overdragen: het risico bij een ander neerleggen, bijvoorbeeld bij een aannemer via een garantietermijn of bij een bank via een bankgarantie. Het risico wordt daar niet groter of kleiner van. Verzekeren is de meest duidelijke vorm van overdragen.
- Accepteren: alles wat linksonder in de groene helft van de matrix staat, komt daar al snel voor in aanmerking.
Overdragen is volgens Mark legitiem, mits je het bewust doet en de partij die het risico overneemt sterk genoeg is om het te dragen. Vaak wordt overgedragen aan een partij die er ook invloed op heeft. Het is meestal niet gratis: een verzekeraar of bank rekent winst, risico en andere kosten door. Risico's die je zelf kunt dragen en beïnvloeden, kun je daarom beter niet overdragen.
Daarbij waarschuwde Mark voor schijnconstructies, die hij in gemeenteland regelmatig ziet. In de jeugdzorg komt het voor dat bij een aanbesteding alle te hoge kosten bij de winnende partij worden gelegd. Dreigt die partij vervolgens failliet te gaan, dan komt het probleem alsnog bij de gemeente terecht. Contractueel leek het risico overgedragen, in werkelijkheid bleek het niet overdraagbaar.
Risicomanagement is teamwork!
Risicomanagement is volgens Mark geen oefening die je alleen in Excel uitvoert. In een team zitten verschillende perspectieven, en je wilt naar een cultuur waarin mensen over risico's durven na te denken zonder dat iedereen bang wordt. Er is een balans te vinden tussen risicobereidheid en risicobewustzijn. Die balans hangt samen met de bestuurscultuur, maar ook met de cultuur die je als projectmanager in je eigen team stuurt.
De vraag wat er mis kan gaan is voor sommige mensen vervelend of zelfs eng. Zorg er daarom voor dat het veilig is om die vraag te stellen. Mark wees er daarnaast ook op om projectondersteuners niet te vergeten: zij hebben vaak goed zicht op de groepsdynamiek en kunnen risico's benoemen die voortkomen uit spanningen in een team.
Ook noemde hij werkvormen/spelletjes om het gesprek scherper te krijgen. Je kunt deelnemers met een dobbelsteen of een kaart de omvang van een risico laten inschatten en vervolgens juist degene met de hoogste en de laagste score vragen om hun oordeel toe te lichten. Hetzelfde kun je doen bij de vraag of een beheersmaatregel de moeite waard is: vraag de minderheid om uitleg. Aan de uitersten zitten volgens Mark de interessante invalshoeken, en daar komt het waardevolle gesprek uit voort.
De zachte kant
Tot slot keerde Mark terug naar zijn overtuiging dat de zachte kant van risicomanagement het belangrijkst is. Bestuurders beloven soms veel en willen liever niet in de openbaarheid praten over de kans dat iets mislukt. Kreten als "yes we can" en "dromen, durven, daden" zijn volgens hem niet per definitie slecht: bestuurders hebben zo'n perspectief nodig om dingen in beweging te krijgen. Tegelijkertijd is een risicoanalyse voor hen dan al snel negatieve energie.
Mark waarschuwde ervoor niet de partypooper te worden die alleen komt vertellen dat het langer duurt en ingewikkelder is. De balans ligt er volgens hem in dat je bij grote ambities juist benoemt welke voorwaarden nog niet zijn ingevuld, en je risicobeheersing inzet om die ambities mogelijk te maken.
In organisaties met een angstcultuur en een afrekencultuur gebeurt dat niet, daar worden belemmeringen volgens Mark niet alleen mogelijk, maar zeker. Hij gaf als voorbeeld de Amerikaanse politiek, waarbij een bekend risico wel in de analyse stond maar niet bij de leiding terechtkwam. Deelnemers zijn volgens hem niet in de positie om hun organisatiecultuur te veranderen, maar wel om hun teamcultuur te bewaken.
Dit was een webinar van de vakgroep Projectmatig werken. De presentatie en een voorbeeld van een risicoanalyse vind je terug in het forum van de VPNG. Het gehele webinar kan je ook terugkijken.