תוכן עניינים
בארגונים רבים יש קובץ רישום סיכונים מסודר. לפעמים קיימת גם מטריצת סיכונים צבעונית, שמציגה את רמת החשיפה לכל אירוע אפשרי. אבל ברגע שאחד הספקים מודיע על עיכוב, דרישה רגולטורית משתנה או שממשק טכנולוגי אינו עומד בתכנון, הדיון מתחיל כמעט מאפס. מי אחראי? מה הייתה תכנית המניעה? מה ההשפעה על לוח הזמנים? והאם בכלל הסיכון כבר הופיע ברישום?
זהו ההבדל בין מסמך שנוצר לצורך בקרה לבין כלי שמסייע לנהל את הפרויקט. מטריצת ניהול סיכונים ורישום סיכונים אינם אמורים להישאר בקובץ אקסל שנפתח לקראת ישיבת הנהלה. הם צריכים לשקף את המציאות המשתנה בפרויקט, להכווין את סדרי העדיפויות ולתמוך בקבלת החלטות לפני שהסיכון מתממש.
סימן ראשון: הסיכונים מנוסחים באופן כללי מדי
"ייתכנו עיכובים", "בעיה אצל ספק" או "קשיים טכנולוגיים" אינם סיכונים שאפשר לנהל. אלו כותרות רחבות מדי, שאינן מאפשרות להבין מה עלול לקרות, מה עשוי לגרום לכך ואיזה חלק בפרויקט ייפגע.
רישום סיכונים אפקטיבי מנסח כל סיכון באופן ממוקד. לדוגמה: "הספק של רכיב הבקרה עשוי שלא לעמוד במועד האספקה שנקבע, עקב תלות באישור ייבוא, דבר שעלול לעכב את שלב האינטגרציה בארבעה שבועות." ניסוח כזה מאפשר לבחון חלופות, להגדיר סימנים מקדימים ולהחליט מי מטפל בנושא.
ניהול סיכונים בפרויקט מתחיל בדיוק הזה. ככל שהסיכון ברור יותר, כך אפשר להעריך אותו באופן אמין יותר ולבנות לו תגובה מעשית.
חמישה סימנים שרישום הסיכונים אינו כלי ניהולי
אם אחד מהסימנים מוכר לכם, סביר שהמסמך מתעד את הפרויקט במקום לנהל אותו.
ניסוח כללי מדי
"ייתכנו עיכובים" אינו סיכון שאפשר לנהל. סיכון אפקטיבי מגדיר מה עלול לקרות, מה הגורם ואיזה שלב ייפגע.
דירוג ללא משמעות
כשכל סיכון מסומן "גבוה", או שהציונים אינם משתנים לאורך הפרויקט, המטריצה מפסיקה להיות כלי תיעדוף.
אין בעלים לסיכון
כולם מכירים את הסיכון, אך אף אחד אינו מקדם את פעולות המניעה. בעלות לא ברורה מאפשרת לסיכון להיעלם בין ממשקים.
ניתוק מהתכנית
רישום שאינו מקושר ללוח הזמנים, לתקציב ולאבני הדרך נשאר רשימה נפרדת, ולא משפיע על החלטות בזמן.
ערבוב סיכון ובעיה
סיכון הוא אירוע עתידי, בעיה כבר התרחשה. ערבוב ביניהם משאיר סיכונים פתוחים ומעכב טיפול בבעיות פעילות.
סימן שני: יש דירוג, אבל אין משמעות לדירוג
מטריצת סיכונים היא כלי חשוב לתיעדוף. לרוב היא מציגה שני משתנים: ההסתברות שהסיכון יתרחש וההשפעה שלו על הפרויקט. השילוב ביניהם מסייע להבחין בין סיכון שדורש מעקב שוטף לבין סיכון שמחייב פעולה מיידית או הסלמה להנהלה. אלא שצבע אדום במטריצה אינו תכנית ניהול. אם כל סיכון מקבל ציון "גבוה" כדי להבטיח שיקבל תשומת לב, או אם הציונים אינם משתנים לאורך חיי הפרויקט, מטריצת הסיכונים מפסיקה להיות כלי ניהולי.
הדירוג צריך לשקף את המצב העדכני. סיכון שהיה בינוני בתחילת הפרויקט יכול להפוך לגבוה לאחר שינוי בדרישות, החלפת ספק או קיצור בלוחות הזמנים. לעומת זאת, סיכון שצומצם בעקבות בדיקה, פיילוט או חלופה תפעולית צריך לקבל ביטוי גם במטריצה וגם בדיון הניהולי.
מטריצת ניהול סיכונים טובה אינה מתיימרת לייצר ודאות מספרית מוחלטת. תפקידה הוא לייצר שפה משותפת: מה החשיפות המשמעותיות ביותר כרגע, מה דורש החלטה, ואיפה נדרש להשקיע זמן, תקציב או משאבים.
מטריצת סיכונים: איך נקבע סדר העדיפויות
שילוב של הסתברות ההתרחשות והשפעה על הפרויקט מייצר שפה משותפת לגבי מה דורש מעקב, מה דורש פעולה ומה דורש הסלמה.
הדירוג אינו קבוע. סיכון שהיה בינוני בתחילת הפרויקט עשוי להפוך לגבוה לאחר שינוי דרישות או קיצור לוחות זמנים, וסיכון שצומצם צריך לקבל ביטוי מעודכן במטריצה.
סימן שלישי: אין בעלים ברורים לסיכון
אחד הכשלים הנפוצים ב-Risk Register, רישום סיכונים, הוא שכולם מכירים את הסיכון אך אף אחד אינו אחראי עליו בפועל. מנהל הפרויקט מחזיק את הקובץ, אך אינו בהכרח בעל הסמכות לטפל בספק, להשיג אישור רגולטורי או לשנות תכנון טכני.
לכל סיכון מהותי צריך להיות בעל סיכון מוגדר. זהו האדם שאחראי לקדם את פעולות המניעה, לזהות שינוי במצב, לדווח על התפתחות ולהעלות צורך בהחלטה. אין הכוונה שהוא נושא לבדו בכל האחריות לתוצאה, אלא שהוא מחזיק את הטיפול בנושא ואינו מאפשר לו להיעלם בין ממשקים.
בפרויקטים מורכבים, בעל הסיכון עשוי להיות מנהל רכש, מוביל הנדסי, מנהל איכות, גורם רגולציה או מנהל תפעול. תפקידו של מנהל הפרויקט הוא לוודא שהבעלות ברורה, שהפעולות מתקדמות ושחסמים מקבלים מענה בזמן.
סימן רביעי: הרישום לא מחובר ללוח הזמנים, לתקציב ולהחלטות
רישום סיכונים שאינו מחובר לתכנית העבודה הוא רשימה נפרדת. הוא עשוי להיות מקצועי מאוד, אך השפעתו על ניהול הפרויקט תהיה מוגבלת.
כאשר סיכון עשוי להשפיע על אבן דרך, על תקציב, על איכות התוצר או על עמידה בדרישה חוזית, יש לקשר אותו למרכיב הרלוונטי בתכנית. כך אפשר יהיה להבין מה יקרה אם הסיכון יתממש, מהו חלון הזמן לפעולה, ומה תהיה העלות של המתנה.
נניח שקיימת תלות באישור של מערכת חיצונית. אם אין קשר בין הסיכון לבין מועד האינטגרציה בלוחות הזמנים, ייתכן שהצוות יזהה את הבעיה רק כשהיא כבר מעכבת את שלב הבדיקות. מנגד, אם הסיכון מוצג בדיון הסטטוס לצד תאריכי המפתח, אפשר לקבל החלטה מוקדמת: לקדם חלופה, לפצל עבודה, לתגבר ספק או לעדכן את ההנהלה.
זו הסיבה שרישום סיכונים טוב אינו כלי של מנהל הפרויקט בלבד. הוא צריך להשתלב בשגרות הניהול, בישיבות סטטוס, בדיוני שינוי ובבקרת התקדמות.
סימן חמישי: אין הבחנה בין סיכון לבין בעיה שכבר התממשה
"סיכון" הוא אירוע עתידי שעשוי להשפיע על הפרויקט. "בעיה" היא אירוע שכבר התרחש ודורש טיפול. ההבחנה נשמעת פשוטה, אך בפועל היא קריטית.
כאשר ספק כבר הודיע שלא יעמוד במועד האספקה, זו כבר אינה רשומת סיכון בלבד. יש לפתוח ניהול בעיה, להגדיר תכנית התאוששות, לבחון השפעה על לוח הזמנים ולעדכן גורמים רלוונטיים. רישום הסיכונים עדיין יכול לשמש לתיעוד ההיסטוריה ולזיהוי השלכות משניות, אך הוא אינו מחליף מנגנון לטיפול בבעיה שהתממשה.
הבלבול בין השניים יוצר שתי תוצאות לא רצויות: סיכונים ממשיכים להופיע כפתוחים גם לאחר שהתממשו, ובעיות פעילות אינן מקבלות את הדחיפות והניהול שהן דורשות.
סיכון או בעיה? ההבחנה שמשנה את אופן הטיפול
סיכון
אירוע עתידי אפשרי- טרם התרחש, אך עלול להשפיע על הפרויקט
- מנוהל דרך רישום הסיכונים והמטריצה
- מוערך לפי הסתברות ועוצמת השפעה
- מטופל באמצעות תכנית מניעה וסימנים מקדימים
- יש לו בעל סיכון שמקדם פעולות מראש
בעיה
אירוע שכבר התממש- כבר קרה ודורש טיפול מיידי
- מנוהל במנגנון נפרד לניהול בעיות
- נדרשת תכנית התאוששות מוגדרת
- נבחנת ההשפעה בפועל על לוח הזמנים
- מחייב עדכון של הגורמים הרלוונטיים
כך נראה מחזור חיים של סיכון שמנוהל נכון
ניהול סיכונים בפרויקט אינו שלב חד פעמי בתחילת העבודה. זהו מחזור עבודה מתמשך: מזהים את החשיפה, מנסחים אותה באופן ברור, מעריכים את ההסתברות וההשפעה, ממנים בעלים ומחליטים על דרך הטיפול.
בחלק מהמקרים נכון למנוע את הסיכון, למשל באמצעות שינוי תכנון או בחירת ספק נוסף. במקרים אחרים אפשר לצמצם את ההסתברות או את עוצמת ההשפעה. לעיתים נכון לקבל את הסיכון, אך רק לאחר שהוגדרה תכנית תגובה למקרה שיתממש. בפרויקטים מסוימים ניתן גם להעביר חלק מהחשיפה לגורם חיצוני, בהתאם להסכם, לביטוח או לחלוקת אחריות חוזית.
לאחר מכן מגיע שלב המעקב. האם הסימנים המקדימים הופיעו? האם פעולות המניעה בוצעו? האם השתנה דירוג הסיכון? האם נדרשת הסלמה? רישום סיכונים צריך להיבחן בקצב שמתאים לפרויקט, ובכל מקרה לאחר שינוי משמעותי בדרישות, בלוח הזמנים, בתקציב, בממשקים או בצוות.
מחזור חיים של סיכון מנוהל
ניהול סיכונים אינו שלב חד פעמי בתחילת הפרויקט אלא מחזור עבודה מתמשך שחוזר על עצמו לאורך כל חיי הפרויקט.
זיהוי
איתור החשיפה וניסוחה באופן ממוקד: מה עלול לקרות, מה הגורם ומה ייפגע.
הערכה
דירוג ההסתברות וההשפעה במטריצה, לצורך תיעדוף מול שאר הסיכונים.
בעלות
מינוי בעל סיכון שאחראי לקדם פעולות, לדווח על התפתחות ולהעלות צורך בהחלטה.
תגובה
בחירת דרך הטיפול: מניעה, צמצום, קבלה מבוקרת או העברת החשיפה.
מעקב
בדיקה אם הופיעו סימנים מקדימים, אם הפעולות בוצעו ואם נדרשת הסלמה.
כך נראה מחזור חיים של סיכון שמנוהל נכון
ניהול סיכונים בפרויקט אינו שלב חד פעמי בתחילת העבודה. זהו מחזור עבודה מתמשך: מזהים את החשיפה, מנסחים אותה באופן ברור, מעריכים את ההסתברות וההשפעה, ממנים בעלים ומחליטים על דרך הטיפול.
בחלק מהמקרים נכון למנוע את הסיכון, למשל באמצעות שינוי תכנון או בחירת ספק נוסף. במקרים אחרים אפשר לצמצם את ההסתברות או את עוצמת ההשפעה. לעיתים נכון לקבל את הסיכון, אך רק לאחר שהוגדרה תכנית תגובה למקרה שיתממש. בפרויקטים מסוימים ניתן גם להעביר חלק מהחשיפה לגורם חיצוני, בהתאם להסכם, לביטוח או לחלוקת אחריות חוזית.
לאחר מכן מגיע שלב המעקב. האם הסימנים המקדימים הופיעו? האם פעולות המניעה בוצעו? האם השתנה דירוג הסיכון? האם נדרשת הסלמה? רישום סיכונים צריך להיבחן בקצב שמתאים לפרויקט, ובכל מקרה לאחר שינוי משמעותי בדרישות, בלוח הזמנים, בתקציב, בממשקים או בצוות.
ארבע דרכי טיפול בסיכון בפרויקט
מניעה
הסרת החשיפה מראש, למשל באמצעות שינוי תכנון או הוספת ספק חלופי.
צמצום
הקטנת ההסתברות להתרחשות או הפחתת עוצמת ההשפעה על הפרויקט.
קבלה מבוקרת
החלטה מודעת לחיות עם הסיכון, אך רק לאחר הגדרת תכנית תגובה למקרה שיתממש.
העברה
העברת חלק מהחשיפה לגורם חיצוני בהתאם להסכם, לביטוח או לחלוקת אחריות חוזית.
בפרויקטים מורכבים, הסיכון אינו עומד לבד
בהייטק, בתשתיות, במערכות ביטחוניות ובארגוני בריאות, הסיכונים נוטים להיות תלויי ממשקים. עיכוב של ספק יכול להשפיע על פיתוח, על בדיקות, על אישור רגולטורי ועל התחייבות ללקוח. שינוי אבטחת מידע עשוי להשפיע על תכנון המערכת, על התקציב ועל מועד העלייה לאוויר.
לכן Risk Register איכותי אינו מסתפק ברשימת אירועים. הוא מתעד גם תלות, גורמים מושפעים, הנחות עבודה וסימנים שמצביעים על החמרה. כך אפשר לראות לא רק מה עלול להשתבש, אלא גם איך סיכון אחד עלול ליצור שרשרת השפעות בפרויקט.
רישום סיכונים הוא שיח ניהולי ולא רק תבנית
התבנית עצמה חשובה, אך היא אינה לב העניין. אפשר לבנות מטריצת סיכונים מצוינת ורישום מפורט, ועדיין לגלות שהם אינם משנים דבר אם אינם נידונים באופן עקבי ומחוברים להחלטות.
הערך האמיתי נוצר כאשר מנהלים משתמשים ברישום כדי לשאול את השאלות הנכונות: מה השתנה מאז הפגישה הקודמת? איזה סיכון דורש החלטה עכשיו? האם בעל הסיכון יכול להתקדם ללא סיוע? ומה תהיה ההשפעה אם נחכה עוד שבוע?
ב- RBS מסייעים לארגונים לבנות מנגנוני ניהול פרויקטים שמחברים בין תכנון, בקרה, סיכונים וקבלת החלטות. המטרה אינה לייצר עוד קובץ, אלא ליצור תמונת מצב שמאפשרת לצוות ולהנהלה לפעול מוקדם, ממוקד ובשליטה.
מטריצת סיכונים ורישום סיכונים: מה חשוב לזכור
מטריצת סיכונים ורישום סיכונים הופכים לכלי ניהולי רק כאשר הם מנוסחים במדויק, מדורגים לפי הסתברות והשפעה בפועל, מוקצים לבעל סיכון מוגדר, מקושרים ללוח הזמנים ולתקציב, ומבחינים בין סיכון עתידי לבין בעיה שכבר התממשה. ניהול סיכונים בפרויקטים, אינו מסמך שנפתח לפני ישיבת הנהלה אלא מחזור עבודה מתמשך של זיהוי, הערכה, בעלות, תגובה ומעקב, שנבחן מחדש אחרי כל שינוי מהותי בדרישות, בממשקים או בצוות. Risk Register איכותי מתעד גם תלויות, הנחות עבודה וסימנים מקדימים, ולכן הוא מאפשר להנהלה לזהות שרשרת השפעות מוקדם ולקבל החלטה בזמן שעוד יש בו ערך.
ב-RBS מסייעים לארגונים לבנות מנגנוני ניהול פרויקטים שמחברים בין תכנון, בקרה, סיכונים וקבלת החלטות, כך שתמונת המצב תומכת בפעולה מוקדמת וממוקדת ולא רק בתיעוד.