Een categorie die niemand noemt
Een gemeente stelt een risicolijst op voor de invoering van een nieuw zaaksysteem. Twaalf risico's, netjes in een matrix, kans en impact ingevuld: vertraging bij de leverancier, weerstand bij medewerkers, budgetoverschrijding bij maatwerk. Het risico dat niemand noemt, is het risico dat niemand kan bedenken.
Dat klinkt als een open deur, maar er zit een bekend mechanisme achter. Tversky en Kahneman beschreven in 1974 de beschikbaarheidsheuristiek: mensen schatten de kans op een gebeurtenis in op basis van hoe makkelijk ze zich een voorbeeld ervan kunnen herinneren. Wat recent, opvallend of persoonlijk meegemaakt is, weegt zwaar. Wat buiten je ervaring ligt, weegt bijna niet mee — ook al is de kans reëel. Een risicosessie die "wat kan hier misgaan" open stelt, haalt daardoor vooral naar boven wat de aanwezigen al kennen.
Wat dat kost: FiReControl
Het Britse project FiReControl moest de regionale brandweercontrolekamers samenvoegen tot acht regionale centra. De National Audit Office rekende in 2011 uit dat het project minstens £469 miljoen kostte zonder ooit operationeel te worden. Een belangrijke oorzaak: de regionale brandweerkorpsen — de stakeholders die het systeem moesten gaan gebruiken — waren onvoldoende meegenomen. Niet omdat niemand aan stakeholders dacht in algemene zin, maar omdat die categorie niet systematisch naast de technische en planningsrisico's werd afgedekt. Het is één casus, geen bewijs van een patroon, maar het laat concreet zien wat een vergeten categorie kan kosten.
De RBS als promptlijst
Hillson beschreef in 2002 de risk breakdown structure (RBS): een vaste, bron-georiënteerde indeling van risicocategorieën die je bij elke risicosessie doorloopt. Niet omdat elke categorie altijd iets oplevert, maar omdat de structuur je dwingt langs de categorie te gaan waar niemand spontaan aan denkt. Het is methodologisch, geen empirisch bewezen effect — vergelijkbaar met een checklist voor piloten. Die bestaat niet omdat piloten hun vak niet kennen, maar omdat aandacht onder druk selectief is en een vaste lijst dat corrigeert.
De eerlijke bijsluiter
Een taxonomie is geen garantie voor projectsucces. De Bakker, Boonstra en Wortmann lieten in 2010 zien dat de literatuur nauwelijks bewijs biedt dat risicomanagement bijdraagt aan het slagen van IT-projecten. Een RBS zorgt voor dekking van de risicobronnen die je anders zou missen — het is geen voorspeller van uitkomst. Wie een risicomatrix invult, moet weten dat de matrix zelf ook zwaktes heeft: Cox liet in 2008 zien dat risicomatrices formele beperkingen hebben in hoe ze kans en impact combineren. Systematische dekking van de belangrijkste risicobronnen is het haalbare doel, niet een uitputtende of gevalideerde score.
In de praktijk
Doorloop bij elke risicosessie alle vaste categorieën expliciet — ook de categorie waar niemand meteen iets bij bedenkt. Noteer bij zo'n categorie dan "geen risico's geïdentificeerd" in plaats van hem stilzwijgend over te slaan. Dat kost twee minuten per categorie en voorkomt dat de sessie wordt gestuurd door wat toevallig recent in het nieuws was of wat de vorige keer misging. De volgende blinde vlek zit vrijwel per definitie buiten wat de aanwezigen zich nu kunnen voorstellen.
Bronnen
- Tversky, A. & Kahneman, D. (1974), Judgment under Uncertainty: Heuristics and Biases, Science 185(4157):1124-1131.
- National Audit Office (2011), The failure of the FiReControl project, HC 1272.
- Hillson, D. (2002), Use a Risk Breakdown Structure (RBS) to Understand Your Risks, PMI Global Congress.
- de Bakker, K., Boonstra, A. & Wortmann, H. (2010), Does risk management contribute to IT project success? A meta-analysis of empirical evidence, International Journal of Project Management 28(5).
- Cox, L.A. (2008), What's Wrong with Risk Matrices?, Risk Analysis 28(2):497-512.