Een hulpmiddel bij projecten en bedrijfsvoering fmtCompany Risicomanagement Een hulpmiddel bij projecten en bedrijfsvoering Laatste jaren sterk in opkomst; je kunt er in afstuderen Steeds meer toegepast bij KPN Het is een van de vele principes die toegepast worden bij programma en projectmanagement Het is een hulpmiddel Koos van Bekkum 5 februari 2007 fmtCompany Risicomanagement 5 februari 2007

Doel van de workshop: Risicomanagement behoort tot onze standaard uitrusting Effectief gebruik draagt bij aan de slagingskans van programma’s en projecten Risicomanagement 5 februari 2007 fmtCompany Risicomanagement 5 februari 2007

Stellingen: R is slechts een onderdeel(tje) van een project eens/oneens Projectmanagement is een vorm van R eens/oneens R kost teveel tijd en levert weinig op eens/oneens M en S projecten hebben een R manager eens/oneens SWOT analyse is eigenlijk R management eens/oneens Risicomanagement 5 februari 2007 fmtCompany Risicomanagement 5 februari 2007

Theorie: …hoe zit het ook al weer… Internet: ruim 263.000 hits (adviesbureaus, opleidingen) Burgerlijk wetboek art 141: “… RvC ten minste eenmaal per jaar op de hoogte stellen van …de algemene en financiële risico’s…” Referentieraamwerk: Committee of Sponsoring Organizations (COSO). Australian AS/NZS 4360 geldt als wereld standaard Risicocategorieën: Overstromingen (Limburg), Financien (Enron, Barings Bank), Gebouwen (Explosie Belgie), Processen (input, throughput, output), Mensen (ziekte), Projecten (verlopen als “een tocht op een wildwaterrivier”), Ruimtevaart, Kernenergie (Tjernobyl), IT (virus), Omgeving (beurs) etc. Kortom: risico’s op alle domeinen van het leven. Internet: aantal hits neemt nog steeds toe. Als bedrijf ben je verplicht risk management te gebruiken Risicomanagement 5 februari 2007 fmtCompany Risicomanagement 5 februari 2007

Theorie: …hoe zit het ook al weer… Risico: Een risico is een ongewenste gebeurtenis die zich al dan niet kan voordoen en die kan leiden tot extra kosten en/of vertraging Een risico in de projectcontext kan worden gezien als een factor die de succesvolle beëindiging van een project in gevaar kan brengen of kan leiden tot kostenoverschrijdingen, tijdsoverschrijdingen en/of kwalitatieve tekortkomingen Risico = de kans op het optreden van een gebeurtenis, die negatief gevolg voor de betrokkene met zich mee kan brengen Risicomanagement: Het tijdig herkennen, analyseren en onderzoeken van alle – qua omvang materiële – risico’s welke de mogelijkheden van KPN om haar doelstellingen te behalen negatief beïnvloeden, inclusief de activiteiten om de risico’s te verkleinen of te voorkomen. Het gaat hierbij om risico’s die betrekking hebben op mensen, goederen en activiteiten. Risico wordt vaak negatief omschreven Vaak gerelateerd aan geld en tijd Risicomanagement 5 februari 2007 fmtCompany Risicomanagement 5 februari 2007

Theorie: …hoe zit het ook al weer… Issue: Een issue is een gebeurtenis die zich nu voordoet, die het project/programma beïnvloedt en actief behandeld en opgelost moet worden Issue oplossing strategie: Het stapsgewijs behandelen, adresseren en oplossen van issues d.m.v. informatie verzamelen, verantwoordelijkheid toewijzen aan degen die het issue moet oplossen (eigenaarschap), registreren en bewaken. Er zijn project issues, stakeholder issues en issues vanuit andere bronnen. Na onderzoek kan blijken dat een issue mogelijk later in de tijd zich kan voordoen en wordt verder als risico behandeld. Er treden (dagelijks) issues op die gemanaged moeten worden. De neiging bestaat om issues altijd hogere prioriteit te geven als risico’s => korte termijn denken. Je kunt ook zeggen dat een issue een risico is met 100% kans van optreden. Risicomanagement 5 februari 2007 fmtCompany Risicomanagement 5 februari 2007

Theorie: …hoe zit het ook al weer… Opportunity: Een mogelijkheid die zich spontaan of “aangewakkerd” voordoet, waardoor het project/programma meer voordelen (benefits) kan bieden dan vooraf gedefinieerd zijn. Als tegenhanger van een (negatieve) risico zijn er soms (positieve) kansen. Risicomanagement 5 februari 2007 fmtCompany Risicomanagement 5 februari 2007

Theorie: …hoe zit het ook al weer… Risicomodel 1: helpt bij categoriseren • Imago Publieke houding t.o.v. E.M. straling publieke waardering van het bedrijf verdeling verantwoordelijkheden Beheersing processen Naleving van procedures Produktkwalteit Netwerkproblemen Info rmatie beveiliging Afhankelikheid leveranciers Beschikbaarheid personeel Kennis medewerkers Ziekte Ongelukken Veiligheid op het werk Revenue assurance Bad debt Fraude Valuta schommelingen S torm Overstromig Bliksem Produkt aansprakelijkheid wettelijke vereisten Licenctie voorwaarden Arbo vereisten Society Organisational Technical HRMl Financial Nature Legal Strategic Internationale samenwerking Partn erschappen Reorganisaties Visie Doelen Produktkwalte it Informatie Storm ociety HRM Partnerschappen Diverse modellen zijn gangbaar. Het gebruik van een model helpt om de risico’s te categorieseren. Risicomanagement 5 februari 2007 fmtCompany Risicomanagement 5 februari 2007

Theorie: …hoe zit het ook al weer… Risico model 2 (AS/NZS 4360: ESTABLISH THE CONTEXT) The Internal Context Business, social, regulatory, cultural, competitive, financial environment, political environment, SWOT of the org., int.stakeholders, key business drivers The External Context Culture, ext. stakeholders, structure, capabilities in terms of resources The Risk Management Context Goals, objectives, strategy, scope, parameters of activities Develop Criteria Based on: operational, technical, financial, legal, social, humanitarian Define the Structure Subdividing the activity in process, project or change into a set of elements or steps in order to provide a logical framework De Australian Standard/ New Zeeland Standard is de (tot nu toe) enige goedgekeurde standaard. … heel uitgebreid… Risicomanagement 5 februari 2007 fmtCompany Risicomanagement 5 februari 2007

Theorie: …hoe zit het ook al weer… Analyse Risicomanagement PROCES: Analyse: Risico’s identificeren Eigenaarschap en categorie bepalen Evalueren Risico reducerende categorie bepalen Actie(s) bepalen Managen: Implementeren oplossingen Monitoren en rapporteren effectiviteit Opnieuw evalueren Analyse: doel: inzicht verkrijgen in de risico’s Hoe? Identificeren van de risico’s Uniek nummer Goede omschrijving (oorzaak, geen gevolg) Strategisch, programma, project of operationeel niveau bepalen Eigenaarschap en categorie bepalen Wie heeft het risico aangemeld en waneer Categorie: bijvoorbeeld: intern (KPN), extern (klant), financieel, technisch …(je kunt gebruik maken van een risico model) Evalueren Kans van optreden bepalen (gering t/m zeer hoog of 0,25 – 0,95) Impact vaststellen (gering t/m catastrofaal of uitdrukken in geld, tijd etc) Wanneer treedt het risico misschien op (elk moment t/m > 6 maanden ) Risico’s reducerende categorie bepalen Prevention (terminate) Reduction (treat) Transference (overhevelen naar …) Acceptance (tolerate) Contingency (plan B) Actie(s) bepalen Betrek hierbij de impact op de project/programma organisatie, fase, plannen, de business,de business case Weeg de mogelijke acties af in termen van geld en tijd Besluit welke actie(s) te neemt Managen: doel: beheersen en bewaken van de risico’s Implementeren oplossingen Plannen, bemensen, uitvoeren Monitoren en rapporteren effectiviteit (hoe volgen/meten) Check de uitvoering regelmatig (tenminste bij elke fase overgang) Kijk naar “early warnings” dat een risico wellicht gaat optreden Kijk naar trends en kansen Onderzoek of het risicomanagement proces effectief werkt Opnieuw evalueren Gedurende de looptijd van het project/programma veranderen de risico’s v.w.b. kans, impact en tijdigheid Nieuwe risico’s komen erbij, bestaande risico’s vervallen managen Risicomanagement 5 februari 2007 fmtCompany Risicomanagement 5 februari 2007

Risicomanagement binnen KPN: Risicomanagement platform: Corporate Security Audit Corporate Treasury & Risk Management/ Risicobeheer & Assurantie Corporate Legal Affairs CT & RM/ R & A: het verzekeringsdeel Substantiële financiële risico’s: liquiditeit-, rente- en valuta-, tegenpartij-, juridische/documentatie-, mismatch-, organisatierisico’s Alle KPN locaties getaxeerd Regelmatige inspectie van locaties Continuïteitsplan: kosten vervangende ruimte en extra personeel etc Behandeling van schade (> 5000 €) en schadestatistieken Audit: Risico-inventarisatie Risico assessment Opstellen actieplan SOx: “…een in de lijn geïmplementeerde en jaarlijks te reviewen aanpak van integraal risicomanagement …” Security: Risicoanalyse processen Meest voorkomende schades: Operationele (verstoring van leveringen etc) Immateriële (vermindering van vertrouwen etc) Financiële (verlies van kapitaal etc) Meest voorkomende dreigingen: Vertrouwelijkheid (informatielek etc) Integriteit: Opzettelijk (creëren van fictieve gegevens etc) Onopzettelijk (onvolledige invoer etc) Beschikbaarheid (Brand etc) Risicomanagement 5 februari 2007 fmtCompany Risicomanagement 5 februari 2007

Tool 1: Internet Riskman bij SOx: lijkt veel op onderstaande grafiek Is eenvoudig zelf te maken in Excel Kans van optreden Impact 25% 50% 75% 100% Groot Gemiddeld Klein X De Sarbanes Oxley Act eist dat bedrijven met een beursnotering in de VS rapporteren over de effectiviteit van hun interne controle maatregelen. Voor niet-Amerikaanse bedrijven met een beursnotering in de VS gaat deze wet gelden met ingang van het boekjaar 2005. De rapportage moet aandeelhouders betrouwbare informatie leveren over het gevoerde beleid. Risicomanagement 5 februari 2007 fmtCompany Risicomanagement 5 februari 2007

Tool 2 (■□□□): Een tool in excel gemaakt als hulpmiddel bij risicomanagement Configuratie en Changemanagement ligt bij KPN PM Workshops “op maat” zijn mogelijk. Doorlopen van de items… Risicomanagement 5 februari 2007 fmtCompany Risicomanagement 5 februari 2007

Tool 2 (□■□□): Grafiek door ctrl-q te toesten. Rode gebied bevatten risico’s met grote kans van optreden en veel impact De grootte van de “bal” geeft de proximity weer; hoe groter, hoe dichterbij LET OP: risico’s kunnen over elkaar heen vallen. Risicomanagement 5 februari 2007 fmtCompany Risicomanagement 5 februari 2007

Tool 2 (□□■□): Vergelijkbaar met risk-log fmtCompany Risicomanagement 5 februari 2007 fmtCompany Risicomanagement 5 februari 2007

Tool 2 (□□□■): fmtCompany Risicomanagement 5 februari 2007

Tool 3: AS/NZS 4360 Risk register Komen ook bij andere tools voor Risicomanagement 5 februari 2007 fmtCompany Risicomanagement 5 februari 2007

Doorloop de stappen van het risicomanagementproces Case: 1/3 Company card In het kader van Security is het noodzakelijk dat KPN de Company Cards van tijd tot tijd vervangen worden. Nu zijn er veel tijdelijke passen, passen met verkeerde bevoegdheden wat parkeren en toegang tot gebouwen betreft, “zwerfpassen” die opgegeven zijn als verloren, maar toch nog gebruikt worden etc. Ook verloopt het proces met de AP-passen erg traag. Met de nieuwe passen kunnen nieuwe faciliteiten beschikbaar komen. Zo’n operatie is complex en komt gelukkig niet vaak voor. Omdat het om de veiligheid van personen en gebouwen gaat is de opdrachtgever, de RvB, nauw betrokken; de vervanging moet uiterst zorgvuldig plaats vinden. Het gaat om veel mensen, dus het efficiënt omgaan met de kosten is ook belangrijk. Het budget is € 350k. Tevens mag de “duale” periode, waarin de oude en de nieuwe kaarten werken niet te lang duren. De opdrachtgever is pas tevreden als de hele operatie “geruisloos”, snel en binnen het budget verloopt. De activiteiten zijn deels voor VGF; met de andere afdelingen moeten goede (plannings) afspraken worden gemaakt. VGF levert de projectleider. Kortom: Alle Company Cards moeten vervangen worden. Het gaat om 10.000 KPN-ers. Het is nu 1 mei 2005. De deadline is 1 oktober 2005. Doorloop de stappen van het risicomanagementproces Risicomanagement 5 februari 2007 fmtCompany Risicomanagement 5 februari 2007

Case: Risico Issue Kans Company card Analyse: Managen: Risico’s (Issue’s, Kansen) identificeren • Implementeren oplossingen Eigenaarschap en categorie bepalen • Monitoren en rapporteren effectiviteit Evalueren • Opnieuw evalueren Risico reducerende categorie bepalen Actie(s) bepalen Case: Risico Issue Kans Company card In het kader van Security is het noodzakelijk dat KPN de Company Cards van tijd tot tijd vervangen worden. Nu zijn er veel tijdelijke passen, passen met verkeerde bevoegdheden wat parkeren en toegang tot gebouwen betreft, “zwerfpassen” die opgegeven zijn als verloren, maar toch nog gebruikt worden etc. Ook verloopt het proces met de AP-passen erg traag. Met de nieuwe passen kunnen nieuwe faciliteiten beschikbaar komen. Zo’n operatie is complex en komt gelukkig niet vaak voor. Omdat het om de veiligheid van personen en gebouwen gaat is de opdrachtgever, de RvB, nauw betrokken; de vervanging moet uiterst zorgvuldig plaats vinden. Het gaat om veel mensen, dus het efficiënt omgaan met de kosten is ook belangrijk. Het budget is € 350k. Tevens mag de “duale” periode, waarin de oude en de nieuwe kaarten werken niet te lang duren. De opdrachtgever is pas tevreden als de hele operatie “geruisloos”, snel en binnen het budget verloopt. De activiteiten zijn deels voor VGF; met de andere afdelingen moeten goede (plannings) afspraken worden gemaakt. VGF levert de projectleider. Kortom: Alle Company Cards moeten vervangen worden. Het gaat om 10.000 KPN-ers. Het is nu 1 mei 2005. De deadline is 1 oktober 2005. I I K R R R R R Risicomanagement 5 februari 2007 fmtCompany Risicomanagement 5 februari 2007

Case: Risico omschrijving Impact Kans Gebied Actie-houder Actie prio R s = strategisch (o.a. partners, visie) sa = samenleving (o.a imago) w = wet h = hrm (o.a. beschikbaarheid) p = product/dienst n = natuur f = financieel o = organisatie (o.a. verantwoordelijkheden) k = kwaliteit c = communicatie t = tijd/planning Case: Bijvoorbeeld: Risico omschrijving Impact Kans Gebied Actie-houder Actie prio 1. Toegang KPN-gebouw open (onzorgvuldige kaart omwisseling) Groot 50% sa Security, Jan Extra security 1 2. Toegang KPN gebouw dicht (onzorgvuldige kaart omwisseling) 25% O 2 3. Kosten lopen uit de hand (10.000 mensen, 350 k€ budget) Gemiddeld F VGF, Klaas Budget controle 4 4. Kaart werkt niet P VFG, Piet Pilot 5. Verkeerde faciliteiten K VGF, Piet 6. Duale periode langer Klein 75% T Strakke sturing 3 7. Samenwerking onvoldoende VGF, Jaap Projectoverleg 8. Meer nazorg (vanwege tijdgebrek) C Security, Karel Communicatie 5 9. … R R R R R R Risicomanagement 5 februari 2007 fmtCompany Risicomanagement 5 februari 2007

Case: bijvoorbeeld: s = strategisch (o.a. partners, visie) sa = samenleving (o.a imago) w = wet h = hrm (o.a. beschikbaarheid) p = product/dienst n = natuur f = financieel o = organisatie (o.a. verantwoordelijkheden) k = kwaliteit c = communicatie t = tijd/planning Risicomanagement 5 februari 2007 fmtCompany Risicomanagement 5 februari 2007

Case: 3/3 bijvoorbeeld: fmtCompany Risicomanagement 5 februari 2007

Case: 3/3 bijvoorbeeld: fmtCompany Risicomanagement 5 februari 2007

Conclusie: Risicomanagement en Projectmanagement horen bij elkaar Hoe “zwaarder” een project hoe explicieter aan risicomanagement gedaan moet worden (coördinatie) Gebruik bestaande tools als hulpmiddel bij risicomanagement …. Risicomanagement 5 februari 2007 fmtCompany Risicomanagement 5 februari 2007