Kwaliteit van projectdoelstellingen.

De volwassenheid van risicomanagement binnen projecten wordt niet bepaald door de kwaliteit van het risicoregister, maar door de kwaliteit van de projectdoelstellingen.

Effectief projectrisicomanagement begint niet met het identificeren van risico’s, maar met het formuleren van heldere projectdoelstellingen. Volgens ISO31000 is risico immers “het effect van onzekerheid op doelstellingen”. Pas wanneer duidelijk is wat een project moet opleveren, binnen welke randvoorwaarden en met welke prioriteiten, kan worden bepaald welke risico’s werkelijk relevant zijn. Goed (SMART) gedefinieerde doelstellingen maken het mogelijk om risico’s te prioriteren, betere besluiten te nemen, een relevante risicobereidheid vast te stellen en projectteams op één lijn te brengen. 

Organisaties die investeren in scherpe doelstellingen beheersen niet méér risico’s, maar richten hun aandacht op de risico’s die het succes van het project daadwerkelijk bepalen. Daarmee vormen duidelijke projectdoelstellingen het fundament voor professionele projectvoering en succesvolle projectrealisatie.

Projectrisico’s beheersen begint niet met risico’s, maar met doelstellingen

“Vertel me waar je naartoe wilt, dan kan ik je vertellen welke risico’s je onderweg kan tegenkomen.”; het lijkt wel een citaat uit Alice in Wonderland.

Het klinkt bijna vanzelfsprekend, maar in de praktijk wordt deze eenvoudige waarheid verrassend vaak over het hoofd gezien. Projecten investeren veel tijd in het identificeren, analyseren en monitoren van risico’s, terwijl de vraag die daaraan voorafgaat onvoldoende wordt gesteld: “wat proberen we eigenlijk precies te bereiken?” Juist dáár begint effectief projectrisicomanagement.

De kwaliteit van een risicodossier wordt namelijk niet bepaald door het aantal geïdentificeerde risico’s of de verfijning van de kans-impactmatrix, maar door de scherpte van de doelstellingen waarop het risicomanagement is gebaseerd. Zonder heldere doelstellingen zijn risico’s niets meer dan een verzameling onzekerheden. Pas wanneer het gewenste resultaat expliciet is gemaakt, krijgen risico’s de juiste waarde en betekenis.

Risico bestaat alleen in relatie tot een doel

De internationale norm ISO31000 definieert risico als “het effect van onzekerheid op doelstellingen”. Hoewel deze definitie al jaren de meest geaccepteerde basis vormt van professioneel risicomanagement, wordt de consequentie ervan lang niet altijd onderkend. De definitie begint niet bij onzekerheid, maar bij doelstellingen. Dat betekent dat een project pas kan bepalen welke risico’s relevant zijn wanneer duidelijk is:

• Wat de opdrachtgever met het project wil bereiken;
• Welk resultaat moet worden gerealiseerd;
• Welke maatschappelijke of organisatorische waarde wordt nagestreefd;
• Binnen welke tijd het resultaat beschikbaar moet zijn;
• Welk projectbudget beschikbaar is;
• Aan welke kwaliteits- en veiligheidseisen het resultaat moet voldoen;
• Welke wettelijke, bestuurlijke of maatschappelijke randvoorwaarden niet onderhandelbaar zijn.

Zolang deze vragen niet eenduidig zijn beantwoord, is het onmogelijk om vast te stellen welke onzekerheden werkelijk bedreigend zijn (lees: een effect op de projectdoelstellingen kunnen hebben).

Veel projecten starten met activiteiten, niet met doelstellingen

In de praktijk ontstaat een project vaak vanuit een besluit om “iets te gaan doen”. Er wordt een projectorganisatie ingericht, een planning opgesteld en een risicosessie georganiseerd. Opvallend genoeg blijken de projectdoelstellingen dan regelmatig te bestaan uit algemeenheden zoals:

• “Het project succesvol uitvoeren.”
• “Binnen planning opleveren.”
• “De opdrachtgever tevreden stellen.”
• “De kwaliteit waarborgen.”

Hoewel deze uitspraken herkenbaar zijn en sympathiek klinken, zijn zij nauwelijks bruikbaar als fundament voor risicomanagement. Ze zijn niet concreet (niet SMART) geformuleerd, niet toetsbaar, en laten veel ruimte voor interpretatie.

Het gevolg is voorspelbaar. Projectteams identificeren tientallen of soms honderden situaties als “risico’s”, zonder dat duidelijk is welke daarvan daadwerkelijk het realiseren van de projectdoelstellingen bedreigen. Het risicoregister groeit, maar het inzicht nauwelijks.

Een risicoregister is geen bewijs van risicobeheersing

Veel organisaties verwarren de aanwezigheid van een uitgebreid risicoregister met volwassen risicomanagement. Een lange lijst met risico’s oogt professioneel, maar zegt weinig over de effectiviteit van de beheersing. Integendeel: omvangrijke risicoregisters bevatten vaak een mix van strategische risico’s, operationele aandachtspunten, open acties, aannames en algemene zorgen. Daardoor ontstaan drie hardnekkige problemen.

1. Ten eerste ontbreekt focus. Bestuurders en projectteams verliezen het overzicht en kunnen moeilijk onderscheiden welke risico’s werkelijk kritisch zijn, en managementaandacht vereisen.
2. Ten tweede worden beheersmaatregelen versnipperd. Tijd, capaciteit en budget worden verdeeld over tientallen onderwerpen die niet allemaal even belangrijk zijn.
3. Ten derde verschuift de aandacht van besluitvorming naar administratie. Het onderhouden van het risicoregister wordt een doel op zichzelf.

Risicomanagement verliest daarmee precies datgene waarvoor het bedoeld is: betere besluiten nemen onder onzekerheid.

Goede doelstellingen maken prioriteren mogelijk

Wanneer projectdoelstellingen concreet zijn geformuleerd, verandert de aard van het risicomanagement fundamenteel. Neem bijvoorbeeld een infrastructureel project met de volgende doelstelling:

“Op 1 juli 2029 is een nieuwe waterzuiveringsinstallatie volledig operationeel, voldoet zij aan alle vergunningseisen, blijft het project binnen het vastgestelde investeringsbudget en wordt de continuïteit van de drinkwatervoorziening tijdens de uitvoering niet onderbroken.”

Deze doelstelling bevat meerdere aspecten, bijvoorbeeld:

• Tijd;
• Geld;
• Kwaliteit;
• Continuïteit van dienstverlening;
• Naleving van wet- en regelgeving.

Ieder risico kan nu direct worden gekoppeld aan één of meerdere aspecten van deze doelstelling. Wanneer dat voor alle projectdoelstellingen op dezelfde manier wordt bepaald, wordt zichtbaar welke doelstellingen het meest kwetsbaar zijn, waar aanvullende beheersing nodig is en welke onzekerheden nauwelijks invloed hebben op het uiteindelijke projectsucces. Dat maakt prioriteren van beheersmaatregelen aanzienlijk eenvoudiger.

Risicomanagement wordt een hulpmiddel voor besluitvorming

Projecten bestaan uit een voortdurende stroom van keuzes. “Moet extra budget beschikbaar worden gesteld?”, “Is een ontwerpwijziging verantwoord?”,  “Kan een planning worden versneld?”, “Is een restrisico acceptabel?”

Wanneer doelstellingen onvoldoende scherp zijn, worden dergelijke beslissingen vaak genomen op basis van ervaring, intuïtie of persoonlijke voorkeur. Heldere doelstellingen brengen objectiviteit in deze afwegingen. Iedere beslissing kan worden getoetst aan dezelfde centrale vraag:

“Vergroot deze beslissing de kans dat de projectdoelstellingen worden gerealiseerd?”

Daarmee verandert risicomanagement van een registratiesysteem in een strategisch en waardevol sturingsinstrument.

Ook risicobereidheid begint bij doelstellingen

Een organisatie kan pas bepalen hoeveel risico zij bereid is te accepteren wanneer duidelijk is waarop zij wil sturen. Risicobereidheid krijgt pas betekenis wanneer zij wordt vertaald naar concrete en meetbare afspraken, bijvoorbeeld:

• maximaal twee maanden vertraging;
• maximaal drie procent budgetoverschrijding;
• geen ernstige veiligheidsincidenten;
• volledige naleving van wet- en regelgeving;
• minimaal 99,8 procent beschikbaarheid van de installatie na ingebruikname.

Deze duidelijkheid vormt het kader waarbinnen projectteams zelfstandig kunnen handelen en geven bestuurders duidelijkheid over wanneer escalatie noodzakelijk is.

De opdrachtgever bepaalt de kwaliteit van het risicomanagement

Projectrisicomanagement wordt vaak gezien als een verantwoordelijkheid van de projectmanager of risicomanager. In werkelijkheid ligt de basis veel éérder in het proces. De kwaliteit van het risicomanagement wordt in de belangrijkste mate bepaald door de opdrachtgever. De opdrachtgever formuleert immers in het verstrekken van de opdracht het beoogde resultaat, bepaalt de maatschappelijke ambitie, stelt prioriteiten en geeft richting aan de afweging tussen tijd, geld, kwaliteit, duurzaamheid, veiligheid en continuïteit.

Wanneer deze richting ontbreekt, ontstaat ruimte voor interpretatie en interpretatieverschillen. Projectteams gaan hun eigen prioriteiten stellen, en risico’s op hun eigen manier waarderen. Dat leidt niet alleen tot inefficiëntie, maar ook tot bestuurlijke discussies op momenten waarop juist duidelijkheid nodig is. Investeren in scherpe doelstellingen tijdens de initiatie- en verkenningsfase verdient zich daarom gedurende de gehele levenscyclus van het project terug.

Van projectbeheersing naar waardecreatie

De grootste denkfout binnen risicomanagement is misschien wel dat risico’s uitsluitend als bedreigingen worden gezien. Onzekerheden kunnen echter ook kansen opleveren. Innovatieve contractvormen, nieuwe technologieën of alternatieve uitvoeringsmethoden brengen risico’s met zich mee, maar kunnen tegelijkertijd leiden tot lagere kosten, kortere doorlooptijden of een hogere maatschappelijke waarde. Ook deze kansen kunnen alleen bewust worden benut wanneer helder is welke doelstellingen centraal staan.

Sterke doelstellingen helpen dus niet alleen om bedreigingen te beheersen, maar ook om kansen gericht te benutten en waarde toe te voegen.

Een volwassen project begint met scherpe keuzes

Volwassen projectorganisaties onderscheiden zich niet doordat zij meer risico’s registreren, maar doordat zij beter weten welke risico’s ertoe doen. Dat begint met scherpe keuzes over het gewenste resultaat. In zijn boek “How Big Things Get Done” beschrijft Bent Flyvbjerg in hoofdstuk 1 aan de hand van een praktijkvoorbeeld dat “projecten niet fout gáán, maar fout stárten”.

Wanneer doelstellingen concreet, meetbaar en bestuurlijk gedragen zijn, ontstaat een logisch fundament voor risicomanagement, planning, kwaliteitsmanagement, contractmanagement, besluitvorming en verantwoording. Al deze disciplines sturen uiteindelijk op hetzelfde doel.

Daarmee verandert risicomanagement van een controlemechanisme in een integraal onderdeel van goed projectbestuur.

Conclusie: begin risicomanagement bij de basis – de projectdoelstellingen

Projectrisicomanagement begint niet bij het invullen van een risicomatrix, het organiseren van een brainstorm of het bijhouden van een risicoregister. Het begint bij het formuleren van heldere projectdoelstellingen.

Doelstellingen bepalen welke onzekerheden relevant zijn, welke risico’s prioriteit verdienen en welke beheersmaatregelen werkelijk bijdragen aan het succes van een project. Ze vormen het kompas waarop alle projectbeslissingen worden geijkt.

De organisaties die hun projecten het best beheersen, zijn daarom niet per definitie de organisaties met de meest uitgebreide risicoregisters. Het zijn de organisaties die vooraf de discipline hebben om eenduidig en ondubbelzinnig vast te leggen wat zij willen bereiken, waarom dat belangrijk is en welke grenzen daarbij niet overschreden mogen worden.

Wie zijn projectdoelstellingen scherp formuleert, maakt risicomanagement eenvoudiger, besluitvorming beter en de kans op projectsucces aanzienlijk groter Dat is geen kwestie van administratieve zorgvuldigheid, maar van professionele projectvoering.