Řízení rizik při dodávkách automatizace

-- 20.03.10 20:18

Únorové vydání přineslo článek V. Van Dorena, který poukázal na současná úskalí automatizačních projektů, jak vyplynula z průzkumu organizace Standish Group. Mezi doporučení autora tohoto článku s názvem „Jak se vyhnout selhání“ patřily i tři body, které se týkají projektového řízení, do něhož patří i kvalitní a kvalifikované řízení rizik.

Současné projekty automatizace představují často velmi komplexní a složitá řešení. Proto by si jak zadavatelé projektů, tak jejich dodavatelé měli uvědomit, že projekty nemusí skončit úspěšně. Přesto je kvalitní analýza rizik automatizačních projektů u nás ještě stále spíše výjimkou. Mezi manažery se v současné době hodně hovoří o řízení rizik. Často bohužel neodborně, což je obvykle následek chabých znalostí z oblasti rizikového inženýrství. Proč je problematika řízení rizik dnes tolik aktuální? Není to jen nějaký módní trend? Důvody, proč se v současnosti v mnoha souvislostech hovoří o riziku, jsou následující:

• Podnikání v tržní ekonomice je založeno na riziku. Jestliže firmy působí v rámci tržního prostředí, nemohou problematiku rizik ignorovat, pokud si chtějí udržet vysokou konkurenční schopnost.

• Současný globální trh představuje pro firmy mnohá nebezpečí, která musí identifikovat, ať už pocházejí z kterékoli oblasti (technické, ekonomické, finanční či personální), a připravit si pro případná nebezpečí účinná opatření na snížení nepříznivých dopadů.

• Také současné turbulentní prostředí, které je plné různých změn, což je ponejvíce důsledek zejména rychlého vědecko-technického rozvoje a dopad řešení mnoha problémů naší společnosti. Změny v automatizačních projektech jsou způsobovány i rychlým vývojem nových automatizačních prostředků.

• V poslední době vstoupila v platnost řada legislativních opatření, která požadují analýzu rizik na profesionální úrovni (např. nový zákoník práce – rizika z hlediska bezpečnosti práce) nebo v jiných souvislostech (např. rizika informačních systémů, kdy hrozí odcizení dat o vývoji nového výrobku nebo citlivých ekonomických dat, rizika v souvislosti s bezpečností strojů apod.).

Pro řadu automatizačních firem není problematika řízení rizik na prvním místě mezi prioritami. Navíc chybí potřebné české publikace o rizikovém inženýrství a o aplikaci rizikového inženýrství ve vybraných oblastech, které by odrážely současný pokrok a nároky v této oblasti (na VUT v Bnrě je proto otevírán letos nový obor „Rizikové inženýrsrví“ – viz www.usi.vutbr.cz). Velkým přínosem pro oblast řízení rizik je nyní kniha Milíka Tichého „Ovládání rizika“, kterou vydalo nakladatelství Beck v roce 2006, a třetí, rozšířené vydání o řízení ekonomických rizik ve firmách autorů Karla Raise a Vladimíra.Smejkala „Řízení rizik“ z vydavatelství Grada Praha 2003.

Článek si klade za cíl zdůraznit potřebu kvalitního řízení rizika v automatizačních firmách a podrobněji vysvětlit aplikaci rizikového inženýrství v projektech automatizace. Bohužel, jak již bylo zdůrazněno, současní manažeři nemají potřebné znalosti rizikového inženýrství. Proto v řadě našich firem nejsou zatím dostatečně rozšířeny exaktní metody rizikového inženýrství ani specifické metody pro vybrané problémové oblasti rizik. Na současných ekonomických vysokých školách se rizikové inženýrství systematicky nevyučuje a problematika rizika se probírá jen okrajově, např. v souvislosti s tvorbou podnikatelských záměrů nebo s problematikou pojišťování apod.

Rizikové inženýrství

V současné době je rizikové inženýrství (Risk Engineering) chápáno jako technicko-ekonomická disciplína, která se zabývá obecnými otázkami a problematikou rizika. Příslušní specialisté se nazývají rizikoví inženýři. Jak uvádějí autoři Katrel Rais a Vladimír .Smejkal („Řizení rizik“, Grada, Praha 2003), slovo risicó pochází ze staré italštiny a označovalo v řeči námořníků nebezpečné místo, kterému je nutno se při plavbě vyhnout. Milík Tichý připomíná, že z Itálie pochází také první doložený popis analýzy nebezpečí, a to v knize Giorlama Catanea „Dell´ Arte Militare Libri Tre“ z roku 1567. Rozmach rizikového inženýrství byl způsoben zejména požadavky pojišťoven na využití statistiky a pravděpodobnosti při uzavírání pojistných smluv. Rizikové inženýrství obecně chápe pojem riziko jako možnost utrpět určitou ztrátu.

Pro konkrétní případ lze hodnotu rizika vyjádřit jako součin pravděpodobnosti výskytu příslušné hrozby (pi) a výše předpokládané ztráty (zi):

HRi = pi × zi

Protože pravděpodobnost je bezrozměrná veličina, je rozměr hodnoty rizika dán jednotkou, ve které je vyjádřena očekávaná ztráta (Kč, $, £, ¥, _ apod.). V některých výjimečných případech (většinou v souvislosti s provozem technických soustav) vyjadřuje rizikové inženýrství riziko jako možnost výskytu určitého nežádoucího jevu (např. pravděpodobnost prasknutí tažného lana visuté lanovky za určitých provozních podmínek, pravděpodobnost výbuchu kotle v důsledku chyby v řídicím softwaru, určité poruchy apod.). Protože v praxi lze v daných situacích velmi obtížně přesně stanovit číselnou hodnotu pravděpodobnosti a ztráty, používá se tzv. verbálních hodnot (vysoká pravděpodobnost, střední pravděpodobnost, nízká pravděpodobnost apod. – např. metoda RIPRAN) nebo různých způsobů bodového ohodnocení rizika (např. v metodě Risk FMEA nebo v bodovací metodě s mapou rizik).

Ve firemní praxi můžeme rizikové inženýrství aplikovat např. při vývoji nových strojů, a to jak z hlediska řízení procesu vývojových prací (dodržení termínů a nákladů), tak z hlediska konstrukce (bezpečnost, spolehlivost, opravitelnost, životnost apod.) či z hlediska bezpečnosti provozu výrobních strojů. Rovněž při zajišťování vysoké jakosti výroby (možnost vzniku úzkých výrobních kapacit při produkci, nákup, kvalita výrobních operací, kontrola, montáž, expedice, instalace apod.). Samozřejmě můžeme rizikové inženýrství aplikovat v procesu ekonomického řízení firem (možnost vzniku nesolventnosti, návrh potřebných finančních rezerv apod.) a v podnikání. Na internetu existují dva portály (www.riskworld.com a www.worldrisk.com), které přinášejí novinky z oblasti rizikového inženýrství. U nás se problematice řízení rizik věnuje portál www.akamonitor.cz doc. Arnošta Katolického a portál www.risk-management.cz. 

Odborníci na rizika jsou sdruženi v organizaci GARP (Global Association Risk Professional – viz www.garb.com ) a v organizaci Society Risk Analysis (www.sra.com). Obecně se rizikovému inženýrství věnují portály www.riskeng.com a www.risk-enginering.com. Z výše uvedeného textu vyplývá, že profesionální zvládnutí analýzy rizik vyžaduje rozsáhlé znalosti. Proto je v zahraničí zcela běžné označení „rizikový inženýr“, což je specialista v této oblasti, který se systematicky věnuje problematice analýzy rizik a využívá při tom získané vědomosti a zkušenosti rizikového inženýrství. Už i u nás existují firmy, které jsou schopny poradit a pomoci v oblasti řízení rizik.

Komplexní řízení firemních rizik

Autoři různých publikací o řízení rizik vždy správně zdůrazňují, že účinné a efektivní řízení rizik ve firmě nemůže být založeno na řešení izolovaných rizik při náhodných příležitostech! Správným řešením je integrované řízení všech významných rizik ve firmě. Znamená to navrhnout a zavést řízení rizik ve všech důležitých firemních procesech. Týká se to zejména těchto rizik:

• obchodních (nákup, prodej)

 • finančních

• subdodavatelských

• projektových

• výrobních

• bezpečnostních

• informačních

• technických

• personálních

• politických

• viz major (přírodní a jiné katastrofy) Řada postupů může, ale i nemusí být pokryta explicitními pokyny pro řízení rizik. Záleží to na kvalitě a úrovni znalostí vedoucích pracovníků, zejména vrcholového managementu. Řada rizik však musí být analyzována a řízena s ohledem na různé legislativní předpisy:

• Řízení rizik podle zákona č. 320/2001 Sb. o finanční kontrole ve veřejné správě.

• Řízení rizik z hlediska bezpečnosti práce podle OHSAS 18001:1999 (viz zákon č. 309/2006 Sb.).

• Posouzení rizika podle ČSN EN 1050 z hlediska nebezpečí, která se mohou vyskytovat při používání strojního zařízení, v návaznosti na směrnici Evropského parlamentu a Rady EU 2006/42/ES ze dne 17. května 2006.

• Ve speciálních případech, např. jaderná energetika nebo banky, v rámci pravidel BASEL.

Při nesprávném řízení těchto rizik, nebo dokonce při absenci řízení těchto rizik se firma vystavuje možnosti různých sankcí. Přistoupí-li firma ke komplexnímu systému integrovaného řízení rizik, pak se může zvýšit kvalita řízení rizik pro všechny jejich druhy. Například řízení rizik v rámci projektů (viz dále) často naráží na překážku, že firma nemá stanovenu hodnotu akceptovatelného rizika, takže není jasné, jaká výše rizik v projektu je pro firmu přijatelná, a nejsou stanoveny zásady pro vytváření firemních fondů na pokrytí akceptovatelných rizik projektu. Řízení rizik ve firmách (tzv. Enterprise Risk Management – ERM nebo někdy též Corpotare Risk Management) se stává nedílnou součástí všech firemních procesů úspěšných podniků, jak ukazuje nedávný průzkum společnosti Tillinghast.

Doporučené metody pro analýzu rizik

Velmi často (viz různé normy a předpisy) bývá přesně stanoveno, jaké druhy nebezpečí je nutno zvažovat a jak při analýze postupovat s využitím různých metod. Pro řadu případů byly v rámci rizikového inženýrství navrženy a využívány různé metody:

• HACCP – analýza rizik chemických a potravinářských Výrob

• HAZOP - analýza rizik technologických provozů

• FMEA – analýza rizik možných vad při konstrukčním návrhu

• CRAMM, IRIS – analýza rizik bezpečnosti automatizovaných informačních systémů

• RIPRAN Branislava Lacka nebo bodovaná metoda s mapou rizik – analýza rizik projektů

• UNRA – univerzální matice pro analýzu rizik budov, tunelů, silnic a jiných fyzických objektů s využitím expertních odhadů Milíka Tichého

• FRAP – proces analýzy rizik s využitím facilitátora

• MQD – proces hodnocení rizik bezpečnosti výrobních strojů

• JBM – hodnocení rizik z hlediska bezpečnosti práce podle Tomáše Neugebauera

Kromě těchto sofistikovaných metod pro analýzu rizik se využívá celá řada dílčích specializovaných technik, jakými jsou např. stromy rizik, příčinkové diagramy, mapy rizik nebo některých obecných technik, např. asociativní mapy, různé techniky expertních odhadů (DELPHI), modelování a simulace (program PMF firmy TIMING), technika brainstormingu nebo naopak komplexních metod pro analýzu a řízení firemních rizik (např. metoda IPR od Jiřího Kruliše). Poznamenejme, že používání praxí ověřených úspěšných metod (Best Practices) přináší řadu výhod. Proto západní svět považuje používání těchto metod v praxi za projev profesionality.

Řízení rizik automatizačních projektů

Citovaný průzkum organizace Standish Group ukázal, že 8 z 10 nejčastějších příčin selhání se týká problematiky nesprávně řízených projektů. V úvodu tohoto článku byla zdůrazněna skutečnost, že současné automatizační projekty jsou technicky a organizačně velmi náročné, navíc probíhají často za velmi komplikovaných podmínek. Na co spoléhají účastníci takových projektů, když neudělají analýzu projektových rizik? Přitom tuto povinnost mimochodem ukládá norma ISO/ČSN 10 006 – Směrnice pro management jakosti projektů. Přesto v našich automatizačních projektech obvykle kapitola s názvem „Analýza rizik projektu“ ještě stále chybí. Protože obecně platí, že jsme dobří technici, spoléhá se většinou na to, že dobré technické řešení postačí k úspěšnému zvládnutí projektu.

Praxe ukazuje, že kvalitní technické řešení vytváří základní předpoklad pro realizaci úspěšného projektu, ale že úspěch projektu je ovlivněn ještě celou řadou jiných, důležitých a často nahodilých faktorů. Přitom rizika je třeba analyzovat a řídit ve všech fázích projektu. V předprojektových fázích – zvažování a porovnávání příležitostí a rizik ve studii příležitostí (Oportunity Study) nebo v logickém rámci projektu (logical frame) ve sloupci nazvaném „Předpoklady a rizika“ při sestavování studie proveditelnosti projektu (Feasibility Study). V rámci projektových fází při podrobném sestavování plánu projektu je třeba zpracovat zevrubnou analýzu rizik z hlediska možných skluzů subdodávek, očekávaných změn disponibilních zdrojů, případných technických problémů, personálních selhání, nahodilého kolísání cen, probíhajících změn valutových kurzů, nenadálé nepřízně počasí atd.

Pro významná rizika je nutné připravit opatření, která sníží jejich dopad na projekt. Obvykle se výsledky analýzy rizik zaznamenají v elektronické podobě do tzv. registru rizik, který se následně při implementaci projektu používá k průběžnému monitorování rizik na pravidelných poradách projektového týmu a během kontrolních dnů v jednotlivých fázích projektu. V postprojektové fázi je nutné analyzovat minulé odhady rizik a celý způsob práce s riziky, abychom se vyvarovali chyb v budoucích projektech, zpřesnili naše příští odhady a zlepšili tak řízení rizik následných projektů. Tak se zajistí neustálé zlepšování v oblasti řízení projektových rizik a také neustálé zdokonalování firmy v řízení projektů. Metoda RIPRAN RIsk PRoject ANalysis (viz. www.ripran.cz) je velmi vhodným způsobem pro analýzu projektových rizik automatizačních projektů.

Vychází důsledně z procesního pojetí analýzy rizika. Chápe analýzu rizika jako proces (vstupy do procesu-výstupy z procesu-činnosti transformující vstupy na výstup s určitým cílem). Metoda akceptuje filozofii jakosti (TQM), a proto obsahuje činnosti, které zajišťují jakost procesu analýzy rizika QAS (Quality Assurance Step), jak to vyžaduje norma ISO 10 006. Metoda je navržena tak, že respektuje zásady pro Risk Project Management (podle zásad IPMA – International Project Management Association).

Skládá se ze čtyř fází:

• příprava analýzy rizika v projektovém týmu

• identifikace rizik projektu

• kvantifikace rizik v projektu

• návrh opatření ke snížení rizik v projektu

• celkové zhodnocení rizika projektu

Součástí metody jsou i podpůrné tabulky pro verbální hodnocení rizik automatizačního projektu pro různé stupně přesnosti hodnocení rizik. Kvalitní řízení rizik automatizačního projektu představuje velmi významný prostředek ke zvýšení pravděpodobnosti jeho úspěšného ukončení a podstatně snižuje finanční ztráty v průběhu realizace projektu. Proto by jeho integrovanému pojetí řízení rizik měla být v projektech věnována náležitá pozornost jak ze strany automatizačních firem, které projekty dodávají, tak ze strany zákaznických firem, které automatizaci prostřednictvím dodávaného projektu zavádějí. Často se zapomíná, že riziko je sice primárně spojeno s nebezpečím, že projekt utrpí nějakou újmu, ale také s možností získat určitou zajímavou příležitost.

Proto musíme umět proti rizikům na druhé straně zvážit ohodnocené, kvantifikované příležitosti. V řadě firem se zpracovává pro tyto potřeby materiál označovaný názvem „Risk- Chance Analysis“. V neposlední řadě je nutné spolu s kvalitní analýzou rizik provést i analýzu kritických faktorů úspěchu (CSFA – Critical Success Factors Analysis). Jestliže analýzu rizik můžeme chápat jako odpověď na otázku „Co může projekt výrazně ohrozit?“, pak analýzu kritických faktorů úspěchu můžeme chápat jako odpověď na otázku „Co může projektu výrazně prospět?“. Je třeba si uvědomit, že nekvalitní analýza rizik může být chápána druhou stranou nejen jako projev neznalosti a lajdáctví, ale také jako projev zatajování skutečných situací, které souvisejí s vážnými hrozbami, což je však možno klasifikovat v určitých případech jako pokus o podvod. Zatím se bohužel jen málo našich firem vydalo cestou kvalitního řízení firemních a tím také projektových rizik.

V praxi našich firem se můžeme setkat s mnoha špatnými přístupy k problematice řízení rizik:

• S amatérským, nesystematickým, neprofesionálním přístupem, kdy se za řízení rizik považuje jakékoli příležitostné upozornění na nějaký problém (např. s dodávkami od tohoto dodavatele mohou být potíže).

• S odmítáním rizikového inženýrství a problematiky rizik vůbec, kdy lidé, kteří upozorňují na případná rizika, jsou chápáni jako „potížisté“ zpochybňující odvážné záměry vizionářských manažerů nebo naivních, panovačných zákazníků.

• Ještě dnes nemá mnoho firem v evidenčních listech zakázek uvedenu plánovanou hodnotu zisku, ale ještě méně firem má v listě zakázky uvedenou očekávanou hodnotu rizika.

• Mnoho našich firem (resp. našich manažerů) má z pojmu „riziko“ strach, nechtějí o něm slyšet, a tak ve svých firmách nastolují klima, kdy se o riziku nemluví a o tomto tématu je zakázáno byť jen diskutovat.

• Některé firmy zase skloňují riziko ve všech možných a nemožných pádech, ale kvalifikovaný management rizik nedělají, jen o rizicích neodborně a zmatečně hovoří. Uvedené přístupy jsou nesprávné a naši vedoucí pracovníci by měli preferovat profesionální přístup k integrovanému řízení firemních rizik a sami přispět k jeho zavedení a využívání v našich firmách.

Základní atributy kvalitního řízení rizik:

• Provádění analýzy a monitorování rizik kvalifikovanými pracovníky, kteří mají potřebné znalosti a zkušenosti s řízením rizik.

• Aplikace osvědčených metod pro analýzu rizik s využitím jejich počítačové podpory, která zahrnuje jak všechny fáze analýzy rizik, tak jejich monitorování.

• Integrované řízení všech firemních rizik podložené firemní směrnicí nebo jiným legislativním dokumentem, kde jsou definovány příslušné firemní postupy, dokumenty a podklady.

• Zavedení procesu neustálého zlepšování řízení rizik na základě systematického vyhodnocování získaných zkušeností.

Branislav Lacko přednáší na VUT v Brně, Fakultě strojního inženýrství, Ústavu automatizace a informatiky. V letech 1967 až 1990 pracoval ve výpočetním středisku TOS Kuřim, od roku 1991 působí na VUT v Brně. Je certifikovaný projektový manažer IPMA, publikoval řadu článků v časopisech a přednesl mnoho příspěvků na konferencích o projektovém řízení automatizačních projektů a projektů IT/ IS. Je autor metody RIPRAN a spoluautor publikace „Projektové řízení podle IPMA“, nakladatelství Grada. Kontaktovat jej můžete na adrese: branislav.lacko@seznam.cz.

Autor: Branislav Lacko, VUT v Brně, Fakulta strojního inženýrství, Ústav automati