Deze week heb ik een gesprek gevoerd met twee auditors van een programma. In een concept van een rapport dat ze hadden geschreven, maken zij tot mijn verrassing een onderscheid in risico’s voor een programma en de risico’s die daar uit voortvloeien voor de operationele processen van de betreffende organisatie.

Ernstig risico

Tijdens het lezen van het rapport bekroop mij het gevoel dat ze het ontbreken van financiering voor een cruciaal project weliswaar als risico zagen, maar er toch nog net een voldoende voor gaven. Voor de opdrachtgever in mijn ogen een signaal dat het wel meevalt. Ik was daar erg verbaasd over, omdat het ontbreken van de financiering zou leiden tot een vertraging van een jaar voor het bereiken van het doel: op een totaal van 4 jaar vind ik dat ernstig. En dus alle reden om fors en duidelijk in te grijpen.

Verschil tussen programma-risico en organisatorisch risico

In het gesprek vertelden de auditors  mij dat de uitvoeringsorganisatie standaard werkt met een risicomatrix voor mogelijke storingen van de operationele processen: een onderbreking van de diensten van vijf minuten op één lokatie is een gering risico, een onderbreking van een hele dag op drie centrale plekken in het land is een groot risico. Zo kan dus de situatie bestaan dat een groot risico in een programma een geringer risico voor de operationele processen blijkt te zijn.  Voorde opdrachtgever van het programma betekent dit dat er binnen het programma een groot risico bestaat, dat als mogelijk effect heeft een milde verstoring van de dagelijkse uitvoering. Op een heldere manier moet nu uitgelegd worden aan de opdrachtgever dat zij een keuze heeft: óf de oorzaak van het risico wegnemen, óf het accepteren van de vertraging en daarmee een mogelijk, gemiddeld risico voor de uitvoering accepteren.

Programmamanager en opdrachtgever moeten iets doen

Uiteindelijk waren de auditors het met mij eens dat ze dit onderscheid goed moesten vastleggen in het rapport: nl een ernstig risico voor het programma. Een klus voor de programmamanager. En een gemiddeld risico voor de uitvoering, verantwoordelijkheid voor de opdrachtgever die tevens lijnverantwoordelijkheid heeft. Doe je dat niet dan kan de indruk kunnen ontstaan dat het allemaal wel meevalt. En dat is zeker niet de bedoeling.