Método de Avaliação do Risco em Software

O SEI (Software Engineering Institute), desenvolveu um método de avaliação do risco em software (ou SRE - Software Risk Evaluation) e elaborou um relatório técnico para disponibilizar a prática do SRE à comunidade de desenvolvimento de software. O objectivo é fazer com que as organizações de desenvolvimento de software possam seguir e adaptar o processo preconizado no método do SEI.

 
A descrição do método foi escrita para clarificar aquilo que é importante alcançar durante cada um dos cinco passos do SRE e quais os produtos desses passos que precisam de estar em ordem para avançar com o processo de forma fiável. Antes de avançar convém, no entanto, sublinhar, dois aspectos que podem ser relevantes para os leitores.

Por um lado, o trabalho do SEI relacionado com o método SRE foi patrocinado pelo departamento de defesa dos Estados Unidos. Além disso, o SEI é um instituto de investigação da Carnegie Mellon University e esteve na origem do CMM e do CMMI (Capability Maturity Model Integration). Por outro lado, não nos vai ser possível reproduzir aqui (nem é esse o objectivo) o método SRE do SEI. Para esse efeito, os leitores deverão visitar a área de publicações do site Web do instituto - www.sei.cmu.edu/publications/pubweb.html.

Para quê a Gestão do Risco?

De acordo com o SEI, o SRE (Software Risk Evaluation) é um processo para identificar, analisar e desenvolver estratégias de mitigação para os riscos inerentes a um sistema intensivo de software enquanto este está a ser desenvolvido. Este processo tem vindo a ser desenvolvido no SEI desde 1992 e já foi utilizado com muitos fornecedores, incluindo fornecedores do departamento de defesa americano. A descrição do método SRE (ou SRE Method Description) fornece:

• Uma descrição dos princípios do método SRE, incluindo conceitos e aplicações úteis;
• Informação adicional sobre o processo SRE para que uma organização possa adaptar o processo de forma responsável para responder às suas próprias necessidades;
• Listas de resultados chave específicos para cada passo do processo, podendo ser utilizadas para avaliar a qualidade da execução.
  

O objectivo do SEI com esta descrição do método é permitir que os membros de uma equipa de melhoria de processos de uma organização sejam capazes de realizar uma avaliação inicial dos riscos de software sem ajuda externa e depois melhorarem continuamente o seu processo ao longo do tempo.

Mas para quê a gestão do risco? Todos os projectos têm algum nível de risco associado. Mesmo que o produto a ser desenvolvido seja simplesmente uma versão de um sistema ou produto existente, poderão surgir riscos em áreas como:

• Alterações na equipa de desenvolvimento (e consequentes níveis de experiência relativamente ao produto);
• Alteração das condições de mercado e das expectativas do cliente;
• Alteração das condições de negócio para a organização de desenvolvimento.
  

Quanto melhor for a compreensão dos riscos, mais aptos estaremos para os gerir. A definição de risco proposta pelo SEI diz que o risco "é a possibilidade de sofrer perdas". Num projecto de desenvolvimento, a perda descreve o impacto para o projecto, podendo assumir a forma de diminuição da qualidade do produto final, de aumento dos custos, de atrasos na conclusão, de perda de quota de mercado, ou de fracasso.

Por outro lado, podemos dizer que os riscos e as oportunidades andam sempre de mãos dadas. O sucesso também nunca é alcançado sem algum grau de risco. Como já alguém disse, o risco em si não é mau. Na realidade até é essencial para o progresso. Quanto ao fracasso, é frequentemente um aspecto chave da aprendizagem. O desafio nesta matéria consiste em aprender a balancear as possíveis consequências negativas do risco com os potenciais benefícios das oportunidades que lhe estão associadas.

Para serem bem sucedidos, os gestores de projecto não têm outra alternativa que não seja encarar os riscos de frente. Os riscos mais comuns incluem:

• Um novo processo de desenvolvimento;
• Os requisitos técnicos do produto ou do próprio sistema;
• Limitações impostas ao projecto ou produto pelos clientes ou pelo mercado;
• Orçamentos e agendas agressivos.
  

Para os gestores de projecto, o desafio consiste em conhecer os riscos que o projecto enfrente e geri-los. O SRE é uma ferramenta que responde a esse desafio e representa a implementação do paradigma de gestão de risco do SEI. Os elementos deste paradigma estão expressos na figura que se segue.

A identificação faz com que todos os riscos conhecidos de um projecto se tornem explícitos antes de se transformarem em problemas. Por sua vez, a análise transforma os dados dos riscos em informação para a tomada de decisões. Quanto ao planeamento, transforma a informação sobre os riscos em decisões e em acções de mitigação (presentes e futuras), além de implementar essas acções.

O acompanhamento permite monitorizar os indicadores dos riscos e as acções de mitigação. O controlo corrige os desvios relativamente aos planos de mitigação dos riscos. A comunicação permite a partilha de toda a informação ao longo do projecto e é a pedra mestra para uma gestão eficaz dos riscos.

O que é um SRE?

O SRE (Software Risk Evaluation) inclui a identificação, análise, planeamento e comunicação do paradigma de risco do SEI. Os restantes elementos do paradigma (acompanhamento e controlo) não são considerados durante um SRE. Um SRE, de acordo com o SEI, é uma ferramenta de diagnóstico e de tomada de decisão para um projecto. É utilizado para identificar e categorizar declarações de riscos específicos de projecto emanadas do produto, do processo, ou de fontes de limitação. Um SRE tem os seguintes atributos:

• Forma as pessoas para efectuarem sistematicamente a identificação, análise e mitigação dos riscos;
• Coloca o enfoque nos riscos que possam afectar a entrega e a qualidade do software e dos produtos de sistema;
• Fornece aos gestores de projecto e ao restante pessoal múltiplas perspectivas sobre os riscos identificados;
• Cria as bases para uma gestão contínua e em equipa (cliente e fornecedor) dos riscos.
  

Um SRE também fornece aos gestores de projecto um mecanismo de alerta estruturado para a antecipação e resolução dos riscos do projecto. De igual modo, introduz um conjunto de actividades que dão início ao processo de gestão dos riscos. Estas actividades podem ser integradas com métodos e com ferramentas existentes para a melhoria das práticas de gestão dos projectos.

O principal propósito de um SER consiste em fornecer uma imagem clara e compreensível dos riscos que possam afectar o projecto. Esta imagem pode então ser utilizada para:

• Diagnóstico (os riscos são aceitáveis para iniciar o projecto?);
• Criar uma baseline dos riscos (o SRE identifica os riscos críticos antes de se transformarem em problemas, podendo assim ser geridos de forma contínua);
• Preparar um milestone crítico no ciclo de vida do projecto;
• Recuperar de uma situação de crise (o SRE fornece uma forma de restabelecer uma baseline de um projecto).
  

Para maximizar o impacto de um SRE bem sucedido, os membros da equipa de um projecto terão que ser formados de forma adequada e o SRE terá que contar com um líder experiente e autorizado. Para que um SRE seja bem sucedido, as organizações deverão desenvolver internamente a capacidade para tal. O SEI propõe uma abordagem para esse efeito.

Quando se considera o papel do SRE na gestão de risco, existem dois pontos de vista que podem ser considerados. Num deles, o SRE é utilizado como ferramenta para um diagnóstico pontual e isolado. No outro, é encarado como o iniciador de uma gestão contínua dos riscos (sejam eles de um projecto, de uma organização, ou de uma equipa). É neste segundo caso que o SRE é mais eficaz.

O método SRE proposto pelo SEI

De acordo com o método proposto pelo SEI, o SRE é implementado em cinco fases, como mostra a figura que se segue.

A fase de definição (contracting) envolve as actividades necessárias para identificar os objectivos do projecto, obter acordos relativamente ao SRE e coordenar recursos para a sua execução.

Durante a fase de identificação e análise dos riscos (RI&A) a equipa de SRE visita as instalações de desenvolvimento do projecto e faz entrevistas estruturadas aos membros da equipa de projecto para a obtenção de declarações relativas a riscos. Estas declarações relativas aos riscos são analisadas, priorizadas (de acordo com o seu impacto no projecto) e agrupadas em áreas de risco. A equipa de SRE apresenta depois essa informação aos elementos e ao gestor do projecto.

Na fase de relatório intermédio, a equipa de SRE reavalia as áreas de risco e recomenda aquelas que devem ser consideradas no planeamento estratégico de mitigação. Esta recomendação terá que obter a concordância do gestor de projecto antes de se avançar para a fase seguinte.

A fase de planeamento estratégico de mitigação (MSP) coloca o enfoque na construção de planos de mitigação de alto nível para o subconjunto seleccionado de áreas de risco. Os elementos do projecto, a gestão e a equipa de SRE trabalham em conjunto para criarem objectivos, estratégias e actividades para a mitigação das preocupações identificadas nas áreas de risco. Agora que estão equipados com a informação, os planos e o apoio necessários, os elementos do projecto podem iniciar a mitigação dos seus riscos mais críticos.

Na fase de relatório final, os planos relacionados com a estratégia de mitigação são adicionados à informação já compilada e é elaborado o relatório final. O relatório final e os dados de risco associados são então apresentados ao gestor do projecto.

 
Produzido em 2005