Waarom de term 'risico' het gesprek doodslaat

Ooit nagedacht over de risico's als je op vakantie gaat? Of de risico's bij de aanschaf van een huis? Bij het wisselen van baan? Zodra iemand begint over risico's, stroomt het enthousiasme weg. Je belandt in een soort vegetatieve toestand. "Ik wacht wel tot dit voorbij is" dekt de lading. En toch is het concept achter risicoanalyse precies wat we nodig hebben om beperkte testtijd slim in te zetten.
‍

Maar de term 'risico' werkt niet.
‍

Het probleem is niet het concept

In trainingen zie ik het keer op keer: zodra risicoanalyse op het programma staat, daalt de motivatie zichtbaar. Deelnemers die worden gevraagd risico's te definiëren, vervallen in groepslethargie. De term staat ver af van wat we eigenlijk proberen te bereiken: bepalen wat er mis kan gaan en hoe erg dat is.
‍

Daarbij is 'risico' ook een onbegrepen begrip. De uitspraak "Wat is het risico als we deze bug in productie nemen?" klinkt logisch, maar klopt niet. Een risico is kans maal schade. Als een bug naar productie gaat, is de kans één. Het risico is dus altijd één. Wat je eigenlijk bedoelt is: "Wat is de schade als we deze bug in productie nemen?" Dat is een betere vraag.
‍

Risicogestuurd testen in de praktijk

Volwassen risicomanagement werkt met gedetailleerde kansberekeningen en variabelen. Wij niet. Als softwaretesters doen we een educated guess, of we bepalen relatieve risico's: een succesvolle hack is risicovoller dan een taalfout op een willekeurige pagina. Dat is zinvol, maar het is geen kansberekening.
‍

Gevaarlijk wordt het als we ons laten verleiden tot pseudo-precisie met cijfers. Stel dat een sessie werkt met een schaal van 1 tot 100. De schade van een hack krijgt een 100, de kans een 0,01. Score: 1. Een taalfout krijgt schade 1, kans 0,999. Score: bijna 1. Beide risico's lijken gelijkwaardig. Mijn intuïtie begint te gillen dat er iets fundamenteel misgaat. En terecht.
‍

Wat de methodieken zeggen

TMAP omschrijft risico als "the chance of failure combined with the impact when a failure occurs." ISTQB zegt iets vergelijkbaars. RST heeft geen definitie van risico, maar wel van Risk Based Testing, een definitie zo omslachtig dat meerdere lezingen nog geen zekerheid geven over wat er staat.
‍

Wat de definities gemeen hebben: ze draaien allemaal om hetzelfde idee. Wat kan er mis gaan en hoe erg is dat? Dat is het echte gesprek. En dat gesprek voeren we beter als we het anders noemen.
‍

Zorgen in plaats van risico's

Geen risicoanalyse, maar een zorgensessie. Waar maken we ons zorgen over? Waar maken we ons de meeste zorgen over? Dat is een vraag die mensen begrijpen en willen beantwoorden. Een goede sessie schat de realiteit van die zorgen in, gaat op zoek naar de oorzaak en bepaalt waar meer testinspanning nodig is.
‍

Het concept is hetzelfde. Het woord maakt het verschil. Een sessie die 'zorgen' centraal stelt in plaats van 'risico's', levert meer op, niet omdat de inhoud verandert, maar omdat deelnemers er wel in mee kunnen komen.

‍