Управление рисками в проекте

Введение

В соответствии с требованиями стандартов управления проектами и требованиями многих заказчиков, в уставы проектов часто включаются разделы управления рисками. Однако крайне мало команд внедрения и компаний действительно умеют управлять рисками. Обычно всё "управление рисками" ограничивается констатацией факта наличия некоторых типовых рисков.

Поэтому я решил написал эту статью, чтобы направить своих клиентов и партнеров в нужное русло.

Оговорюсь, что статья применима к проектам внедрения информационных систем масштаба до 100 млн. руб. Для более масштабных проектов целесообразно ориентироваться на полноценные методики, описанные, например в лучших практиках PMI PMBoK.

Представленные соображения, безусловно, базируются на стандартных методиках управления рисками, но адаптированы и упрощены для обеспечения возможности их практического применения в небольших проектах с минимизацией потребности выделяемых на управление ресурсами.

Определения

Риск проекта – это неопределенное событие или условие, которое в случае возникновения может повлиять как отрицательно так и положительно на цели или результаты проекта.

Управление рисками — процесс принятия и выполнения управленческих решений, направленных на снижение вероятности возникновения неблагоприятного результата и минимизацию возможных потерь проекта, вызванных его реализацией, повышения вероятности возникновения благоприятного результата и увеличение возможных выгод от его реализации.

Процессы управления рисками

• Планирование управления рисками – выбор подхода и определение процедур по управлению рисками проекта.
• Идентификация рисков – выявление рисков способных повлиять на проект.
• Анализ рисков – анализ потенциального влияния идентифицированных рисков на общие цели проекта.
• Планирование реагирования на риски – разработка возможных вариантов и действий, способствующих повышению благоприятных возможностей и снижению угроз для достижения целей проекта.
• Реализация предупредительных мероприятий - реализация мероприятий, приводящих к устранению рисков, минимизации их вероятности или существенности последствий.
• Мониторинг и управление рисками – отслеживание идентифицированных рисков, мониторинг остаточных рисков, идентификация новых рисков, исполнение планов реагирования на риски и оценка их эффективности на протяжении жизненного цикла проекта.

Процессы управления рисками в методологии управления проектами

Планирование управления рисками

План управления рисками определяет подходы, стратегии и процедуры (те, которые указаны далее) управления рисками в проекте.

В идеальной ситуации, такой план должен быть типизирован для компании и совершенствоваться по мере получения нового опыта от проектов.

Если типового плана в компании нет, то целесообразно его разработать для проекта на этапе формирования устава проекта.

Пример плана приведен здесь.

Идентификация рисков

Идентификация рисков - обнаружение рисков, которые могут повлиять на ход проекта и их регистрация для дальнейшей обработки.

Обнаружение может происходить исходя из опыта, из здравого смысла. Применяется как анализ уже выполненных проектов, так и мозговые штурмы, инсайты и инсайды :).

Выявлять риски может любой участник проекта и даже не участник проекта. На любом этапе. Даже и особенно ДО начала проекта.

Регистрацию риска осуществляет руководитель или администратор проекта.

Для регистрации, обычно, используется реестр рисков, который ни в коем случае не должен становиться бронзовым памятником в уставе или приложении к нему. Реестр рисков - это живой рабочий инструмент.

На этапе идентификации в реестре рисков, обычно заполняются следующие поля:

• Дата (а иногда и дата-время) регистрации - иногда важно быстро отработать риски, иногда - крайне важно знать когда о нем узнали.
• Идентификатор риска - чтобы не путать с другими.
• Наименование риска - чтобы можно было о нем говорить не только по идентификатору.
• Описание риска - детальная информация о сути риска.
• Принадлежность риска - уровень полномочий, необходимых для обработки риска.
• Статус: новый.

Анализ рисков

Анализ рисков в зависимости от принадлежности риска осуществляется советом проекта или управляющим комитетом.

При наличии нескольких уровней органов управления проектом целесообразно проводить оценку начиная с рабочих, эскалируя при необходимости те риски, которые не удалось обработать.

Анализ риска включает оценку вероятности, оценку влияния.

Итогом анализа становится вывод о действительной необходимости реагирования на риск.

В реестр добавляются поля:

• Вероятность.
• Существенность.

Оценки могут быть разными. Некоторые компании предпочитают оценивать от 0 до 1, некоторые по пятибальной шкале.

Способы оценки могут быть как расчетными, так и экспертными.

Целесообразно также не просто ранжировать риски, но и оценивать потенциал влияния. В этом случае в реестр добавляются поля:

• Потенциальные потери (в рублях).
• Потенциальный сдвиг (в днях).
• Потенциальные проблемы (текстовое описание).

Также необходимо оценить сколько будет стоить полное устранение риска, снижение его вероятности, уменьшение его влияния, если это возможно.

Для этого в реестре используются поля:

• Стоимость полного устранения (в рублях).
• Время на устранение (в днях).
• Потенциал уменьшения (текстовое описание).

В крупных компаниях с развитыми процессами управление рисками разрабатываются и применяются развитые сложные формулы расчета вероятностей, влияния, оценки приоритетов.

Если ваша компания к таким не относится, то не надо пытаться реализовать это все на отдельно взятом проекте. Оценивайте экспертно и приблизительно.

Статус записи устанавливается в "риск проанализирован".

Планирование реагирования на риски

Следующий шаг после идентификации и оценки рисков это планирование реагирования на риски, т.е. разработка путей и определение действий по снижению угроз для целей проекта. Этот шаг включает в себя:

• Определение способа реагирования на риск.
• Определение и назначение владельца риска – т.е. лица, в обязанности которого входит отслеживание и реагирование на риск.

Существуют следующие способы реагирования на риск:

• Уклонение от риска – изменение параметров проекта или его окружения таким образом, чтобы исключить риск, или устранить его влияние на цели проекта. В случае применения этого способа реагирования, вероятность возникновения риска уменьшается до 0% - т.е. возникновение риска становится невозможным.
• Передача риска – перенос последствий риска на третью сторону. Перенос не снижает вероятность возникновения риска. Примером передачи риска является аутсорсинг или страхование.
• Снижение риска – снижение вероятности наступления риска или его влияния до приемлемого уровня.
• Принятие риска – стратегия, при которой риск принимается, команда проекта не делает ничего, что может повлиять на риск. При этом принятие риска бывает двух типов:
  • Активное принятие риска – в этом случае разрабатывается резервный план, на случай если этот риск возникнет.
  • Пассивное принятие риска – полное бездействие команды проекта.

Риски необходимо рассматривать в соответствии с их величиной, наиболее опасными рисками являются риски, относимые к категории «критические», для которых неприемлемо использовать способ реагирования на риск «Принятие риска». Для незначительных рисков, наоборот, наиболее предпочтительным способом является «Принятие риска», предпочтительно с выработкой резервного плана. Для умеренных рисков необходим анализ, и определение наиболее подходящего способа реагирования.

Надо также убедиться, что стоимость уклонения от риска или его уменьшения не превысит ожидаемые потери от риска, а сроки исполнения мероприятий по уклонению от риска не превысят сроки сдвига в случае его реализации.

Ведь риск - вероятен, а предупреждающие действия проводятся точно.

После составления плана реагирования на риск, в зависимости от этого плана, может потребоваться:

• Изменить план (бюджет, расписание, планы и процедуры) проекта.
• Изменить содержание проекта.
• Изменить исполнителей или потребности в ресурсы проекта.

В реестре рисков на этом этапе заполняются поля:

• Владелец риска.
• Стратегия работы с риском.
• Запланированные мероприятия.

Статус устанавливается в "Риск спланирован".

Реализация предупредительных мероприятий

Назначенные владельцы рисков организуют и обеспечивают исполнение предупредительных мероприятий.

По итогам исполнения, реестр рисков пересматривается. У рисков актуализируется вероятность и существенность, при необходимости изменяется стратегия реагирования.

Мониторинг и управление рисками

Процесс мониторинга и управления рисками регулярно выполняется на стадии исполнения и контроля проектов. Действия, которые выполняются в этом процессе:

• Пересмотр реестра рисков.
• Реагирование на риски.
• Создание запросов на изменение.

Мониторингу подлежат риски, вероятность которых не нулевая.

Руководитель проекта, совместно с командой проекта, на постоянной основе должен пересматривать реестр рисков с целью:

• Выявления новых рисков – в ходе проекта могут возникать новые риски;
• Пересмотра вероятности возникновения и влияния риска, поскольку они с течением проекта изменяются;
• Пересмотра плана реагирования на риски – из-за изменяющихся обстоятельств может потребоваться пересмотреть план реагирования на риски;
• Изменение владельцев рисков – может возникнуть потребность изменить владельца риска (например, в случае изменения состава команды проекта).

Частота пересмотра реестра рисков определяется уставом проекта. Рекомендуется пересматривать реестр рисков совместно с мониторингом статуса проекта.

В течение всего процесса управления рисками необходимо внимательно следить за влиянием, которое могут оказать риски на сроки, содержание, стоимость и качество проекта и предпринимать соответствующие действия. При эффективном управлении рисками большинство наступающих событий рисков (проблем) не влияют на эти параметры проекта. Однако, при наступлении события риска, который затрагивает эти параметры, руководитель проекта должен предпринять действия для поддержания целостности проекта.

Риски, вероятность которых уменьшена до 0, риски принятые или переданные "закрываются" и в дальнейшем мониторинге не рассматриваются.