Управление рисками в проекте

Введение

В соответствии с требованиями стандартов управления проектами и требованиями многих заказчиков, в уставы проектов часто включаются разделы управления рисками. Однако крайне мало команд внедрения и компаний действительно умеют управлять рисками. Обычно всё "управление рисками" ограничивается констатацией факта наличия некоторых типовых рисков.

Поэтому я решил написал эту статью, чтобы направить своих клиентов и партнеров в нужное русло.

Оговорюсь, что статья применима к проектам внедрения информационных систем масштаба до 100 млн. руб. Для более масштабных проектов целесообразно ориентироваться на полноценные методики, описанные, например в лучших практиках PMI PMBoK.

Представленные соображения, безусловно, базируются на стандартных методиках управления рисками, но адаптированы и упрощены для обеспечения возможности их практического применения в небольших проектах с минимизацией потребности выделяемых на управление ресурсами.

Определение и виды рисков

Риск проекта – это неопределенное событие или условие, которое в случае возникновения может повлиять как отрицательно так и положительно на цели или результаты проекта.

Процессы управления рисками в PMI PMBoK

Согласно PMI PMBoK, управление рисками это повышение вероятности возникновения и воздействия благоприятных событий и снижение вероятности возникновения и воздействия неблагоприятных для проекта событий.

Управление рисками проекта включает в себя процессы, относящиеся к планированию управления рисками, их идентификации и анализу, реагированию на риски, мониторингу и управлению рисками проекта:

• Планирование управления рисками – выбор подхода, планирование и выполнение операций по управлению рисками проекта;
• Идентификация рисков – определение того, какие риски могут повлиять на проект, и документальное оформление их характеристик;
• Качественный анализ рисков – расположение рисков по степени их приоритета для дальнейшего анализа или обработки путем оценки и суммирования вероятности их возникновения и воздействия на проект;
• Количественный анализ рисков – количественный анализ потенциального влияния идентифицированных рисков на общие цели проекта;
• Планирование реагирования на риски – разработка возможных вариантов и действий, способствующих повышению благоприятных возможностей и снижению угроз для достижения целей проекта;
• Мониторинг и управление рисками – отслеживание идентифицированных рисков, мониторинг остаточных рисков, идентификация новых рисков, исполнение планов реагирования на риски и оценка их эффективности на протяжении жизненного цикла проекта.

Упрощенный состав процессов

Для большинства проектов внедрения достаточно выделить три следующих процесса:

• Разработка плана управления рисками;
• Идентификация рисков;
• Планирование реагирования на риски;
• Мониторинг и управление рисками.

Разработка плана управления рисками

План управления рисками определяет процедуры управления рисками в проекте.

План управления рисками включает в себя непосредственно, или в виде ссылок на другие документы, следующие компоненты:

Компонент плана управления рисками	Рекомендации
Категории рисков	Рекомендуется использовать категории рисков, приведенные в Приложении №1 Типовой реестр рисков. В типовом шаблоне плана управления рисками используются именно эти категории.
Матрицу вероятностей и воздействия рисков	В план управления рисками проекта непосредственно не вставляется матрица вероятностей и воздействия рисков, план содержит ссылку на эту матрицу, приведенную в настоящем документе. Иная матрица вероятностей и воздействия рисков может включаться в план управления рисками, но это решение менеджера проекта должно быть обосновано.
Процедуру идентификации, оценки, составления плана реагирования и отслеживания рисков	Образец процедуры идентификации и оценки, а также образец распределения ролей и ответственней приведены в типовом шаблоне плана управления рисками. Менеджеру проекта рекомендуется использовать эту процедуру, внося в нее необходимые корректировки, в зависимости от потребностей проекта. Внесение корректировок в этот шаблон должно быть обосновано.
Распределение ролей и ответственности участвующих в управлении рисками

Таблица 2 Компоненты плана управления рисками проекта

Разработанный план управления рисками включается в Интегрированный план управления проектом.

3.2.  Идентификация рисков, планирование реагирования на риски

Процесс идентификации рисков, планирования реагирования на риски предназначен для идентификации существующих рисков, анализа и оценки этих рисков, а также составления плана реагирования на этот риск.

Этот процесс включает в себя следующие шаги:

1. Идентификация рисков
2. Оценка рисков
3. Планирование реагирования на риски

Идентификация и планирование реагирования на риски производится при планировании проекта, при планировании следующей фазы проекта, а также при изменении содержания, сроков, стоимости и потребностей в качестве проекта, при наступлении непредвиденных событий и прочими событиями, предусмотренными в плане управления рисками.

3.2.1.            Идентификация рисков

Первым шагом в управлении рисками является идентификация и анализ рисков. В выполнении этой задачи должны участвовать все участники проекта. Для этого, менеджеру проекта рекомендуется организовать совещание, на котором провести идентификацию возможных рисков методом «мозгового штурма».

При идентификации рисков удобно пользоваться «Типовым реестром рисков», разбитым по категориям рисков, который приведен в Приложении №1 Типовой реестр рисков. Для каждого риска из этого списка, команда проекта должна произвести анализ возможности возникновения этого риска в проекте.

Кроме этого списка, в зависимости от особенностей проекта, возможно возникновение и других рисков, не указанных в этом списке. Основными источниками рисков являются:

• Ограничения проекта (сроки, стоимость, ресурсы, расписание и т.п.);
• Требования к содержанию проекта;
• Допущения проекта;
• Внешняя среда проекта;
• Участники проекта;

3.2.2.            Оценка рисков

После идентификации рисков, для каждого риска, который идентифицирован для проекта как возможный, необходимо выработать 2 оценки:

• Оценка влияния риска;
• Оценка вероятности возникновения риска.

3.2.2.1.       Оценка влияния

Оценка влияния риска это численная оценка риска от 0 до 1, которая определяется по следующей шкале:

Влияние / Объект	Очень низкое	Низкое	Умеренное	Высокое	Очень высокое
Стоимость	Незначительное увеличение	Увеличение <5%	Увеличение <5-10%	Увеличение <10-30%	Увеличение >30%
Сроки	Незначительное увеличение	Увеличение <5%	Увеличение <5-10%	Увеличение <10-30%	Увеличение >20%
Содержание	Изменения незаметны	Незначительные изменения	Значительные изменения	Неприемлемые изменения	Достижение результата невозможно
Качество	Изменения незаметны	Незначительные изменения	Значительные изменения	Неприемлемые изменения	Достижение результата невозможно
Числовая оценка	0,05	0,1	0,3	0,6	0,9

Таблица 3 Шкала оценки влияния риска

3.2.2.2.       Оценка вероятности

Оценка вероятности это значение вероятности возникновения численная оценка от 0 до 1, где 0 означает невозможность возникновения риска, а 1 – 100% вероятность возникновения риска.

При этом если вероятности равны 0 или 1 то событие не является риском, т.к. в первом случае его наступление не возможно, а во втором случае это уже не риск, а существующая проблема.

3.2.2.3.       Определение величины риска

На основании оценки влияния и оценки вероятности необходимо выработать оценку величины риска, которая вычисляется по формуле:

Для оценки величины риска удобно использовать следующую таблицу:

Влияние / Вероятность	0,05	0,1	0,3	0,6	0,9
0,9	0,045	0,09	0,27	0,54	0,81
0,7	0,035	0,07	0,21	0,42	0,63
0,5	0,025	0,05	0,15	0,3	0,45
0,3	0,015	0,03	0,09	0,18	0,27
0,1	0,005	0,01	0,03	0,06	0,09

Таблица 4 Таблица оценки величины риска

Оценку величины риска можно разделить на 3 категории:

• Критические риски (влияние > 0,25);
• Умеренные риски (влияние > 0,1 и <= 0,25);
• Незначительные риски (влияние <= 0,1);

Все возможные риски с их оценкой влияния, вероятности и величины риска необходимо занести в ИСУП на узле проекта ИСУП.

3.2.3.            Планирование реагирования на риски

Следующий шаг после идентификации и оценки рисков это планирование реагирования на риски, т.е. разработка путей и определение действий по снижению угроз для целей проекта. Этот шаг включает в себя:

• Определение способа реагирования на риск;
• Определение и назначение владельца риска – т.е. лица, в обязанности которого входит отслеживание и реагирование на риск.

Существуют следующие способы реагирования на риск:

• Уклонение от риска – изменение плана проекта таким образом, чтобы исключить риск, или устранить его влияние на цели проекта. В случае применения этого способа реагирования, вероятность возникновения риска уменьшается до 0% - т.е. возникновение риска становится невозможным.
• Передача риска – перенос последствий риска на третью сторону, перенос не снижает вероятность возникновения риска. Примером передачи риска является страхование.
• Снижение риска – снижение вероятности наступления риска или его влияния до приемлемого уровня.
• Принятие риска – стратегия, при которой риск принимается, команда проекта не делает ничего, что может повлиять на риск. При этом принятие риска бывает двух типов:

• • Активное принятие риска – в этом случае разрабатывается резервный план, на случай если этот риск возникнет.
  • Пассивное принятие риска – полное бездействие команды проекта.

Например, существует риск, что из-за применения новой технологии, ПО применяемое в проекте будет работать нестабильно. В этом случае:

• Уклонением от риска будет решение о применения старой технологии;
• Снижением риска будет проведение дополнительных испытаний технологии на предмет ее стабильности;
• Принятие риска означает бездействие по этому вопросу с выработкой резервного плана или без.
• Передача риска для таких случаев практически не применима, хотя для примера, можно привести включение в договор с поставщиком новой технологии штрафных санкций за неработоспособность этой технологии.

Риски необходимо рассматривать в соответствии с их величиной, наиболее опасными рисками являются риски, относимые к категории «критические», для которых неприемлемо использовать способ реагирования на риск «Принятие риска». Для незначительных рисков, наоборот, наиболее предпочтительным способом является «Принятие риска», предпочтительно с выработкой резервного плана. Для умеренных рисков необходим анализ, и определение наиболее подходящего способа реагирования.

После составления плана реагирования на риск, в зависимости от этого плана, может потребоваться:

• Изменить план (бюджет, расписание, планы и процедуры) проекта;
• Изменить содержание проекта;
• Изменить исполнителей или потребности в ресурсы проекта.

Способ реагирования на риск, владелец риска и план реагирования на риск должны быть отражены в ИСУП на узле проекта ИСУП.

3.3.   Мониторинг и управление рисками

Мониторинг и управление рисками проекта является важным элементом для успешного завершения проекта. Способ управления рисками на стадии исполнения и контроля закладывается при планировании проекта в Плане управления рисками проекта, который включается в Интегрированном плане управления проектом.

Процесс мониторинга и управления рисками имеет место на стадии исполнения и контроля проектов. Действия, которые выполняются в этом процессе:

• Пересмотр реестра рисков (смотри процесс 5.2.1 «Идентификация рисков»);
• Реагирование на риски;
• Создание запросов на изменение.

Менеджер проекта, совместно с командой проекта, на постоянной основе должен пересматривать реестр рисков с целью:

• Выявления новых рисков – в ходе проекта могут возникать новые риски;
• Пересмотра вероятности возникновения и влияния риска (и как следствие, величины риска), так как вероятность и величина риска с течением проекта изменяются;
• Пересмотра плана реагирования на риски – из-за изменяющихся обстоятельств может потребоваться пересмотреть план реагирования на риски;
• Изменение владельцев рисков – может возникнуть потребность изменить владельца риска (например, в случае изменения состава команды проекта).

Обновленный реестр рисков должен быть отражен в ИСУП. Частота пересмотра реестра рисков определяется в Интегрированном плане управления проектом. Рекомендуется пересматривать реестр рисков совместно с мониторингом статуса проекта.

При наступлении события риска для одного из рисков описанного в реестре рисков, или для нового, неожиданного риска, менеджер и команда проекта должна собрать всю информацию об этом событии и обратится к плану управления рисками и реестру рисков с планом реагирования на риски. Возможны три варианта реагирования на наступление события риска:

1. Наступление события риска соответствует запланированному. В этом случае применяются действия, описанные в плане реагирования на риск;
2. Наступление события риска не соответствует запланированному. В этом случае созданный план реагирования на риск изменяется так, чтобы соответствовать наступившему событию;
3. Новый, неожиданный риск. В этом случае должен быть разработан и исполнен новый план реагирования на риск.

Вне зависимости от этих вариантов, после того как событие риска наступило, должна быть создана новая проблема проекта, которая обрабатывается в соответствии с процедурой разрешения проблем проекта. Кроме этого необходимо внести изменения в реестр рисков в ИСУП:

• «закрыть риск», если его повторное наступление невозможно;
• если возможно повторное наступление риска, пересмотреть его влияние или вероятность;
• отразить вторичный риск, т.к. после применения плана реагирования на риск могут возникать так называемые «вторичные риски» (secondary risk), т.е. риски вызванные применением плана реагирования на риск.

В течение всего процесса управления рисками необходимо внимательно следить за влиянием, которое могут оказать риски на сроки, содержание, стоимость и качество проекта и предпринимать соответствующие действия. При эффективном управлении рисками большинство наступающих событий рисков (проблем) не влияют на эти параметры проекта. Однако, при наступлении события риска, который затрагивает эти параметры, менеджер проекта должен предпринять действия для поддержания целостности проекта.

Под этими действиями подразумевается создание запроса на изменение. Это изменение должно пройти через процедуру управления изменениями в проекте. В случае утверждения этого запроса в план проекта вносятся необходимые корректировки.

4.         Рекомендации по эффективному управлению рисками

Можно выделить следующие рекомендации по эффективному управлению рисками, которые следует выполнять менеджеру проекта:

• Назначать рискам приоритеты, уделяя особое внимание самым опасным рискам проекта, например, выделить 10 самых опасных рисков, и уделять им повышенное внимание на протяжении всего проекта;
• Максимально использовать интеллектуальные ресурсы команды проекта для экспертного анализа рисков и стратегий управления, применяя «мозговые штурмы»;
• Уделять рискам внимание на протяжении всего жизненного цикла проекта, и помнить, что наиболее эффективное управления рисками возможно на самых ранних этапах проекта, впоследствии возможность эффективного управления снижается;
• Заблаговременно применять упреждающие меры по управлению рисками проекта.