3.3 Управление рисками
Общие положения
Цель процедуры – по шагам описать методику работы с рисками.
Процедура работы с рисками основана на фазах процессов управления – инициацией процедуры работы с рисками (открытие карточки рисков), планированием, выполнением, контролем управления рисками, завершением процедуры (закрытие карточки рисков). При работе с рисками к основным фазам процессов планирования и управления рисками относятся: идентификация рисков, оценка их вероятности, реакция на риск, планирование реагирования на риск. Ответственным за выполнение процедуры управление рисками является руководитель проекта.
На этапе предконтрактной работы (фаза создания БАЗОВОГО ПЛАНА ПРОЕКТА) инициируется процедура по управлению рисками, для этого открывается карточка риска. Карточка риска ведется ответственным за процедуру управление рисками и предназначена для регистрации всех действий по работе с рисками. В карточку риска вносится вся информация по планированию, выполнению, контролю рисков, в карточке ведется список возможных рисков, оценивается их вероятность, сюда же вносятся результаты анализа возможных рисков и их угроз и т.д.
Входящей информацией для планирования рисков является:
Структура декомпозиции работ (СДР;
Определение проекта;
Стратегический план организации (не должен противоречить целям проект) ;
Окружение проекта;
Ограничения и предположения проекта;
Типовой классификатор рисков ИТ-проектов, принятый организацией
Информация о наличии ресурсов и их квалификации – знание того, какие ресурсы (люди, оборудование, материалы) потенциально доступны, каковы их профессиональные навыки (технические характеристики), их стоимость.
Идентификация рисков
С целью определения потенциальных источников проблем, первое, что мы делаем – это определяем (идентифицируем) все возможные риски проекта.
Процедура определения риска обязательно инициируется на этапе планирования проекта, однако она может инициироваться при необходимости и на каждом этапе проекта (предконтракт, обследование, реализация, ввод в эксплуатацию и т.д.).
Для идентификации (определения) рисков проекта необходимо использовать типовой классификатор рисков ИТ-проектов, принятый организацией . Для этого рекомендуется использовать «Таблицу рисков» в электронном виде, удалить все риски, которые в данном проекте невероятны. Все вероятные риски подлежит регистрации в карточке рисков. Из электронной «Таблицы рисков» необходимо оставшиеся вероятные риски перенести в карточку риска (раздел 1 «Оценка рисков и планирование ответов») и добавить новые риски (если таковые обнаружены), которых нет в типовом классификаторе рисков.
Список новых обнаруженных рисков необходимо переслать ответственному за ведение классификатор рисков для пополнения типового классификатора.
оценка рисков
Вторым шагом необходимо провести анализ вероятности наступления риска. Для оценки вероятности рекомендуется использовать метод не сложного количественного анализа величины рисков. Анализ должен базироваться на здравом смысле, быть удобным для получения информации от участников проекта и для свободного выражения идей, эффективным в случаях высокого уровня неопределенности проекта, поскольку для этих проектов зачастую просто не накоплено достаточное количество статистических данных, позволяющих более точно оценить величины рисков.
Анализ рисков проводится в начале каждой стадии проекта, а также при необходимости переосмысление вероятности наступления рискового события и его последствия, может выполняться в любой точке при выполнении проекта. Периодичность определяется руководителем проекта самостоятельно, но не реже, чем перед планированием каждого нового этапа или фазы проекта.
Вероятность и влияние риска рекомендуется определять в соответствии с методикой «Матрица вероятностей и влияний».
Оцените вероятность проявления: Высокая (коэффициент 3), Средняя (коэффициент 2), Низкая (коэффициент 1). Если удобнее базироваться на числовых критериях, можно так: менее 40% - Низкая, от 40% до 70% - Средняя, свыше 70% - Высокая.
Рассмотрите воздействие, оказываемое этим риском на проект при его проявлении: Высокое (коэффициент 3), Среднее (коэффициент 2), Низкое(коэффициент 1). Если удобнее базироваться на числовых критериях: воздействие приведет к потерям менее 1% бюджета или затянет сроки исполнения проекта менее чем на 5% отведенного времени - воздействие Низкое, между 1% и 5% бюджета, или 5% и 10% времени – Среднее, более 5% бюджета или более 10% времени - Высокое.
Рассмотрите фактор срочности, когда еще не поздно предпринять действия по реагированию на риск: можно отложить на 50% оставшегося времени исполнения этапа проекта – Низкая, на 20 % - Средняя, немедленно нужно реагировать – Высокая.
Результаты анализа указываются в карточке риска.
Далее проводится консолидированная оценка жесткости риска. Для этого перемножаются коэффициенты вероятности, воздействия и срочности.
Работы по оценке рисков проводятся для того, чтобы отделить, те риски, которыми мы можем пренебречь (принять), от тех, в отношении которых мы обязательно должны что-либо предпринять.
Всеми рисками, получившими оценку ниже 8 - можно пренебречь. Риски с оценкой выше 12 принимать нельзя. Нужно вырабатывать мероприятия по снижению статуса риска.
Риски с оценкой между 8 и 12 можно либо принять либо нет. При определении этой граничной черты, нам необходимо изучить терпимость к рискам всех наших основных заинтересованных участников проекта. На основании голосования экспертов часть рисков можно не принимать, а часть принять.
В карточке рисков в соответствующей колонки таблицы «Оценка рисков и планирование ответов» необходимо отразить статус риска: принят или не принят. Дальнейшая работа ведется только с не принятыми рисками
Планирование реагирования на риск
В отношении тех рисков, уровень значимости которых слишком велик и, которые мы принять не можем, необходимо выработать стратегии по снижению значимости риска. Известны следующие стратегии действия:
Избежание рисков – выбрать такое проектное решение или альтернативу, которое исключит рисковое событие, например внесение условий в контракт и прочие действия, которые позволят повысить стоимость или увеличить сроки, т.е. создать более благоприятные условия ведения контракта.
Передача рисков – через контракт передать рисковое событие, например заказчику или третьей стороне.
Страхование рисковых событий – возможно страхование рисков в страховых компаниях.
Смягчение рисков – можно снизить вероятность наступление риска и/или уменьшить силу воздействия при наступлении рискового события таким образом, чтобы риск попал в категорию приемлемых.
Все мероприятия по реализации стратегии работы с рисками необходимо внести в карточку рисков.
Поскольку меры принимаемые в отношении одних рисков меры могут воздействовать и на другие, а кроме того, могут порождать новые риски или возможности - далее необходимо провести анализ взаимодействия рисков и ответов (2 раздел «Анализ взаимодействия рисков и ответов»). В первую очередь необходимо перенести список не принятых рисков в строки таблицы, а перечень ответов в колонки.
Далее по каждому риску (строке таблицы 2), нужно оставить соответствующий маркер влияния этого риска на проект («-» - отрицательное, «+» - положительное влияние);
Далее работа идет в областях пересечений рисков и ответов. Указывается маркер влияния ответа на риск «↓» - снижает, «↑» - увеличивает и проставляется приблизительная оценка этого влияния (2 – сильное, 1 – есть влияние, 0 – нет влияния).
Далее по каждой колонке оценки влияния арифметически суммируются (с учетом знака маркера влияния риска (+/-) и маркера влияния ответа (↓/↑) ).
Суммарная оценка позволяет судить о приемлимости или приоритетности ответов на риски.
Согласно сделанным по этому этапу работ выводам – заполняется таблица «План реагирования на риски и возможности». Ответы по рискам разворачиваются в план мероприятий, которые необходимо предпринять для снижения вероятности риска или его неблагоприятного влияния на проект.
Далее необходимо определить предполагаемые точки целесообразного мониторинга риска. Очень важно определить критерии эффективности проведенного мероприятия и назначить ответственного за проведение мероприятий.
Далее по факту исполнения запланированных по работе с рисками мероприятий, в карточке риска, делается соответствующая отметка о их выполнении и отмечается закрытие тех рисков, которые на данной стадии возникнуть уже не могут.
Важно:
Выявленные риски при смягчении их вероятного воздействия могут изменить в зависимости от ситуации, как стоимость работ, так и состав требований, так и сроки. Для этого нужно провести количественную оценку риска. При этом нужно учитывать, что риски могут быть различны на разных этапах проекта или при выполнении различных типов работ. Например, работы по обследованию или вводу в эксплуатацию могут быть не выполнены в срок, т.к. сильно зависят от выстраивания коммуникаций с клиентом и риск затягивания сроков на этих этапах оценивается с коэффициентом 1,5 (50% отклонения по срокам), т.е. сроки должны быть увеличены в 1,5 раза от ранее планируемых. А риск отсутствия в компании Заказчика специалиста нужной квалификации для сопровождения продукта требует закладывания дополнительного бюджета в проект и дополнительной работы в СДР.
Все мероприятия по снижению рисков, которые воздействуют на изменение перечня работ, должны повлечь изменения в перечне работ (WBS), а значит и в базовом плане проекта или рабочем плане проекта (в зависимости от этапа проекта). Все мероприятия по снижению рисков, которые воздействуют на изменения в бюджете, должны быть отражены в бюджете, а корректировки бюджета проекта должны быть отражены в базовом плане проекта или рабочем плане проекта.
Очень важно понимать, что основные риски необходимо предвидеть до заключения контракта. Грамотное составление контракта и базового плана проекта, как приложение к контракту позволяет эффективно смягчить наиболее значимые риски проекта.
Исходящей информацией для планирования рисков является:
Карточка рисков;
Уточненная структура декомпозиции работ (СДР);
Уточненный бюджет проекта;
Уточненный базовый план проекта.
Контроль и мониторинг рисков
Необходимо контролировать риски по всему ходу выполнения проекта, включая следующие действия:
Добавлять риск в повестку дня обзорного совещания по состоянию проекта
Исследовать признаки и причины возникновения риска
Регулярно просматривайте принятые риски
Отслеживайте запросы по использованию резервов
В процессе контроля проводится анализ результатов выполнения запланированных по каждому риску мероприятий, воздействие каждого мероприятия на риск и на весь проект в целом, что и регистрируется в карточке риска. Для контроля рекомендуется регулярно просматривать принятые риски (на предмет сверки с критериями реализации риска).
В карточке риска для регулярного мониторинга рисков в ходе всего проекта и внесения изменений на различных этапах предусмотрена шкала, отражающая этапы выполнения проекта: Предконтрактные работы, Обследование, Проектирование, Реализация, Ввод в действие. В этих точках контроль рисков обязателен.
Этапы могут быть изменены в соответствии с картой процесса проектного внедрения, принятой в организации.
Если в ходе выполнения проектов состояние рисков не меняется, то и карточка рисков не меняется, однако для отражения момента анализа рисков рекомендуется «открыжить» текущий этапа в карточке риска. В случае изменения состояния принятого риска или добавлении нового текущая карточка риска закрывается, а открывается следующая карточка по данному проекту, где может измениться вся картина, начиная от списка рисков и заканчивая анализом принятых рисков. Для инициации работы с новыми рисками рекомендуется добавить риск в повестку дня совещания рабочей группы проекта. При этом повторяются все работа от идентификации рисков - до планирования реагирования на риск.
В случае если в процессе контроля и мониторинга рисков выясняется, что выполненные мероприятия по снижению угрозы неэффективны – следует перепланировать реагирование на риск, добавив в карточку (раздел 3) дополнительные (новые) мероприятия.
В случае если в процессе контроля и мониторинга рисков выясняется, что один из зарегистрированных в карточке рисков становится невероятным – в поле «Результат» делается соответствующая отметка, в дальнейшем этот риск закрывается и исключается из контролируемых.
Руководитель проекта отвечает за непрерывный мониторинг реализации рисков, в случае если риск реализуется – в карточке риска делается соответствующая отметка и инициируется работа с проблемами проекта.
Ответственный за работу с рисками
За работу с рисками отвечает лично руководитель проектов, он может делегировать работу с конкретными рисками другим специалистам, но функции мониторинга и контроля за всеми рисками лежат на руководителе проекта.
Бизнес-процесс «Управления рисками»
