Управление рисками

5. Анализ  и оценка приоритетности

     Выявленные  риски следует проанализировать. Анализ включает оценку вероятности  риска и его возможных последствий  в кратко- и долгосрочном плане.

     Кроме того, анализ рисков предполагает сравнение  новых рисков с ранее выявленными. Новый риск может повторять или  расширять один из ранее выявленных. В таком случае следует не включать его в список рисков, а уточнить описание и оценки выявленного раньше риска.

     Если  же риск новый, его нужно оценить. По результатам опросов и интервью или по аналогии с ранее выполнявшимися проектами для риска оценивается  вероятность проявления и тяжесть  последствий. К сожалению, в таких  случаях редко удается получить сколько-нибудь точные численные оценки. Тем не менее обычно не составляет труда выбрать для риска одно из заранее определенных значений вероятности (например, из уже упоминавшегося ряда от 0,1 до 0,9) и целочисленное значение тяжести последствий (скажем, от 1 до 5). Сделать это проще, чем оценить  последствия в реальных деньгах. Вместе с тем такой оценки обычно хватает для решения главной  проблемы — выделения наиболее приоритетных рисков. В результате возможные показатели приоритета (произведения вероятности  проявления риска на тяжесть последствий) будут варьироваться в пределах от 0,1 до 4,5 (см. таблицу).

     Таблица. Возможные значения приоритетов  рисков

     Как правило, риски с текущим значением  приоритета меньше 1 просто игнорируются. Риски со значением приоритета в  диапазоне 1—2 оставляются в списке, но реальных действий по их устранению обычно не предпринимается. Основное же внимание уделяется рискам с приоритетом  больше 2.

     Если  для определения вероятности  и последствий рисков использовались качественные оценки, то и приоритетность рисков оценивается на качественном уровне. Например, можно игнорировать те риски, у которых вероятность  или последствия пренебрежимые. А высокоприоритетными следует  считать риски, у которых вероятность  выше средней и последствия выше существенных.

     Как правило, список приоритетных рисков для  проекта ограничивают десятью или  двадцатью (для очень больших  проектов) наиболее значимыми. Если учитывать  большее число рисков, это, с одной  стороны, приведет к существенно  большему расходу ресурсов, а с  другой стороны, почти не скажется на вероятности успешного завершения проекта. Списки наиболее приоритетных рисков должны быть доступны для всех участников проекта.

     Для рисков с высоким приоритетом  в ходе анализа очень полезно  определить показатели (метрики), которые  позволяют судить о приближении  момента проявления риска или  о существенном изменении вероятности  его проявления.

     5.1 Планирование ответных действий

     Для каждого из рисков, вошедших в список приоритетных, необходимо выбрать стратегию  реагирования. Как уже говорилось, стратегия может быть направлена на то, чтобы “обойти” риск, застраховаться от него или смягчить его последствия. Иногда риск можно исключить полностью, отказавшись от одного-двух низкоприоритетных  свойств системы. В других случаях  можно попытаться использовать более  зрелые или лучше известные разработчикам  технологии.

     В случае внешних рисков, на которые  практически невозможно как-то воздействовать, единственным ответом будет резервирование дополнительных ресурсов. Как говорят, на этот случай можно даже оформить страховку в страховой компании. Как минимум, следует оговорить  потенциальный риск с руководством собственной компании и с заказчиком.

     И, наконец, существуют риски, относящиеся  к категории достаточно приоритетных и при этом поддающиеся воздействию. Это и есть основное поле битвы. Для  таких рисков необходимо выбрать  действия, которые помогут снизить  вероятность наступления события  и его возможные последствия.

     Строго  говоря, задача не в том, чтобы свести возможность проявления риска или  его последствия к нулю. Если такое  решение и достижимо, оно может  потребовать слишком много ресурсов. Реальная цель — снизить вероятность  и последствия проявления риска  до приемлемого уровня.

     Если  вы уверены в пригодности вероятностной  модели для ваших рисков и в  точности ваших оценок, то для анализа  принимаемых решений и выбора оптимального можно применить, например, байесов подход. Оптимальным будет  решение, которое минимизирует среднюю  стоимость выполнения проекта или  максимизирует среднюю прибыль. Но для этого требуется перевести  используемые условные единицы в  деньги, и в деньгах же оценивать  стоимость планируемых мероприятий  по преодолению рисков.

     Для рисков, не устраненных окончательно или не поддающихся "смягчению", нужно разработать хотя бы предварительный  резервный план действий на случай их проявления (часто его называют “план Б”).

     Для части рисков, обычно связанных с  недостатком информации, можно явно указать действие, которое определит, проявится риск или нет. Например, чтобы понять, удастся ли интегрировать  новую систему в уже существующую инфраструктуру, как правило, достаточно создать небольшой прототип новой  системы. Он либо покажет, как должна осуществляться интеграция, либо заставит проявиться соответствующий риск. Типичный прием — запланировать такие  действия на возможно более ранние сроки. Это позволяет, с одной  стороны, менее спешно и более  осмысленно предпринимать ответные действия, с другой стороны —  раньше выявить новые риски, которые  могут возникнуть после проявления уже известных.

     5.2 Мониторинг рисков

     К сожалению, управление рисками —  это не одноразовое мероприятие. Вероятность и последствия однажды  выявленных рисков и оценка их приоритетности могут в дальнейшем измениться; могут  появиться и новые риски. Например, по мере накопления сведений об определенных инструментах и методах у исполнителей растет уверенность, что работы могут  быть выполнены в срок. Или, наоборот, опыт сборки и тестирования предварительных  версий системы, возможно, заставляет усомниться в достаточной ее производительности. Это значит, что данные о рисках должны регулярно обновляться. Повторный  анализ рисков желательно провести таким  образом, чтобы свежие сведения можно  было использовать при планировании очередной итерации проекта.

     Специальный случай мониторинга — анализ показателей (метрик), которые могут указывать  на приближение или скрытую реализацию одного из выявленных ранее рисков. Метрики должны вычисляться достаточно часто. Изменение значений свыше  установленного предела должно быть поводом к внеочередному анализу  и оценке рисков.  

6. Некоторые практические рекомендации

     Опыт  управления рисками позволил определить несколько типичных приемов, как  правило, существенно повышающих качество процесса.

     Формализация  управления рисками. Борьбу с рисками  нужно оформить официально и определить необходимые формальные процедуры. Для реализации процесса назначается  ответственный. Составляется и регулярно  обновляется план работ по управлению рисками. Ведется формальная база данных рисков или хотя бы их список. Проводится формальное отслеживание рисков. Регулярно  формируются и доводятся до всех участников проекта отчеты о состоянии  рисков. Результаты управления рисками  активно используются в управлении проектом. Без такой формализации исполнители в текучке могут  просто забыть о новой работе, либо не удается преодолеть негативное отношение  участников разработки к процессу управления требованиями.

     Выделение специальных резервов для нейтрализации  рисков. Для борьбы с рисками заранее  планируются резервы, включающие резерв времени (обычно порядка 10% от оцененного времени выполнения проекта); резерв денежных средств на дополнительный штат, инструменты, дополнительное время  разработки; собственно резервный штат, включая список специалистов, которых  можно быстро привлечь к работе.

     Отсутствие  резервов может вызвать очень  тяжелые последствия вплоть до полной остановки работ по проекту. Объем  резервов должен согласовываться с  текущей оценкой рисков. При использовании  части средств для борьбы с  проявившимся риском объем резервов должен быть пересмотрен и при  необходимости увеличен.

     Эффективное использование резервов требует  определенной подготовки. Необходимо готовить резервные планы, заранее  учитывать сложность ввода новых  специалистов в проект. Например, желательно подготовить в компании резерв сотрудников, знакомых с проектом хотя бы в общих  чертах. Это могут быть, например, сотрудники, привлекавшиеся к рецензированию материалов проекта.

     Использование формальных показателей (метрик) для  управления рисками. Уже упоминавшиеся  метрики — весьма действенное  средство своевременного выявления  и мониторинга рисков. Имеется  в виду, что метрики должны быть определены заранее и использоваться для формирования предупреждений. При выходе за предустановленные пределы значений (например, если первоначально запланированный объем кода превышен на 10%) или при выполнении особых условий (к заданному сроку не найден квалифицированный персонал) автоматически формируется предупреждение для управляющего персонала.

     Определять  критерии формирования таких предупреждений можно с помощью различных  методов анализа временных рядов  для “долгоиграющих” рисков. Формирование критериев в любом случае требует  определенного опыта работы по управлению рисками и набора предварительной  статистики.

     В качестве показателей обычно используются метрики, связанные с бюджетом, размерами  системы, ходом выполнения графика  работ, количеством обнаруживаемых дефектов и скоростью их устранения.

     Непрерывное управление рисками. Мы уже говорили об этом, но все же повторим. Чтобы  управление рисками было действительно  эффективным, надо осуществлять его  на непрерывной основе в течение  всего жизненного цикла проекта. Повторный анализ рисков позволяет  уточнить оценки вероятности проявления и последствий. Регулярные отчеты о  наиболее существенных рисках позволяют  повысить качество управления проектами.

     Отслеживание  внешних зависимостей. Внешние причины, скажем, задержки поставки отдельных  программных компонентов или  оборудования, также часто выступают  как весьма приоритетные риски проекта. Для их снижения требуются специальные  меры, такие, как регулярный мониторинг хода разработки у поставщика или  поиск альтернативных поставщиков. Кроме того, руководство фирмы  должно понимать, что эти риски  находятся вне компетенции участников проекта.  
 

7. Этапы освоения

     На  пути к освоению процесса управления рисками команды обычно проходят через определенные стадии. Понимание  того, на какой стадии вы находитесь, поможет выбрать ориентиры для  следующего шага.

     Стадия 1. Решение проблем 

     Эта стадия соответствует исходному  положению дел. Люди заняты решением уже возникших проблем, о будущем  никто не думает. С рисками, даже известными, никто ничего не делает, пока они не превращаются в реальные проблемы. Это связано, в частности, с тем, что даже руководители не уверены  в своих оценках вероятности  проявления риска и его последствий. Поскольку руководство не поощряет сообщения о рисках, большинство  о них и не упоминает. Стандартные  процедуры если и существуют, то только для преодоления рисков, ставших  проблемами.