Управление рисками – алгоритм. Курс по управлению проектами, часть 25

Что можно назвать рисками с точки зрения менеджера проекта? Методологи придумали следующее определение: риск – это положительное или отрицательное событие, которое может произойти или не произойти. Из этого определения можно сделать два важных вывода…

Предыдущая часть курса: Закупки по контрактам "Время и материалы" и "С возмещением затрат". Закрытие закупок

Начало курса: Что можно назвать проектом, а что нельзя, и каковы критерии успеха менеджера

Первый вывод. Риск – это вероятностное событие. Это то, что может случиться, а может и не случиться. Например, есть риск, что может уволиться ведущий инженер. Но вы не можете быть уверенным, что он уволится, может, он и передумает. Если это событие, которое может произойти, но нет уверенности на 100%, тогда это риск. Если инженер говорит, что увольняется, подает заявление и говорит, что больше не вернется, то это уже не риск, это факт. Факт — это когда событие уже случилось (или вы знаете, что оно случится, и знаете когда именно). Именно поэтому риски не сразу появляются в иерархической структуре работ, это не то, что в нее можно вписать сразу. К примеру, стена может рухнуть, а может, и не рухнуть. И вообще вы надеетесь, что она не рухнет никогда. И вы не можете ответить на такие вопросы: после чего это случится? когда это случится? Это вероятностное событие. А для таких событий есть отдельный план, чтобы с ними работать, о котором мы поговорим чуть позже.

Второй важный момент: риск – это положительное или отрицательное событие (в русском языке для обозначения английского понятия positive risk чаще принято использовать термин “возможности” — примечание редактора). Риск-менеджмент, на мой взгляд, – самая полезная область знаний для менеджеров и самая недооцененная. По сложившейся практике, в большинстве компаний рисками не управляют. За нарушение сроков менеджеров бьют по рукам, за нарушение содержания и превышение бюджета тоже, а за риски – не очень. И то, управляет ли менеджер рисками, часто остается на его совести. Ну и, чаще всего пренебрегает этим вопросом. В чем сила знания об управлении рисками? В том, что события, которые случатся или не случатся, могут быть как положительными, так и отрицательными. То есть они могут быть не только в минус, но и в плюс, и за счет них можно серьезно вытащить проект. Примеры положительного риска – некоторые климатические условия, например, при строительных работах, плавающий курс рубля в валютных проектах. Но плавающий курс – не всегда положительное событие, оно может быть и отрицательным. Положительным риском также можно назвать ситуацию, когда освобождается какой-то крутой специалист, которого вы можете заполучить. Но вы его можете и не заполучить, потому что компаний, куда его приглашают, много.

Цель риск-менеджмента понятна интуитивно – понизить влияние негативных рисков и повысить вероятность влияния позитивных рисков. Именно в этом суть управления рисками.

Ориентировочной целью, к чему вы стремитесь, управляя рисками, – это нивелировать до 90% значимых угроз (рисков). То есть порядка 10% значимых угроз вы не сможете нивелировать, никуда от них не денетесь, они останутся. Это то, что называется в проектном управлении неснижаемыми рисками. Например, пожары, ураганы, любые форс-мажоры. В России ураганов почти не бывает, но в целом у каждого риска есть вероятность. На вероятность возникновения урагана вы не можете повлиять, вы не можете предвидеть, случится ураган или нет. Зато вы можете снизить его влияние. Делается это достаточно легко. Например, в США ураганы очень часто возникают. И там на жилые дома устанавливают противоураганные ставни. Если забыть их закрыть перед ураганом, то сильный ветер разобьет окна, а потом унесет крышу. А если противоураганные ставни закрыть, то ветер просто «обтечет» дом. Это пример того, что ураган – риск, неснижаемый по вероятности, но по влиянию его можно снизить.

В России пример неснижаемого риска – законодательный. Зачастую у нас мало предсказуемое законодательство. Почему это риск? Представьте, что вы делаете томограф. А тут обсуждается законопроект о том, чтобы изменить процедуру сертификации, добавить что-то новое. Если закон примут, то вы делать томограф, как раньше, уже не сможете, надо будет все старое выкинуть и начинать работать по-новому. Вы ничего не можете сделать, вы никак не можете повлиять на ситуацию, если закон примут.

Возвращаемся к цели менеджера. Норма – снизить 90% значимых угроз. Если вам по итогам управления рисками удалось снизить сильно меньше (60-70 процентов), то либо у вас не хватает фантазии, вы не можете придумать, как снизить риски, либо у вас слишком рискованный проект. Это хороший повод поговорить со спонсором, показать ему, насколько рискованный проект.

Напомню, что когда в какой-то области знания управления проектами у нас много планирования, и немного контроля, то можно сформулировать алгоритм. И при управлении рисками, конечно, речь идет именно об алгоритме. Есть 4 конкретных шага, которыми можно пользоваться.

1 шаг. Идентификация рисков. Составление реестра рисков

Итак, вся работа с рисками строится вокруг одного артефакта: реестра рисков в виде таблички. И первый шаг – это идентификация рисков. То, что мы хотим, – понять, какие риски могут быть и выписать их в список. Представьте, вы менеджер проекта. Ваша задача – заглянуть в волшебный шар и найти то, что вам может помешать реализовать проект, со знаком плюс или знаком минус.

Руководствуйтесь принципом командности, думайте не в одиночку, а вместе с другими людьми. С кем именно?

с командой;
со специалистами по проблеме, экспертами, в том числе сторонними;
с заказчиком (пользователями): у него может быть понимание рисков, которые вам даже в голову не придут. Где-то нужно соблюдать стерильность, где-то надо учитывать, что использованы пожаронеустойчивые материалы. Он может сообщить, что в каком-то кабинете работает неуравновешенный сотрудник, к которому лучше не входить. То есть заказчик может стать источником каких-то глубинных рисков, о которых вы никогда не догадаетесь;
со спонсором: он зачастую очень хорошо представляет неснижаемые риски, особенно законодательные, он ближе к этой среде и лучше понимает, что там происходит. Он также неплохо представляет риски, связанные с деньгами.

Обсуждать риски, идентифицировать их необходимо со всеми, кого можно к этой задаче привлечь. Это не значит, что вы должны их всех собрать в одно место, отобрать паспорта и сказать, что пока мы не выпишем все риски, никто никуда не расходится. Нет. Лучше обсуждать риски по отдельности: сначала с командой, потом с заказчиком при случае пообщаться (предварительно объяснив ему слово «риски»), уточнить, какие могут быть проблемы, что надо иметь в виду существенное, что повлияет на проект. Также со спонсором можно отдельно поговорить, не надо его приглашать на совещание с командой. И в несколько приемов у вас сформируется список рисков — реестр.

Какого размера может быть этот список? Конечно, чем больше, тем лучше. Но давайте посмотрим с практической точки зрения. Вы менеджер, у вас есть команда 15 человек. Вы идентифицируете риски по проекту длительностью год стоимостью 1 млн долларов. Допустим, вы выписали 10 рисков. Это много, мало или нормально? На какую цифру надо ориентироваться, на какой диапазон? Как правило, на первом этапе рисков очень много – десятки. Их может быть и 50, и 60, и 100, и больше, независимо от того, какой у вас проект. Если у вас их сильно меньше – 8-10, у вас не заработает риск-менеджмент, позже вам покажу почему. На первом этапе обязательно должны быть десятки рисков. Это нормально. Но при этом 20-30 рисков – это хорошее число. В том смысле, что вы про них будете внимательно думать, а остальное пойдет фоном.

Обратите внимание: есть риски положительные, есть отрицательные. Как работать с ними – вместе или по отдельности? Первоначально вы планируете и негативные, и позитивные риски. Есть разные способы работать с ними в дальнейшем. Можно их объединить в одну табличку, но это неудобно, потому что легко запутаться. Для кого-то это может быть удобно, когда можно в табличке выделить с помощью фильтров, какие есть негативные, какие есть позитивные риски. Но если другой человек забудет убрать фильтры, то он увидит не то, что надо. Когда вы начинаете суммировать резервы, тоже получается неудобно. Поэтому моя рекомендация – вести 2 отдельные таблички – одну для позитивных, другую – для негативных. Это самое простое. В PMBoK описаны обе практики. Но мы пытались совместить все в одну табличку, и это страшно неудобно. Кроме того, 2 таблички экономят время, в них проще разобраться.

2 шаг. Качественный анализ рисков

Следующий шаг. Представьте, у вас целая простыня рисков. Если вы будете с каждым церемониться, то далеко не уедете. Вы все время проекта проведете над мыслями о том, как нивелировать риски. Поэтому второй шаг – понять, какие из выписанных рисков самые главные. Вам нужно создать short-лист из 20-30 рисков, про которые речь пойдет подробнее. Для этого надо сделать качественный анализ. Качественный – не от слова «качество», ваша задача – определить значимость риска: большой, малый, средний. Значимые риски получат ваше внимание, незначимые – не получат.

Чтобы получить значимость риска, нужно оценить, какую вероятность и какое влияние каждый из них отдельно имеет. Пробегаемся по всему списку, пытаемся ответить на вопросы (субъективно): «Вероятность возникновения риска – большая, средняя или маленькая?», «Влияние риска на проект – большое, среднее или маленькое?». От комбинации ответов будет зависеть, какой из рисков наиболее значимый.

Повторюсь: второй шаг – сократить список, оценивая риски по значимости. Все это записываем в табличку – реестр рисков. Можно риски отмечать цветом: красный – значимый, с ними нужно дальше работать, желтый – средняя значимость, зеленый – низкая значимость, их можно не рассматривать совсем.

3 шаг. Количественный анализ

Третий шаг – количественный анализ. У вас сильно уменьшился перечень. Теперь в нем только риски, с которыми нужно работать. Вы их снова оцениваете, но только теперь уже в цифрах – деньгах, часах. На этом шаге появляются резервы. Помните, я вам рассказывал про пэддинг (раздувание), с которым сложно справиться. Единственный способ с ним справиться – перейти к реальной оценке + правильно заложить резерв. Обо всем этом поговорим позже.

4 шаг. Разработка стратегии реагирования

Последний шаг – придумать планы, как добиться того, чтобы риск не сработал, что именно надо делать (вспомните пример про противоураганные ставни). Здесь появляются план А и план Б, триггеры риска, хозяева и так далее.

Когда все шаги прошли, мы начинаем отслеживать риски, обновлять реестр: одни риски будут приходить, другие уходить.

Это был алгоритм работы с рисками. Подробнее о каждом шаге поговорим в следующих публикациях…