Ранжирование рисков: Ранжирование рисков проекта

Ранжирование рисков проекта

В предыдущей статье шла речь о том, как «увидеть» риски. Что делать с ними дальше?

А дальше нам необходимо проранжировать их по важности. По сути, ранги рисков нужны для того, чтобы сопоставить риски между собой и выбрать наиболее адекватную стратегию работы с каждым из них. Например, риски с высоким рейтингом нужно постараться убрать из проекта, если, конечно, это экономически целесообразно. Потому как стоимость избегания риска может оказаться дороже, чем последствия от его материализации. А для риска с низким рейтингом можно сразу использовать стратегию активного принятия, т.к. избегать его нецелесообразно в любом случае (о стратегиях работы с рисками – в следующей статье).

Давайте сравним важность 2-х рисков для проекта «Организация корпоративного похода с ночлегом в палатках в августе недалеко от города Минска 23-24 августа»:

Риск 1: Дождь во время проведения мероприятия намочит палатки, что приведет к нежеланию большинства участников ночевать в них.

Риск 2: Жара вынудит органы власти издать запрет на посещение лесопарковых зон и разжигание костров, и запрет этот продлится на время проведения мероприятия.

Как сопоставить важность этих двух рисков?

В теории управления проектами используется две характеристики рисков, с помощью которых можно выйти на оценку их важности: вероятность возникновения риска и его влияние на проект.

Зная эти два параметра, можно высчитать важность риска:

Важность риска = Вероятность х Влияние

Как посчитать вероятность возникновения риска?

На мой взгляд, есть два наиболее распространенных подхода – экспертный метод и использование статистики.

Попробуем использовать для расчета вероятности обоих рисков статистический подход.

О прогнозе погоды мне нужно знать за 2 недели до планируемых дат проведения мероприятия, чтобы правильно выбрать даты и не переносить их после информирования сотрудников о мероприятии.

Для определения вероятности той или иной погоды мне стоит воспользоваться прогнозом погоды. Понятно, что он не имеет 100%-ной достоверности, однако, наверное, это лучший подход для определения вероятности той или иной погоды.

Эту статью я начал писать 8 августа, а прогноз погоды мне нужен на 23-24 августа.

Прогноз погоды в Минске на 23-24 августа я смотрел здесь:

http://www.gismeteo.by/weather-minsk-4248/month/

8 августа прогноз на 23-24 августа 2014 года был следующий: в Минске будет 28-29 градусов тепла и не будет дождей.

Я знаю о том, что синоптики ошибаются с прогнозами и мне стало интересно, какова достоверность прогнозов синоптиков? Вот что я нашел:

«Оправданность прогноза погоды на сутки — 96 процентов, на трое — уже 90 процентов, на неделю — 85 процентов, на месяц в среднем на 70 процентов, причем в этом случае синоптики точно не могут сказать, какая температура и осадки будут в определенный день» (http://belniva.sb.by/tolko-v-bn-/article/prognoz-pogody-eto-tot-zhe-samyy-tovar-tolko-skoroportyashchiysya. html)

Итак, примем слова эксперта к сведению и сформируем наш прогноз. Если достоверность прогноза на месяц составляет 70%, то прогноз синоптиков, что дождя 24 августа не будет, имеет вероятность 70%, а обратное событие – 30%.(кстати, 12 августа прогноз на 23-24 августа радикально изменился:  +23 в субботу и  +19 в воскресенье, малооблачно, дожди).

На момент написания статьи (8 августа) я уже знал, что в Беларуси ввели запрет на посещение лесопарковых зон и разжигание костров, осталось сделать прогноз, будет ли действовать этот запрет через 2 недели. Исходя из прогноза, в ближайшие 2 недели температура снизится с 31 градуса до 20-23, причем в ближайшую неделю будет дождливо. И я делаю свой прогноз: с вероятностью в 70% действие запрета к моменту мероприятия отменят. А, значит, остается 30% вероятность того, что запрет будет действовать в этот период времени.

Теперь давайте оценим влияние каждого риска на проект. Мы должны ответить себе на вопрос: если риск из потенциального станет реальным и превратится в проблему, насколько сильно эта проблема повлияет на ход проекта? В литературе по управлению проектами часто предлагают рассмотреть влияние риска на 4 аспекта проектного треугольника: цели, срок, бюджет и качество.

Можно использовать следующую матрицу влияния:

Для расчета общего влияния риска на проект будем использовать формулу:

Влияние = (Влияние на срок + Влияние на бюджет + Влияние на содержание + Влияние на качество) / 4

Рассчитаем влияние для риска, связанного с дождем:

Если пойдет дождь во время турслета, перенести срок проведения мы уже не сможем – на сроки не влияет. Содержание проекта может измениться, т.к. мы начнем реагировать на происходящие события: возможно, кто-то предложит поехать в город и купить дополнительное оборудование (например, тент, который можно будет натянуть над палатками), т.е. это дополнительный объем работ, который не планировался в проекте. Покупка тента приведет к небольшому увеличению бюджета проекта – возникнут незапланированные расходы. Но вряд ли эти расходы превысят 5% от общей стоимости проекта. Ну и конечно, в результате дождя палатки начнут мокнуть, народу будет некомфортно и качество мероприятия пострадает, возможно, большинство людей останется недовольны результатами отдыха.

Влияние для риска, связанного с запретом на костры:

Если действие запрета на костры не отменят до начала мероприятия и мы не захотим переносить сроки мероприятия, то на сроки мероприятия это не повлияет, зато содержание проекта может измениться: нужно будет купить газовые плитки для приготовления пищи, изменить формат проведения мероприятия так, чтобы обходиться без костра (считаю, что среднее влияние на содержание). Покупка дополнительного оборудования приведет к небольшому увеличению бюджета проекта, но вряд ли эти расходы превысят 5% от общей стоимости проекта. Ну и в случае отсутствия костра большинство отдыхающих останется недовольными, ибо поход без костра и ночных посиделок у него — сомнительное удовольствие.

Для того чтобы вероятность и влияние имели одинаковый вес при расчете важности, нам нужно изменять их по одинаковой шкале.

Влияние имеет шкалу от 0 до 3. Такая же шкала должна быть и для вероятности:

После расчета вероятности и влияния для риска используем формулу для расчета важности, приведенную выше и внесем важность в таблицу:

Итак, для нашего примера получилось, что риск, связанный с запретом на костры, является более важным по сравнению с риском того, что пойдет дождь и намочит палатки.

Если по этому процессу определения важности прогнать все риски проекта, мы получим рейтинг важности рисков.

Вы скажете: оценки очень субъективны и зависят от уровня экспертов. И будете правы. 

Если по вероятности рисков мы еще можем найти статистику по некоторым событиям, то для определения влияния используется только экспертный метод.

Ну что же, риски мы проранжировали, а что делать с ними дальше? Ведь антирисковая работа должна привести к снижению влияния рисков на проект и изменению планового срока и бюджета проекта в сторону более вероятных.

Об этом в следующей статье. 

P.S. Дописываю эту статью 20 августа. На сегодня я знаю, что запрет на костры отменили и прогноз погоды на 24 августа – 20 градусов и дождь. Но все равно верю, что синоптики с прогнозом на 24 августа ошибаются и будет солнце =) Такова природа человека: верить в лучшее и пытаться спрогнозировать плохо прогнозируемое.

Риски. Оценка. Это продолжение серии публикаций про… | by Khotovitskaya Evgeniya

Это продолжение серии публикаций про риски в ИТ-проектах. В этой статье я планирую рассказать об оценке и ранжировании рисков.

В предыдущей публикации я рассматривала процесс идентификации рисков. В результате идентификации рисков мы получили матрицу рисков, в которой заполнены следующие поля:

1. Наименование риска,
2. Описание риска,
3. Последствия риска,
4. Оценка риска по месту возникновения: внешний или внутренний
5. Срок реализации риска

Получившуюся матрицу я привожу на картинке, её мы и дополним. Напомню, речь идет о кейсе, когда Заказчик просит нас сделать для его дочерней организации (ДО) витрину данных, данные и инфраструктуру даст ДО, деньги и сценарий использования данных — заказчик.

Матрица рисков, идентифицированные риски

Пришло время задействовать оставшиеся шкалы, о которых я писала во вводной статье.

Оценка вероятности носит эмпирических характер, это то, насколько мы уверены в риске. Шкала вероятности риска:

• Высокая (3) — за время проекта скорее всего возникнет инцидент(ы) или риск реализуется.
• Средняя (2) — за время проекта возможно возникновение инцидента (ов) или реализация риска;
• Низкая (1) — за время проекта скорее всего не возникнут инцидент(ы) или реализация риска;

Применительно к нашему проекту, мы понимаем, что “голова” и ДО уже практически договорились, и пересмотр этих договоренностей возможен, только если произойдет форс-мажор. Т.е. вероятность реализации этого риска — низкая.

По инфраструктуре мы не раз обсудили вопрос с ответственным за ИТ в ДО, и поняли, что инфраструктуры, похоже, что не будет в нужном количестве. Вероятность этого — высокая.

По сценариям использования данных — Заказчик утверждает, что сценарий уже начали разрабатывать, однако в дружеской переписке с аналитиком от заказчика, мы выяснили, что этой задачи у него “на столе” ещё нет. Так что вероятность будет средняя.

Шкала степени влияния на проект последствий риска. Для того, чтобы оценить риск по этой шкале, при идентификации рисков мы по трём графам разносили возможное влияние: содержимое, сроки, финансы.

• Сильное (3) — реализация риска влечёт такие изменения конфигурации и ключевых показателей проекта, при которых завершение или продолжение проекта в рамках текущих ключевых показателей невозможно. Т.е. риск настолько серьёзен, что одновременно изменится и содержимое проекта, и финансы и сроки. В Матрице рисков, которую я привожу выше, на такой риск похожа ситуация, когда “голова” и ДО не договариваются о проекте в тех границах, которые нам озвучил заказчик — проект может либо не состояться вовсе, либо кардинально измениться.
• Среднее (2) — проект может быть продолжен или закончен при условии перепланирования с целью соблюдения какого-то одного параметра: сроков или бюджета или функционального объёма. Т.е. риск довольно серьёзен, но при этом не фатален. Примером такого риска может быть ситуация с изменением требований к модели данных — если риск реализуется, мы перепроектируем модель данных, это повлечет дополнительный объем работ, но при перепланировании проекта мы сумеем сохранить функциональный объем.
• Приемлемое (1) — проект может быть продолжен или закончен при соблюдении параметров бюджета и функционального объёма. Т.е. риск связан только с изменением сроков проекта. Пример такого риска — риск с инфраструктурой, когда ДО предоставляет более слабую конфигурацию железа. Тогда мы в принципе делаем тоже, что делали, но изменяем требования к надежности или ждем чуть дольше для выделения инф-ры в полном объеме, Заказчик такой подход принял.

Дополненная матрица рисков

После того, как мы сделали такую оценку, мы можем перейти к ранжированию рисков. Ранжирование нам нужно, чтобы первично понять, будем мы что-то делать с этим риском, или поживём — увидим (будем только наблюдать). При ранжировании мы оцениваем уровень риска как произведение вероятности риска и степени влияния на проект.

Результаты ранжирования рисков можно представить в матрице по форме как на рисунке ниже. В ячейках матрицы через запятую указываются номера рисков из реестра рисков. Либо можно поступить иначе — присвоить уровень риска в отдельной колонке матрицы рисков.

Дальше мы уже работаем с оценкой уровней риска. У меня обычно схема такая — если произведение вероятности и влияния равна или больше 6 — это красный уровень, равна или меньше 2 — зеленый, остальное — жёлтый.

Таким образом, в зеленую зону для меня попадают риски:

• низкая вероятность риска при среднем или приемлемом влиянии,
• средняя вероятность при приемлемом влиянии (не более 2 единиц).

Всё, что в зеленой зоне, обычно для меня, это риски, не требующие активных действий сейчас, т.е. соответствующие риск-аппетиту, как говорят в учебниках. Но вообще надо сказать, что риск-аппетит — уровень риска, на который готова пойти организация для достижения бизнес-целей — достаточно индивидуальный параметр, и его уровень обязательно должен быть определен в соглашении о работе с рисками.

Матрица ранжирования рисков

На этом часть с оценкой рисков можно считать законченной. Для текущей итерации. В проектах оценка проводится не раз и не два, уровни, вероятности и влияние пересматриваются регулярно — кто-то занимается этим в начале спринта, кто-то по расписанию, это также зависит от соглашений по работе с рисками.

В следующей части я наконец-то приступлю к самому интересному — работе с рисками, расскажу про риск-мероприятия, как их планировать и прочее, прочее. Интересно будет)

От Редких до Определенных, От Незначительных до Катастрофических

Управление рисками | Автор: ExecutiveBrief | Минуты времени чтения

Риски, которым подвергается ваш проект или бизнес, возможно, заслуживают рассмотрения сейчас больше, чем когда-либо, чтобы увидеть, какие из них требуют большего внимания, чем другие.

Риск – это понятие, обозначающее потенциальное негативное влияние на актив или некоторую характеристику стоимости, которое может возникнуть в результате какого-либо текущего процесса или будущего события. В повседневном использовании риск часто используется как синоним вероятности известного убытка. Риск измеряется с точки зрения воздействия и вероятности. Поскольку риск напрямую связан с потерями, важно уметь оценивать риски в своем бизнесе и реагировать на них. Излишне говорить, что невнимание к рискам может определенно повлиять на прибыль компании.

Некоторые предприятия фактически обходятся без формальной политики оценки рисков, и нет подразделения, которое непосредственно оценивает влияние рисков в организации. Мы настолько привыкли к риску в нашей повседневной жизни, что склонны игнорировать незначительные и реагировать, когда происходят серьезные. Более того, эффективное управление рисками сопряжено с некоторыми затратами, которые, если их представить заинтересованным сторонам, естественно, вызовут вопросы о том, как эти затраты могут быть оправданы.

Управление рисками — это модное слово, но ни в коем случае не новая наука. Все больше и больше предприятий и организаций осознают необходимость выявления внутри себя рисков, чтобы их можно было контролировать и смягчать. Важно снижать риски, когда они затрагивают людей, окружающую среду и бизнес, и это лишь некоторые из них. Избегание риска не может предотвратить возможность еще больших потерь.

Вопрос в том, как я, как менеджер, могу узнать, какие конкретные наборы рисков требуют особого внимания? Учитывая ограниченные ресурсы, как я узнаю, какие конкретные типы рисков необходимо расставить по приоритетам и устранить?

Матрица рисков — это инструмент оценки рисков, который раскрывает аспекты рисков, которые могут быть подвергнуты той или иной форме ранжирования. Матрица имеет диапазоны последствий и вероятности в качестве осей. Матрица рисков дает менеджеру и лицу, принимающему решения, более четкое представление о том, что представляет собой риск, с чем он связан (с точки зрения процедурных изменений, затрат, поведенческих корректировок и т. д.) и какое количество времени может быть предоставлено с учетом серьезности. и вероятность рискового события. Это может помочь менеджеру наглядно представить риски, с которыми он или она сталкивается, в количественном и качественном выражении, а также спланировать и принять более обоснованное решение при возникновении ситуации.

Как составить эффективную матрицу рисков?

1. Определите, для чего следует использовать матрицу рисков.

Обычно матрица рисков используется во время учений, включающих анализ опасностей, исследования размещения объектов и проверки безопасности. В зависимости от предполагаемого использования матрицы может потребоваться установить допустимые уровни или уровни приемлемости риска, а также средства оценки эффективности мер по снижению риска.

2. Определение последствий и диапазонов вероятности

Типичная матрица рисков представляет собой сетку четыре на четыре. На оси Y (вертикальная) указан диапазон описания «вероятность/вероятность», а на оси X (горизонтальная) — диапазон «последствий».

Рисунок 1: Образец матрицы рисков

Последствия рисков, изложенные в сетке, используют описательные слова и ранжируются в соответствии с серьезностью: незначительные, незначительные, критические и катастрофические. Незначительные риски являются наименее серьезными и им присваивается самый низкий ранг. И наоборот, катастрофические риски — это те, которые будут первыми в рейтинге серьезности. Определите толерантность, присвоив долларовые значения каждому рангу серьезности, а также некоторые качественные характеристики описываемого последствия. Например, к незначительным рискам относятся те, которые включают 2 000 долларов США, но менее 10 000 долларов США и могут привести к легким заболеваниям или травмам сотрудников в течение не более одного дня, не нарушают законы или наносят незначительный или минимальный ущерб окружающей среде, и им будет присвоен ранг 1 в матрица. Катастрофические риски — это те, которые связаны с 1 миллионом долларов США, могут привести к смерти или постоянной инвалидности, привести к необратимому экологическому ущербу или окончательному закрытию бизнеса, и им будет присвоен 4-й ранг в матрице.