プロジェクトマネジメントにおける残存リスク：意味と例

残存リスクとは何ですか？

残存リスク とは、リスク対応策を実施した後に残るリスクの水準です。PMIのPMBOKガイドでは、残存リスクを、計画した対応策を講じた後も残ると予想されるリスクと説明しており、意図的に受容したリスクも含まれます。ISOのリスクマネジメント用語集（ISO Guide 73）では、より簡潔に、リスク対応後に残るリスクと定義しています。

平たく言えば、まず プロジェクトリスクから出発し、それに対して何をするかを決め、実行し、そして「今どの程度起こりやすく、起きたらどの程度深刻か？」と問います。その答えが残存リスクです。

• 特定済みのリスクである。 存在がわかっているため、未知のリスクと違って計画を立てられます。
• ゼロになることはまれである。 軽減は発生確率や影響度を下げ、転嫁は財務上の影響を移しますが、通常はどちらも事象そのものを完全には取り除きません。
• 判断のポイントである。 残存リスクの水準がわかったら、それを受容できるかどうかを誰かが判断しなければなりません。
• プロジェクト以外でも使われる。 情報セキュリティ、労働安全衛生、内部監査、全社的リスクマネジメントでも同じ考え方が使われています。

固有リスク、残存リスク、二次リスク

リスクマネジメントやPMP・CAPMの試験問題には、関連する4つの用語が登場します。下表では、1つのデータ移行リスクを例に、それぞれの違いを示します。

残存リスクと二次リスクの違い

どちらも対応策の後に現れるため、混同しやすい用語です。違いは発生源にあります：

• 残存リスク は 同じリスクが、取り除かれずに低減されたものです。事象はまだ起こりえます。
• 二次リスク は、対応策によって持ち込まれた 別のリスク です。次の中に独自の項目が必要です： リスク登録簿。スコアと責任者も独自に設定します。

例：スキル不足のリスクを減らすため、テストを専門会社に外部委託するとします。それでもテストが遅れる可能性はいくらか残ります（残存リスク）。また、外部委託によって、その会社が要求事項を誤解するという新たな可能性も生じます（二次リスク）。

残存リスクが重要な理由

対応策を計画すると、誤った安心感が生まれることがあります。残存リスクを測定すれば、リスクの全体像を正直に保てます。

• 正直な報告。 スポンサーは、当初特定されたリスクだけでなく、チームが対策を講じた後にどれだけのリスクが残っているかを知る必要があります。
• 適正規模の予備。 コンティンジェンシー予備は通常、残存リスクと受容したリスクの期待コストから規模を決めます。
• 費用対効果。 固有リスクと残存リスクを比較すれば、対応策がそのコストに見合うかどうかがわかります。
• 明確な説明責任。 残存リスクが記録され正式に受容されていれば、誰がそれを受け入れると決めたのかを全員が把握できます。
• より良い集中。 残存スコアの高いリスクは議題に残り、低い水準まで下がったリスクは通常の監視に移せます。

各対応戦略が残存リスクに与える影響

選んだ対応策によって、何が残るかが決まります。以下はPMIが示す脅威への戦略と、残存リスクへの一般的な影響です。

好機の場合は論理が逆になります。活用、強化、共有を行った後、便益がどの程度起こりやすくなり、どの程度大きくなるかを再評価します。

残存リスクの計算方法

公式の計算式は1つではありません。多くのプロジェクトは以下の3つの方法のいずれかを使っています。1つを選んで一貫して使い、尺度はリスクマネジメント計画書で定義しましょう。

方法1：発生確率と影響度を再評価する

最も簡単で一般的な方法であり、多くの登録簿で使われている発生確率 x 影響度のマトリックスと整合します。

1. 固有リスクを評価する：発生確率（1～5）x 影響度（1～5）。
2. 対応策を列挙し、現実的で、資金が確保され、責任者がいることを確認する。
3. 対応策が計画どおりに機能すると仮定して、発生確率と影響度を再評価する。
4. 掛け合わせて残存スコアを求める。

たとえば、固有の発生確率が4、影響度が4なら16です。軽減策で発生確率が2に下がり、影響度が4のままなら、残存スコアは8です。

方法2：期待金額価値

コストを見積れる場合は、残存リスクを金額で表します。 残存期待金額価値 = 残存発生確率 x 残存コスト影響。 £20,000の超過が10%の確率で起こるなら、残存エクスポージャーは£2,000です。これはコンティンジェンシー予備の規模の決定や、対応策とそのコストの比較に役立ちます。プロジェクト全体については、 モンテカルロ・シミュレーション によって多数の残存リスクを組み合わせ、結果の幅として示すことができます。

方法3：管理策の有効性

特にセキュリティや監査の分野では、管理策の有効性を見積り、それに応じて固有スコアを減らす組織もあります： 残存リスク = 固有リスク x (1 - 管理策の有効性)。固有スコアが15で、管理策の有効性が60%と判断されれば6になります。これはおおまかな目安として扱いましょう。有効性の割合は判断によるものであり、発生確率を下げる対応策が必ずしも影響度を下げるとは限りません。

計算例：建設プロジェクトの残存リスク

ある建設プロジェクトでは、鉄骨を組み立てるためにレンタルのタワークレーンに依存しています。故障すると、代替機が見つかるまで最大6週間作業が止まる可能性があります。

対応策のコストは£5,000で、期待エクスポージャーを£34,500減らすため、明らかに実施する価値があります。残存スコア4はプロジェクトの許容度6の範囲内なので、プロジェクトマネージャーはこのリスクを残存水準で受容したものとして記録し、コンティンジェンシー予備として£1,500を確保し、点検報告の監視を続けます。

ここでの数値は説明用です。ご自身のプロジェクトでは、組織の尺度とコスト見積りを使ってください。

残存リスクのその他の例

転嫁や違約金条項は、財務上の影響を減らしても、スケジュールや評判への影響は減らさないことが多い点に注意しましょう。残るものを正直に記録してください。

残存リスクを評価する手順

1. 固有リスクを評価する （合意した発生確率と影響度の尺度を使用）。
2. 対応策に合意する（各アクションに責任者、コスト、日付を設定）。
3. 計画上の残存リスクを見積る：対応策が機能すると仮定して再評価します。これが目標です。
4. 二次リスクを確認する （対応策によって生じたもの）。別途記録します。
5. 許容度と比較する 。基準は次で設定したものです： プロジェクトマネジメント計画書.
6. 判断する：受容する、対応策を追加する、またはエスカレーションする。
7. 判断を記録する（誰がいつ残存リスクを受容したかを含む）。
8. 対応策が完了したら再評価する ことで実際の残存リスクを求め、トリガーの監視を続けます。

残存リスクは受容できるか？

残存リスクを受容できるかどうかの判断は判断の問題ですが、直感ではなく合意したルールに従うべきです。

• 許容度と比較する。 リスクマネジメント計画書には、組織のリスク選好に基づき、プロジェクトで受容できるスコアとエスカレーションが必要なスコアを明記しておきます。
• さらに低減するためのコストを比較検討する。 追加の対応策のコストが、それによって減るエクスポージャーより大きいなら、残存リスクを受容するのが賢明な場合が多いでしょう。 費用便益分析 がここで役立ちます。
• 財務以外の影響を考慮する。 安全、法務、評判に関わるリスクは、金銭的な根拠が弱くても、さらに低減する必要がある場合があります。
• 判断を見える形にする。 重大な残存リスクは、チームがひそかに受け入れるのではなく、プロジェクトの ガバナンス の仕組みを通じて、スポンサーまたはプロジェクト役員会が明示的に受容すべきです。

1～25のスコア尺度を使った、合意済みルールの例：

これらの区分は当サイトの提案であり、標準ではありません。組織のリスク選好とプロジェクトの重要度に合わせて独自に設定しましょう。

残存リスクのマネジメント：コンティンジェンシー予備とフォールバック計画

受容した残存リスクにも計画が必要です。よく使われるツールが2つあります。

コンティンジェンシー予備はコストの ベースライン 内にあり、次の一部です： プロジェクト予算。受容したリスクの残存期待値を合計すれば、その規模について説明可能な出発点が得られます。

残存リスクが実際に発生した場合、それは課題になります。次に移しましょう： 課題ログ。そのうえでコンティンジェンシー計画を実行し、予算やスケジュールが変わる場合は次を経ます： 変更管理.

リスク登録簿への残存リスクの記録

スコアが1つしか表示されない登録簿では、対応策の効果が見えません。列を追加して、対応前と対応後の状況が明確にわかるようにしましょう。

当サイトの無料の リスク登録簿テンプレート は発生確率 x 影響度のスコアを自動で計算します。その横に残存スコアと受容の列を追加して、対応後の状況を追跡しましょう。

スポンサーへの残存リスクの報告

スポンサーや役員会がすべてのリスクを知る必要はありませんが、プロジェクトがどれだけのリスクを抱えているかは知る必要があります。

• 上位のリスクについて固有スコアと残存スコアを並べて示し、対応策の効果が見えるようにする。
• 許容度を超えている残存リスクと、スポンサーに求める判断を強調する。
• 残りのコンティンジェンシー予備を、それがカバーすべき残存エクスポージャーと対比して報告する。
• 残存リスクを定期的な プロジェクト状況報告書 やステージゲートのレビューに含める。

小規模なプロジェクトでは、 RAIDログ でリスク、前提条件、課題、依存関係を1か所にまとめて管理できます。詳しくは RAIDログテンプレート.

残存リスクに関するよくある間違い

• 対応策でリスクがなくなると思い込むこと。 回避した場合を除き、たいていは何かが残ります。
• 早すぎる再評価。 対応策が実施済みではなく計画段階のときにスコアを下げると、進捗を過大に見せることになります。
• 二次リスクを無視すること。 どの対応策も新たなリスクを生む可能性があります。毎回確認しましょう。
• 転嫁を除去とみなすこと。 保険や契約で移せるのはお金であり、時間、評判、安全ではありません。
• スポンサーに知らせないこと。 チームが黙って受け入れた残存リスクは、正しく受容されたとは言えません。
• 予備がないこと。 コンティンジェンシーの時間やお金なしに残存リスクを受容すると、発生したときにすべて予算やスケジュールの問題になります。
• 見直さないこと。 状況は変化します。リスクレビューとステージゲートのたびに残存リスクのスコアを見直しましょう。

残存リスクは、リスクの特定、分析、対応、監視という、より広いプロセスの一部です。

このトピックの無料テンプレート

すべてのテンプレートを見る

よくある質問