Руководство по управлению проектами · Риски, качество и контроль
Остаточный риск в управлении проектами: значение и примеры
Остаточный риск в управлении проектами — это риск, который остаётся после планирования и выполнения мер реагирования на риски. Немногие меры полностью устраняют риск, поэтому в большинстве проектов есть остаточный риск, который нужно измерить, принять на соответствующем уровне, покрыть резервами и отслеживать. В этом руководстве объясняется, как его рассчитать, с разобранными примерами, и как решить, приемлем ли он.
Главное
- Остаточный риск — это то, что остаётся после реагирования; присущий риск — уровень до любого реагирования.
- Вторичный риск — это новый риск, созданный мерой реагирования, и он отличается от остаточного.
- Рассчитывайте остаточный риск, заново оценивая вероятность и воздействие или ожидаемую денежную стоимость после реагирования.
- Сравнивайте остаточный риск с согласованными допусками; если он слишком высок, добавьте меры реагирования или эскалируйте.
- Значительный остаточный риск должен быть явно принят спонсором или советом проекта и зафиксирован в реестре рисков.
Что такое остаточный риск?
Остаточный риск — это уровень риска, остающийся после внедрения мер реагирования. Руководство PMBOK от PMI описывает остаточные риски как риски, которые, как ожидается, сохранятся после выполнения запланированных мер, включая сознательно принятые риски. Словарь ISO по менеджменту риска (ISO Guide 73) определяет его короче: риск, остающийся после обработки риска.
Проще говоря, вы начинаете с Риск проекта, решаете, что с ним делать, делаете это, а затем спрашиваете: насколько он вероятен теперь и насколько серьёзными будут последствия? Ответ и есть остаточный риск.
- Это выявленный риск. Вы о нём знаете и можете его спланировать, в отличие от неизвестных рисков.
- Он редко равен нулю. Снижение уменьшает вероятность или воздействие; передача перемещает финансовые последствия; ни то ни другое обычно не устраняет событие полностью.
- Это точка принятия решения. Когда уровень остаточного риска известен, кто-то должен решить, приемлем ли он.
- Понятие используется не только в проектах. Та же идея применяется в информационной безопасности, охране труда, внутреннем аудите и управлении рисками предприятия.
Присущий, остаточный и вторичный риск
В управлении рисками и в экзаменационных вопросах PMP и CAPM встречаются четыре связанных термина. Таблица показывает их различия на примере одного риска миграции данных.
| Термин | Значение | Пример |
|---|---|---|
| Присущий риск | Риск до любого реагирования или контроля | Потеря данных при миграции: вероятность 3 x воздействие 5 = 15 |
| Остаточный риск | Риск, остающийся после реагирования | После полного резервного копирования и репетиции: вероятность 1 x воздействие 4 = 4 |
| Вторичный риск | Новый риск, создаваемый непосредственно выполнением меры реагирования | Репетиция занимает тестовую среду, задерживая другое тестирование |
| Возникающий риск | Риск, который становится видимым только по мере продвижения проекта | В ходе выполнения объявлено о новом регулировании в сфере данных |
Остаточный и вторичный риск
Их легко спутать, поскольку оба появляются после реагирования. Разница в их происхождении:
- Остаточный риск — это тот же риск, сниженный, но не устранённый. Событие всё ещё может произойти.
- Вторичный риск — это другой риск , привнесённый вашей мерой реагирования. Для него нужна отдельная запись в реестр рисков, собственная оценка и владелец.
Пример: чтобы снизить риск нехватки специалистов, вы передаёте тестирование специализированной компании. Сохраняется некоторая вероятность, что тестирование всё равно затянется (остаточный риск). Аутсорсинг также создаёт новую вероятность того, что компания неправильно поймёт ваши требования (вторичный риск).
Почему остаточный риск важен
Планирование реагирования может создать ложное чувство безопасности. Измерение остаточного риска сохраняет картину рисков честной.
- Честная отчётность. Спонсорам нужно знать, какой риск остаётся после действий команды, а не только то, что было выявлено изначально.
- Резервы нужного размера. Резерв на непредвиденные обстоятельства обычно определяется исходя из ожидаемой стоимости остаточных и принятых рисков.
- Соотношение цены и пользы. Сравнение присущего и остаточного риска показывает, оправдывает ли мера реагирования свою стоимость.
- Чёткая подотчётность. Когда остаточный риск зафиксирован и официально принят, все знают, кто решил с ним мириться.
- Лучшая фокусировка. Риски с высокой остаточной оценкой остаются в повестке; риски, сниженные до низкого уровня, можно перевести в режим планового мониторинга.
Как каждая стратегия реагирования влияет на остаточный риск
Выбранная мера реагирования определяет, что останется. Ниже приведены стратегии реагирования на угрозы, описанные PMI, и их обычное влияние на остаточный риск.
| Стратегия | Что делает | Типичный остаточный риск |
|---|---|---|
| Уклонение | Изменить план так, чтобы угроза не могла наступить, например отказаться от рискованной функции | Близок к нулю для этого риска, но проверьте, не создаёт ли изменение новых рисков |
| Снижение | Снизить вероятность, воздействие или и то и другое | Ниже присущего; самый распространённый источник остаточного риска |
| Передача | Переложить финансовые последствия на третью сторону, например через страхование или контракт с фиксированной ценой | Финансовое воздействие снижается, но воздействие на сроки и репутацию может сохраниться, а третья сторона может не справиться |
| Принятие | Пока не предпринимать действий; возможно, держать резерв или план на случай непредвиденных обстоятельств | Равен присущему риску |
| Эскалация | Передать ответственность на более высокий уровень, поскольку риск вне полномочий проекта | Исключается из реестра проекта, но организация по-прежнему несёт этот риск |
Для возможностей логика обратная: после использования, усиления или разделения вы заново оцениваете, насколько вероятна выгода теперь и насколько она велика.
Как рассчитать остаточный риск
Единой официальной формулы нет. В большинстве проектов используют один из трёх методов ниже. Выберите один, применяйте его последовательно и определите шкалы в плане управления рисками.
Метод 1: повторная оценка вероятности и воздействия
Это самый простой и самый распространённый подход, соответствующий матрице «вероятность x воздействие», которую используют большинство реестров.
- Оцените присущий риск: вероятность (1–5) x воздействие (1–5).
- Перечислите меры реагирования и убедитесь, что они реалистичны, профинансированы и имеют ответственных.
- Заново оцените вероятность и воздействие, исходя из того, что меры сработают как запланировано.
- Перемножьте значения, чтобы получить остаточную оценку.
Например, присущая вероятность 4 и воздействие 4 дают 16. Если снижение уменьшает вероятность до 2, а воздействие остаётся равным 4, остаточная оценка составит 8.
Метод 2: ожидаемая денежная стоимость
Если затраты можно оценить, выражайте остаточный риск в деньгах. Остаточная ожидаемая денежная стоимость = остаточная вероятность x остаточное воздействие на стоимость. Вероятность 10% перерасхода в £20,000 даёт остаточную подверженность риску £2,000. Это полезно для определения размера резерва на непредвиденные обстоятельства и сравнения мер реагирования с их стоимостью. Для проекта в целом моделирования Монте-Карло позволяет объединить множество остаточных рисков в диапазон возможных исходов.
Метод 3: эффективность мер контроля
Некоторые организации, особенно в сфере безопасности и аудита, оценивают эффективность мер контроля и соответственно снижают присущую оценку: остаточный риск = присущий риск x (1 − эффективность мер контроля). Присущая оценка 15 при эффективности мер контроля 60% даёт 6. Рассматривайте это как приблизительный ориентир: проценты эффективности — экспертные суждения, а мера, снижающая вероятность, не всегда снижает воздействие.
Разобранный пример: остаточный риск в строительном проекте
Строительный проект зависит от арендованного башенного крана для монтажа стального каркаса. Поломка может остановить работы на срок до шести недель, пока ищут замену.
| Шаг | Детализация | Оценка или стоимость |
|---|---|---|
| Присущий риск | Вероятность 3 (возможно) x воздействие 5 (очень высокое) | 15 (высокий) |
| Присущая подверженность риску | Вероятность 30% x £120,000 стоимости шестинедельной задержки | £36,000 |
| Мера реагирования 1 | Еженедельные проверки арендодателем снижают вероятность | Вероятность 2 |
| Мера реагирования 2 | Резервное соглашение со второй компанией по аренде ограничивает любую задержку тремя днями | Воздействие 2 |
| Остаточный риск | Вероятность 2 x воздействие 2 | 4 (низкий) |
| Остаточная подверженность риску | Вероятность 10% x £15,000 стоимости трёхдневной задержки | £1,500 |
| Стоимость мер реагирования | Плата за проверки плюс плата за резервирование | £5,000 |
| Вторичный риск | У резервной компании может не оказаться свободного крана в короткий срок | Зафиксирован отдельно, оценка 3 |
Меры реагирования стоят £5,000 и снижают ожидаемую подверженность риску на £34,500, поэтому они явно оправданы. Остаточная оценка 4 находится в пределах допуска проекта, равного 6, поэтому руководитель проекта фиксирует риск как принятый на остаточном уровне, держит £1,500 в резерве на непредвиденные обстоятельства и продолжает отслеживать отчёты о проверках.
Приведённые цифры носят иллюстративный характер. В собственном проекте используйте шкалы и оценки затрат вашей организации.
Другие примеры остаточного риска
| Проект | Присущий риск | Реагирование | Что остаётся (остаточный риск) |
|---|---|---|---|
| Миграция ИТ-системы | Данные могут быть повреждены при переключении (3 x 5 = 15) | Репетиция на полном объёме и проверенные резервные копии | Небольшая вероятность повреждения, которое можно устранить откатом в течение дня (1 x 3 = 3) |
| Мероприятие на открытом воздухе | Плохая погода может снизить посещаемость (3 x 4 = 12) | Аренда шатра и страхование от отмены | Посещаемость всё равно может упасть; репутационное воздействие не застраховано (3 x 2 = 6) |
| Выпуск ПО | В релиз может попасть уязвимость (2 x 5 = 10) | Код-ревью, автоматическое сканирование и тестирование на проникновение | Неизвестные уязвимости могут остаться (1 x 5 = 5), поэтому мониторинг и план реагирования на инциденты сохраняются |
| Контракт с поставщиком | Поставщик может задержать поставку (4 x 3 = 12) | Штрафная оговорка и еженедельный контроль хода работ | Задержка менее вероятна, но штрафы не возвращают потерянное время (2 x 3 = 6) |
| Маркетинговый запуск | Конкурент может выйти на рынок первым (2 x 4 = 8) | Принять и подготовить отличающееся позиционирование | Без изменений, поскольку риск принят (2 x 4 = 8) |
Обратите внимание: передача риска и штрафные оговорки часто снижают финансовое воздействие, но не воздействие на сроки или репутацию. Честно фиксируйте то, что остаётся.
Как пошагово оценить остаточный риск
- Оцените присущий риск по согласованным шкалам вероятности и воздействия.
- Согласуйте меры реагирования с ответственным, стоимостью и сроком для каждого действия.
- Оцените плановый остаточный риск: переоцените риск, исходя из того, что меры сработают. Это ваша цель.
- Проверьте наличие вторичных рисков , созданных мерами реагирования, и зафиксируйте их отдельно.
- Сравните с допусками , установленными в план управления проектом.
- Примите решение: принять, добавить меры реагирования или эскалировать.
- Зафиксируйте решение, включая то, кто и когда принял остаточный риск.
- Переоцените риск после выполнения мер реагирования , чтобы получить фактический остаточный риск, и продолжайте отслеживать триггеры.
Приемлем ли остаточный риск?
Решение о приемлемости остаточного риска — это экспертное суждение, но оно должно следовать согласованным правилам, а не интуиции.
- Сравните его с допусками. В плане управления рисками должно быть указано, какие оценки проект может принять, а какие требуют эскалации, исходя из риск-аппетита организации.
- Взвесьте стоимость дальнейшего снижения. Если очередная мера обойдётся дороже, чем устраняемая ею подверженность риску, принять остаточный риск часто разумно. анализом затрат и выгод здесь поможет.
- Учитывайте нефинансовые последствия. Риски для безопасности, юридические и репутационные риски могут требовать дальнейшего снижения, даже если финансовое обоснование слабое.
- Делайте решение видимым. Значительные остаточные риски должны явно приниматься спонсором или советом проекта в рамках механизмов системе руководства проектом проекта, а не молча командой.
Пример согласованных правил по шкале оценки 1–25:
| Остаточная оценка | Диапазон | Типичное действие |
|---|---|---|
| 15-25 | Высокий | Неприемлемо на уровне проекта; добавьте меры реагирования или эскалируйте спонсору или совету |
| 8-14 | Средний | Приемлемо только с согласия спонсора, при наличии плана на случай непредвиденных обстоятельств и тщательном мониторинге |
| 1-7 | Низкий | Руководитель проекта может принять; мониторинг с обычной периодичностью пересмотра |
Эти диапазоны — наша рекомендация, а не стандарт. Установите собственные с учётом риск-аппетита вашей организации и значимости проекта.
Управление остаточным риском: резерв на непредвиденные обстоятельства и резервные планы
Принятый остаточный риск всё равно требует плана. Обычно используют два инструмента.
| Инструмент | Что это | Когда применяется |
|---|---|---|
| План на случай непредвиденных обстоятельств | Действия, предпринимаемые в случае наступления риска | Запускается при наступлении рискового события или срабатывании триггера |
| Резервный план | Второй набор действий, если план на случай непредвиденных обстоятельств не сработал | Для рисков с высоким воздействием, когда одного плана недостаточно |
| Резерв на непредвиденные расходы | Время или деньги, выделенные на выявленные риски, включая остаточные | Размер определяется по ожидаемым значениям; средства расходуются при наступлении рисков |
| Управленческий резерв | Время или деньги на неизвестные риски, находящиеся за пределами базового плана | Выделяется через систему руководства для рисков, которые никто не выявил |
Резерв на непредвиденные обстоятельства входит в базовый план и является частью бюджет проекта. Сумма остаточных ожидаемых значений принятых рисков даёт обоснованную отправную точку для определения его размера.
Если остаточный риск всё же наступает, он становится проблемой: перенесите его в журнала проблем, выполните план на случай непредвиденных обстоятельств и, если меняется бюджет или расписание, пройдите через управление изменениями.
Фиксация остаточного риска в реестре рисков
Реестр, показывающий только одну оценку, скрывает эффект мер реагирования. Добавьте столбцы, чтобы картина «до» и «после» была наглядной.
| Столбец | Что фиксировать |
|---|---|
| Присущие вероятность, воздействие и оценка | Оценка до любого реагирования |
| Стратегия и действия по реагированию | Уклонение, снижение, передача, принятие или эскалация с указанием сроков и ответственных |
| Плановая остаточная оценка | Ожидаемая оценка после выполнения мер реагирования |
| Фактическая остаточная оценка | Повторная оценка после выполнения мер реагирования |
| Остаточная подверженность риску (необязательно) | Остаточная вероятность x воздействие на стоимость; используется для резервов |
| Кем и когда принят | Кто и когда принял остаточный риск |
| Вторичные риски | Ссылки на новые риски, созданные мерой реагирования |
Наш бесплатный шаблон реестра рисков автоматически рассчитывает оценку «вероятность x воздействие»; добавьте рядом столбцы остаточной оценки и принятия, чтобы отслеживать положение после реагирования.
Как сообщать спонсорам об остаточном риске
Спонсорам и советам не нужен каждый риск, но им нужно знать, какой риск несёт проект.
- Показывайте главные риски с присущей и остаточной оценками рядом, чтобы эффект мер реагирования был виден.
- Выделяйте остаточные риски, превышающие допуск, и решение, которое требуется от спонсора.
- Сообщайте об оставшемся резерве на непредвиденные обстоятельства в сравнении с остаточной подверженностью риску, которую он должен покрывать.
- Включайте остаточный риск в регулярный отчёте о статусе проекта и в обзоры на контрольных точках этапов.
В небольших проектах журнала RAID может хранить риски, допущения, проблемы и зависимости в одном месте; см. наше Шаблон журнала RAID.
Типичные ошибки при работе с остаточным риском
- Предположение, что мера реагирования устраняет риск. Если вы не уклонились от риска, что-то обычно остаётся.
- Слишком ранняя переоценка. Снижение оценки, когда мера только запланирована, а не выполнена, преувеличивает прогресс.
- Игнорирование вторичных рисков. Любая мера реагирования может создать новые риски; каждый раз проверяйте их наличие.
- Восприятие передачи риска как его устранения. Страхование или контракты перемещают деньги, но не время, репутацию или безопасность.
- Сокрытие от спонсора. Остаточный риск, молча принятый командой, нельзя считать надлежащим образом принятым.
- Отсутствие резерва. Если принять остаточный риск без резерва времени или денег, любое его наступление становится проблемой бюджета или расписания.
- Отсутствие пересмотра. Условия меняются; пересматривайте остаточные оценки при каждом обзоре рисков и на каждой контрольной точке этапа.
Остаточный риск — часть более широкого процесса выявления, анализа, реагирования на риски и их мониторинга.
Бесплатные шаблоны по этой теме
Частые вопросы
Что такое остаточный риск в управлении проектами?
Риск, который остаётся после того, как меры реагирования на риск спланированы и выполнены. Это тот же риск, что и раньше, но с пониженным (или, если он принят, неизменным) уровнем вероятности или воздействия.
Каков пример остаточного риска?
Перед миграцией данных команда проводит полную генеральную репетицию и делает резервные копии. Повреждение данных теперь гораздо менее вероятно, но небольшой шанс остаётся. Этот оставшийся шанс и его последствия и есть остаточный риск.
Как рассчитать остаточный риск?
Заново оцените вероятность и воздействие с учётом принятых мер и перемножьте их или рассчитайте ожидаемую денежную стоимость, используя сниженные вероятность и стоимостное воздействие. Некоторые организации вместо этого уменьшают присущую оценку на расчётную эффективность контролей.
Какова формула остаточного риска?
Распространённая упрощённая запись: остаточный риск = присущий риск - эффект мер реагирования или контролей. На практике его рассчитывают как остаточная вероятность x остаточное воздействие или как присущий риск x (1 - эффективность контролей).
В чём разница между присущим и остаточным риском?
Присущий риск — это уровень риска до каких-либо мер реагирования или контролей; остаточный риск — уровень, который остаётся после мер реагирования.
Чем остаточный риск отличается от вторичного?
Остаточный риск — то, что остаётся от исходного риска после мер реагирования. Вторичный риск — новый, другой риск, который возникает непосредственно в результате выполнения мер реагирования.
Может ли остаточный риск быть нулевым?
Редко. Только полное уклонение от риска, например путём исключения вызывающей его деятельности, приближает этот риск к нулю, и даже тогда изменение может породить новые риски.
Кто принимает остаточный риск в проекте?
Руководитель проекта обычно может принимать низкие остаточные риски. Значительные риски должны приниматься спонсором или советом проекта в соответствии с правилами руководства проектом и допусками.
Какой уровень остаточного риска приемлем?
Тот, который укладывается в допуски, согласованные в плане управления рисками, и отражает риск-аппетит организации. Что приемлемо, зависит от организации и типа воздействия, особенно для рисков в области безопасности и юридических рисков.
Где фиксируется остаточный риск?
В реестре рисков, обычно в столбце остаточной оценки рядом с присущей оценкой, с указанием имени принявшего его лица и даты.
Что делать, если остаточный риск слишком высок?
Добавьте дополнительные меры реагирования, измените план, чтобы уклониться от риска, передайте большую часть воздействия, эскалируйте его на более высокий уровень или в крайних случаях откажитесь от продолжения.
Как остаточный риск покрывается финансово?
Обычно за счёт резерва на непредвиденные расходы, размер которого определяется исходя из ожидаемой стоимости выявленных рисков, включая остаточные и принятые. Управленческий резерв покрывает неизвестные риски.
Что такое резервный план?
Второй набор действий на случай, если план на случай непредвиденных обстоятельств для риска не сработает. Резервные планы часто готовят для остаточных рисков с высоким воздействием.
Используется ли понятие остаточного риска за пределами управления проектами?
Да. Это стандартное понятие в информационной безопасности, внутреннем аудите, охране труда и управлении рисками предприятия, где его часто определяют как риск, остающийся после обработки риска.