Проведение полного количественного анализа рисков не всегда возможно. Наиболее частым ограничением является достаток информации о системе или деятельности, подвергающейся анализу. Менеджер ИТ-проекта часто встречается с отсутствием или недостатком статистических данных – данных об отказах, влиянии человеческого фактора, прочих рисках. Неточность исходных данных и ограничения аналитических методов также могут привести к неточным количественным расчетам. Отсутствие инструментов реализации количественной оценки может привести к затянутым срокам оценки и неэффективному использованию ресурсов, занятых в процессе.
Для реализации процедуры количественной оценки рисков ИТ-проекта предлагается использовать следующие основные методы.
1. Анализ чувствительности – состоит в определении набора рисков, имеющих наибольшее влияние на значение параметров эффективности проекта. При этом рассчитывается влияние значения одного из параметров проекта на один из показателей эффективности, при неизменности остальных параметров системы.
2. Сценарный анализ – предполагает, что развитие ситуации может происходить разными путями, при этом ни один из путей не является предопределенным. В результате анализа различных сценариев можно получить информацию о возможном ущербе и опасности данного риска.
3. Построение дерева решений – для выявления возможных альтернативных вариантов развития проекта и оценки вариации уровня риска и затрат; описывает рассматриваемую ситуацию с учетом каждой из имеющихся возможностей выбора и возможного сценария.
4. Анализ ожидаемой денежной стоимости (ОДС) – производится путем умножения значения каждого возможного денежного результата на вероятность его появления, а затем полученные значения суммируются.
5. Моделирование и имитация – при моделировании проекта используется модель для определения последствий от воздействия подробно описанных неопределенностей на результаты проекта в целом. Моделирование подразумевает построение модели проекта, которая отражает преобразование возможных колебаний параметров задач проекта в их воздействие на весь проект.
Каждый из перечисленных методов имеет свои достоинства и недостатки. Наиболее часто используемыми результатами являются диаграммы частоты в зависимости от последствия, либо совокупная стоимость ущерба, и статистически ожидаемый размер потерь от возникновения аппаратных сбоев, программных ошибок, нарушения безопасности, вирусных атак. Также широко используется распределение риска с соответствующим уровнем ущерба, представленное в виде графика и указывающее уровни равного ущерба.
Решение о применении каждого из методов должно быть основано на уверенности проектной группы в том, что его вклад в процесс приоритезации или планирования окупит дополнительные расходы. Рассмотрим каждый из методов более подробно.
1. Анализ чувствительности. Это стандартный метод количественного анализа, который заключается в изменении значений критических параметров (количество пользователей, объем операций, устойчивость к сбоям, производительность системы, время доступности системы и прочее) и расчете показателей эффективности проекта при каждом таком изменении. Анализ чувствительности можно реализовать как с помощью специальных программных пакетов, так и программы Excel.
Анализ чувствительности позволяет определить риски, имеющие наибольшее влияние на проект, и состоит в определении набора рисков, имеющих наибольшее влияние на значение параметров эффективности проекта. Основная идея метода исследования чувствительности состоит в анализе уязвимости, степени изменяемости коррелируемых показателей по отношению к изменениям параметров моделей: распределение вероятностей, областей изменения тех или иных величин (рис. 14). При этом рассчитывается воздействие изменения одного из входных параметров проекта на один из параметров эффективности. Пример: увеличение затрат на тестирование на 30 % приводит к увеличению стоимости проекта в 2 раза.
Рис. 14. Пример анализа чувствительности
Анализ чувствительности показывает связь двух факторов проекта при неизменных остальных показателях. Чем сильнее зависимость, тем критичнее воздействие выбранного рискового фактора, тем больше внимания необходимо ему уделить.
Выделяют два вида анализа чувствительности:
• относительный анализ – результат выражается в процентах отклонения параметра от первоначального значения;
• абсолютный анализ – чувствительность выражается в единицах измерения исследуемого параметра.
Методика анализа чувствительности очень наглядна и является хорошей иллюстрацией влияния отдельных исходных факторов на конечный результат проекта. Однако главным недостатком является то, что анализируется влияние только одного из факторов, а остальные считаются неизменными. Если на практике изменяются сразу несколько показателей, применение данного метода может быть ограничено.
2. Сценарный анализ. Методы, применяемые в настоящее время в сценарном анализе, используют конечное число сценариев, каждый из которых требуется предварительно подготовить. Более простым представляется подход с непрерывным числом исходных альтернатив-сценариев, когда их множество задается указанием его границ. Сценарий должен быть вероятным.
Для выполнения сценарного анализа необходимо определить перечень критических факторов, которые будут изменяться одновременно. Для этого, используя результаты анализа чувствительности, можно выбрать 2–4 фактора, которые оказывают наибольшее влияние на результат проекта. Рассматривать одновременно большее количество факторов не имеет смысла, поскольку это только усложняет расчеты. Обычно рассматривают три сценария: оптимистический, пессимистический и наиболее вероятный, но при необходимости их число можно увеличить. В каждом из сценариев фиксируются соответствующие значения отобранных факторов, после чего рассчитываются показатели эффективности проекта.
Пример: необходимо рассчитать вероятность, что количество сбоев в системе не будет превышать значение X. Для этого выберем ключевой фактор для построения сценариев – объем выполняемых операций. В качестве дополнительных факторов выберем количество пользователей и нагрузку на систему. Для расчета эффекта возьмем несколько сценариев – по полученному значению (накопленное нормальное распределение) определим расчетную вероятность. Расчетная вероятность может быть определена как с помощью специальных программных пакетов, так и программы Excel путем имитации с использованием генерации случайных чисел. Именно с этой вероятностью количество сбоев в системе не будет превышать заданное значение X.
