При выборе решения о принятии риска имеет смысл продолжить мониторинг на случай изменения вероятности риска, угрозы или появления новой возможности управления. Для надежного обеспечения безопасности по принятым рискам рекомендуется позаботиться о разработке нескольких сценариев развития проекта, готовности к наиболее пессимистическому варианту (наступление всех или почти всех рисковых событий) и создании финансовых и ресурсных резервных фондов.
В качестве примера действий при принятии риска можно отметить разработку плана реагирования на последствия риска (плана смягчения последствий риска), выделение финансовых средств на устранение последствий, документирование факторов, повлиявших на возникновение риска.
Сводная таблица основных методов реагирования и необходимых действий представлена в табл. 7.
Таблица 7.
Сводная таблица методов реагирования
Среди прочих «неосновных» методов реагирования некоторые методологии дополнительно выделяют:
• Исследование риска (Research) – стратегия, при которой собирается дополнительная информация и уточняются оценки риска, осуществляются дополнительное изучение предметной области, проверка гипотез, привлечение экспертов, дополнительного оборудования;
• Использование риска (Exploit) – устранение неизвестности, связанной с риском, при реализации возможности этого риска. Этот метод включает в себя привлечение лучших ресурсов для сокращения срока работ, а также обеспечение лучшего по сравнению с запланированным качества;
• Совместное использование или разделение (Share) – частичная или полная передача риска третьей стороне, способной использовать его к наибольшей выгоде проекта. Примеры – создание партнерств с разделенным риском, команд, специальных компаний или совместных предприятий, открытых с четко выраженной целью управления возможностями риска;
• Усиление (Enhance) – изменение «размера» риска путем увеличения его вероятности и позитивного результата.
В результате этапа планирования реагирования на риски менеджером проекта или риск-менеджером формируется документ «План реагирования на риски». План реагирования на риски – это формальный документ, который является частью общего плана управления рисками и составляется на начальном этапе планирования рисков проекта. План содержит детальное описание мер реагирования на все идентифицированные риски и может включать следующие разделы и документы:
• список рисков проекта, их описание, причины и степень воздействия рисков на проект;
• владельцы рисков и распределение ответственности;
• результаты качественной и количественной оценок рисков;
• выбор методов реагирования (избегание, передача, минимизация или принятие) для каждого вида рисков;
• уровень рисков (вероятность возникновения и влияние), который предполагается достигнуть вследствие применения стратегии;
• конкретные действия в рамках выбранной стратегии, список мероприятий, которые проектная группа должна осуществить для реализации стратегии управления риском, включая даты обязательного завершения этих мероприятий и информацию о персональной ответственности за них;
• бюджет и время реагирования;
• план на случай неблагоприятных обстоятельств, план нейтрализации, антикризисный план;
• триггеры планов реагирования – критерии, используемые проектной группой для определения условий начала осуществления плана реагирования на риски.
Вне зависимости от выбранного реагирования план должен содержать детализированное описание действий по выбранному реагированию. Так, например, в случае принятия рисков план управления рисками должен включать в себя обоснование того, почему проектная группа избрала принятие риска, а не выработку мер по его предотвращению и смягчению последствий.
В случае избежания план реагирования должен включать в себя обоснование необходимого изменения, и оно должно быть также отражено в плане самого проекта. Обязательно документирование изменений целей проекта, а также всех изменений в документации проекта, возникающих при его реализации.
При передаче риска в плане фиксируются оценка стоимости риска, обоснование выбора третьей стороны, которой планируется передать риск, документируются контрактные условия и обязательства.
План минимизации описывает меры и мероприятия, осуществляемые заблаговременно для предотвращения риска или сокращения его угрозы или последствий до приемлемого уровня. Фиксируются стратегии, действия, цели, даты графика, требования по отслеживанию событий и прочая информация, необходимая для снижения уязвимости риска.
4.4. Мониторинг, отчетность и контроль управления рисками
Мониторинг и контроль рисков – процесс отслеживания идентифицированных рисков, мониторинга остаточных и идентификации новых рисков, обеспечения выполнения плана управления рисками на основе выбранного метода реагирования и оценки его эффективности.
Фактически мониторинг – это наблюдательная деятельность, предусмотренная составленным ранее планом управления рисками. Мониторинг процесса реагирования на риски контролирует ключевые аспекты проекта, соблюдение сроков, качества, стоимости затрат на минимизацию наступления риска. Отлеживаются выполнение плана рисков, наступление триггеров, проводятся оценка эффективности управления рисками и выбор альтернативных стратегий.
Мониторинг и контроль рисков проекта осуществляются в течение всего жизненного цикла внедрения ИТ-системы. Качественный контроль выполнения плана управления рисками ИТ-проекта предоставляет информацию, помогающую принимать эффективные решения для предотвращения последующего возникновения рисков.
В процессе мониторинга рисков определяется:
• было ли осуществлено реагирование на риски в соответствии с планом управления рисками проекта;
• достаточно ли эффективны меры реагирования на риски, есть ли потребность в разработке новых стратегий;
• изменилось ли воздействие риска на проект по сравнению с ранее определенным, какова тенденция изменения;
• является ли воздействие риска запланированным или случайным результатом;
• появились ли новые/остаточные риски.
В процессе мониторинга определяются новые и остаточные риски (не вошедшие в первоначальный план управления рисками).
Появление новых рисков проекта высоковероятно при различных изменениях проекта, таких как изменение требований заказчика, изменение ключевых фигур проекта (например, смена спонсора проекта), изменение технологий или ресурсов, всевозможные внешние изменения среды проекта (политические, законодательные, социальные). Новые риски могут как усилить, так и ослабить влияние на проект старых рисков. Важным моментом является обязательное документирование результатов совещаний по пересмотру и контролю состояния рисков проекта.
