Risk Register: What number of risks is normal?

Когда мы готовили наше исследование по риск-менеджменту, то задались вопросом – сколько рисков обычно в наших проектах и от чего зависит их количество? У каждого из нас свой опыт. Например, мне в своих проектах чаще всего приходится сталкиваться с реестром рисков величиной от 30 до 50 рисков, из которых 40-70% довольно критичны. Когда я говорю о своих проектах, то имею в виду проекты стоимостью 1-2 M$, сроком около года и с командой до 10 человек.

Если верить опросу, который мы провели этим летом на постсоветском пространстве среди топов (21% аудитории исследования), менеджеров проектов (52% аудитории исследования) и линейных руководителей (14% аудитории исследования), у 62% респондентов количество рисков в проекте не превышает 10. Только у 8% их в среднем более 30, а у остальных 29% находится в диапазоне 11-30 идентифицированных рисков в проекте.

Налицо расхождение, которое может быть вызвано несколькими причинами…

Варианты:

Нам систематически достаются “плохие” или более сложные проекты с большим количеством рисков, чем у других;
Во многих проектах часть рисков не выявляется;
Никто на самом деле не выявляет риски и цифру респонденты взяли с потолка;
Разное понимание термина “риск”.

И еще масса других причин, но пока остановимся на этих.

Давайте разберемся, как у нас получается такое количество рисков. Мы проводим брейнштормы с командой и с заказчиком. Обычно мы проводим их раздельно, при этом иногда с заказчиком работаем удаленно. Обычно в результате каждого из таких мероприятий получается список из 30-40 рисков, который после вычитки и утряски сокращается до 20-25 явных пунктов.

Списки, полученные с командой и с заказчиком, имеют примерно 50-60% общих пунктов, но остальные 50-40% – отличаются. Это связано с тем, что заказчика и команду, как правило, больше волнует противоположная сторона – и каждый соответственно выявляет больше рисков, связанных с другой стороной. В итоге и получается список из примерно 30-40 рисков, который в первый же месяц работы вырастает, за счет приближения к реалиям.

Теперь посмотрим, что показало исследование. Сначала изучим, связано ли среднее количество идентифицированных рисков с периодичностью процедур управления рисками. Другими словами, если менеджер просто будет вспоминать о рисках чаще, то будет ли от этого выявлено (и потенциально – предотвращено) больше рисков?

Ответ очень короткий: да! Из всех респондентов, имеющих в своих проектах в среднем 10 или менее идентифицированных рисков, только 5% вспоминают об этой процедуре ежедневно, 44% занимаются рисками раз в неделю, 51% динамит этот процесс, причем 32% еще и отдает себе в этом отчет.

Если же мы взглянем на тех, кто в среднем идентифицирует 11 и более рисков в своих проектах, то увидим, что уже 60% регулярно вспоминают о своих рисках, а количество тех, кто не занимается рисками осознанно, падает до 12%. Причем наибольший прирост происходит за счет тех, кто считает, что риски – это предмет ежедневного анализа.

Далее тенденция только усиливается и приобретает очевидный характер. Если в реестре рисков у менеджера более 30 рисков, то уже почти половина занимается рисками ежедневно (46%) и 73% занимаются рисками на регулярной основе.

Конечно, этот результат можно трактовать двояко. Можно рассудить, что чем больше у менеджера рисков, тем чаще он ими занимается.

Но такое предположение подразумевает почти идеальную сознательность менеджеров. В жизни такое встречается редко, да и опыт подсказывает, что скорее связь обратная: кто больше вовлечен в идентификацию и анализ рисков, кто чаще об этом задумывается, тот заранее видит больше скрытых угроз проекту и имеет больше возможностей по их предотвращению.

Итак, первый вывод – если вы чаще будете задумываться о рисках, то, скорее всего, вы узнаете минимум в три раза больше возможных угроз вашему проекту на ранней стадии и сможете с ними бороться превентивно. Больше всего преимуществ получают те, кто ставит риск-менеджмент на ежедневную основу. Под регулярным управлением мы понимаем минимально допустимую периодичность – раз в неделю.

Если же у вас в реестре всего 10 рисков, то скорее всего, вы просто не уделяете этому достаточно внимания и не видите часть рисков, что особенно опасно. Отвечая на вопрос, вынесенный в название статьи – лучше видеть больше рисков и управлять ими, чем иметь неисследованные угрозы.

В следующих статьях мы продолжим публиковать проценты и графики и посмотрим, от чего еще зависит количество выявленных в проекте рисков…

Следите за публикациями, не забывайте вступать в группу на Facebook и подписываться на наши новости и мероприятия 😉