Таксономия рисков: как систематически выявлять риски проекта

Классификатор рисков помогает не упустить целые группы угроз. Рассказываем о классической методике SEI Taxonomy-Based Risk Identification, её применении сегодня и о том, как построить собственную библиотеку рисков компании.

Многое новое — хорошо забытое старое

Ещё в 1993 году Software Engineering Institute (SEI) Университета Карнеги — Меллона опубликовал методику Taxonomy-Based Risk Identification (авторы — Marvin J. Carr, Suresh L. Konda, Ira Monarch, F. Carol Ulrich). Документ создавался для программных проектов, но его подход до сих пор остаётся одним из лучших способов систематически выявлять риски.

Как устроена таксономия SEI

Риски группируются в три класса, каждый делится на элементы и атрибуты:

• Разработка продукта — требования, проектирование, реализация, испытания, специальные характеристики;
• Среда разработки — процесс, инструменты, управление, коммуникации, рабочая обстановка;
• Программные ограничения — ресурсы, контракт, внешние интерфейсы и зависимости.

К таксономии прилагается опросник: по каждому атрибуту заданы вопросы, которые помогают команде обнаружить риски, о которых никто не подумал. Именно в этом её сила — структурированное интервью вместо свободного мозгового штурма.

Таксономия сегодня

Современные стандарты развивают ту же идею. ГОСТ Р 58771-2019 «Менеджмент риска. Технологии оценки риска» описывает контрольные листы и классификации как один из базовых методов идентификации. В 2020-х годах в классификаторы обязательно добавляются группы, которых не было в 1993 году:

• санкционные и регуляторные риски, риски импортозамещения;
• риски цепочек поставок и логистики;
• киберриски и риски данных;
• ESG-риски: экологические, социальные, управленческие;
• риски применения искусственного интеллекта.

Как построить библиотеку рисков компании

1. Возьмите за основу отраслевую таксономию и адаптируйте классы под свои проекты.
2. Наполните её рисками из завершённых проектов и Lessons Learned.
3. Для каждого типового риска опишите причины, признаки и проверенные меры реагирования.
4. Используйте библиотеку как контрольный лист на старте каждого нового проекта и пересматривайте её раз в год.

В системе RISKGAP такая библиотека реализована как самообучающаяся отраслевая база знаний: экспертная система подсказывает риски, которые ещё не учтены в вашем реестре. Создать классификатор и библиотеку рисков своей компании можно на практикуме курса «Результативное управление рисками в проектах».