Оценка рисков IT-проекта: реестр рисков, матрица, примеры и шаблоны
Что такое управление рисками
Управление рисками (Risk Management) — систематический процесс идентификации, оценки и реагирования на неопределённости, которые могут повлиять на цели проекта или организации.
Риск = Вероятность × Влияние. Не любая неприятность — риск. Если событие произойдёт с вероятностью 100%, это не риск, а проблема (issue). Если влияние нулевое — не риск, а незначительное событие.
Процесс управления рисками
- Идентификация — выявить все возможные риски
- Оценка — определить вероятность и влияние каждого
- Планирование реагирования — что делать, если риск сработает
- Мониторинг — отслеживать триггеры и статус рисков
- Контроль — выполнять планы реагирования, обновлять реестр
Реестр рисков (Risk Register)
Основной документ риск-менеджмента. Содержит все идентифицированные риски проекта.
Структура реестра
| Поле | Описание | Пример |
|---|---|---|
| ID | Уникальный идентификатор | RISK-023 |
| Категория | Технический, организационный, внешний... | Технический |
| Описание | Если {событие}, то {последствие} | Если БД не выдержит нагрузки, то сайт упадёт |
| Вероятность | 1-5 или % | 3 (средняя) |
| Влияние | 1-5 или $ | 4 (высокое) |
| Ранг | Вероятность × Влияние | 12 |
| Триггер | Признак приближения риска | Response time > 500ms |
| Стратегия | Избежать, снизить, передать, принять | Снизить |
| Действия | Конкретные меры | Настроить автоскейлинг |
| Ответственный | Кто следит за риском | Иванов |
| Статус | Активен, сработал, закрыт | Активен |
Пример заполненного реестра (IT-проект)
| ID | Описание | P | I | P×I | Стратегия | Действия |
|---|---|---|---|---|---|---|
| R01 | Ключевой разработчик уходит | 2 | 5 | 10 | Снизить | Bus factor ≥ 2, документация |
| R02 | API поставщика меняет формат | 3 | 4 | 12 | Передать | Зафиксировать в контракте версию API |
| R03 | Заказчик меняет требования на позднем этапе | 4 | 3 | 12 | Снизить | Change request process, платные изменения |
| R04 | Сервер не выдержит Black Friday | 2 | 5 | 10 | Снизить | Нагрузочное тестирование, автоскейлинг |
Матрица вероятности и влияния (Risk Matrix)
Визуальный инструмент для приоритизации рисков. Обычно 5×5:
Влияние →
1 2 3 4 5
5 С В В К К
4 Н С В В К
3 Н Н С В В
2 Н Н Н С С
1 Н Н Н Н Н- К — критические: немедленные действия
- В — высокие: план реагирования обязателен
- С — средние: мониторинг, план на случай срабатывания
- Н — низкие: принять, следить
Стратегии реагирования на риски
Негативные риски (угрозы)
| Стратегия | Что делаем | Пример |
|---|---|---|
| Избежать (Avoid) | Устранить причину риска | Отказаться от рискованного поставщика |
| Снизить (Mitigate) | Уменьшить вероятность или влияние | Добавить резервного разработчика |
| Передать (Transfer) | Переложить на третью сторону | Страховка, аутсорсинг, фикс-прайс |
| Принять (Accept) | Смириться и заложить резерв | Бюджетный резерв 15% на непредвиденное |
Позитивные риски (возможности)
| Стратегия | Что делаем | Пример |
|---|---|---|
| Использовать (Exploit) | Сделать так, чтобы возможность точно реализовалась | Привлечь лучшего эксперта на проект |
| Усилить (Enhance) | Увеличить вероятность или влияние | Добавить ресурсов на перспективный модуль |
| Разделить (Share) | Партнёрство для реализации | Совместное предприятие |
| Принять (Accept) | Не предпринимать активных действий | Ждать и смотреть |
Качественный vs количественный анализ
Качественный (Qualitative)
Быстрая оценка по шкалам (1-5, низкий-средний-высокий). Используется для большинства проектов. Достаточна, когда рисков немного и они понятны.
Количественный (Quantitative)
Математическая оценка в деньгах и сроках. Используется для крупных проектов (бюджет > $10M) или высокорисковых отраслей:
- EMV (Expected Monetary Value) = P × I (в деньгах). Если у вас 10 рисков с разными EMV, сумма EMV — ожидаемый перерасход от рисков
- Метод Монте-Карло — симуляция тысяч сценариев с разными комбинациями рисков, даёт распределение вероятных сроков и бюджета
- Анализ дерева решений (Decision Tree Analysis) — когда выбор между альтернативами с разными рисками
Пример EMV:
- Риск задержки поставки оборудования на 2 недели: P=30%, I=$50,000. EMV = 0.3 × 50,000 = $15,000
- Это значит, что в среднем (на 100 проектах) этот риск обойдётся в $15,000 на проект
Карта рисков (Risk Map / Heat Map)
Визуализация реестра рисков на плоскости P×I. Пузырьковая диаграмма, где:
- Ось X — вероятность
- Ось Y — влияние
- Размер пузыря — стоимость риска (EMV) или ранг
- Цвет пузыря — категория риска
Используется для презентации руководству: один слайд вместо 30 строк таблицы.
PRINCE2 и управление рисками
В методологии PRINCE2 риск-менеджмент выделен в отдельную тему (Risk Theme). Особенности:
- Risk Budget — отдельный бюджет на управление рисками, не смешивается с бюджетом проекта
- Risk Owner — роль, отвечающая за конкретный риск (не за все)
- Risk Actionee — тот, кто выполняет действия по реагированию
- Риски передаются от уровня к уровню: Project → Programme → Corporate
PMBoK и управление рисками
В PMBoK (Project Management Body of Knowledge) управление рисками — одна из 10 областей знаний:
- План управления рисками
- Идентификация рисков
- Качественный анализ
- Количественный анализ
- Планирование реагирования
- Осуществление реагирования
- Мониторинг рисков
SWOT и риски
SWOT-анализ может быть инструментом идентификации рисков:
- Слабости (W) → внутренние риски (нет компетенций, устаревшее оборудование)
- Угрозы (T) → внешние риски (новый конкурент, изменение законодательства)
Шаблон реестра рисков (Google Sheets)
Скопируйте эту таблицу для своего проекта:
| ID | Категория | Описание риска | P (1-5) | I (1-5) | P×I | Стратегия | Действия | Владелец | Триггер | Статус |
|---|---|---|---|---|---|---|---|---|---|---|
| R01 | 0 | |||||||||
| R02 | 0 | |||||||||
| R03 | 0 |
Добавьте условное форматирование: P×I ≥ 15 → красный, 10-14 → жёлтый, < 10 → зелёный.
Связанные статьи: Экспресс-правила для руководителей в кризис, Принципы управления проектами, P3.Express: лёгкий фреймворк, SWOT-анализ
- Анализ корневых причин (RCA) — структурированный поиск причин: 5 почему, Исикава, FMEA, post-mortem
Смежные материалы
- Риски малого бизнеса: карта из 7 групп — системная диагностика рисков малого бизнеса
- Ключевой сотрудник и bus-factor — риск ухода незаменимых специалистов
- Дебиторская задолженность: регламент — возврат долгов и защита кассы
- Резервное копирование: правило 3-2-1 — защита данных от потери и рансомвара
- Чеклисты владельца, CEO и CTO — регулярный контроль рисков на горизонтах год–неделя