リスク・マネジメント

リスク・マネジメントとは、リスクを予測し、発生した場合の対応を計画することです。時間、費用、労力を節約し、チームの余計な負担を減らし、問題を未然に防いだり、起こりにくくしたりできます。

リスク・マネジメントはプロジェクトマネジャーの日常業務の一部です。プロジェクトに影響しうる事象に備え、主導権を持って対応できます。

リスク・マネジメントの基礎

リスク・マネジメントには、管理方法の計画、リスクの特定、定性的・定量的分析、対応の計画、その対応の監視とコントロールが含まれます。こうした取り組みにより、好ましい事象が起こりやすくなり、好ましくない事象が起こりにくくなります。

脅威と好機

脅威は、発生すればプロジェクトに悪影響を及ぼす事象です。好機は、発生すればプロジェクトに利益をもたらす事象です。

原寸大の図を開く ↗

このレッスンでは、リスク・マネジメントで特定して調査した脅威の最大90%を取り除けると見積もっています。

不確実性

不確実性とは、発生する可能性のある事象について情報が不足していることです。入手できるデータから得た結論の確かさが低下します。

リスクの要因

• その事象が起こる可能性はどの程度か。
• どのような影響があるか。
• プロジェクト中のどの時点で起こりうるか。
• 何回起こりうるか。

リスク回避、許容度、しきい値

リスクを取ることを避ける人は、リスク回避型と呼ばれます。 リスク許容度 は、受け入れられると考えるリスクの度合いや水準です。 リスクのしきい値 は、リスクが受け入れられなくなる具体的な境目です。

リスク・マネジメントのプロセス

効果的なリスク・マネジメントでは、すべての会議でリスクを定例議題とし、リスク事象への対応策を常に用意します。十分な対応計画があれば、リスクが顕在化しても取り除くことができます。プロジェクトマネジャーは他の重要な業務により多くの時間を使えます。

リスク・マネジメントの六つのプロセスは次のとおりです。

1. リスク・マネジメントの計画
2. リスクの特定
3. 定性的リスク分析
4. 定量的リスク分析
5. リスク対応の計画
6. リスクの監視・コントロール

リスク・マネジメントの計画

プロジェクトマネジャー、スポンサー、チーム、顧客、その他のステークホルダー、専門家に参加してもらいます。プロジェクトの規模や複雑さ、関係者のスキルに合った管理方法にします。過去のプロジェクト経験を生かしつつ、標準のチェックリストの範囲にとどまらず、今回のプロジェクトに合わせて調整します。

リスク・マネジメントにかける時間、必要な資源、実施方法を計画します。組織のプロセス資産を参考に計画を作成します。

リスク・マネジメント計画

リスク・マネジメント計画には、次の項目が含まれる場合があります。

• 方法論。 リスク・マネジメントの実施方法を定めます。
• 役割と責任。 リスク・マネジメントの業務を担当する人を特定します。
• 予算編成。 リスク・マネジメントにかかる費用を見積もります。
• 実施時期。 リスク・マネジメントの開始時期を決めます。
• リスク区分。 リスクの分類方法を定めます。
• 発生確率と影響度の定義。 通常はどちらも1（最低）から10（最高）で評価します。同じリスクを6と評価した二人が、同じ意味で使っているとは限りません。定義を決めると主観的な評価を統一でき、プロジェクト間でリスクを比較しやすくなります。
• ステークホルダーの許容度。 立ち上げ時に、費用や品質などの分類ごとにステークホルダーの許容度を把握し、定期的にその水準を確認します。
• 報告書の形式。 リスク・マネジメントの報告書の形式を決め、確定します。
• 追跡。 プロジェクト関係者がリスクを定期的に追跡する方法を定めます。

リスク区分

大まかな区分には、組織がこれまでに経験したリスクの発生源が反映される場合があります。

• 外部。 政府、規制、環境、市場。
• 内部。 サービス、顧客満足度、費用、品質。
• 技術。 技術の変化。
• 予測不能。 このレッスンでは、リスクの約9%から10%は予測できない可能性があると見積もっています。

リスクの種類

• 事業リスク。 利益にも損失にもつながりえます。
• 純粋リスク（保険で補償可能なリスク）。 強盗や火災のように、損失だけにつながりえます。

リスクの特定

ステークホルダーとその集団外の人々から話を聞き、組織のプロセス資産を確認します。立ち上げ時にプロジェクト憲章を作りながら主なリスクを特定し、計画時に詳細なリスクを特定します。重要なインプットとなるスコープ・ベースラインには、プロジェクト・スコープ記述書、WBS、WBS辞書が含まれます。

文書のレビュー

過去の教訓、記事、組織のプロセス資産など、関係する文書を確認します。

情報収集の手法

リスクの特定には、要求事項の収集と同様の手法がいくつか使われます。

ブレーンストーミング

グループで集まり、プロジェクトのリスクを特定します。

原寸大の図を開く ↗

デルファイ法

複数の専門家に匿名で意見を求めます。必要な情報の一覧を送って回答を集め、回答をまとめて再度検討してもらいます。専門家の意見が一致するまで繰り返します。

インタビュー

プロジェクトの参加者、ステークホルダー、専門家に聞き取りを行ってリスクを特定します。

根本原因分析

わかっているリスクの根本原因を見つけ、その原因を基に追加のリスクを特定します。

SWOT分析

SWOTは、強み、弱み、機会、脅威の頭文字です。プロジェクトの強みと弱みを特定し、リスクを把握する手がかりにします。

原寸大の図を開く ↗

その他の特定手法

• チェックリスト分析。 リスク区分のチェックリストから追加のリスクを特定します。
• 前提条件分析。 プロジェクトの前提を洗い出し、妥当性を確認してリスクを明らかにします。
• 図解。 特性要因図やプロセスフローチャートなどの手法を用いて、リスクを特定します。

リスク登録簿

「リスクの特定」のアウトプットはリスク登録簿です。チームはプロジェクトのライフサイクル全体を通じて更新します。プロジェクト文書とともに保管し、今後のプロジェクトに役立つよう過去の記録にも残します。

原寸大の図を開く ↗

登録簿には、リスクの一覧、対応策の候補、根本原因、更新されたリスク区分を含めます。

定性的リスク分析

定性的リスク分析では、特定されたリスクと、プロジェクト中の発生時期を主観的に評価します。各リスクの発生確率を、低・中・高または1から10といった尺度で評価します。影響度も適切な尺度で評価します。

発生確率・影響度マトリックス

マトリックスを使って、すぐに対応が必要なリスクを特定します。プロジェクトのニーズに合わせて調整するか、企業の標準テンプレートを使います。標準化されたマトリックスを使うと、別のプロジェクトでも結果を再現しやすくなります。

原寸大の図を開く ↗

リスクデータの品質評価

特定したリスクのデータを集め、定性的分析を行えるだけの精度があるか評価します。リスクごとに、どの程度理解されているか、どのデータを入手できるか、データの品質、信頼性、完全性を確認します。

リスクの分類

個々のリスクにラベルを付けるか、区分ごとにまとめます。どの作業パッケージ、プロセス、人員、その他の原因から多くのリスクが生じているかがわかります。

リスクの緊急度評価

リスクの特定や対応の計画と並行して、急いで対処すべきリスクを特定します。緊急度は発生確率と影響度の評価と合わせて検討します。

定性的分析後のリスク登録簿の更新

• 他のプロジェクトと比較したときの、当該プロジェクトのリスクの順位。
• 優先順位を付けたリスクと、各リスクの発生確率および影響度の評価。
• 区分別にまとめたリスク。
• 追加の分析と対応が必要なリスク。
• 近いうちに追加分析が必要なリスク。
• 重大ではないものの監視が必要なリスクの一覧。
• 傾向。

定量的リスク分析

定量的リスク分析では、定性的分析の後、発生確率と影響度を数値で分析します。急いで取り組むべき対応を特定し、プロジェクトがさらされているリスクと目標への影響を把握します。また、リスクが発生した場合に必要なコストや日程の予備を見積もり、さらに注意を払うべきリスクを特定します。

発生確率と影響度を定量化する手法

• インタビュー
• コストと時間の見積もり
• デルファイ法
• 過去の記録
• 専門家の判断
• 期待金額価値分析
• モンテカルロ分析
• 決定木

モンテカルロ分析

モンテカルロ分析は、コンピュータープログラムでプロジェクトのコストやスケジュールの結果をシミュレーションします。主なインプットはネットワーク図と、プロジェクトを完了するための見積もりです。

• プロジェクト全体のリスクを評価する。
• 特定の日付やコストでプロジェクトを完了できる確率を推定する。
• あるアクティビティがクリティカルパス上に位置する確率を推定する。
• プロジェクトのネットワーク内で複数の経路が合流することを考慮する。
• コストとスケジュールへの影響を評価する。
• 確率分布を求める。

決定木

決定木は実際の状況をモデル化し、複数の選択肢を同時に比較できるようにします。現時点で判断する際に将来の事象を考慮し、複雑な状況で期待金額価値を算出するのに役立ちます。結果は互いに排他的です。

定量的リスク分析のアウトプット

• 定量化したリスクを優先順位順に並べた一覧。
• 必要なコンティンジェンシー予備の時間と金額。
• 所要時間とコストの目標に対して、現実的で達成可能な完了日とプロジェクト費用、およびそれぞれの信頼水準。
• プロジェクト目標を達成できる確率の数値。
• 定量的リスク分析で明らかになった傾向。

リスク対応の計画

脅威を減らすか取り除き、好機がもたらす効果を大きくする方法を計画します。脅威は起こる前に取り除き、好機は実現できるよう取り組みます。脅威の発生確率と影響度を下げ、好機の発生確率と影響度を高めます。

軽減できない脅威については、十分なコンティンジェンシー計画と、その計画が機能しない場合の代替計画を用意します。時間と資源には限りがあるため、すべてのリスクを取り除けるわけではありません。プロジェクト全体を通じてリスクを確認します。作業開始後も定性的・定量的分析と対応の計画を続けます。

脅威への対応戦略

• 回避。 原因を取り除いて脅威をなくします。
• 軽減。 取り除けないリスクの影響を減らします。
• 転嫁。 保険、保証、履行保証などによってリスクを別の当事者に移します。

好機への対応戦略

• 活用。 好機を確実に実現するために、作業を追加したり、プロジェクトを変更したりします。
• 強化。 好機の発生確率と、好ましい影響を高めます。
• 共有。 好機を生かす責任を第三者に割り当てます。

受容と対応策の選定

受容 は脅威と好機の両方に適用されます。受動的受容では、事象が発生した場合に対応を決めます。能動的受容では、緊急時の対応を計画し、時間と費用の予備を確保します。リスクを受容する決定はステークホルダーに知らせます。

各対応の実施期限を定め、リスクの重大さに見合う労力を割きます。一つの対応策が複数の事象に有効な場合もあります。プロジェクトマネジャー、チーム、ステークホルダー、専門家が戦略を選定できます。

「リスク対応の計画」のアウトプット

リスク登録簿、プロジェクトマネジメント計画、プロジェクト文書を更新します。プロジェクトマネジメント計画を改訂する際は、アクティビティや作業パッケージを追加・削除したり、別の資源に割り当てたりします。そのため、計画は繰り返し行います。

該当する場合は、次の内容でプロジェクト管理文書を更新します。

• 残存リスク。 対応を計画しても残るリスクです。受容したうえで、発生時の対応を計画します。
• コンティンジェンシー計画。 特定の好機や脅威が発生した際に、何をするかを明記します。
• リスク対応責任者。 対応策を考え、脅威や好機が発生したら実行する人を割り当てます。
• 二次リスク。 対応策の実施によって生じる可能性があるリスクです。
• リスクのトリガー。 コンティンジェンシー対応の開始を促す事象です。
• 契約。 リスクへの対応のために締結した契約は、リスク登録簿に記録します。
• 代替計画。 コンティンジェンシー計画やリスク対応計画が有効でない場合に、何をするかを明記します。
• コンティンジェンシー予備。 時間とコストの両方のリスクに備えて予備を確保します。

リスクの監視・コントロール

• リスクのトリガーに注意する。
• 残存リスクを特定し、監視する。
• プロジェクト全体を通じて、リスクの特定、分析、監視を繰り返す。
• リスク対応計画の有効性を評価する。
• リスクの状況を把握し、伝える。
• リスク・マネジメントの手順がどれだけ徹底されているかを監視する。
• 追加の対応が必要かを判断する。
• 是正処置を提案する。
• 想定外の影響や結果がないか確認する。
• リスク・マネジメント計画とリスク対応計画を更新する。
• 差異と傾向を分析する。
• コンティンジェンシー予備を活用し、承認された変更に合わせて調整する。

リスクの監視・コントロールの手法

• 回避策。 予期しない事象や問題に対し、計画になかった対応策を考えます。
• リスクの再評価。 リスク・マネジメント計画とリスク登録簿を定期的に見直し、必要に応じて文書を更新します。
• リスク監査。 すべてのリスクが特定され、主要なリスクごとに軽減計画があり、対応責任者が行動できる状態にあることを確認します。
• 予備分析。 実行中に、予備がどの程度残っているか、今後どの程度必要になりそうかを確認します。
• 進捗会議。 チームのすべてのプロジェクト進捗会議で、リスクを主要議題にします。
• リスクの終了。 該当しなくなったリスクを終了扱いにし、対応が残っているリスクにチームが集中できるようにします。

「リスクの監視・コントロール」のアウトプット

• リスク登録簿の更新
• 変更要求と、予防処置および是正処置の提案
• プロジェクトマネジメント計画の更新
• プロジェクト文書の更新
• 組織のプロセス資産の更新