Анализ и управление рисками · Конспекты по бизнес-анализу

Что это#

Анализ и управление рисками (risk analysis and management) — техника, которая выявляет области неопределённости, способные навредить ценности изменения, анализирует их, а затем вырабатывает способы работы с ними и управляет этими способами. Это непрерывная работа, а не разовое упражнение.

В изложении Руководства BABOK® и учебных материалов у техники четыре части:

Идентификация. Используйте экспертную оценку, мнения заинтересованных сторон, эксперименты, прошлый опыт и исторические данные. Стремитесь к исчерпывающему реестру; каждый риск связывает причину со следствием, причём одна причина может вести к нескольким следствиям, и наоборот.
Анализ. Оцените вероятность (в процентах или по шкале «низкая / средняя / высокая») и влияние на стоимость, сроки, границы решения или качество; вместе они дают уровень риска. Учебные материалы, кроме того, придают дополнительный вес репутационным и регуляторным рискам, а также рискам, которые могут наступить скоро.
Оценка. Сравните каждый риск с потенциальной ценностью изменения и с уровнем риска, который заинтересованные стороны готовы принять.
Обработка. Выберите одну из пяти стратегий: избегание (устранить источник или изменить план), передача (переложить ответственность на третью сторону), смягчение (снизить вероятность или влияние), принятие (пока ничего не делать, возможно, с запасным планом) или увеличение (взять на себя больше риска ради возможности). Затем напишите план реагирования, назначьте владельца риска и заново оцените остаточный риск — то, что остаётся после реагирования.

Что добавляют Вигерс и Битти#

Риск — не проблема. Если плохое уже случилось, это проблема, и её решают обычным отслеживанием. Управление рисками работает с угрозами до того, как они реализовались.
Подверженность риску (risk exposure) = вероятность × влияние. Не гонитесь за точностью: цель — отделить самые опасные риски от остальных. Риск с оценкой «высокий» хотя бы по одной шкале заслуживает раннего внимания.
Записывайте причину и следствие полностью, а не просто «клиенты могут не договориться о требованиях».
Планируйте на случай, если план не сработает: резервный план (contingency plan) говорит, что вы сделаете, если смягчение не поможет.
Соблюдайте экономию: не тратьте на управление риском больше, чем потери, которые он может вызвать.
Следите за динамикой: если один и тот же риск неделю за неделей остаётся в первой пятёрке, меры по его смягчению либо не выполняются, либо не работают.

Когда применять#

В Руководстве BABOK техника поддерживает, например, задачи 6.3 «Оценка рисков» и 5.4 «Оценка изменений требований». На практике — при подготовке бизнес-кейса, при выборе стратегии изменений, перед каждым релизом, при поступлении любого запроса на изменение и на регулярных обзорах статуса. Сильные стороны техники, по учебным материалам: она подходит для стратегических, тактических и операционных рисков; уроки переносятся из одной инициативы в другую; постоянный мониторинг замечает сдвиги в уровне рисков.

Для проблем, которые уже возникли, используйте отслеживание вопросов. Для небольшого изменения с низкими ставками может хватить короткого разговора о трёх главных рисках.

Как это делать#

Задайте контекст: цели, допустимый для заинтересованных сторон уровень риска и шкалы, по которым вы будете оценивать вероятность и влияние.
Идентифицируйте риски вместе с заинтересованными сторонами, опираясь на типовые списки. Маглинец приводит четыре категории М. Фаулера: риски требований, технологические риски, риски квалификации и политические риски. Вигерс и Битти составили каталог рисков требований по этапам работы с ними, например: нечёткие концепция или границы, недостаточное участие клиентов, упущенные нефункциональные требования, неоднозначные термины без глоссария, требования без валидации и неконтролируемые изменения.
Запишите каждый риск в виде «причина → следствие».
Оцените вероятность и влияние и рассчитайте подверженность риску.
Расставьте приоритеты. Учебные материалы предупреждают, что список может стать неуправляемым; активно работайте с его верхней частью.
Выберите стратегию для каждого главного риска: избегание, передача, смягчение, принятие или увеличение.
Спланируйте реагирование: действия, владелец, срок, триггер и резервный план.
Отслеживайте риски в постоянном ритме: переоценивайте их, закрывайте миновавшие, добавляйте новые и проверяйте, что подверженность активно управляемым рискам снижается.
Переносите уроки в будущие инициативы.

Пример#

«Мастерская», вымышленная сеть из 12 веломастерских, составляет реестр рисков для онлайн-записи и уведомлений о статусе ремонта. Вероятность оценивается от 0,1 до 0,9, влияние — от 1 до 10 (значения условные):

ID	Риск (причина → следствие)	Вероятность	Влияние	Подверженность	Стратегия	Реагирование	Владелец
R1	Механики слишком заняты, чтобы обновлять статус → клиенты не получают сообщений и продолжают звонить	0,6	8	4,8	Смягчение	Обновление статуса одним касанием на планшете в мастерской; во время пилота управляющие проверяют ежедневно	Управляющие мастерскими
R2	У поставщика нет выгрузки каталога → предварительный заказ запчастей не реализовать	0,4	6	2,4	Смягчение	Запросить пример выгрузки уже сейчас; запасной вариант — ручной ввод запчастей	Руководитель команды разработки
R3	Новые правила отправки сообщений клиентам → переделка работы с согласиями	0,2	7	1,4	Передача	Взять провайдера рассылок, который по договору сам управляет согласиями	Владелец
R4	Расходы на SMS превышают бюджет → перерасход	0,3	4	1,2	Принятие	Резервный план: перевести несрочные сообщения на электронную почту	Владелец

Есть и возможность: весна — самый загруженный сезон. Владелец решает увеличить риск и запустить систему сразу во всех 12 мастерских, а не поэтапно: он соглашается на более шероховатое внедрение ради целого сезона онлайн-записей.

Через три недели R1 всё ещё на первом месте — это тот самый тревожный сигнал, о котором пишут Вигерс и Битти. Аналитик выясняет, что в двух мастерских планшеты так и не установили: исправлять нужно было реагирование, а не оценку.

Частые ошибки#

Проблемы в списке рисков → переносите то, что уже случилось, в журнал вопросов.
Расплывчатые формулировки → пишите «причина → следствие».
Слишком много рисков → сосредоточьте усилия на верхней части списка.
Пропущенные крупные риски, которые учебные материалы называют реальной опасностью → используйте типовые списки и привлекайте разные заинтересованные стороны.
Написали и забыли → пересматривайте реестр в постоянном ритме и следите за динамикой.
Нет владельца → у каждого активного риска есть один названный владелец.
Только угрозы → рассматривайте и возможности, для которых верной стратегией может оказаться «увеличение».

Шаблон#

Шаблон

| ID | Кто поднял | Дата открытия | Риск (причина → следствие) | Затронутая область | Вероятность | Влияние | Подверженность | Стратегия | План реагирования | Резервный план | Владелец | Срок | Статус / дата закрытия |
|----|-----------|-------------|----------------------------|---------------|-------------|--------|----------|----------|---------------|------------------|-------|-----|----------------------|
|    |           |             |                            |               |             |        |          |          |               |                  |       |     |                      |

Источники и что почитать#

IIBA. A Guide to the Business Analysis Body of Knowledge (BABOK® Guide), version 3. International Institute of Business Analysis, 2015. Рус. изд.: Руководство к своду знаний по бизнес-анализу (Руководство BABOK®), версия 3.0. Техника 10.38 «Анализ и управление рисками».
Учебные материалы по бизнес-анализу (модуль «Анализ стратегии»).
K. Wiegers, J. Beatty. Software Requirements, 3rd ed. Microsoft Press, 2013. Рус. изд.: К. Вигерс, Дж. Битти. Разработка требований к программному обеспечению, 3-е изд. М.: Русская редакция; СПб.: БХВ-Петербург, 2014. Гл. 32 (управление рисками и каталог рисков требований).
Ю. А. Маглинец. Анализ требований к информационным системам: конспект лекций. Красноярск: Сибирский федеральный университет, 2007. Лекция 9 (категории рисков по М. Фаулеру; управление рисками по К. Вигерсу).