Многие компании используют трехуровневые шкалы воздействия рисков типа «высокая – средняя – низкая». Проблема состоит в том, что такой подход сделает распределение рисков при их сортировке на стадии качественного анализа слишком плотным – будет сложно понять, какие риски окажутся приоритетными.

Этап 5. Построение матрицы Вероятность x Воздействие и приоритезация рисков. Интерпретация качественных оценок в количественные показатели позволяет менеджеру риска построить матрицу количественных показателей с ранжированными по приоритетам рисками, которая будет основана на качественных показателях матрицы Вероятность x Воздействие.

Для построения матрицы используются полученные оценки «вероятность возникновения риска» и «воздействие/влияние риска». Произведение этих двух величин дает единую метрику риска, называемую ожидаемой величиной (Exposure), которая используется при ранжировании рисков (табл. 6) и заполняется в ячейки матрицы. Ранжирование для каждого риска происходит совместно на совещании рабочей группы. Определяется пороговое значение для критических рисков (например, значение >0,28).

Обычно те факторы, которые «вероятны» или «высоковероятны» и имеют «серьезные» или «средние» последствия, являются кандидатами на высокий приоритет. Факторы, которые «маловероятны» и имеют «незначительные» последствия, не являются кандидатами для управления. Однако они должны документироваться и включаться в процесс анализа. Отметим, что «маловероятные» факторы риска, но с «серьезными» последствиями должны быть предметом тщательного рассмотрения.

Таблица 6.

Матрица Вероятность x Воздействие 

Еще одним критерием, с учетом которого можно устанавливать приоритет факторов риска, является его срочность (безотлагательность), то есть момент времени, когда произойдет событие, связанное с фактором риска, и проявятся его отрицательные последствия.

Все три критерия – «серьезность», «вероятность», «срочность» – используются для приоритезации потенциальных факторов рисков. При оценке факторов отдельным лицом неизбежно присутствует субъективизм. Обычно коллектив старается достичь согласия относительно приоритетов факторов, на основании которых должны быть выделены факторы для управления риском.

Для наглядной визуализации рисков существует возможность преобразовать матрицу Вероятность x Воздействие в карту рисков (рис. 12). Преимущество графической формы представления уровней рисков заключается в том, что в отчетах для спонсоров и других заинтересованных лиц различные группы рисков могут быть выделены различными цветами с наглядным отображением порогового уровня. Такое разделение очень четко и легко понимаемо («красный риск» воспринимается легче, чем «большая ожидаемая величина Risk Exposure»).

Рис. 12. Карта рисков с приемлемым пороговым уровнем

Самое важное на шаге приоритезации рисков – принять решение по поводу пороговых величин, которые будут участвовать в дальнейшем рассмотрении. Это сложный вопрос, по которому трудно дать конкретные рекомендации. Огромную роль здесь играет опыт руководителя проекта, а также уровни рисков, которые приняты как пороговые в компании. Многие руководители определяют «допустимый» риск, то есть риск, который считается приемлемым для конкретного этапа жизненного цикла.

Для приоритезации рисков специалисты компании Microsoft рекомендуют также использовать принятые формулировки риска, все возможные накопленные знания о рисках и рискообразующих факторах, корпоративные правила и инструкции, а также управленческие решения (рис. 13).

Рис. 13. Процесс анализа и приоритезации рисков согласно методологии MSF

По результатам оценки и анализа рисков эксперты формируют качественные характеристики каждого риска (могут быть сгруппированы по приоритетам) и первую консолидированную оценку степени риска проекта.

Этап 6. Документирование незначимых рисков. «Легковесные», или незначимые, риски, не вошедшие в дальнейшее управление рисками, должны быть задокументированы, чтобы можно было по мере выполнения проекта быстро понять, как ведет себя данный риск. Некоторые риски могут быть незначительными в силу их неправдоподобности, то есть практически стабильной нулевой вероятности. Другие могут быть признаны незначимыми, так как имеют очень малую угрозу, то есть более выгодным оказывается принятие возможного ущерба, нежели затраты усилий на управление. Для таких рисков проектная группа сводит к нулю все затраты и усилия на мониторинг рисков. Фиксация незначимых рисков позволяет проектной группе сосредоточиться на других рисках, действительно требующих активного управления.