Нельзя предотвратить, но можно контролировать

Управление рисками становится, по сути, повседневной деятельностью для многих участников ИТ-проекта сразу после его инициации и вплоть до завершения. Вместе с тем классификация рисков и соответственно оценка значимости каждой из категорий рисков в контексте конкретного проекта - это работы, выполняемые на предпроектной стадии.

На первый взгляд термин "управление рисками" может показаться абсурдным, однако опытные руководители проектов знают, что наступление многих рисков предсказуемо, а от остальных необходимо страховаться. Наиболее распространенное заблуждение, встречающееся на практике, отождествляет управление рисками и борьбу с последствиями уже возникших проблем. Так вот, цель управления рисками состоит в том, чтобы а) в идеале избежать возникновения проблем или б) минимизировать возможный ущерб для проекта, если избежать проблемы не представляется возможным (например, смена руководства компании и все связанные с этим последствия).

Реагирование на риски - одна из последних стадий функции управления рисками. Поэтому прежде чем перейти к рассмотрению возможных способов реагирования, предлагается определиться с источником возникновения рисков по отношению к проекту и дать им самую общую классификацию.

• Внутренние риски. Эти риски непосредственно зависят от деятельности руководителя проекта, команды проекта и других участников, которые могут активно управлять рисковыми ситуациями. Поэтому внутренние риски в достаточной степени управляемы.
• Внешние риски. Они возникают вне зависимости от проектной деятельности и порождаются окружением проекта. Они могут учитываться участниками проекта и в некоторой степени быть управляемыми. Важно заметить, что внешние риски можно разделить на две качественные группы:
  • предсказуемые (но неопределенные) - изменение цен, усиление конкуренции на рынке, изменение курсов валют, изменения в налогообложении и т. п.;
  • непредсказуемые - природные катастрофы, срывы в финансировании из-за смены руководства, неожиданные внешние социальные эффекты и т. п.

Природа возникновения рисков во многом является определяющим фактором при выборе методов реагирования, поэтому в таблице 1 мы приводим классификацию рисков более подробно. Кроме того, методы реагирования на риски, в общем случае помимо источника возникновения, определяют следующие факторы:

• принадлежность риска (риск заказчика, исполнителя или обоюдный риск);
• возможные последствия для проекта;
• стадия проекта, на которой выявлен риск;
• возможности участников проекта по предотвращению рисков (достаточность бюджета управления рисками, необходимое время реакции, возможности лоббирования интересов и пр.).

Очевидно, что с учетом такого многообразия факторов дать универсальные рекомендации можно только с учетом специфики конкретного проекта. Однако если сделать определенные допущения, то можно попытаться предложить ряд универсальных способов реагирования на риски с учетом природы их возникновения.

Таблица 1. Пример классификации рисков

На основе практики нашей компании можно предложить базовый "джентльменский набор" антирисковых мероприятий, применение которых во многом обеспечит эффективное выполнение проекта сразу в нескольких направлениях.

• Учет опыта аналогичных проектов. Наверное, это один из самых эффективных подходов к оценке, планированию и разработке методов реагирования на риски на начальных стадиях проекта. Главная сложность состоит в том, что в российской практике по результатам выполнения проектов крайне редко подготавливается отчет о закрытии проекта, да и с ведением оперативной документации по управлению проектом тоже не все гладко. Вторая сложность - как эту информацию получить заказчику, так как исполнитель не всегда занимает открытую позицию и не готов проливать свет на все условия и тонкости выполнения проекта. На практике систематизированную информацию об опыте выполнения аналогичных проектов можно получить только у независимых экспертов.

• Распределение рисков между участниками проекта. Этот вопрос должен решаться еще на этапе организации проекта в ходе заключения договоров с внешними исполнителями. На данном этапе необходимо максимально предусмотреть соблюдение интересов сторон в случае возникновения как внутренних, так и внешних рисков. Как правило, заказчик привлекает внешних исполнителей, если у него недостаточно опыта выполнения комплексных проектов (реже - в случае нехватки собственных ресурсов). Следовательно, вероятность недостаточной проработки условий договора с исполнителем многократно возрастает, так как выполнение подобных проектов не есть суть бизнеса заказчика. Наша практика по экспертизе проектов внедрения КИС лишь подтверждает данный факт.

• Выделение ресурсов для управления проектом. Очевидно, что для эффективного выполнения проекта им необходимо эффективно управлять (в том числе рисками), для чего необходимы соответствующие ресурсы: команда менеджмента проекта и бюджет. Для сравнения: в практике экспертов ИСКОН бюджет управления рисками составляет примерно 7% от общего бюджета управления проектом.

• Планирование резервов. Международная статистика выполнения проектов свидетельствует о том, что только 16% всех проектов завершаются вовремя и в срок. Очевидно, что помимо просчетов в управлении данная статистика также отражает влияние факторов, предвидеть или воздействовать на которые практически не представлялось возможным. В силу данных причин базовые параметры любого проекта необходимо планировать "с запасом" примерно в 20% (экспертные оценки).

• Внесение изменений в проектные решения. Смысл данного пункта поясним на примере: допустим, по календарному плану проекта внедрения КИС начало тестовой эксплуатации запланировано на 1 апреля. Результаты аттестации конечных пользователей системы после прохождения обучения показали недостаточность знаний и навыков для работы в системе. Очевидно, в таких условиях необходимо пересмотреть сроки начала тестовой эксплуатации, так как в противном случае количество допущенных ошибок сведет ее результаты на нет.

• Привлечение независимых экспертов. Чтобы компенсировать недостаток знаний заказчика в предметной области выполнения проекта, недостаток человеческих и временных ресурсов, целесообразно рассмотреть вариант привлечения независимых экспертов. На практике хорошо себя зарекомендовали следующие варианты сотрудничества:

  • независимые эксперты от лица заказчика осуществляют управление проектом, представляют его интересы в ходе всего проекта;
  • заказчик привлекает независимых экспертов к "точечному" контролю качества результатов проекта.

• Страхование рисков. Переходя в предметную область информационных технологий, можно констатировать, что внедрение КИС в настоящее время рассматривается как инвестиционный проект, и желание застраховать в страховой компании связанные с внедрением риски - уже не экзотическая ситуация в мировой практике. Подобные прецеденты стали возникать после нашумевшей истории с банкротством компании FoxMeyer, которая подала в суд и на разработчика, и на ее внедренца. В российской практике комплексное страхование рисков проектов внедрения КИС пока не распространено. Причин тому несколько: здесь мы можем назвать и сильное удорожание проекта, отсутствие правовой базы и опыта у страховщиков, невозможность оценить экономический эффект от внедрения КИС на стадии начала проекта. Однако не все так плохо - некоторые российские страховщики уже предлагают программы страхования технических рисков (сбой сервера, обрыв линий связи и т. п.).

Таблица 2. Типовые подходы к реагированию на риски

Суммируя вышеизложенное, можно сказать, что управление рисками и управление проектами по смыслу являются схожими понятиями, так как они предназначены для достижения проектом своей цели в рамках заданных ограничений "сроки-бюджет-качество". Однако необходимо четко понимать, что, управляя рисками, можно достигнуть лишь формальных результатов (хотя и это уже немало!), а управляя проектом - помимо достижения результата по формальным показателям, также создать в компании все необходимые условия для их практического использования.