Лекция 5. Управление рисками. Базовый курс.

Лекция 5. Управление рисками. Базовый курс.

Поговорим про управление рисками. Сразу скажу: это не про пессимизм и не про «всё пропало». Это про честный взгляд на будущее и подготовку к неприятностям. Риск — это не «что-то плохое обязательно случится», а «что-то может случиться и повлиять на проект». Может — ключевое слово. Риск — это событие, которое ещё не произошло. Оно может произойти, а может и нет. И от того, как вы к нему готовы, зависит, повлияет ли оно на ваш проект. Секрет в том, что большинство рисков можно увидеть заранее, а значит — подготовиться к ним. Большинство, но не все. Об этом и поговорим.

Начну с истории, которая объясняет, почему риск-менеджменту стоит учиться не из учебника, а из жизни. Одна компания делала масштабный проект по автоматизации складского комплекса. Команда была отличная, план был прекрасный, сроки — согласованные. За месяц до внедрения выяснилось, что поставщик серверного оборудования, с которым подписали договор полгода назад, обанкротился. Заказчик в панике, проект под угрозой срыва, все в шоке «как так». А ведь риск банкротства поставщика — это классический, очевидный риск, который должен быть найден ещё на этапе планирования. Один из пунктов плана действий значился бы: «выбрать запасного поставщика». Они бы проверили рынок заранее и не попали в цейтнот в самый неподходящий момент. Вот цена невнимания к рискам — не деньги даже, а возможность управлять ситуацией.

Как вообще думать о рисках? Разложим на два измерения: вероятность и влияние. Вероятность — насколько вероятно, что риск произойдёт: от «почти никогда» до «почти наверняка». Влияние — насколько сильно он ударит по проекту: от «немного неприятно» до «проект мёртв». Каждый риск получает две оценки: например, «банкротство поставщика — вероятность 20%, влияние — критическое» или «задержка доставки материалов — вероятность 70%, влияние — среднее». Эти две оценки в совокупности дают приоритет: о каких рисках надо думать в первую очередь. О рисках с высокой вероятностью и высоким влиянием — немедленно. О рисках с низкой вероятностью и низким влиянием — просто иметь в виду.

Классическая матрица рисков — это квадрат из двух осей. Горизонталь — вероятность (низкая, средняя, высокая). Вертикаль — влияние (низкое, среднее, высокое). Клетки раскрашиваются: красные — критические, жёлтые — умеренные, зелёные — мелочи. Проектный реестр рисков — это таблица, в которую вы вносите все найденные риски и их оценки. Но, честно говоря, матрица — это не цель. Цель — не составить красивую таблицу, а принять решения. Для каждого риска вы должны ответить на вопрос: что мы с ним будем делать? И вот здесь есть четыре классические стратегии.

Стратегия первая — избежание. Убрать риск, изменив план так, чтобы риск вообще исчез. Например, если вы знаете, что поставщик ненадёжный, — выбираете другого. Если технология рискованная — берёте проверенную, пусть и менее эффектную. Избежание — самая красивая стратегия, потому что она убирает проблему с корнем. У неё есть и минус: иногда избежать риска нельзя или невыгодно. Тогда — стратегия вторая: снижение. Уменьшить вероятность или влияние. Например, ослабить влияние задержки доставки на критический путь, предусмотрев параллельную работу других задач. Или снизить вероятность сбоя сервера, поставив резервный источник питания.

Стратегия третья — передача. Отдать риск кому-то другому, кто умеет с ним справляться лучше. Классика: страхование. Пожар, затопление, ответственность перед третьими лицами — страхуетесь, и риск переходит к страховой компании. Другой вариант передачи — субподряд: если вы не знаете, как делать специфическую работу, вы нанимаете субподрядчика, и риск технических проблем ложится на него. Что немаловажно, передача — это не «свалить на другого»: за передачу тоже платят, и платят иногда прилично. Но зато вы покупаете спокойствие. Стратегия четвёртая — принятие. Это когда вы честно говорите: с риском ничего не делаем, потому что он дешёвый, или редкий, или с ним ничего нельзя сделать. Принятие — это не «забить», а осознанное решение: мы знаем про риск, он нас не пугает, мы готовы его понести, если он случится.

Отдельно — про положительные риски, или возможности. Да-да, в управлении рисками есть не только угрозы. Иногда в проекте случаются приятные неожиданности: поставщик привёз дешевле, команда сработала быстрее, появилась новая возможность на рынке. Ими тоже надо управлять: использовать, усиливать, делить. Правда, на практике про положительные риски все забывают — они не кричат, не пугают, не требуют внимания. Но менеджер, который видит возможности, может превратить хороший проект в отличный. Это уже уровень мастерства — видеть не только «что пойдёт не так», но и «что может пойти лучше, и как это усилить».

Теперь про то, где искать риски. Это целое искусство, и вот несколько источников. Первый — опыт прошлых проектов: что уже шло не так у вас или у коллег? Второй — мнение экспертов и команды: соберите людей и спросите «что может пойти не так?» — мозговой штурм даёт удивительные вещи. Третий — проверочные списки: в каждой отрасли есть типовые риски, их можно выписать из справочника и пройтись по списку. Четвёртый — анализ допущений: помните, в уставе мы записывали допущения? Вот теперь каждое допущение можно проверить: а что, если оно не сбудется? Пятый — SWOT-анализ: сильные стороны, слабости, возможности, угрозы. Шестой — анализ заинтересованных сторон: что может пойти не так с отношениями, с коммуникациями, с ожиданиями. Каждый источник даёт свой срез рисков, и все они важны.

Не могу не упомянуть про «чёрных лебедей» и про слонов в комнате. Чёрный лебедь — это событие, которое почти невозможно предсказать: кризис, пандемия, катастрофа. К чёрным лебедям по определению не готовятся — но можно подготовиться к последствиям: иметь резервный фонд, запасные мощности, планы Б, В и Г. Слон в комнате — это риск, который все видят, но все молчат. Потому что неудобно говорить. Потому что начальник не любит плохие новости. Потому что «вдруг обойдётся». Вот с этим — отдельная история: менеджер обязан говорить о слонах вслух, даже если это неприятно. Потому что слон, о котором молчат, всегда приходит в самый неподходящий момент.

О чём ещё важно помнить — риски надо пересматривать регулярно, а не один раз на старте. Реестр рисков — это живой документ. Ситуация меняется: однажды сделанный риск может исчезнуть, появиться новый, вероятность старого — вырасти или упасть. Стандарт: пересматривать реестр на каждом этапном совещании, раз в неделю-две, и после каждого значимого события. Проект, в котором риски пересмотрели «один раз при планировании и забыли» — это проект, в котором управление рисками существует для галочки. А галочечное управление рисками — это ровно то, что приводит к сюрпризам на финише.

Стоит разобрать и управление проблемами — тем, что уже случилось. Риск — это «может случиться», проблема — это «случилось». Как только риск реализовался — он перестаёт быть риском и становится проблемой, и с ним работают по другой схеме: зафиксировать, оценить, назначить ответственного, найти решение, принять меры, закрыть. В хороших проектных офисах ведут два журнала: реестр рисков (что может случиться) и журнал проблем (что уже случилось). Они связаны: большая часть проблем — это риски, которые кто-то не заметил или решил не отслеживать.

И о резервах. В прошлом блоке я упоминал буферы на время и деньги — так вот, они напрямую связаны с рисками. Резерв на непредвиденные расходы и резерв на задержки — это ваша «подушка безопасности», рассчитанная по реестру рисков. Не по настроению, а по оценкам: посчитали вероятность и влияние всех средних и крупных рисков — получили размер резерва. Если резерв есть, реализовавшийся риск не обрушивает проект: вы тратите резерв и двигаетесь дальше. Если резерва нет, любая неприятность превращается в кризис. Поэтому резерв — это не жадность менеджера, а профессиональное планирование.

Теперь о том, почему люди игнорируют риски. Тут целый букет психологических причин. Оптимизм: «у нас-то получится, мы другие». Ошибка выжившего: мы помним успешные проекты и забываем провалы. Склонность подтверждать: мы ищем подтверждение тому, что всё будет хорошо, а не опровержение. Групповое мышление: в команде не принято говорить о плохом, «все же настроены позитивно». Давление сроков: некогда думать о рисках, надо делать. И одна из самых сильных — страх: тот, кто предупреждает о рисках, кажется нытиком и пессимистом. Все эти штуки — враги управления рисками, и хороший менеджер должен это осознавать и сознательно бороться с ними — прежде всего в себе.

Секрет хорошего риск-менеджмента — культура, при которой о рисках говорят открыто и рано. Это закладывается сверху: если руководитель сам спрашивает команду «что может пойти не так?» и не наказывает за плохие новости — команда будет говорить. Если руководитель пристреливает гонца с плохими вестями — команда замолчит, и сюрпризы будут. Поэтому менеджер проектов должен активно моделировать поведение: «интересно, а что ещё может нас удивить?», — и благодарить за каждый названный риск. Тогда через некоторое время управление рисками станет привычкой команды, а не обязанностью, спущенной сверху.

Домашнее задание: возьмите свой проект, соберите команду (или, если её нет, — лист бумаги и честность с собой) и проведите мозговой штурм по рискам. Выпишите все «что может пойти не так» — без критики, сколько влезет. Потом оцените каждый по шкале вероятность × влияние и раскрасьте по матрице. Для каждого красного и жёлтого риска выберите стратегию: избежать, снизить, передать, принять. Запишите: кто отвечает за мониторинг каждого риска и когда проверять. Теперь у вас есть реестр рисков — документ, который будет жить с вами до конца проекта. Не забудьте пересматривать его регулярно — это его главное свойство.

Резюме блока: риск — это событие, которое может случиться, и им можно управлять. Каждый риск оценивается по двум осям — вероятность и влияние — и получает приоритет. Для каждого риска есть стратегия: избежать, снизить, передать или принять. Риски нужно искать, записывать и пересматривать регулярно — иначе это галочка. Проблемы — это реализовавшиеся риски, и у них своя процедура. И главное: управление рисками — это не пессимизм, а профессиональная зрелость. Страх перед плохими новостями дороже, чем сами плохие новости.