PRINCE2 zaleca, aby w rejestrze ryzyk rejestrować ryzyka z trzema zmiennymi: przyczyną, zdarzeniem, skutkiem. Do tego w DIP-ie kierownik opracowuje strategię zarządzania ryzykiem z zasadami zarządzania ryzykiem. Dodatkowo planowane są reakcje na ryzyko. Tylko gdzie powinny być one opisane? W strategii są raczej ogólne zasady postępowania. Czy wobec tego plan reakcji na ryzyko powinien być uzupełniany w rejestrze ryzyk jako np. czwarta zmienna?
Przede wszystkim rozróżniłbym dokładnie te dwa dokumenty tzn. Strategia Zarządzania Ryzykiem i Rejestr Ryzyka. Pierwszy, to tak jak zostało wspomniane w pytaniu: zasady, którymi będziemy się kierować w temacie zarządzania ryzykiem. Jak każda strategia odpowiada na pytanie JAK? W tym przypadku - Jak będziemy podchodzić do takiego obszaru jak zarządzanie ryzykiem w naszym projekcie? Strategie są produktami zarządczymi (dokumentami) z kategorii „bazowe”, więc podlegają procedurze zatwierdzenia. Czyli na początku musimy ustalić, jak będziemy podchodzić do danego obszaru, uzyskać na to zgodę KS-u (poprzez zatwierdzenie), aby potem w trakcie realizacji to wykorzystywać. Z kolei Rejestr Ryzyka to kategoria – Zapisy. Po prostu miejsce do zapisywania informacji w tym przypadku na temat ryzyka i postępowania z nim. W praktyce jest to najczęściej tabelka w Wordzie, Excelu z poszczególnymi kolumnami, które będziemy sukcesywnie uzupełniać zgodnie z tym co jest w opisie procesu.
„Dodatkowo planowane są reakcje na ryzyko. Tylko gdzie powinny być one opisane? W strategii są raczej ogólne zasady postępowania. Czy wobec tego plan reakcji na ryzyko powinien być uzupełniany w Rejestrze ryzyk jako np. czwarta zmienna?”
I w Strategii, i w Rejestrze jest pozycja „reakcje”, tylko że w Strategii w tej pozycji będą wypisane wszystkie możliwe typy reakcji, które będziemy mogli wykorzystywać (równie dobrze może być dokładnie tak jak jest w podręczniku, ewentualnie inne), natomiast w Rejestrze w tej pozycji wybierzemy konkretny typ dla danego zidentyfikowanego ryzyka, ale nie jest to zmienna. Prawdopodobieństwo czy wpływ są zmiennymi dla danego ryzyka, natomiast wybrany typ reakcji jest świadomym działaniem, które opiszemy jako kolejną pozycję w Rejestrze, tak jak i wszystkie pozostałe pozycje odnoszące się do danego zidentyfikowanego ryzyka.
Proponuję zajrzeć do dodatku A z podręcznika, a konkretnie do A24 i A25, gdzie jest przedstawiona pełna zawartość tych dokumentów. Poniżej przedstawiam tylko skróconą wersję.
A.24. Strategia Zarządzania Ryzykiem - Zawartość:
■ Wprowadzenie Określenie przeznaczenia, celów, zakresu i osoby odpowiedzialnej za strategię.
■ Procedura zarządzania ryzykiem.
■ Narzędzia i techniki.
■ Wymagane zapisy Określenie zawartości i formatu Rejestru Ryzyk oraz wszelkich innych zapisów dotyczących ryzyka, jakie będą wykorzystywane przez projekt.
■ Raportowanie Opis raportów dotyczących zarządzania ryzykiem, jakie mają być sporządzone, z podaniem ich celów, terminów i odbiorców.
■ Terminy działań związanych z zarządzaniem ryzykiem Określenie, kiedy mają być podjęte formalne działania zarządzania ryzykiem, np. przy ocenach końcowych etapu.
■ Role i obowiązki Określenie ról i obowiązków dla działań dotyczących zarządzania ryzykiem.
■ Skale ocen. Określenie skal dla oszacowania prawdopodobieństwa i wpływu na projekt.
■ Bliskość Wskazówki dotyczące sposobu oceny bliskości wystąpienia ryzykownych zdarzeń.
■ Kategorie ryzyka Definicje kategorii ryzyka, które będą (ewentualnie) wykorzystane. Mogą wywodzić się z diagramu struktury podziału ryzyka lub z istniejącej listy.
■ Kategorie reakcji na ryzyko Definicja kategorii możliwych do zastosowania reakcji na ryzyko.
■ Wskaźniki wczesnego ostrzegania.
■ Tolerancja ryzyka Określenie progowych poziomów ekspozycji na ryzyko, w przypadku przekroczenia których ryzyko należy przekazać na wyższy szczebel zarządzania.
■ Budżet ryzyka Informacja, czy zostanie utworzony budżet ryzyka, a jeżeli tak, w jaki sposób będzie wykorzystywany.
A.25 REJESTR RYZYK - Zawartość:
■ Identyfikator ryzyka.
■ Autor zgłoszenia Osoba, która zgłosiła dane ryzyko.
■ Data zarejestrowania, data zidentyfikowania ryzyka.
■ Kategoria ryzyka, rodzaj ryzyka w odniesieniu do wybranych kategorii projektu (np. harmonogram, jakość, prawne itp.).
■ Opis ryzyka w kategoriach przyczyny, zdarzenia (zagrożenie lub szansa) i skutku (opis słowny wpływu).
■ Prawdopodobieństwo, wpływ i wartość oczekiwana. Wartości te powinny być rejestrowane zgodnie ze skalami wybranymi dla projektu.
■ Bliskość ryzyka.
■ Kategorie reakcji na ryzyko Sposób traktowania ryzyka w projekcie w kategoriach wybranych dla projektu. Należy pamiętać, że do danego ryzyka może mieć zastosowanie więcej niż jedna reakcja na ryzyko.
■ Status ryzyka zwykle jest to określenie, czy ryzyko nadal istnieje, czy jest zamknięte.
■ Właściciel ryzyka - osoba odpowiedzialna za zarządzanie ryzykiem (w odniesieniu do danego ryzyka może istnieć tylko jeden właściciel ryzyka).
■ Wykonawca reakcji na ryzyko - osoba(-y) odpowiedzialna(-e) za wykonania działania lub działań opisanych jako reakcja na ryzyko. Może (ale nie musi) to być ta sama osoba, co właściciel ryzyka.
Plan zarządzania ryzykiem określa przede wszystkim sposób podejścia do ryzyka (np. czy wykonujemy tylko jakościową analizę ryzyka, czy także ilościową) oraz jego skwantyfikowana (np. co oznacza ryzyko duże lub małe). Jest on wykorzystywany przez PM jako mapa drogowa oraz przez interesariuszy (np. sponsora).
Zawartość planów i rejestrów zależy od wielkości projektu. W projektach istnieje zjawisko "Rolling wave planning" co oznacza, że pogłębia nam się wiedza o projekcie w trakcie jego trwania. Z tego powodu szczegółowość dokumentacji będzie się zmieniała.
Plan zarządzania ryzykiem będzie zawierał ogólne możliwe typy ryzyk, następnie na początku rejestr ryzyk będzie zawierał ogólne ryzyka, po analizie jakościowej i ilościowej obraz ryzyk może nam się zmienić i możemy więcej wiedzieć o ryzykach, z tego powodu nawet plany reakcji na ryzyko mogą być uszczegóławiane, mogą pojawić się dodatkowe kolumny, itp.
