"Финансовая газета. Региональный выпуск", 2007, N 28

УПРАВЛЕНИЕ РИСКАМИ ПРИ ВНЕДРЕНИИ

КОРПОРАТИВНЫХ ИНФОРМАЦИОННЫХ СИСТЕМ

Данная статья может быть полезной, во-первых, тем, кто так или иначе связан с внедрением - предстоящим или текущим - корпоративной информационной системы, во-вторых, тем, кому интересно знать, как и каким способом можно обеспечить достижение результатов такого непростого процесса, как внедрение КИС. Кроме того, как показывает практика, управление рисками проектов внедрения КИС незначительно отличается от управления рисками ИТ-проектов в целом. Следовательно, не исключено, что статья может оказаться полезной всем, кого интересуют вопросы управления проектами, и рисками в частности.

При управлении проектом внедрения корпоративной информационной системы (КИС) его участники понимают, что существуют обстоятельства, которые необходимо планировать, контролировать, писать отчеты, т.е. выполнять действия, необходимые для достижения цели. В большинстве случаев особое внимание уделяется методологии, опыту и квалификации участников проектов, но возможно, что именно по этой причине только 16% всех проектов завершается вовремя и без увеличения бюджета.

Объективное отношение к задаче управления проектом заключается в и выполнении всех необходимых мероприятий, ведущих к достижению цели, в том числе обеспечении готовности к наступлению незапланированных событий, что подразумевает управление рисками. Но без субъективной оценки запланированных и осуществляемых действий управление рисками действительно станет "сухой" наукой, которая будет только мешать оперативному принятию решений.

Неопределенность, вероятность и последствия

Неопределенность представляет собой совокупность неизвестных параметров будущего и, таким образом, подразумевает отсутствие точного знания о вероятных событиях, которые могут быть как благоприятными, так и неблагоприятными. Позитивные результаты таких событий обусловлены благоприятными возможностями, а негативные - рисками.

Как правило, проект внедрения КИС, являющийся в основном результатом благоприятной возможности, всегда сопровождается рисками. Причем, чем значительнее благоприятная возможность, тем выше связанный с нею риск. Риск любого проекта, в том числе внедрения КИС, характеризуется тремя факторами: особенностями неблагоприятного события, вероятностью его наступления и размером возможного ущерба. Как и благоприятная возможность, так и риск наиболее вероятны в начале работы над проектом, если объем ущерба еще незначителен - работы можно остановить, когда фактические затраты и произведенные в ходе проекта изменения невелики. Но по мере реализации проекта и превращения неопределенностей в конкретные факты вероятность риска и благоприятных возможностей снижается, а объем потенциального ущерба увеличивается.

В ряде случаев риски могут быть превращены в благоприятные возможности, если ими управлять. Но если риски проекта игнорируются или пассивно отрабатываются по мере возникновения проблем, то возможность использовать благоприятные ситуации упускается. Таким образом, суть управления рисками проекта заключается в активном ослаблении негативных эффектов от неблагоприятных факторов и превращения их в благоприятные возможности.

Что касается проектов внедрения КИС, то наилучшей защитой от риска является идентификация критериев успеха, с помощью которых и можно будет в конечном счете дать оценку проекта. Одобрение критериев успеха спонсором или основными заинтересованными лицами является одним из исходных элементов планирования будущего проекта внедрения КИС.

Управление рисками традиционно включает идентификацию и анализ возможных незапланированных событий (которые, как было сказано выше, могут носить как неблагоприятный, так и благоприятный характер), а также выработку реакции на их наступление. Цель задачи управления рисками, в том числе и при внедрении КИС, - прогнозирование предпосылок (источников) рисков, влекущих негативные последствия, и путей ослабления их воздействий.

Этапы управления риском

Большинство специалистов в области управления рисками пришли к выводу, что управление риском проекта состоит из четырех основных этапов: идентификация риска, его оценка, разработка мероприятий по реагированию, документирование и контроль. Рассмотрим подробно все этапы управления риском относительно проекта внедрения КИС.

Идентификация риска. Исходя из критериев оценки проекта в первую очередь необходимо выявить (идентифицировать) все риски, способные в значительной мере повлиять на достижение его цели и успех. Часто именно на этом этапе работа над рисками прекращается. Возможно, наибольшим препятствием на пути к управлению рисками является интуитивное ощущение того, что риски проекта КИС слишком многочисленны и разнообразны, поэтому главное - определить, какие риски действительно должны привлекать самое пристальное внимание.

Начать работу по идентификации рисков следует с понимания сути проекта внедрения КИС. Какова реальная цель проекта; какие результаты должны быть получены после завершения проекта; какие существуют временные, финансовые, ресурсные ограничения. Даже если ответы на поставленные вопросы будут содержать большую долю неопределенности, эти вопросы должны быть поставлены в самом начале проекта. Для краткого объяснения проекта внедрения КИС его риски необходимо подразделить на первостепенные и второстепенные, т.е. которые требуют немедленных действий и которые могут быть рассмотрены позже.

Важно сразу же при старте проекта внести в его устав раздел о рисках. Даже если нельзя провести всесторонней идентификации рисков, можно включить в устав четыре существенных риска практически любого проекта, в том числе проекта внедрения КИС:

риск низкого качества результатов проекта - выполнение работ с низким уровнем качества и неспособность удовлетворять разумные требования конечных пользователей;

риск срыва сроков проекта - невыполнение работ в установленные сроки, зависимость выполнения работ от смежных проектов и мероприятий;

риск увеличения затрат - недостаток определенных бюджетом проекта средств, необходимость увеличения бюджета;

риск остановки проекта - изменение условий и масштабов проекта.

Данные риски можно признать "универсальными". Если нужно будет анализировать дальнейший ход проекта хотя бы с точки зрения этих рисков, шансы на успех существенно возрастут.

Далее следует определить факторы риска. Фактор риска - это характеристики (события, свойства, факты) проекта, которые существенно влияют на него и качество его результатов. В случае с внедрением КИС наиболее значимыми факторами риска являются:

несоответствие фактического статуса проекта в компании;

слабый менеджмент проекта;

несогласованные или нечеткие формулировки цели и результатов проекта;

разрыв проектной деятельности и организационных изменений;

недостаточное количество участников проекта;

несогласованность действий по обеспечению проекта (инфраструктура, техническая архитектура, обучение);

ротация (увольнение, перевод) участников проекта;

изменения требований государственных органов к организации и ведению учета и формированию отчетности и т.д.

При выборе факторов риска следует задавать следующие вопросы:

какова вероятность успеха или неудачи проекта;

какие выгоды даст реализация проекта КИС;

какой ущерб может быть получен в случае неудачи;

каким образом планируется выполнить проект;

насколько оправдан риск с точки зрения получения ожидаемых выгод.

Данные вопросы позволят сконцентрироваться на выявлении действительно значимых факторов и не останавливаться на изучении малозначительных. Однако это не означает, что малозначительные и маловероятные риски не следует рассматривать вовсе. Малозначительные риски в совокупности могут образовать критическую массу, представляющую серьезную угрозу проекту. Точно так же и маловероятные риски в случае возникновения могут завести проект в тупик.

Хорошей практикой может оказаться проведение совещания методом "мозгового штурма" с участием ключевых участников проекта, а также экспертов со стороны заказчика. Сначала каждый из участников называет те риски, которые видит именно он. Составляется общий список рисков, который потом оценивается по степени важности, например по десятибалльной системе. Затем в форме дискуссии каждому участнику следует высказаться о возможных мерах и приоритетах работ по предупреждению рисков. Помимо практического результата такое совещание позволит сплотить проектную группу и сформирует чувство коллективной ответственности за конечный результат.

Оценка риска. Следует отметить, что качество оценки риска находится в прямой зависимости от опыта людей, выполняющих ее. В состав работ по оценке рисков входит их классификация по типам, силе влияния, вероятности возникновения. Для этого должна быть проведена качественная и количественная оценка рисков.

Цель оценки рисков - всесторонний анализ вероятности каждого риска и влияния его последствий на проект и его результаты.

При оценке рисков необходимо понять, какой факт (событие, результат, действие) является риском, какой - предпосылкой риска, а какой - последствием. Так, "увольнение члена проектной команды" может быть предпосылкой риска "недостаточное количество участников проекта", может быть самостоятельным риском, измеряемым, например, затратами на обучение этого сотрудника и стоимостью услуг по поиску нового сотрудника, а может быть и последствием риска "недостаточная мотивация участников проекта".

Существует множество моделей и методов для оценки рисков, но, как показывает практика, в большинстве случаев оценку вероятности неблагоприятного события и степени его влияния делают на основе субъективных суждений. Для обеспечения целей проекта КИС достаточно провести элементарную категоризацию или ранжирование рисков по степени вероятности и последствий по степени серьезности (тяжести последствий). Последующее перемножение этих величин позволит определить статус риска, который может быть минимальным, низким, средним, высоким и чрезвычайно высоким. Такая оценка графически выражается в матрице (табл. 1).

Таблица 1

Оценка статуса риска

     
                         ———T———————————T———————T———————————————————¬
   Вероятность  Высокая     |Средняя    |Высокая|Чрезвычайно высокая|
   наступления           ———+———————————+———————+———————————————————+
                Средняя     |Низкая     |Средняя|Высокая            |  
                         ———+———————————+———————+———————————————————+
                Низкая      |Минимальная|Низкая |Средняя            |  
                         ———+———————————+———————+———————————————————+
                            |           |       |                   |
                             Низкая      Средняя Очень высокая
                             Тяжесть последствий
   
   В качестве документа, описывающего результаты работ по оценке рисков, можно использовать таблицу, в которой перечисляются идентифицированные риски, указываются возможные факторы риска и дается оценка вероятности и тяжести последствий (табл. 2).
   
   Таблица 2
     
   —————————————T——————————————————T————————————T———————————————————¬
   |    Риск    |      Фактор      | Вероятность|Тяжесть последствий|
   +————————————+——————————————————+————————————+———————————————————+
   |Риск низкого|Недостаточный опыт|——¬         |——¬                |
   |качества    |исполнителя работ || | Высокая ||V| Очень серьезная|
   |результатов |                  |L——         |L——                |
   |            |                  |——¬         |——¬                |
   |            |                  ||V| Средняя || | Средняя        |
   |            |                  |L——         |L——                |
   |            |                  |——¬         |——¬                |
   |            |                  || | Низкая  || | Невысокая      |
   |            |                  |L——         |L——                |
   |            +——————————————————+————————————+———————————————————+
   |            |Слабый контроль   |——¬         |——¬                |
   |            |над ходом работ   || | Высокая || | Очень серьезная|
   |            |                  |L——         |L——                |
   |            |                  |——¬         |——¬                |
   |            |                  || | Средняя ||V| Средняя        |
   |            |                  |L——         |L——                |
   |            |                  |——¬         |——¬                |
   |            |                  ||V| Низкая  || | Невысокая      |
   |            |                  |L——         |L——                |
   |            +——————————————————+————————————+———————————————————+
   |            |Неучастие         |——¬         |——¬                |
   |            |заказчика в оценке|| | Высокая ||V| Очень серьезная|
   |            |промежуточных     |L——         |L——                |
   |            |результатов       |——¬         |——¬                |
   |            |                  ||V| Средняя || | Средняя        |
   |            |                  |L——         |L——                |
   |            |                  |——¬         |——¬                |
   |            |                  || | Низкая  || | Невысокая      |
   |            |                  |L——         |L——                |
   L————————————+——————————————————+————————————+————————————————————
   

Оценка рисков, описанная выше, может считаться необходимой. Однако для достаточной оценки следует провести анализ вероятности с помощью специальных методов, например "дерева распределения" вероятностей, диаграмм влияния, распределения вероятности, профилей чувствительности. Эти методы требуют специального подхода, и их использование должно диктоваться условиями конкретного проекта. Деление рисков на внешние, организационные, управленческие, технические, финансовые и другие группы, рекомендованное, в частности, PMI PMBOK, оправдано в первую очередь для определения ответственного за риск, что уже имеет непосредственное отношение к мероприятиям по реагированию на риски. (Окончание см. "Финансовая газета. Региональный выпуск", 2007, N 29) С.Кошелев Директор департамента внедрения приложений компании "Открытые Технологии" Подписано в печать 11.07.2007 ————