リスク管理

開発では、予定した結果から外れる原因を調べ、どの不確実性に資源を使うかを決める必要があります。
リスク管理は、目標に関係するリスクを見つけ、評価し、対応と監視を行う活動です。
英国政府のOrange Bookは、リスク管理を日常の計画と判断へ組み込む考え方を示しています。

原因と結果をつなぐ

仮の例として、新しい検査機器の開発に、特定の供給者の部品が必要だとします。
「納期リスクがある」だけでなく、供給者の試作遅延により結合試験を始められず、顧客への提供時期が遅れる、と記します。
原因、起こり得る事象、影響する目標が見えるため、対応を検討できます。
すでに納期が遅れた問題と、今後遅れる可能性も区別します。

評価では、発生の起こりやすさ、影響、時期、既存の対策を確認します。
確率の根拠がない場合は、精密な数値に見せず、使った情報と不明点を示します。
複数の案件が同じ部品に依存する場合には、各案件で小さいと判定した影響が重なることもあります。
個別の一覧に加えて、共通の原因を調べます。

対応と判断者を決める

代替部品の検証、発注時期の変更、機能の延期、リスクの受容などの選択肢を比較します。
対応には、担当者、期限、費用、効果を確認する方法を付けます。
計画した対策を、すでに効いている対策として評価しないようにします。
試験や実績によって、残るリスクがどう変わったかを見直します。

開発担当者がすべての影響を引き受けられるわけではありません。
顧客との約束や事業全体の予算に関係する内容は、権限を持つ人へ判断を渡します。
許容範囲を超えたときや、情報の確かさが足りないときの相談先を決めておきます。

リスクの記録は、問題を列挙するためだけの資料ではありません。
週次の計画や投資判断で使い、新しい情報に応じて優先順位を更新します。
対策の件数だけでなく、どの目標への影響が減り、何が残っているかを確認します。
好ましい結果の可能性を含めて扱う枠組みでは、その機会を得るための選択も別に記述すると、脅威への対策との混同を避けられます。

関連する記事：リスク、リスク許容度、コンティンジェンシープラン。