洗い出せば出すほど手に負えなくなる構造
多くのプロジェクトは、リスク因子ごとに影響度と発現率でリスク度合いを評価し、対策を考えるリスク管理を行っています。
リスク管理の教科書にも必ず登場する基本的な手法です。
当然ながら、洗い出したリスクの数だけ評価と対策に時間がかかります。
リスク管理担当者は、洗い出せば洗い出すほど作業負荷が増えて手に負えなくなるというジレンマに陥る。
プロジェクト開始時には意気込んでどこまでも細かく洗い出しがちですが、その結果、それぞれのリスクを評価し対策を考える時間が際限なく増えていきます。
「どういう粒度で洗い出してよいか迷う」というのは、まさにこの構造の話。
細かく洗い出すべきだとわかっていても、どこかで折り合いをつけなければならない。
これが現実です。
「切り口」で構造化する
リスクは具体的であればあるほど対策も具体的になるので、細かく洗い出すべき。
とはいえ折り合いはつけなければならない。そこで有効なのが、「切り口」を意識した洗い出しです。
切り口とは、カテゴリと工程で切り分けて考えるということ。
まずカテゴリ。
システム開発を取り巻く森羅万象すべてはリスクですから、漫然と洗い出していては尽きることはなく、粒度もまばらになります。
組織、人材、採用技術、外部環境のように枠を決めて、カテゴリごとに洗い出す。
これで思考が構造化され、ある程度の粒度感を保ちやすくなります。
次に工程。
カテゴリで洗い出しても「なぜなぜ」と深掘りすればどんどん細分化できてしまう。
数か月で終わるプロジェクトであれば別ですが、数年に及ぶような大規模プロジェクトでは、はるか先のリリースまでのリスクを一度に洗い出そうとしたら時間がいくらあっても足りません。
しかも、遠い未来のリスクを洗い出しても「ようすをみる」という選択肢しか取りようがない場合が多く、工数対効果に合いません。広く薄く大ぶりなリスクを洗い出しても、具体的な対策につながらないのです。
それならば、直近の工程に範囲を絞り、その範囲を重点的に深掘りするほうがはるかに有効です。
「アプローチ」で効率化する
切り口で構造化したら、次は洗い出しのアプローチを選びます。ブレイクダウンアプローチか、ボトムアップアプローチか。
ブレイクダウンアプローチ：大きなリスクを小さなリスクに分割していく
「職場に定時につかない」というリスクなら、「朝起きられないリスク」「スマホを家に忘れるリスク」「電車が遅延するリスク」と、原因となりうるリスクに細分化していく。
慣れると効率よくリスクを洗い出せるようになりますが、これも際限なく続けられるので、ある程度で打ち切る必要があります。
ボトムアップアプローチ：経験と知識から具体的なリスクを拾い上げる
システム開発では、不思議といつも同じところで問題が顕在化します。
前提条件が共通する過去プロジェクトの失敗例は、リスク管理の有用なインプットになる。
ただし網羅感は乏しいので、小規模で時間もコストもないプロジェクトでない限り、ブレイクダウンアプローチへの補強として使うのがおすすめです。
「影響度×発現率×コントロール可否」で絞り込む
ここまでは洗い出し方の話。次に絞り込みです。
JQが大事にしている考え方として、絞り込みには影響度×発現率×コントロール可否という3つの基準を組み合わせることが重要です。
丁寧な仕事をする人ほど、網羅的に洗い出すと相当数のリスク件数になります。
それでも潤沢な時間があればいいのですが、リスク管理にそこまでコストをかけられるプロジェクトはまれ。洗い出したものの、必要性の低いものは切り捨てていく必要があります。
影響度×発現率は、リスク管理のセオリー。
影響度はリスクが顕在化したときの深刻さ、発現率はリスクが顕在化する確率です。
「起こっても影響が軽微すぎてどうでもよいこと」「めったに発生しないこと」は放っておこう、と切り捨てる。
職場に着くまでのリスクとして、靴の紐がほどけることは結べばよいので問題にならないし、大きな風呂敷を背負って階段の前で立ち往生するおばあさんに出会うのはめったに発生しないので、考えること自体が時間の無駄です。
ここに加えるのがコントロール可否。
コントロールできないものは考えても仕方ない、ということ。
職場に着くまでのリスクを例にとると、大地震や行く手のビルでの火事はリスクがゼロではありませんが、我々がどうこうしようがリスクを上げ下げできないし、起こった影響を避けることも困難です。
「コントロールできない」と思考停止しないために
ただし、絞り込みを実践するうえで重要な注意点があります。
「コントロールできない」と早々に思考停止してしまわないこと。
プロジェクトが停止するような破壊的な影響を伴うリスクだけを省くようにしてください。
例えば「ベンダーのキーマンが急に退職する」というリスクは、完全にコントロールできないわけではありません。定期的なコミュニケーション、契約条件の工夫、知識の共有体制の構築などで、発現率を下げたり影響度を軽減したりすることは可能です。
「どうしようもない」という判断は、慎重に行う必要があります。
一見コントロールできないように見えても、発現率を下げる対策や、影響を軽減する対策が取れる場合が多い。「考えても仕方ない」で思考停止した瞬間、対策できたはずのリスクが顕在化することになります。
また、工程を区切ってリスク洗い出しを行う場合、工程が進むたびに改めてリスクを見直すことも重要です。直近の工程に絞り込んで深掘りするということは、次の工程に進む際には改めて洗い出しを行う必要がある、ということ。
一度洗い出したら終わり、ではなく、継続的な活動として位置づけることが大切です。
リスク洗い出しは構造化と割り切りの両立
リスクを認識すること自体は重要ですが、認識したリスクに対してどうするべきかを考え、それを継続することのほうがもっと重要です。
「これ、どこまでやるの？」と手が止まってしまうプロジェクトは、粒度の判断基準を持たないまま漫然と洗い出しを進めようとしている。
「切り口」で構造化し、「アプローチ」で効率化し、「影響度×発現率×コントロール可否」で絞り込む。この3つの視点を持つことで、限られた時間とコストの中で実効性の高いリスク管理が可能になります。
完璧な正解はありません。
しかし、構造化と割り切りを両立させながら、プロジェクトの現実に即したリスク管理を実践する姿勢こそが、プロジェクトを成功に導く重要な要素です。
「どこまでやるの？」と手が止まったとき、自分が切り口を持っているか、アプローチを選んでいるか、絞り込みの基準を握っているか──この3つを点検してください。
手が止まる原因は、たいていここにあります。
