プロジェクトリスクマネジメント

はじめに

ＮＨＫのプロジェクトＸのヒットのおかげで、プロジェクトには縁の無かった方々にも「プロジェクトとはどんなものなのか」についてのイメージが受け入れられやすくなっている。
プロジェクトとは、「到達すべき目的」の実現に向けて行われる、期間及びコストの制限のもとで複数の人間により実施される一連の活動と定義できる。到達すべき目的には、「新製品の開発」であったり、「新しい情報システムの構築」であったりする。最近では「Ｊ－ＳＯＸ対応プロジェクト」を立ち上げた企業も多いことと思う。
プロジェクトリスクとは「到達すべき目的」が達成できないことで、プロジェクトが中断することだけでなく、完成はしても期間やコストの超過や、一部の目的が未達成となる場合なども含まれる。表題の「プロジェクトリスクマネジメント」の目的は、当初の期間とコストで予定した目的（機能・品質など）を実現するために、プロジェクトの目的達成に対する阻害要因を排除することである。

米国プロジェクトマネジメント協会が提唱するＰＭＢＯＫ（Project Management Body of Knowledge）が、プロジェクトマネジメントに必要と考えられる基本的な知識の体系としての事実上の標準として広く受け入れられている。ＰＭＢＯＫでは、プロジェクトを遂行する際には、「スコープ（目的と範囲）」、「時間」、「コスト」、「品質」、「人的資源」、「コミュニケーション」、「リスク」、「調達」、「統合管理」の９つの観点に対するマネジメントが必要であるとしている。
つまり、「プロジェクトを成功に導くためのマネジメント」を行うことには、「プロジェクトのリスクマネジメント」を行うことが含まれており、かつプロジェクトを成功させるための重要な観点であると認識されている。

ＰＭＢＯＫでは、プロジェクトリスクマネジメントをプロジェクトに対する「リスクの識別」、「リスクの分析」、「リスクへの対応」、「残存リスク等の監視」のプロセスに分類して、各プロセスでの利用情報、実施時のツールと技法、成果物等を整理している。

リスクの識別

リスクとは、もしそれが起こった場合にプロジェクト目標に対して影響を与えるであろう「不確かな事象」である。たとえば、「プロジェクトに配属された要員が職務に適さないかもしれない」というリスクは、その結果として（リスクが発現すると）コスト、スケジュールまたは品質に影響する可能性がある。

リスクマネジメントの最初に行うプロセスである「リスクの識別」では、このようなプロジェクトの目的達成に影響する「不確かな事象」（リスク）の洗い出しを行うことである。

好機となるリスク

予想されるリスクを許容範囲内と判断した場合、 先行するフェーズの成果物が承認される前に 後続のフェーズを開始することがある（ファストトラッキング）。 前後のフェーズを重ねることによるリスク（品質低下の可能性）とその結果として得られる見返り（工期短縮の可能性）を比較して、リスクを受容できると判断した結果である。

この場合、「フェーズを重ねる」ことは、このことにより起こる「不確かな事象」（リスク）がマイナス（品質低下）よりもプラス（工期短縮）の影響の方が大きいことになるので、好機となるリスクとなる。

リスク分析

識別されたリスクに対して、プロジェクト目標に及ぼす潜在的な影響の大きさによる優先順位付けを行うプロセスである。識別された個々のリスクについて対応策を考える上でどのリスクがより重要であるか判断するためにリスク分析を行う。

リスクの不確実性の変化

リスクの発現はプロジェクトのライフサイクルにおける進捗状況によって変わる。プロジェクトの初期段階では要件や使用が具体化されていないためリスクの多くは発現しないが、後になって多くのリスクが発現することが多い。

残存リスク

識別されたリスクに対して回避、転嫁、軽減等の対応策をとった後に残るリスクのことである。

二次リスク

リスク対応策を実施した結果により発生する可能性のあるリスクのことで、これについても対応策を立てる必要がある。

リスクへの対応

プロジェクト目標に対する識別されたリスクについて重要性の判断を行った後に、そのリスクによる好機の増加と脅威の低減のための選択肢を立案して、リスク対応策を決定するプロセスである。リスク対応策は、回避、転嫁、軽減、受容などに分類される。

【リスク回避】

プロジェクト目標に対するリスクを除去する、またはリスクの影響から守るためにプロジェクト計画を変更することである。すべてのリスクを取り除くことはできないが一部のリスクから回避することは可能である。

プロジェクトの初期段階では要求事項の明確化や、追加情報の入手、コミュニケーションの改善、専門家の採用などにより、リスク回避可能な場合が多い。また、リスクの高い活動を避けるために、スコープの縮小、資源や時間の追加投入、新技術の採用ではなく利用実績のある既存技術の採用、過去に利用した外部委託先の採用などを行う場合もある。

【リスク転嫁】

リスクの発現結果をリスク対応の責任とともに第三者へ移すことである。リスク転嫁はリスクの責任を第三者へ移すだけでリスクを取り除くことではない。

財務的なリスクに対してはリスク転嫁がもっとも有効である。リスクの転嫁では、リスクを引き受ける側に対して、保険料や保証料などのリスク対価の支払いが必要となる。

【リスク軽減】

リスクの発現確率と発現結果の両方またはいずれかを受容可能な限界値まで減らすことである。リスク軽減のためのコストは、発現確率と発現結果に見合ったものである必要がある。リスクに対して早期に対応することはリスクが発現した後に修復するよりも低コストで効果的であることが多い。

リスクを軽減するために、より簡潔なプロセスの採用や、耐震試験や技術試験の実施、安心できる業者の利用などが行われる。

リスク発現確率を低減するために、資源の増加や期間の延長、小規模モデルからのスケールアップ、試作の作製などが行われる。

リスクの影響度を低減するために、冗長性のある部品構成などが行われる。

【リスク受容】

リスクに対処するためのプロジェクト計画の変更を行わないことである。他に適当な対応策を見つけられない場合に採用されることがある。

通常は、リスク発現時のコンティンジェンシープランを作成することが多い。

〈コンティンジェンシー計画〉 

識別したリスクが発現した場合に備えて事前に計画しておく対策や手続きのことである。コンティンジェンシー計画の策定は、リスク発現時の影響と対応コストの削減が期待で切る。プロジェクト期間中の「マイルストンが達成できない」などのリスクのトリガーを定義しておき、追跡することにより、適時のコンティンジェンシー計画発動が可能となる。

リスク対応計画の項目

•リスク対応計画はそれに基づいた行動が取れるレベルの詳細化が必要

•識別されたリスク、リスクの説明、影響を受けるプロジェクトの活動、原因、プロジェクト目標に及ぼす影響

•リスクオーナーとその責任

•定性的、定量的リスク分析の結果

•リスク対策として合意した回避、転嫁、軽減、受容などの対応策

•リスク対応後の残存リスクのレベル

•対応策を実施するための具体的な行動計画

•対応策に要する予算と時間

•コンティンジェンシー計画と代替計画

リスクの監視とコントロール

プロジェクトの進展によりリスクは変化し、新しいリスクが発現したり、予期していたリスクが消失したりする。そのため、識別されたリスクの追跡と残存リスクの監視、及び新たなリスク発現の監視・識別を行い、必要なリスク低減策を実行する必要がある。

リスク監視のポイント

•リスク対策が計画通りに実行されているか

•リスク対策の効果は期待通りか、新たな対策の必要は無いか

•プロジェクトの前提条件に変化は無いか

•リスクの脅威に変化は無いか

•リスクのトリガーが発現していないか

•新たなリスクが発現していないか

•リスク対応の方針と手続が遵守されているか