Риск — это что-то, что может произойти и повредит проект, если это произойдет. Управление рисками — это выявление этих угроз как можно раньше и решение, что с ними делать до того, как они сработают. Недорогое озарение: проблемы намного легче справиться, если вы думали о них заранее.
Простой и широко используемый инструмент для отслеживания угроз и предметов проекта:
R — RISKS → might happen, would cause harm (manage proactively)
A — ASSUMPTIONS → things we're taking as true (validate them)
I — ISSUES → risks that have already materialized (deal with now)
D — DEPENDENCIES → things we rely on from others (track them)
For each risk, score:
LIKELIHOOD (how probable?) × IMPACT (how bad?)
→ focus effort on high-likelihood, high-impact risks
AVOID → change the plan so the risk can't occur
MITIGATE → reduce its likelihood or impact
TRANSFER → shift it (insurance, vendor SLA)
ACCEPT → live with it, but have a fallback ready
Проект зависит от нового и непроверенного API третьей стороны. Риск: может не работать. Вероятность средняя, влияние высокое. Смягчение: протестируйте его на ранней стадии, создайте абстракцию, чтобы иметь возможность менять поставщиков, и создайте запасной вариант. Теперь неизвестное — это управляемый риск с планом.
Отношение к управлению рисками как к одноразовому контрольному списку запуска. Риски развиваются — регулярно пересматривайте журнал RAID и добавляйте новые по мере их появления.
Неконтролируемые риски становятся кризисами, как правило, в самый неподходящий момент перед крайним сроком.
Стоимость управления риском на раннем этапе ничтожна по сравнению с тушением пожара после его возникновения.
Название рисков вслух также устанавливает доверие — заинтересованные стороны предпочитают "вот что может пойти не так и наш план" уверенному молчанию, за которым следует неприятный сюрприз.