Risk register to centralny, na bieżąco aktualizowany dokument służący do identyfikowania, oceniania i obsługi ryzyk oraz szans w projekcie lub organizacji. Nie jest jednorazowym raportem. Jako „żywy dokument” wspiera decyzje, przypisuje odpowiedzialność i pokazuje, jakie działania trzeba podjąć, aby ograniczyć zagrożenia.
Jak rejestr ryzyk wpisuje się w zarządzanie ryzykiem?
Risk register jest narzędziem wykorzystywanym w szerszym procesie zarządzania ryzykiem. Sam rejestr nie zarządza ryzykiem i nie zastępuje decyzji zespołu. Porządkuje informacje, które powstają podczas identyfikacji, analizy, planowania reakcji oraz monitorowania.
W praktyce proces przebiega w czterech powiązanych etapach:
- Identyfikacja – zespół rozpoznaje możliwe zagrożenia i szanse, korzystając między innymi z burzy mózgów, analizy SWOT, wywiadów z ekspertami, list kontrolnych oraz doświadczeń z wcześniejszych projektów.
- Analiza – każde ryzyko ocenia się pod kątem prawdopodobieństwa wystąpienia i wpływu na zakres, termin, budżet lub jakość. W analizie jakościowej często stosuje się macierz ryzyka, a analiza ilościowa może obejmować szacowanie skutków finansowych lub symulacje.
- Reakcja – zespół wybiera sposób postępowania, określa działania ograniczające ryzyko i wskazuje osobę odpowiedzialną za ich realizację.
- Monitorowanie – statusy, oceny i plany reakcji są aktualizowane wraz ze zmianą sytuacji w projekcie.
Rejestr jest więc wynikiem identyfikacji ryzyk i jednocześnie źródłem informacji dla kontroli projektu. To odróżnia go od samego procesu risk management, który obejmuje także zasady, role, decyzje i cykliczne przeglądy. Takie podejście jest zgodne z praktykami opisywanymi między innymi w ISO 31000, PMBOK i PRINCE2.
Jak stworzyć risk register?
Rejestr może być prowadzony w arkuszu, systemie do zarządzania projektami lub innym narzędziu dostępnym dla zespołu. Forma ma mniejsze znaczenie niż spójność danych, jasne kryteria oceny i regularna aktualizacja. Tworzenie rejestru najlepiej przeprowadzić w następującej kolejności:
- Określ zakres – ustal, jakiego projektu, procesu lub obszaru dotyczy rejestr oraz jakie kategorie ryzyka będą analizowane.
- Zidentyfikuj ryzyka – zapisz konkretne zdarzenia, a nie ogólne hasła. „Opóźnienie dostawy sprzętu” jest użyteczniejsze niż „problemy z dostawcą”.
- Oceń prawdopodobieństwo i wpływ – zastosuj ustaloną skalę, na przykład od 1 do 5. Wynik można obliczyć jako iloczyn obu wartości, jeśli taki sposób oceny przyjęto w projekcie.
- Przypisz właściciela – wskaż osobę, która monitoruje ryzyko i koordynuje reakcję. Samo wpisanie ryzyka do tabeli nie oznacza, że ktoś się nim zajmuje.
- Ustal plan reakcji – opisz działania, termin ich wykonania i sposób sprawdzenia, czy ograniczyły prawdopodobieństwo lub wpływ ryzyka.
Poniższy przykład pokazuje podstawową strukturę rejestru. Skala prawdopodobieństwa i wpływu od 1 do 5 wymaga wcześniejszego zdefiniowania, aby poszczególne oceny były porównywalne.
| ID | Opis ryzyka | Prawdopodobieństwo | Wpływ | Właściciel | Plan mitygacji | Status |
|---|---|---|---|---|---|---|
| R-01 | Opóźnienie dostawy sprzętu | 3/5 | 4/5 | PM | Zamówienie z wyprzedzeniem i potwierdzenie terminu u dostawcy | W toku |
| R-02 | Opóźnienie integracji z systemem zewnętrznym | 2/5 | 4/5 | Lider techniczny | Wczesny test interfejsu i uzgodnienie środowiska testowego | Otwarte |
| R-03 | Odejście osoby posiadającej wiedzę krytyczną | 2/5 | 5/5 | Team leader | Dokumentacja wiedzy i plan zastępstwa | Monitorowane |
Opis powinien wskazywać konkretne zdarzenie i jego możliwy skutek. Właściciel ryzyka nie musi wykonywać wszystkich działań osobiście, ale odpowiada za dopilnowanie reakcji. Plan mitygacji powinien wyjaśniać, co zespół zrobi, a nie tylko stwierdzać, że „ryzyko będzie monitorowane”. Status informuje natomiast, czy ryzyko jest nowe, otwarte, w trakcie obsługi, zaakceptowane, zamknięte lub nieaktualne.
Ocena jakościowa wykorzystuje najczęściej macierz ryzyka, czyli zestawienie prawdopodobieństwa i wpływu. Pomaga szybko ustalić priorytety. Analiza ilościowa służy do bardziej szczegółowego szacowania skutków, na przykład finansowych, ale nie zawsze jest potrzebna przy mniejszych projektach. Rejestr powinien zawierać tyle informacji, ile jest konieczne do podjęcia decyzji.
Jak prowadzić rejestr w Waterfall i Agile?
W projektach realizowanych kaskadowo, czyli w modelu Waterfall, rejestr zwykle powstaje na początku projektu i jest rozwijany podczas kolejnych faz. Może zawierać pełniejszy opis zależności, założeń, działań kontrolnych i terminów przeglądów. Zmiany są często omawiane podczas formalnych spotkań statusowych.
Agile wymaga krótszego cyklu aktualizacji. Ryzyka mogą być omawiane podczas planowania sprintu, przeglądu prac i retrospektywy. Zespół może prowadzić klasyczny rejestr, ale często łączy go z priorytetyzacją Product Backlogu. Elementy obarczone największą niepewnością są realizowane wcześniej, aby szybciej sprawdzić założenia. W niektórych zespołach stosuje się też Risk Burndown Chart, który pokazuje, jak w czasie zmienia się poziom ryzyka.
Nie istnieje jeden obowiązkowy format dla obu podejść. W Waterfall większe znaczenie może mieć kompletność i formalna ścieżka akceptacji, a w Agile szybkość aktualizacji i powiązanie ryzyka z bieżącą pracą zespołu. W obu przypadkach rejestr powinien pozostać zrozumiały i dostępny dla osób podejmujących decyzje.
Jak utrzymać skuteczność rejestru?
Najczęstszy błąd polega na utworzeniu rejestru podczas planowania projektu, a następnie pozostawieniu go bez zmian. Przeglądy powinny odbywać się z częstotliwością dopasowaną do dynamiki projektu. Nowe ryzyka należy dodawać, a te, które przestały być aktualne, zamykać lub archiwizować.
Rejestr nie powinien zawierać każdej drobnej niedogodności. Nadmiar wpisów utrudnia wychwycenie zagrożeń wymagających decyzji i prowadzi do tak zwanego zmęczenia dokumentacją. Dobrą regułą jest pozostawienie ryzyka w rejestrze wtedy, gdy ma określonego właściciela, wymaga monitorowania albo może wpłynąć na cele projektu.
Dobór reakcji zależy od poziomu ryzyka, kosztu działania, tolerancji organizacji oraz możliwych konsekwencji. Najczęściej stosuje się następujące strategie:
- Unikanie – zmiana zakresu, technologii lub planu w taki sposób, aby wyeliminować źródło ryzyka.
- Mitygacja – ograniczenie prawdopodobieństwa wystąpienia zdarzenia albo zmniejszenie jego wpływu.
- Transfer – przeniesienie części odpowiedzialności na stronę trzecią, na przykład przez ubezpieczenie lub outsourcing.
- Akceptacja – świadome przyjęcie ryzyka bez podejmowania działań zapobiegawczych albo z przygotowaniem planu awaryjnego.
Dobry risk register nie jest dokumentem tworzonym dla samej dokumentacji. Łączy opis ryzyka, ocenę, odpowiedzialność i działanie. Gdy zespół regularnie go przegląda, rejestr staje się narzędziem podejmowania decyzji, a nie archiwalną tabelą.
