مدیریت ریسک پروژه در PMBOK 8: راهنمای کاربردی حوزه‌ی عملکرد ریسک با ثبت ریسک، ماتریس احتمال و اثر و یک مثال عددی کامل

بیشتر ثبت‌های ریسکی که در پروژه‌های ایرانی دیده‌ایم یک سرنوشت دارند: برای مناقصه یا جلسه‌ی شروع پر می‌شوند، بیست ردیف کلی مثل «کمبود نقدینگی» و «تأخیر پیمانکار» دارند و بعد دیگر کسی بازشان نمی‌کند. ویرایش هشتم PMBOK حوزه‌ی عملکرد ریسک را درست برای عوض کردن همین وضعیت نوشته است. هدفش دیگر فقط «فهرست کردن خطرها» نیست، بلکه تاب‌آوری پروژه است: اینکه تیم بتواند پیش‌بینی کند، آماده شود، پاسخ بدهد و بعد از ضربه سریع سر پا شود.

این مقاله سومین قسمت از مجموعه‌ی PMBOK 8 در بیدخش است. بعد از مدیریت هزینه و زمان‌بندی، همان پروژه‌ی خط بسته‌بندی را این بار از زاویه‌ی ریسک جلو می‌بریم. همه‌چیز کاربردی است: مقیاس‌ها، جمله‌بندی ریسک، ثبت ریسک واقعی، محاسبه‌ی ذخیره، انتخاب پاسخ و جلسه‌ی پایش. اگر مفاهیم پایه را لازم دارید، اول راهنمای مدیریت ریسک پروژه را ببینید.

حوزه‌ی عملکرد ریسک در یک نگاه

استاندارد شش فرایند برای این حوزه نام می‌برد. همه‌ی آن‌ها، به‌جز اولی، در تمام عمر پروژه تکرار می‌شوند، نه فقط در شروع:

1. برنامه‌ریزی مدیریت ریسک: تعیین اینکه مدیریت ریسک در این پروژه چطور انجام می‌شود. از زمان شکل‌گیری پروژه شروع می‌شود و در ابتدای آن کامل می‌شود.
2. شناسایی ریسک‌ها: پیدا کردن تهدیدها و فرصت‌ها و جدا کردن ریسک واقعی از نگرانی‌ها و مسائل. استاندارد صریحاً می‌پذیرد که شناسایی اولیه هیچ‌وقت کامل نیست.
3. انجام تحلیل ریسک: تحلیل کیفی (احتمال و اثر هر ریسک) همیشه، و تحلیل کمی (اثر تجمیعی همه‌ی ریسک‌ها بر اهداف) هر جا که لازم باشد.
4. برنامه‌ریزی پاسخ‌ها: انتخاب راهبرد و اقدام برای ریسک‌های منفرد و برای ریسک کلی پروژه، همراه با تخصیص منابع و ذخیره.
5. اجرای پاسخ‌ها: اطمینان از اینکه اقدام‌های توافق‌شده واقعاً انجام می‌شوند.
6. پایش ریسک‌ها: پیگیری ریسک‌ها و اثربخشی پاسخ‌ها، شناسایی ریسک‌های تازه و نگه داشتن مالکیت روشن.

فرایند پنجم را جدی بگیرید. ثبت ریسک‌ها معمولاً پاسخ دارد، ولی کسی پاسخ را اجرا نمی‌کند. وجود این فرایند به‌صورت مستقل در استاندارد دقیقاً هشدار همین شکاف است.

مفاهیمی که باید دقیق از هم جدا کنید

دو نکته از این جدول در عمل خیلی مهم است:

• آستانه با عدد تعریف می‌شود، نه با صفت. استاندارد مثال می‌زند که آستانه‌ی ‎±۵٪‎ حول هدف هزینه نشانه‌ی اشتهای ریسک کمتری نسبت به ‎±۱۰٪‎ است. جمله‌ی «سازمان ما ریسک‌گریز است» به هیچ تصمیمی کمک نمی‌کند.
• ریسک و مسئله دو دفتر جدا دارند. وقتی ریسک رخ می‌دهد، از ثبت ریسک به ثبت مسائل منتقل می‌شود. اگر در ثبت ریسک‌تان چیزی هست که الان دارد اتفاق می‌افتد، جایش اشتباه است.

استاندارد ریسک‌ها را از نظر آگاهی هم در چهار دسته می‌گذارد: شناخته‌های شناخته، شناخته‌های ناشناخته، ناشناخته‌های شناخته و ناشناخته‌های ناشناخته. برای کار روزمره کافی است بدانید: ریسکی که در ثبت ریسک هست با ذخیره‌ی احتیاطی پوشش داده می‌شود و ناشناخته‌ی واقعی با ذخیره‌ی مدیریتی و تاب‌آوری.

مثال این مقاله

همان پروژه‌ی دو مقاله‌ی قبل: یک کارخانه‌ی مواد غذایی خط بسته‌بندی خودکار راه می‌اندازد. دستگاه‌ها وارداتی‌اند، بودجه‌ی بسته‌های کاری ۲۸ میلیارد تومان است و مسیر بحرانی ۲۱۳ روز کاری است: طراحی، ساخت دستگاه‌ها در کارخانه‌ی سازنده، حمل و ترخیص، نصب، راه‌اندازی و تحویل. کار ساختمانی و تأسیسات بیش از ۱۴۰ روز شناوری دارند. تعهد به کارفرما روز ۲۳۳ است.

گام ۱: برنامه‌ی مدیریت ریسک در یک صفحه

برنامه‌ی مدیریت ریسک لازم نیست سند پنجاه‌صفحه‌ای باشد. برای این پروژه یک صفحه کافی بود و این تصمیم‌ها را ثبت کرد:

• آستانه‌ها: تحویل تا روز ۲۳۳ با دست‌کم ۸۰٪ اطمینان. هزینه‌ی تمام‌شده حداکثر ‎۵٪‎ بالای بودجه.
• مالکیت: هر ریسک یک مالک با نام دارد، نه «واحد بازرگانی».
• ریتم بازنگری: هر هفته ۳۰ دقیقه در جلسه‌ی پروژه، هر ماه یک گزارش ریسک برای حامی.
• اختیار ذخیره‌ها: ذخیره‌ی احتیاطی با مدیر پروژه، ذخیره‌ی مدیریتی فقط با کمیته‌ی راهبری.
• مقیاس‌ها: دو جدول زیر.

مقیاس احتمال:

مقیاس اثر (بدترین اثر بین هزینه و زمان ملاک است):

امتیاز ریسک = احتمال × اثر. از ۱ تا ۵ سبز، از ۶ تا ۱۱ زرد و از ۱۲ تا ۲۵ قرمز. استاندارد هم همین را می‌گوید: قواعد اولویت‌بندی ماتریس احتمال و اثر را می‌توان از سازمان گرفت یا برای پروژه تنظیم کرد، و فرصت‌ها و تهدیدها می‌توانند در یک ماتریس مشترک بنشینند.

نکته‌ی کاربردی: اثر زمانی را روی پایان پروژه بسنجید، نه روی خود فعالیت. سه هفته تأخیر در فونداسیونی که ۱۴۰ روز شناوری دارد، اثر زمانی‌اش صفر است. نصف ماتریس‌های ریسکی که می‌بینیم به خاطر همین اشتباه پر از قرمزهای بی‌خطرند.

گام ۲: شناسایی ریسک‌ها با جمله‌ی سه‌قسمتی

استاندارد برای جدا کردن ریسک از علت و اثرش، «بیانیه‌ی ساختارمند ریسک» را پیشنهاد می‌کند. ساده‌ترین قالبش این است:

به دلیلِ [علت یا واقعیت موجود]، ممکن است [رویداد نامطمئن] رخ دهد، که باعث [اثر بر هدف] می‌شود.

مقایسه کنید:

نسخه‌ی دوم سه چیز به شما می‌دهد که نسخه‌ی اول ندارد: علت (که پاسخ را به آن نشانه می‌روید)، رویداد (که احتمالش را می‌سنجید) و اثر (که اندازه‌اش را می‌سنجید).

برای اینکه چیزی از قلم نیفتد، از یک فهرست محرک استفاده کنید. استاندارد مثلاً PESTLE (سیاسی، اقتصادی، اجتماعی، فناوری، حقوقی، محیطی) را برای منابع ریسک کلی پیشنهاد می‌کند. برای ریسک‌های منفرد، رده‌های ساختار شکست ریسک سازمان کافی است: فنی، زمان‌بندی، هزینه، کیفیت، محدوده، منابع، بیرونی و ارتباطات. تحلیل SWOT هم کمک می‌کند فرصت‌ها را ببینید، که تقریباً همیشه فراموش می‌شوند.

گام ۳: تحلیل کیفی، ثبت ریسک پروژه

کارگاه شناسایی برای این پروژه نُه ردیف به ثبت ریسک اضافه کرد: هفت تهدید و دو فرصت.

R2 با اینکه کار ساختمانی را عقب می‌اندازد، به خاطر شناوری اثر زمانی ندارد و فقط اثر هزینه‌اش حساب شده است.

حالا به R7 نگاه کنید. امتیازش ۵ است و سبز، اما اگر رخ دهد پروژه را دو ماه عقب می‌اندازد و ۳ میلیارد خسارت دارد. امتیاز احتمال × اثر، ریسک‌های کم‌احتمال و پراثر را پنهان می‌کند. قاعده‌ی ساده‌ای بگذارید: هر ریسکی که اثرش ۵ است، فارغ از امتیاز، پاسخ مشخص می‌خواهد.

برای هر ریسک قرمز و زرد، نشانه‌ی هشدار هم ثبت شد. استاندارد این را جزو داده‌های تکمیلی ثبت ریسک می‌آورد: رویداد یا شرایطی که نشان می‌دهد ریسک در آستانه‌ی وقوع است. برای R3 نشانه این بود: «سازنده گزارش تصویری هفتگی مونتاژ شاسی را دو هفته پشت‌سرهم نفرستد».

گام ۴: تحلیل کمی، ذخیره و ریسک کلی

تحلیل کمی همیشه لازم نیست، ولی این پروژه تاریخ تعهد و آستانه‌ی ۸۰٪ دارد، پس لازم است. اول ارزش مورد انتظار (EMV = احتمال × اثر) ریسک‌های اصلی:

ذخیره‌ی احتیاطی ۲٫۵ میلیاردی همان عددی است که در مقاله‌ی هزینه داخل خط مبنا گذاشتیم. حالا معلوم است از کجا آمده.

اما در سمت زمان یک کشف ناخوشایند داشتیم. در مقاله‌ی زمان‌بندی ذخیره‌ی ۲۰ روزه را فقط از عدم‌قطعیت برآورد (PERT ساخت دستگاه‌ها) به دست آوردیم و گفتیم روز ۲۳۳ حدود ۸۴٪ اطمینان دارد. آن محاسبه ریسک‌های رخدادی مثل R3 تا R5 را نمی‌دید. وقتی هر دو منبع را با هم در شبیه‌سازی مونت‌کارلو گذاشتیم:

۶۲٪ زیر آستانه‌ی ۸۰٪ است. یعنی ریسک کلی پروژه از آستانه بیرون زده، حتی اگر هیچ ریسک منفردی به‌تنهایی فاجعه نباشد. این همان تمایزی است که استاندارد بین ریسک منفرد و ریسک کلی می‌گذارد: پاسخ به ریسک کلی روی کل پروژه اعمال می‌شود و اگر ریسک کلی خیلی بالا بماند، سازمان حتی ممکن است پروژه را لغو کند.

گام ۵: انتخاب پاسخ‌ها، همه‌ی راهبردهای استاندارد روی یک پروژه

PMBOK 8 برای تهدیدها پنج راهبرد دارد (ارجاع، اجتناب، انتقال، کاهش، پذیرش) و برای فرصت‌ها پنج راهبرد (ارجاع، بهره‌برداری، تسهیم، تقویت، پذیرش). این پروژه تقریباً همه را لازم داشت:

چند نکته‌ی کاربردی از همین جدول:

• اجتناب همیشه حذف کار نیست. استاندارد می‌گوید بعضی ریسک‌ها با شفاف کردن نیازمندی‌ها، کسب اطلاعات یا جذب تخصص اجتناب می‌شوند. یک مطالعه‌ی ۵۰ میلیون تومانی R6 را از ثبت ریسک بیرون انداخت.
• انتقال، ریسک زمانی را منتقل نمی‌کند. بیمه خسارت ۳ میلیاردی را می‌پردازد، اما اگر دستگاه در حمل آسیب ببیند دو ماه تأخیر سر جایش است. برای R7 در عمل دو پاسخ لازم است: بیمه برای پول و بسته‌بندی صادراتی استاندارد برای کاهش احتمال.
• ارجاع یعنی خروج از پروژه. معافیت گمرکی در اختیار مدیر پروژه نیست. طبق استاندارد، ریسک ارجاع‌شده را طرف مقابل باید بپذیرد و بعد از آن تیم پروژه دیگر پایشش نمی‌کند، هرچند برای اطلاع در ثبت ریسک می‌ماند.
• هزینه‌ی پاسخ داخل برآورد می‌رود، نه داخل ذخیره. بازرس و بیمه هزینه‌ی قطعی‌اند. ذخیره برای وقتی است که ریسک رخ دهد.
• هر پاسخ یک فعالیت است. اعزام بازرس باید در برنامه‌ی زمان‌بندی، با مالک و تاریخ، بنشیند. استاندارد هم می‌گوید این فرایند در صورت نیاز فعالیت‌ها را به اسناد و برنامه‌ی پروژه اضافه می‌کند.

آیا این پاسخ‌ها ارزشش را داشت؟ بعد از پاسخ‌ها، مواجهه‌ی زمانی تهدیدها از ۹٫۶ روز به ۳٫۱ روز رسید (۱٫۲ + ۱٫۵ + ۰٫۴). مونت‌کارلو را دوباره اجرا کردیم:

نتیجه‌ی جالب این است: پاسخ به تهدیدها به‌تنهایی پروژه را به آستانه نرساند و تقویت یک فرصت کار را تمام کرد. ثبت ریسکی که فقط تهدید دارد، نیمی از ابزارهای شما را کنار گذاشته است.

حساب اقتصادی‌اش هم صادقانه این است: خط جدید سالانه حدود ۱۵ میلیارد صرفه‌جویی می‌آورد، یعنی هر روز کاری تأخیر حدود ۵۰ میلیون تومان می‌ارزد. پاسخ‌های زمانی (R3، R4، R5 و O1) جمعاً ۰٫۵ میلیارد خرج داشتند و حدود ۹ روز تأخیر مورد انتظار را کم کردند، که تقریباً سربه‌سر است. دلیل اصلی این خرج EMV نبود، برگرداندن ریسک کلی به داخل آستانه بود. این همان تصمیمی است که اشتهای ریسک سازمان باید راهنمایش باشد.

گام ۶: اجرای پاسخ‌ها و جلسه‌ی ۳۰ دقیقه‌ای هفتگی

بیشتر شکست‌های مدیریت ریسک در همین گام رخ می‌دهد. یک قاعده بگذارید: پاسخی که مالک با نام و تاریخ سررسید ندارد، پاسخ نیست. «پیگیری شود» پاسخ نیست.

دستور جلسه‌ی هفتگی ریسک این پروژه، که داخل جلسه‌ی هفتگی پروژه برگزار می‌شد:

1. ۵ دقیقه، نشانه‌های هشدار: آیا نشانه‌ی هشدار هیچ ریسکی دیده شده است؟
2. ۱۰ دقیقه، اقدام‌های سررسیدشده: کدام اقدام پاسخ انجام شده و کدام عقب است؟
3. ۱۰ دقیقه، ریسک‌های تازه: از گزارش پیشرفت، صورتجلسه‌ها و مسائل این هفته چه ریسکی درآمده است؟
4. ۵ دقیقه، بستن و ارجاع: کدام ریسک دیگر موضوعیت ندارد؟ چه چیزی باید به حامی برود؟

ثبت ریسکی که هر هفته ریسک بسته نمی‌کند، به‌مرور به آرشیو تبدیل می‌شود. استاندارد هم برای هر ریسک «زمانی که دیگر مرتبط نخواهد بود» را جزو اطلاعات زمانی ثبت ریسک می‌آورد.

گام ۷: پایش، روز ۱۲۰ پروژه

این همان روزی است که در مقاله‌ی زمان‌بندی دیدیم: FAT دوازده روز عقب افتاده است. حالا از زاویه‌ی ریسک ببینیم چه گذشت:

• R3 رخ داد و به مسئله تبدیل شد. بازرسی که برای کاهش ریسک فرستاده بودیم، در بازدید ۵۰٪ دید درایوهای سروو هنوز نرسیده‌اند. نشانه‌ی هشدار پنج هفته زودتر دیده شد. اثر نهایی ۱۲ روز بود، بیشتر از برآورد پسماند ۸ روزه، ولی آن پنج هفته فرصت داد گزینه‌ی حمل هوایی قطعات حساس بررسی شود. R3 از ثبت ریسک بسته شد و در ثبت مسائل باز شد.
• ذخیره‌ی زمانی: ۱۲ روز از ۲۰ روز مصرف شد و ۸ روز ماند.
• یک ریسک ثانویه پیدا شد. با جابه‌جا شدن FAT، نوبت مهندس راه‌اندازی سازنده با پروژه‌ی دیگری تداخل پیدا کرد. احتمال R5 از ۱۰٪ به ۴۰٪ و اثرش به ۶ روز رسید. پاسخ: رزرو فوری نوبت جدید و آماده‌باش قرارداد پشتیبانی از راه دور.
• ریسک‌های بسته‌شده: R2 بسته شد، چون فونداسیون بدون مشکل تمام شد. R6 هم از هفته‌ی سوم بسته بود. O1 هم بسته شد، چون نوبت زودتری خالی نشد. سهم ذخیره‌ی R2 طبق سیاست سازمان آزاد یا نگه داشته می‌شود، ولی هرگز برای جبران برآورد ضعیف بسته‌ی دیگری خرج نمی‌شود.

گزارش ماهانه‌ی ریسک برای حامی سه عدد داشت:

سطر آخر یک قاعده‌ی سرانگشتی خوب است: اگر درصد مصرف ذخیره از درصد زمان سپری‌شده جلو بزند، وضعیت زرد است، حتی اگر ذخیره هنوز تمام نشده باشد. اینجا ۶۰٪ در برابر ۵۶٪ است. پروژه هنوز پوشش دارد، ولی حاشیه کم است و هر رویداد تازه‌ای از ذخیره بیرون می‌زند. تصمیم کمیته: حمل هوایی قطعات حساس تصویب شد تا بخشی از ذخیره برگردد.

تاب‌آوری: برای چیزی که در ثبت ریسک نیست

تأکید تازه‌ی ویرایش هشتم همین است. پروژه‌ها در برابر رویدادهای کم‌احتمال و پراثر، یا «قوی سیاه»، و ریسک‌های نوپدید مصونیت ندارند و بخشی از ریسک‌ها اساساً قابل شناسایی نیستند. پس به‌جای تلاش برای فهرست کردن همه‌چیز، توان پاسخ بسازید. در این پروژه سه کار انجام شد:

• ذخیره‌ی مدیریتی ۱٫۵ میلیاردی بیرون از خط مبنا ماند، با اختیار کمیته‌ی راهبری.
• هم‌راستایی با طرح تداوم کسب‌وکار کارخانه: اگر راه‌اندازی خط جدید ماه‌ها عقب بیفتد، بسته‌بندی دستی ادامه پیدا می‌کند. پس قرارداد نیروی بسته‌بندی دستی تا ۳ ماه بعد از تاریخ تعهد قابل تمدید بسته شد.
• تمرین سناریو: یک جلسه‌ی دوساعته با این سؤال: «اگر سازنده یک ماه به هر دلیلی نتواند کار کند، در ۴۸ ساعت اول چه می‌کنیم؟» خروجی‌اش فهرست تأمین‌کنندگان جایگزین برای دو دستگاه کم‌پیچیده‌تر و یک مسیر تصمیم‌گیری سریع بود.

استاندارد یکی از نتایج مطلوب این حوزه را این می‌داند که تیم در بحران بتواند ساختار و فرایندهایش را سریع با محدودیت‌های جدید تطبیق دهد. این توان را باید قبل از بحران ساخت.

ریسک در بخش چابک پروژه

نرم‌افزار پایش خط، همان‌طور که در مقاله‌ی زمان‌بندی دیدیم، با اسپرینت‌های دوهفته‌ای ساخته می‌شود. استاندارد برای پروژه‌های چابک مثال می‌زند که ارزیابی ریسک باید به‌جای تمرکز بر شروع پروژه، در ابتدای هر اسپرینت انجام شود و در پایان هر تکرار با ذی‌نفعان مرور شود. در عمل:

• ریسک فنی را با اسپایک بخرید. معلوم نبود کنترلر دستگاه‌ها داده‌ها را از راه پروتکل استاندارد در اختیار می‌گذارد یا نه. به‌جای ثبت این ریسک و انتظار، یک اسپایک سه‌روزه در اسپرینت اول گذاشته شد و ابهام برطرف شد.
• بک‌لاگ تعدیل‌شده بر اساس ریسک: کارهای پرریسک جلوتر از کارهای کم‌ریسک با ارزش مشابه اولویت می‌گیرند. اقدام‌های کاهش ریسک هم به‌صورت آیتم بک‌لاگ با برآورد وارد می‌شوند تا ظرفیت واقعی تیم را بگیرند.
• رترو منبع شناسایی است. افت سرعت تیم از ۲۰ به ۱۵ در مقاله‌ی قبل، دو اسپرینت زودتر در رترو به‌عنوان ریسک گفته شده بود: «اگر پشتیبانی تولید کارخانه به تیم سپرده شود، ظرفیت توسعه کم می‌شود».

متناسب‌سازی: چقدر مدیریت ریسک کافی است؟

استاندارد عامل‌هایی مثل اندازه و پیچیدگی، اشتها و آستانه‌ی ریسک، اهمیت راهبردی، رویکرد توسعه و نیاز به برنامه‌ریزی تاب‌آوری را نام می‌برد. ترجمه‌ی عملی‌اش این است:

استاندارد استفاده از تحلیل داده و هوش مصنوعی مولد را هم برای شناسایی جامع‌تر ریسک‌ها پیشنهاد می‌کند. توصیه‌ی ما ساده است: از هوش مصنوعی برای پیشنهاد ریسک از روی ثبت ریسک پروژه‌های قبلی استفاده کنید، اما تصمیم درباره‌ی احتمال، اثر و پاسخ با تیم بماند. اسناد قرارداد و داده‌های مالی محرمانه را هم در ابزارهای عمومی نگذارید.

قالب ثبت ریسک (فیلدهایی که واقعاً لازم‌اند)

بر اساس فیلدهایی که استاندارد برای ثبت ریسک برمی‌شمارد، این حداقل کاربردی است:

اشتباه‌های رایج

• ثبت ریسک یک‌بار مصرف: فقط برای مناقصه یا جلسه‌ی شروع پر می‌شود.
• نوشتن مسئله و نگرانی به‌جای ریسک: «کمبود نقدینگی» ریسک نیست، یک وضعیت است. علت، رویداد و اثرش را بنویسید.
• فقط تهدید، بدون فرصت: دیدید که در این مثال یک فرصت پروژه را به آستانه رساند.
• سنجیدن اثر روی فعالیت به‌جای پایان پروژه: ماتریس را پر از قرمزهای بی‌خطر می‌کند.
• تکیه‌ی کامل بر امتیاز: ریسک‌های کم‌احتمال و پراثر پشت امتیاز پایین پنهان می‌شوند.
• یک مالک برای همه: اگر مالک همه‌ی ریسک‌ها مدیر پروژه است، در عمل هیچ ریسکی مالک ندارد.
• ذخیره‌ی زمانی بدون ریسک‌های رخدادی: PERT تنها، اطمینان تاریخ تعهد را خوش‌بینانه نشان می‌دهد.
• خرج کردن ذخیره برای خطای برآورد: ذخیره‌ی احتیاطی مال ریسک‌های ثبت‌شده است.
• ندیدن ریسک کلی: ده ریسک زرد با هم می‌توانند پروژه را از آستانه بیرون ببرند.

چک‌لیست حوزه‌ی عملکرد ریسک

این چک‌لیست بر اساس جدول نتایج مطلوب این حوزه در استاندارد تنظیم شده است:

• محیط پروژه (فنی، اجتماعی، سیاسی، بازار و اقتصادی) در شناسایی و ارزیابی ریسک‌ها دیده شده است.
• پاسخ‌های ریسک با محدودیت‌های بودجه، زمان‌بندی و عملکرد هم‌راستا هستند.
• فرایند شناسایی، ارزیابی، مستندسازی و پاسخ به ریسک برقرار است و تیم آن را می‌شناسد.
• ذخیره‌ها از ثبت ریسک آمده‌اند، درست مصرف می‌شوند و عملکرد زمان و هزینه داخل آستانه است.
• برای فرصت‌ها هم سازوکار شناسایی، بهره‌برداری و پیگیری تحقق وجود دارد.
• اقدام‌های پیشگیرانه آن‌قدر مؤثرند که مصرف ذخیره‌ی احتیاطی محدود می‌ماند.
• تیم طرح تداوم کسب‌وکار سازمان را می‌شناسد، ذخیره‌ی مدیریتی برای ناشناخته‌ها در دسترس است و در بحران می‌تواند سریع خودش را تطبیق دهد.

جمع‌بندی

حوزه‌ی عملکرد ریسک در PMBOK 8 از «فهرست خطرها» به «ساختن پروژه‌ی تاب‌آور» رسیده است. در عمل یعنی: قواعد را با عدد بنویسید، ریسک را با علت و اثرش بنویسید، اثر را روی پایان پروژه بسنجید، فرصت‌ها را فراموش نکنید، ریسک کلی را جدا از ریسک‌های منفرد ببینید و هر هفته ثبت ریسک را زنده نگه دارید. و برای چیزی که در هیچ فهرستی نیست، توان پاسخ بسازید.

در بیدخش ثبت ریسک هر پروژه تهدید و فرصت را با هم دارد: هشت راهبرد پاسخ استاندارد، ماتریس احتمال و اثر ۵×۵، ریسک پسماند بعد از اقدام، مالک و مهلت اقدام، اثر ریالی و اثر روزی، و پیوند به فعالیت‌های متأثر برنامه. اقدام کاهش ریسک را هم می‌توانید مستقیم به بک‌لاگ تیم بفرستید تا گم نشود.

منبع مفاهیم: راهنمای گستره‌ی دانش مدیریت پروژه (PMBOK)، ویرایش هشتم، حوزه‌ی عملکرد ریسک و بخش ابزارها و فنون. اعداد این مقاله، از جمله نتایج شبیه‌سازی، مثالی آموزشی‌اند.