プロジェクト・マネジメント-リスク | 项目管理

リスク

リスク・プラクティスの目的は、プロジェクト目標に影響を与える可能性のある不確実性を特定、評価、コントロールし、結果的にプロジェクトが成功する能力を改善する。達成目標を達成しようとするとき、すべてのプロジェクトは不確実性に直面します。この不確実性は、ビジネス内外のイベントから生じることがあります。

定義: リスク: つまたは一連の不確実なイベントであり、リスクが発生すると達成目標の達成に影響を及ぼす。リスクは認識された脅威または機会の発生確率と、それが達成目標に与えるインパクトの大きさの組み合わせによって測定される。

リスクが発生した場合、達成目標に負または正のインパクトを及ぼす可能性があります。達成目標に負のインパクトを与えると考えられる不確実なイベントに対して「脅威」、目標に正の影響を与えると考えられる不確実なイベントに対して「機会」という用語を使用します。リスク・プラクティスにより、プロアクティブに意思決定するための統制が取れた環境が実現します。

ガイダンス

効果的にリスク・マネジメントが行われれば、プロジェクトはその達成目標を達成でき、ビジネス正当性が引き続き有効であるという自信につながります。プロジェクト・チームが個々のリスクだけでなく、特定の時期に存在する全体的なリスク影響度も把握できるようになり、意思決定をサポートできます。効果的なリスク・マネジメントを行うためには、 * プロジェクト目標の達成を阻害する可能性のあるリスクを特定し、把握し、説明する * 各リスクを評価し、優先度を付ける * 全体的なリスク影響度は、プロジェクトのビジネス正当性全体に対するリスクのインパクトとともに、レビュー対象とする * 各リスクへの対応を計画し、リスクのオーナーシップを取って必要な処置を実施できる人にアサインする * リスク対応策の実施、モニタリング、コントロールを実施する * リスクに関する情報を関連する利害関係者に伝達する * 各リスクがアサインされ、リスク・オーナーによって担当される

定義 リスク・オーナー: リスクへの対応に責任を負うようアサインされた人。 リスク処置のオーナー: リスクに対応するための合意された処置のオーナーとして指名された人。この役割はリスク担当者とも呼ばれる。 リスクの発生確立: リスクが発生する可能性の見積もり。多くの場合、発生確率はリスクが発生する可能性または頻度を考慮して見積もられる。 リスクのインパクト: リスクが発生した場合に達成目標に及ぼす影響の見積もり。 リスクの接近度: リスクが発生する可能性が時間的にどの程度近づいているか。 リスク・ベロシティ: リスクが発生した場合に、達成目標にどれだけ早くインパクトを与えるか。 リスク影響度: 特定の達成目標が「リスクにさらされている」程度。影響度は正の場合も負の場合もあるため、リスク影響度は中立的な概念である。 リスク選好度: ビジネスが達成目標を追求するために負うことをいとわないリスクの量と種類。 リスク予算: プロジェクトの脅威と機会に対する特定のマネジメント対応に使用する金額（リスクが現実に発生した場合のコンティンジェンシー・プランのコストのカバーなど）。 リスク許容度: 「リスクにさらされている」各達成目標の成果の許容範囲を表す測定可能なしきい値で、その達成目標のパフォーマンスを測定するのと同じ単位を使用する。

1. リスク計画

リスク・カテゴリーを使用すると、プロジェクトでのリスクの特定と優先度付けに役立ちます。リスクの種類を理解することは、最適なオーナーを特定するうえでも役立ちます。リスク・マネジメント・アプローチに記録しておく必要がある重要な項目としては、リスクを冒すことに対するプロジェクト委員会の姿勢があり、これはリスク許容度として文書化されます。リスク許容度はビジネスの全体的なリスク選好度に基づき、プロジェクト委員会が設定します。

リスクを特定する際の重要な側面は、各リスクについて明確かつ明瞭な表現を提供する能力です。 * リスク原因: リスクを引き起こすイベントや状況などのリスクの発生源。リスク・ドライバーと呼ばれることもある。これそのものはリスクではないものの、リスクに発展する潜在的なトリガー・ポイントとなる。プロジェクト内部または外部に潜んでいる可能性がある。 * リスク・イベント: 脅威または機会に関して不確実性のある領域。 * リスクの影響: リスクが発生した場合に、プロジェクト目標に及ぼすインパクト。原因、イベント、影響の関係を、次のように表現することもできます。 * 脅威: 人員不足（リスク原因）により、ビジネスが計画された期間内にユーザー・トレーニングを完了するための十分なスタッフを提供できず（リスク・イベント）、プロジェクトに想定以上の時間がかかる（リスクの影響）という脅威。 * 機会: データ規制で許容される場合、会社は毎年顧客の詳細情報を更新するときに（リスク原因）、メールに割引コードを含め（リスク・イベント）、規制要件のコストを相殺する収入を生み出せる（リスクの影響）。

2. リスク分析

リスク分析には、定性的および定量的なアプローチを含める。リスクの定性的分析には、少なくとも発生確率（リスクが発生する可能性）とそのインパクト（リスクが発生した場合に1つ以上の達成目標に与える影響のサイズ）の評価が含まれます。他の定性的評価には、リスクの接近度（発生する可能性が時間的にどの程度近づいているか）とべロシティ（発生した場合に、達成目標にどれだけ早くインパクトを与えるか）の分析があります。リスク・マトリックスは傾向を示すためにも使用されます。定量的なアプローチでリスクの優先度付けを行う。定量的リスク・アセスメント（モンテ・カルロ分析など）では、モデリング技法を使用して全体的なリスク影響度のレベルを計算し、リスクの影響を分析します。定量的リスク・アセスメントを使って、コストヘのインパクト（定量的リスク・コスト分析と呼ばれます）または時間目標へのインパクト（定量的リスク・スケジュール分析と呼ばれます）を分析できます。

3. リスク・コントロール

3.1. リスク対応策リスクに対応して取るべき最善の処置は、特定の状況とリスクの種類によって異なります。 * 脅威の回避/機会の活用: リスクを取り除くことによって、不確実な状況を確実なものにする。多くの場合、脅威の原因を取り除くか機会をもたらす要因を実施して、確実な状況を生み出します。このオプションは、業務が計画されている方法を変更することにより、コストを追加せずに採用できる可能性があります。(しかし、多くの場合、脅威と機会のすべての残存リスクを取り除くためにコストが発生します。コストが発生する場合は、その正当性を確保する必要があります。) * 脅威の減少/機会の強化: リスクの発生確率とインパクトを変える明確な処置を実行します。(現時点で削減または強化のためのコストをビジネスに強いることになるため、対応コストが残存リスクの変更の観点から正当であることを証明する必要があります。) * リスクの移転: リスクの一部をサード・パーティーに付与することを狙いとします。(一部のリスク要素は移転できないことに注意することが重要です。ただし、ビジネスはリスク・マネジメントをサード・パーティーに委任することもできます。) * リスクの共有: 移転による対応とは性質が異なり、通常はサプライ・チェーン内の複数の関係者に対して、負担と利益を分担する形でリスクを共有することを求めます。(この方法でリスクを完全に共有できることはほぼありません。)(ただし、特にプログラムとプロジェクトでのリスク・マネジメント活動における協働を促進するうえで、機能する方法です。) * リスクの受け入れ: ビジネスがリスクが発生する可能性に「いちかばちか賭け」、リスクが発生した場合に全インパクトを管理する。受け入れオプションによって残存リスクが変わることはありませんが、リスクをマネジメントするため、または将来のリスクをマネジメントする準備のために、現時点でコストが発生することもありません。(このオプションは、リスク影響度が活動のリスク許容度のしきい値を超えている場合は適切ではありません。) * コンティンジェンシー・プランの準備: 計画を策定するものの、実行に移さずに待機します。(ほとんどの場合、「受け入れ」オプションに関連します。)(このオプションは他の対応策にも同様に適用され、代替計画（元の対応策が機能しない場合の対処方法）とよく呼ばれます。)(代替計画は他のすべての戦略に適用され、脅威の回避と機会の活用にも適用されます。)

plain 脅威が除去されるのではなく減少する場合、リスクの現実的な最大発生確率またはインパクトのサイズは「残存」リスクと呼ばれます。(残存リスクが大きい場合には、複数のリスク対応策を選択することが適切な場合があります。) 場合によっては、あるリスク対応策を実施することで他の関連リスクを軽減したり、除去したりできます。また、リスク対応策が実施された後で、プロジェクトの一部の側面が変わる場合もあります。それにより二次的リスク（リスク対応策を実施したことにより発生するリスク）につながる場合があります。二次的リスクは最初に特定されたリスクと同様に、特定、評価、コントロールすることが重要です。リスク対応策は、対応策の実施コストと、リスクの発生確率およびリスクが発生した際のインパクトとの間でバランスを取ることが重要です。このバランスを評価する方法の1つは、リスク対応策のコストと、リスクの期待金額価値の差を比較する。

3.2. リスク・オーナーとリスク処置のオーナーリスク・コントロールのー環として、リスク・オーナー、リスク処置のオーナー、それぞれの責任を明確に特定することが不可欠です。リスク・オーナーはアサインされた特定のリスクの全側面なマネジメント、モニタリング、コントロールに実行責任を負い、脅威に対応し、機会を最大化するために選択された対応策を実施します。リスク処置のオーナーはリスクへの対応処置を担当します。対応処置の中には、リスク・オーナーの明白なコントロール権限内ではないものもあります。その場合、そのリスクへの対応処置は任命されたオーナーが行います。リスク・オーナーには絶えす最新情報を伝達する必要があります。

3.3. リスク予算プロジェクトの予算内ではっきりとりスク予算を特定し、他の目的には使用できない。プロジェクトが進むにつれ、先に特定したリスクの中には、実際に発生するリスクと発生しないリスクが出てきます。プロジェクトの残存期間中に対応コストがリスク予算に含まれていない新たなリスクが特定される可能性もあります。そのためリスク予算には未知のリスク（まだ特定されていないもの）に対応する分も含めておくことが推奨されます。

4. リスク・カルチャー

ビジネスのリスク・カルチャーはそのリスク選好度に反映されます。支援的なリスク・カルチャーでは、リスクを考慮することの重要性を意思決定の主要な部分として認識しています。

意思決定とリスク・マネジメントに影響を与えるカルチャーの1つの側面は、意思決定バイアスです。(これは人に本来備わっている傾向であり、状況を処理し、意思決定を行うために、精神的な近道または誤った思考プロセスを採用してしまうことを指します。意思決定バイアスは自然で大部分がポジティブなものであり、脳が効率よく迅速な意思決定を日々行えるようにするものです。) ただし、意思決定バイアスにより意思決定の効果が低下する場合もあります。バイアスには、次のようなさまざまな種類があります。・楽観バイアス: 物事がうまくいく可能性が高いという前提条件で、人々が不利なリスクを軽視するように駆り立てるマインドセット。・損失回避: 利益を獲得することよりも損失の回避を重視するマインドセット。・集団思考: 別の視点を表明したり、正しい意志決定を下したりするよりも、グループ内の社会的結束を重視するマインドセット。・接近度: 時間的に近い状況の方が将来の状況よりも高リスクで重要であると見なすマインドセット。

技法

「特定」ステップでは、脅威と機会を特定できるようにするため、計画の状況と達成目標をレビューします。「評価」ステップではリスクの優先度付けを行い、複合的なリスク・プロファイルを評価します。「計画」ステップではリスク対応策とモニタリングの取り決めの決定を行います。「実施」ステップではモニタリングの取り決めを確立し、優先リスクまたは実現リスクに対して処置を実行します。「伝達」ステップは、機会と脅威に関する情報を、プロジェクト・エコシステム内部およびその外部の組織のエコシステムの利害関係者に伝達する方法です。「伝達」ステップはプロセスのあらゆるタイミングで、他のステップでのアウトプットを利害関係者に伝える必要がある場合に、並行して実施されます。 (すべてのステップは繰り返し実施できます。追加情報が入手できた場合には、ほとんどの場合、新しい情報に基づきその前のステップを再度実行する必要があります。)

1. 特定

1.1. 状況と達成目標を定義するこのステップでは、リスクにさらされている特定の達成目標に関する共通の理解を確保し、適切なリスク・マネジメント・アプローチを策定するために、プロジェクトに関する情報を収集します。プロジェクトのリスク・マネジメント・アプローチに影響を及ぼす項目は * ユーザーの期待品質 * 関与する組織の数とそれらの関係 * プロジェクトに関与する利害関係者のニーズ * プロジェクトの重要性、複雑性、規模 * 使用されているデリバリー手法（直線的かつ連続的、反復的かつ段階的、ハイブリッド） * どのような前提条件があるか * ビジネス自体を取り巻く環境（法規やガバナンス要件など） * ビジネスの方針、標準、プロセス、手順 * プロジェクトがプログラムの一部かどうかこの情報はプロジェクト権限委任、プロジェクト要約書、プロジェクト成果物記述書に記載されています。リスクにさらされている目標についての共通の理解がなければ、特定された不確実性が達成目標に関連していないというおそれが生じます。つ以上の定義された達成目標にインパクトを与えない場合、リスクはありません。

1.2. 脅威と機会を特定するリスクはプロジェクトのマネジメントとデリバリー中にいつでも特定できます。プロジェクト、ビジネス、またはその他の利害関係者のメンバーは誰でも、リスクを提起することができます。リスクは、特定されるとすぐにリスク登録簿に登録されます。

2. 評価

2.1. リスクに優先度付ける各リスクの発生確率とそのインパクトを評価して、利害関係者が最も重要なリスクを理解できるようにする。評価項目には * リスクの発生確率（多くの場合、その発生確率または頻度を考慮して見積もられる） * プロジェクト目標の観点からの各リスクのインパクト（達成目標が時間とコストで測定される場合、インパクトも時間とコストの単位で測定する必要がある） * ステージ計画書、プロジェクト計画書、ビジネス・ケースに対するリスクのインパクト * プロジェクトの残存期間中に脅威と機会のインパクトがどのように変化するか * プロジェクト・チームがリスク・マネジメントに最適な立場であるか、それともリスクをプロジェクト委員会、包括的なプログラム、コーポレートにエスカレーションする必要があるかリスク登録簿は、この情報で常に最新の状態に保ちます。

2.2. 複合的なリスク・プロファイルを評価する個々のリスクの複合的な影響を把握して、プロジェクトの全体的なリスク影響度がビジネスが決定したりスク選好度内に、プロジェクト委員会が適用しているとおりに留まっているかを判断する必要があります。リスク影響度が全体的なリスク選好度よりも大きい場合は、それに応じたコントロール・アクションを策定する。プロジェクトの正当性をリスク影響度の観点で評価します。リスクのないプロジェクトは存在しません。リスク影響度とリスク許容度の比較結果を理解することによって、リスク対応策にどの程度注力すればよいかが決まります。

3. 計画

このステップでは、脅威を除去または軽減し、機会を最大化する、適切なリスク対応策を特定して評価します。選択した対応策は、適切なレベルの計画に組み込まれている必要があります。より重大なリスクについては、リスクが顕在化する可能性があるかどうかを特定する早期警告指標だけでなく、リスクが発生した場合のマネジメント計画も確立することが適切な場合があります。リスク対応策では、リスク・マネジメントに最も適切な組織を特定する必要があります。その組織はプロジェクト・チームであるとは限らす、特に次のケースに当てはまります。 * プロジェクト・チームによる影響力のスコープ内に適切なリスク対応策を実施する能力がない場合。 * リスクの実現がプロジェクトのビジネス正当性に重大なインパクトを及ぼす場合。 * プロジェクトがプログラムの一部であり、プログラム・レベルでリスクを管理する方が適切な場合。例えば、あるプロジェクトで、プログラム内のプロジェクト全体で共通のリスクが特定された場合。 * リスク対応策の実施により、合意された許容度をプロジェクトが超過する場合。通常、特定のリスクについて組織の報告義務がある、またはリスクの実現によって規制要件の違反につながる可能性がある規制対象ビジネスがこれに該当する。リスクがプロジェクトに設定された許容度内の場合、プロジェクト・マネージャーが適切な対応を決定する。それ以外の場合、意思決定はプロジェクト委員会にエスカレーションされます。リスク許容度によっては、リスクがビジネスにエスカレーションされる可能性もあります。(リスクのエスカレーションはグッド・プラクティスであり、失敗と見なすべきものではありません。リスクを早期にエスカレーションするほど、是正処置を実施するための時間が得られることになります。)

4. 実施

計画しているリスク対応策を実施し、その有効性をレビュ一して、対応策が期待した成果を得られない場合には、是正処置を講じる。各リスクのリスク・オーナーとリスク処置のオーナーの責任が特定され、合意されるようにすることが重要です。 (一部では、リスク・オーナーとリスク処置のオーナーが同一人物となる場合もあります。リスク・オーナーはリスクを管理する能力に長けている人物とします。1 人に多くのリスクを割り当てすぎないようにします。)

5. 通達

コミュニケーションは継続的に行います。このステップでは、プロジェクトが直面している脅威と機会に関連する情報が、プロジェクト・エコシステム内部およびその外部の組織のエコシステムの利害関係者の両方に伝達されるようにします。リスクの伝達に使用するものは、 * チェックポイント報告書 * ハイライト報告書 * ステージ終了報告書 * 例外報告書 * 課題報告書 * プロジェクト終了報告書検討できるコミュニケーション手法は数多くあります（電子掲示板、掲示板、ダッシュボード、情報ラジエーター、ディスカッション・スレッド、打ち合わせなど)。(プロジェクト・チームは、コミュニケーション・マネジメント・アプローチを参照して、リスク情報を利害関係者に伝達するための最適な方法を把握します。) プロジェクトのリスク影響度が静的であることはありません。その効果的なコミュニケーションには、新たなリスクや既存のリスクの変化の特定が鍵となります。

支援技法

技法	特定	评价	计划	实施
特性要因图	X		X	X
ホライズン・スキャニング / PESTLE / SWOT 分析	X
プロンプト・リスト	X
プレモーテム分析	X	X	X
スイス・チーズ・モデル			X
データの使用	X	X	X	X

特性要因図

特性要因図は、フィッシュボーン図または石川ダイアグラムとも呼ばれ、達成目標に特定のインパクトを与えるリスクの発生につながる可能性のある複数の要因を特定するのに役立ちます。これらは、プロジェクト・チームがリスクの根本原因を特定し、そのインパクトや発生確率の低減をターゲットにするうえで効果的です。

ホライズン・スキャニング/PESTLE/SWOT 分析

これらの技法は、内部および外部の環境を調査し、プロジェクトの脅威と機会につながる可能性のある現在および将来のリスクの状況を理解できるようにする PESTLE 分析は、プロジェクトの不確実性を引き起こす政治的、経済的、社会学的、技術的、法的、環境的な要因を調べることにより、現在の外部環境のレビューを行います。 SWOT 分析では、機会や脅威につながる可能性のある現在の強みと弱みに注目します。ホライズン・スキャニングはさらに先を見据え、リスク影響度の全体レベルにインパクトを与える可能性のある新たな傾向と潜在的な将来の展開に関するデー夕を収集します。

プロンプト・リスト

プロンプト・リストは、プロジェクトが直面しているリスク状況および個々のリスクを特定するのに役立ちます。プロンプト・リストの種類は * PESTLE または SWOT 分析 * リスク・ブレークダウン・ストラクチャー（特定のリスクを特定するために異なる種類のリスクを分解する） * ビジネスが一般的なプロジェクト活動から学んだ教訓に関する報告書を元に生成されたリスク・プロンプト・リスト（オフィス移転のリスク・プロンプト・リストなど）

プレモーテム

この技法は、達成目標が達成されているはすであった将来の時点から逆算して、成功または失敗のシナリオを描きます。将来の結果の達成に貢献したステップを分析することは、考慮すべき脅威または機会を特定するのに役立ちます。

スイス・チーズ・モデル

スイス・チーズ・モデルは、リスクが実際に起きるには、複数レベルでのコントロ - ルの失敗が必要になることを示す。この技法は、リスク・コントロールが十分かどうかを検討するのに役立ちます。

データの使用

データを使用してリスクを特定、分析、コントロールすることで、プロジェクトが直面しているリスク、それらの関係、リスク軽減のための最も適切なコントロールについて、より深い洞察と理解を得ることができます。

プラクティスの適用とコンテキスト

組織的な状況

プロジェクトではリスク・マネジメント・アプローチを組織、プログラム、ポートフォリオの方針、標準、アプ口ーチと整合させる必要があります。それには次の項目が含まれる場合があります。 * 一元的に定義されたリスク・マネジメント方針、標準、アプローチとの整合 * 一元的に定義されたリスク・マネジメント技法の使用 * 一元的に展開されているツールの適用 * 一元的に定義されたリスク・マネジメントの役割またはコンピテンシー・フレームワークとの整合 * 衛生および安全など、業界またはセクター固有の方針、標準、またはアプローチとの整合多くの場合、組織は異なるプロジェクト間で一貫性のある義務付けられたプロセスを使用することを求めます。通常、これはプロジェクトをまたぐビジネスの全体的なリスク影響度を評価することが目的です。 (プロジェクトがプログラムのー部である場合、リスク・マネジメント・アプローチは、プロジェクト・レベルで管理されるリスクの種類を特定します。リスク許容度は、リスクをプログラムにエスカレーションして一歩進んだ処置を取るべきタイミングを示します。)

商業的な状況

商業的な状況では、複数のリスク登録簿が必要になる場合があります。(一部のプロジェクト・リスクはー方の関係者に特有のものであり、リスク登録簿を他方の関係者に公開しない正当な理由が存在する場合もあります。共同のリスク登録簿を使用する場合、実際は誰のリスクであるか、結果としてリスク・オーナーが適切に任命されているかを配慮する必要があります。)

デリバリー手法

リスク・マネジメント・アプローチは、プロジエクトで選択されたデリバリー手法とともに機能し、それを支援するプロジェクトのデリバリー手法で特定のリスクを軽減したり、強化したりする可能性があることを認識することも重要です。 (アジャイルはプロジェクトに直接関与するユーザーの上位レベルでのエンゲージメントが特徴ですが、適切に管理されない場合、合意済みのベースラインの変更がコントロールされなくなる可能性があります。) (直線的アプローチは「コントロールされた変更」の印象が強くなる傾向がありますが、対応していないように見え、ユーザーを遠ざけるリスクがあります。リスク・マネジメント・アプローチにおいて、これらの固有の違いを認識することが重要です。)

持続可能性

プロジェクトでは、特定の持続可能性目標と許容度がビジネス・ケースに組み込まれます。これらについて、リスクの評価を行います。持続可能性に関連するリスク・マネジメントの考慮事項には、 * プロジェクト作業の持続可能性に関連するリスクを管理するためのアプローチを定義する（例えば、プロジェクトが持続可能性パフォーマンス最終目標を満たしていない場合） * プロジェクト成果物の持続可能性に関連するリスクを管理するためのアプローチを定義する（例えば、1 つ以上の成果物が持続可能性パフォーマンス要件を満たしていない場合） * 持続可能性リスクに対応するためのコストをリスク予算に組み込む（例えば、プロジェクトやサプライ・チェーンのレジリエンスに影響を与える可能性のある異常気象のイベント） * 持続可能性に関連する特定のリスクと処置をリスク登録簿に文書化し、それらを定期的なリスクのコミュニケーション事項に含める

規模

リスク・マネジメント・アプローチがプロジェクトのサイズ、規模、複雑性だけでなく、プロジェクトの潜在的なリスクのインパクトという観点からも適切なものにすることが重要です。プロジェクトの規模とインパクトは個別に考慮する必要があります。リスク・マネジメント・アプローチは、プロジェクトに関する効果的な意思決定を支援し、過度の負担や煩雑な手続きを生まない。リスク・マネジメント・アプローチが適切であり、プロジェクトに関わるすべての人に理解されるようにすることが重要です。リスク予算は、プロジェクトで計画されているすベてのリスク対応策の累計コストに基づきます。(通常、よりシンプルなプロジェクトでは、単にすベてのリスク対応策のコストを合計します。しかし、より複雑なプロジェクトの場合は、関連する分解されたコストの合計が、少数の大規模なリスクによって歪められないよう配慮が必要です。)

マネジメント成果物

アウトプット

リスク・マネジメント・アプローチ(プロジェクト立ち上げ文書のー部)

目的: プロジェクトでのリスク・マネジメント方法を説明する。適用される特定の手順、技法、標準、責任が含まれる。
コンテンツ概要
- スコープ: リスク・マネジメント・アプローチのスコープの説明
- リスク・マネジメント手順: プロジェクトのリスク・マネジメント活動の説明（例えば、特定、評価、計画、実施、伝達）（ビジネス標準からの逸脱は、その逸脱の正当性とともにハイライトする）
- リスク許容度ガイダンス: ビジネス・ケースでプロジェクトに対して定義されたリスク許容度レベルに追加のガイダンスを提供する
- リスク・マネジメント活動の時期: 公式なリスク・マネジメント活動を実施する時期（例えば、ステージ終了時）を記述する
- 責任: リスク・マネジメント活動の責任を定義する（これには、リスク・オーナーとリスク処置のオーナーの責任を含める）
- リソース: リスク・マネジメント活動のためのリソース（必要なテスト機器など）
- 支援ツールと技法: リスク・マネジメント活動を支援するツールと技法（使用するシステムとその使用方法、プレモーテムなどの特定の技法）
- 標準: 発生確率、インパクト、接近度、ベロシティの評価に使用される格付けシステムなど、リスク・マネジメントに適用される標準（標準では、リスク登録簿やその他のリスク・レコードの構成と形式も指定する）

リスク登録簿(プロジェクト・ログのー部)

目的: プロジェクトに関連して特定されたリスクについて、そのステータスや履歴情報などのレコードを提供する。プロジェクトに関連して特定されたあらゆる脅威と機会に関する情報を収集し、保持するために使用する。
コンテンツ概要
- リスク識別子: リスクの一意の参照コード
- リスクの記述書: リスクの原因、イベント、影響の概要
- 発生確率: リスク・イベントが発生する可能性の見積もり
- インパクト: リスクの影響の見積もり
- 接近度: リスクがどのくらい早く発生する可能性があるかの見積もり
- ベロシティ: リスクが発生した場合、達成目標にどれだけ早くインパクトを与えるかの見積もり
- リスク対応策: リスクに対応するために選択された処置
- 計画残存発生確率とインパクト: リスク対応策が効果的であるという前提でのリスクの発生確率とインパクト
- リスク・オーナー: リスクの担当者
- リスク処置のオーナー: リスク対応策の担当者
- リスクに関連する日付: ログに記録された日付、最終レビュー日、処置の期日など
- レコード: リスクとその場所に関連付けられている文書のリスト

主要な役割

すべての役割は、アサインされたリスクに対してリスク対応策を実施する（リスク処置のオーナーとして）実行責任があります。

役割	責任
ビジネス・レイヤー	ビジネス・レイヤーの責任
プロジェクト・エグゼクティブ	プロジェクト・エグゼクティブの責任
シニア・ユーザー	シニア・ユーザーの責任
シニア・サプライヤー	シニア・サプライヤーの責任
プロジェクト・マネージャー	プロジェクト・マネージャーの責任
チーム・マネージャー	チーム・マネージャーの責任
プロジェクト保証	プロジェクト保証の責任
プロジェクト支援	プロジェクト支援の責任

ビジネス・レイヤーの責任

ビジネス・レイヤーのリスク・マネジメント方針、リスク・マネジメント標準、リスク・マネジメント・フレームワーク（または同様の文書）を提供する
プロジェクトのリスク選好度を定義する
プロジェクト・レベルのリスク許容度とリスク予算を設定する

プロジェクトエグゼクティブの責任

リスク・マネジメント・アプローチを承認し、プロジェクト目標とビジネスのリスク選好度に適していることを確認するリスクのインパクトの規模、接近度、ベロシティを設定する
ステージ・レベルのリスク許容度とリスク予算を設定する
ビジネス・ケースと関連付けられたリスクが特定、評価、コントロールされていることを確保する
持続可能性リスクが特定、評価、コントロールされていることを確保する
特にビジネス正当性の継続を重視して、エスカレーションされたリスクに対する意思決定を行う
必要に応じてリスクをビジネスにエスカレーションする

シニアユーザーの責任

ユーザーへのリスクが特定、評価、コントロールされていることを確保する（ベネフィット、運用面での使用、保守へのインパクトなど）
リスク・マネジメント・アプローチに合意する
特に予想ベネフィットを守ることを重視して、エスカレーションされたリスクに対する意思決定を行う

シニアサプライヤーの責任

サプライヤーの側面に関連するリスクが特定、評価、コントロールされていることを確保する（成果物のデリバリーなど）
リスク・マネジメント・アプローチに合意する
特にソリューション全体の完全性を守ることを重視して、エスカレーションされたリスクに対する意思決定を行う

プロジェクトマネージャーの責任

利害関係者と協議し、リスク・マネジメント・アプローチを策定し、維持する
ワーク・パッケージ記述書で合意されたリスク・マネジメント手順をチーム・マネージャーが実施していることを確保する
リスク登録簿でリスクを確立し維持する
プロジェクトの期間を通して、プロジェクト・リスクが特定、評価、コントロールされていることを確保する

チームマネージャーの責任

ワーク・パッケージ記述書で合意されたリスク・マネジメント手順を実施する
リスクの特定、評価、コントロールに貢献する

プロジェクト保証の責任

リスク・マネジメント・アプローチについて、プロジェクト・マネージャーに助言する
リスク・マネジメント・アプローチがビジネスの方針に準拠していることをプロジェクト委員会に確認する
求められた場合に、特定のリスクに提案されているリスク対応策をレビューすることで、プロジェクト委員会とプロジェクト・マネージャーを支援する
リスク・マネジメントのプラクティスをレビューして、リスクが適切に管理されていることをプロジェクト委員会に保証し、リスクがプロジェクトのリスク・マネジメント・アプローチに沿って実施されていることを確認する

プロジェクト支援の責任

リスク・コントロールでの事務管理支援を提供する
リスク登録簿を作成し、管理する
プロジェクトのリスク・マネジメント手順の適用についてプロジェクト・マネジメント・チームを支援する