Quy trình quản lý rủi ro

Quy trình quản lý rủi ro là điều rất quan trọng trong quản lý dự án. Nhà quản lý dự án cần biết điều gì có thể xảy ra, xảy ra vào lúc nào và hiểu rằng quản lý rủi ro có thể thay đổi cách quản lý dự án. Quy trình quản lý rủi ro bao gồm:

• Lập kế hoạch quản lý rủi ro
• Xác định các rủi ro
• Thực hiện phân tích định tính các rủi ro
• Thực hiện phân tích định lượng các rủi ro
• Lập kế hoạch ứng phó rủi ro
• Thực hiện các ứng phó rủi ro
• Giám sát rủi ro

Rủi ro có thể được xác định bất cứ lúc nào và chúng ta phải thực hiện ứng phó với những rủi ro đó. Nếu một rủi ro được phát hiện sau quá trình xác định rủi ro ban đầu, nó vẫn phải được phân tích và các biện pháp ứng phó phải được lên kế hoạch. Quy trình quản lý rủi ro được lặp đi lặp lại xuyên suốt dự án.

Lập kế hoạch quản lý rủi ro

Project Manager, sponsor, các thành viên trong nhóm, khách hàng, các bên liên quan khác và các chuyên gia có thể tham gia vào quá trình lập kế hoạch quản lý rủi ro. Đây là quy trình xác định cách thức tiến hành các hoạt động quản lý rủi ro cho một dự án. Vì quản lý rủi ro rất quan trọng đối với sự thành công của một dự án, quy trình này nên bắt đầu khi một dự án được hình thành và nên được hoàn thành sớm trong dự án.

Việc quản lý rủi ro cần phải phù hợp với quy mô và mức độ phức tạp của dự án và cả với kinh nghiệm và kỹ năng của các thành viên nhóm dự án. Quản lý rủi ro không thể thành công nếu thực hiện chỉ với một checklist các rủi ro được chuẩn hóa từ các dự án trước đó. Mặc dù checklist này có thể hữu ích trong việc lập kế hoạch và xác định rủi ro, nhưng quản lý rủi ro cần phải được thực hiện riêng biệt cho mỗi dự án.

Quy trình này trả lời câu hỏi về việc nên dành bao nhiêu nỗ lực cho việc quản lý rủi ro dựa trên nhu cầu của dự án. Điều này bao gồm khẩu vị rủi ro của doanh nghiệp và các bên liên quan khác. Quy trình này cũng xác định ai sẽ tham gia và nhóm sẽ thực hiện quản lý rủi ro như thế nào. Các thủ tục của doanh nghiệp và các tài liệu mẫu liên quan đến quản lý rủi ro, chẳng hạn như ma trận khả năng và tác động tiêu chuẩn (probability and impact matrix), được sử dụng trong quy trình này và sau đó được điều chỉnh cho phù hợp với nhu cầu của dự án.

Khi đã hoàn thành việc lập kế hoạch quản lý rủi ro, chúng ta có một bản kế hoạch quản lý rủi ro. Bản kế hoạch quản lý rủi ro là một thành phần của kế hoạch quản lý dự án, mô tả cách các hoạt động quản lý rủi ro sẽ được tổ chức và thực hiện. Kế hoạch quản lý rủi ro có thể bao gồm:

• Risk strategy (Chiến lược)
• Methodology (Phương pháp luận)
• Roles and responsibilities (Vai trò và trách nhiệm)
• Funding (Cấp vốn)
• Timing (Thời gian)
• Risk appetite/thresholds (Khẩu vị rủi ro/ngưỡng rủi ro của các bên liên quan)
• Definitions of risk probability and impacts (Các định nghĩa về khả năng và tác động của rủi ro)
• Probability and impact matrix (Ma trận khả năng và tác động)
• Reporting formats (Báo cáo)
• Tracking (Theo dõi)

Quy trình xác định rủi ro

Xác định rủi ro là quy trình xác định các rủi ro riêng lẻ của dự án cũng như các nguồn rủi ro tổng thể của dự án và ghi lại các đặc điểm của chúng. 

Quy trình này được thực hiện trong suốt dự án. Xác định rủi ro là một quy trình lặp đi lặp lại, vì các rủi ro riêng lẻ mới của dự án có thể xuất hiện khi dự án tiến triển trong vòng đời của nó và mức độ rủi ro tổng thể của dự án cũng sẽ thay đổi. Tần suất và thành phần tham gia vào mỗi lần xác định rủi ro sẽ khác nhau tùy theo tình huống và điều này sẽ được xác định trong kế hoạch quản lý rủi ro. 

Những người tham gia vào hoạt động xác định rủi ro cũng tương tự quá trình lập kế hoạch quản lý rủi ro, bao gồm TẤT CẢ MỌI NGƯỜI – tất cả các bên liên quan đến dự án!!!

Các công cụ và kỹ thuật quan trọng sử dụng trong quy trình xác định rủi ro

• Brainstorming
• Checklist
• Interviews
• Root cause analysis (Phân tích nguyên nhân gốc rễ)
• Assumption and constraint analysis (Phân tích giả định và ràng buộc
• Phân tích SWOT
• Document analysis (Phân tích tài liệu)
• Prompt lists (Danh sách nhắc nhở)

Phân tích rủi ro định tính 

Thực hiện phân tích rủi ro định tính là quy trình đánh giá mức độ ưu tiên cho các rủi ro riêng lẻ của dự án để phục vụ quá trình phân tích sâu hơn về sau, bằng cách đánh giá khả năng xảy ra và tác động của chúng tới dự án, đồng thời cũng cân nhắc một số đặc điểm khác của rủi ro. Quy trình này tập trung nỗ lực vào những rủi ro có mức ưu tiên cao. 

Quy trình này được thực hiện trong suốt dự án. Phân tích rủi ro định tính là một phân tích chủ quan (dựa trên nhận thức về rủi ro của nhóm dự án và các bên liên quan khác) về các rủi ro được xác định trong risk register. Kế hoạch quản lý rủi ro định nghĩa ra cho chúng ta biết thế nào là high priority, high impact, thế nào là high-priority risk, low-priority risk. Khi mà mọi người thống nhất các tiêu chí đó rồi thì mới có thể phân tích, đánh giá rủi ro được. Và quy trình này được lặp lại khi các rủi ro mới được phát hiện.

Đánh giá định tính hiệu quả đòi hỏi phải xác định và quản lý tốt thái độ về rủi ro của những người tham gia trong quy trình phân tích rủi ro định tính. Chúng ta rất dễ mắc sai lầm khi đưa sự thiên vị vào đánh giá định tính các rủi ro, vì vậy cần chú ý đến việc xác định sự thiên vị và điều chỉnh cho phù hợp. Giải quyết sự thiên vị ​​là một phần quan trọng trong vai trò của người điều phối (facilitator) quá trình thực hiện phân tích rủi ro định tính.

Thực hiện phân tích rủi ro định tính là thiết lập các mức độ ưu tiên tương đối của các rủi ro riêng lẻ của dự án, làm cơ sở cho kế hoạch ứng phó rủi ro. Đồng thời xác định risk owner (người sẽ chịu trách nhiệm lập kế hoạch ứng phó rủi ro thích hợp và đảm bảo rằng nó được thực hiện) cho mỗi rủi ro. Việc thực hiện phân tích rủi ro định tính là bắt buộc và quy trình này sẽ là nền tảng cho thực hiện phân tích rủi ro định lượng (nếu dự án bắt buộc phải phân tích định lượng). Thực hiện phân tích rủi ro định tính được xác định trong kế hoạch quản lý rủi ro, và cho chúng ta biết khi nào quy trình này được thực hiện. Thông thường trong Agile thì phân tích rủi ro định tính được thực hiện trước mỗi vòng lặp.

– Risk data quality assessment (Đánh giá chất lượng dữ liệu rủi ro)

– Risk probability and impact assessment (Đánh giá khả năng và tác động của rủi ro)

– Đánh giá các thông số khác:

• Tính khẩn cấp (Urgency)
• Tính tiệm cận (Proximity)
• Ngủ mê (Dormancy)
• Khả năng quản lý (Manageability)
• Khả năng kiểm soát (Controllability)
• Khả năng phát hiện (Detectability)
• Kết nối (Connectivity)
• Tác động chiến lược (Strategic impact)
• Tính tương trợ (Propinquity)

– Risk categorization (Phân loại rủi ro): Các rủi ro đối với dự án có thể được phân loại theo những mục sau đây, để xác định các phạm vi của dự án chịu nhiều tác động nhất của sự không chắc chắn:

• Các nguồn rủi ro (ví dụ, sử dụng risk breakdown structure – RBS)
• Khu vực bị ảnh hưởng của dự án (ví dụ, sử dụng work breakdown structure – WBS)
• Những nguyên nhân gốc rễ phổ biến. 

Thực hiện phân tích rủi ro định lượng

Thực hiện phân tích rủi ro định lượng là quá trình phân tích tác động tổng hợp của các rủi ro riêng lẻ và các nguồn không chắc chắn khác đối với các mục tiêu tổng thể của dự án thông qua những số liệu cụ thể. Quy trình này KHÔNG bắt buộc đối với tất cả các dự án, nhưng nếu được sử dụng ở dự án nào thì nó sẽ được thực hiện xuyên suốt dự án đó.

Thực hiện phân tích rủi ro định lượng thường yêu cầu phần mềm chuyên dụng và chuyên môn trong việc xây dựng và phân tích các mô hình rủi ro, quá trình này sẽ tiêu tốn thêm thời gian và chi phí của dự án.

Việc sử dụng phân tích rủi ro định lượng cho một dự án sẽ được quy định trong kế hoạch quản lý rủi ro của dự án. Quy trình phân tích rủi ro định lượng thích hợp cho các dự án lớn hoặc phức tạp, các dự án quan trọng về mặt chiến lược của doanh nghiệp, các dự án có được từ yêu cầu của hợp đồng.

Thực hiện phân tích rủi ro định lượng được xem là phương pháp đáng tin cậy DUY NHẤT để đánh giá rủi ro tổng thể của dự án thông qua đánh giá tác động tổng hợp lên kết quả dự án của tất cả các rủi ro riêng lẻ và các nguồn không chắc chắn khác.

Những kết luận từ quy trình phân tích rủi ro định lượng được sử dụng làm nền tảng cho quá trình lập kế hoạch ứng phó rủi ro, đặc biệt trong việc đề xuất các phương án ứng phó rủi ro đối với những rủi ro có mức độ ưu tiên cao. Phân tích rủi ro định lượng cũng có thể được thực hiện sau quá trình lập kế hoạch ứng phó rủi ro, để xác định hiệu quả có thể có của các phương án theo kế hoạch trong việc giảm thiểu rủi ro tổng thể của dự án.

Các công cụ và kỹ thuật quan trọng sử dụng trong quy trình thực hiện phân tích rủi ro định lượng

• Simulation (Mô phỏng): Phân tích rủi ro định lượng sử dụng mô hình mô phỏng tác động tổng hợp của rủi ro riêng lẻ và các nguồn không chắc chắn khác để đánh giá tác động tiềm tàng của chúng đối với việc đạt được những mục tiêu của dự án.
• Phân tích Monte Carlo: Monte Carlo là một dạng của mô hình mô phỏng.
• Sensitivity analysis (Phân tích độ nhạy): Giúp xác định những rủi ro riêng lẻ hoặc các nguồn không chắc chắn nào có khả năng tác động nhiều nhất đến kết quả dự án.
• Tornado diagram (Sơ đồ lốc xoáy): Là một dạng của phân tích độ nhạy. Trình bày hệ số tương quan được tính toán cho từng yếu tố của mô hình phân tích rủi ro định lượng có thể ảnh hưởng đến kết quả dự án.
• Decision tree analysis (Phân tích cây quyết định): Được sử dụng để hỗ trợ đưa ra lựa chọn tốt nhất trong số một số phương án khác nhau.

Lập kế hoạch ứng phó rủi ro

Lập kế hoạch ứng phó các rủi ro là quá trình phát triển các phương án, lựa chọn chiến lược và thống nhất các hành động để giải quyết rủi ro tổng thể của dự án, cũng như xử lý các rủi ro riêng lẻ. Quá trình lập kế hoạch ứng phó các rủi ro cần:

• Xác định các cách thích hợp để giải quyết rủi ro tổng thể và rủi ro riêng lẻ cho dự án.
• Phân bổ nguồn lực, thêm các hoạt động vào kế hoạch quản lý dự án khi cần thiết. 

Quá trình này được thực hiện trong suốt dự án. Các phương án ứng phó rủi ro hiệu quả và thích hợp có thể giảm thiểu các mối đe dọa, tối đa hóa các cơ hội và giảm mức độ rủi ro tổng thể của dự án. Các phương án ứng phó rủi ro không phù hợp có thể phản tác dụng.

Sau khi các rủi ro đã được xác định, phân tích và sắp xếp thứ tự ưu tiên, risk owner được chỉ định phải xây dựng các kế hoạch để giải quyết từng rủi ro của dự án mà nhóm dự án cho là quan trọng, do mối đe dọa mà nó gây ra đối với các mục tiêu của dự án hoặc cơ hội mà nó mang lại. Project manager cũng nên xem xét cách ứng phó phù hợp với mức độ rủi ro tổng thể của dự án hiện tại.

Quá trình lập kế hoạch ứng phó các rủi ro phải thích hợp cho:

• Tầm quan trọng của rủi ro,
• Hiệu quả về chi phí trong việc đáp ứng những vấn đề khó,
• Thực tế dự án,
• Được sự đồng ý của tất cả các bên liên quan, và
• Phải có 1 người chịu trách nhiệm chính.

Thực hiện các ứng phó rủi ro

Thực hiện các ứng phó rủi ro là quy trình thực hiện các kế hoạch ứng phó rủi ro đã thỏa thuận, đảm bảo rằng các kế hoạch ứng phó rủi ro đã thỏa thuận được thực hiện để giải quyết rủi ro tổng thể của dự án, giảm thiểu các mối đe dọa và tối đa hóa các cơ hội của dự án riêng lẻ.

Quá trình này sẽ được thực hiện trong suốt dự án. Một vấn đề phổ biến thường gặp ở quản lý rủi ro dự án là các nhóm dự án dành nỗ lực trong việc xác định và phân tích rủi ro và phát triển các phương án ứng phó rủi ro, sau đó các phương án được thống nhất và ghi vào risk register và risk report, nhưng không có hành động nào được thực hiện để quản lý rủi ro. Chỉ khi các risk owner đưa ra mức độ nỗ lực cần thiết để thực hiện các hành động ứng phó đã thỏa thuận thì mức độ rủi ro chung của dự án cũng như các mối đe dọa và cơ hội riêng lẻ mới được chủ động quản lý. 

Giám sát rủi ro

Giám sát rủi ro là quy trình giám sát việc thực hiện các kế hoạch ứng phó rủi ro đã thỏa thuận, theo dõi các rủi ro đã xác định, xác định và phân tích các rủi ro mới, đồng thời đánh giá hiệu quả của quy trình quản lý rủi ro trong toàn bộ dự án. Giám sát rủi ro cho phép chúng ta đưa các quyết định của dự án dựa trên thông tin hiện tại về rủi ro tổng thể của dự án và các rủi ro riêng lẻ. Quá trình này được thực hiện trong suốt dự án.

Để đảm bảo rằng nhóm dự án và các bên liên quan nhận thức được mức độ rủi ro hiện tại, cần liên tục theo dõi đối với các rủi ro mới của dự án, các rủi ro đã thay đổi hay lỗi thời và những thay đổi về mức độ rủi ro tổng thể của dự án bằng cách áp dụng quy trình giám sát rủi ro. Giám sát rủi ro xác định xem:

• Các biện pháp ứng phó rủi ro được triển khai có hiệu quả không?
• Mức độ rủi ro tổng thể của dự án đã thay đổi như thế nào?
• Trạng thái của các rủi ro riêng lẻ đã thay đổi ra sao?
• Rủi ro mới đã phát sinh làm sao?
• Phương pháp quản lý rủi ro có còn phù hợp không?
• Các giả định của dự án có còn hiệu lực không?
• Các chính sách và thủ tục quản lý rủi ro đang được tuân thủ như thế nào?
• Các khoản dự phòng (contingency reserves) cho chi phí hoặc tiến độ yêu cầu sửa đổi ra sao?
• Chiến lược dự án có còn hiệu lực không?

Các công cụ và kỹ thuật quan trọng sử dụng trong quy trình giám sát rủi ro

• Risk audit: Risk audit là một loại kiểm tra có thể được sử dụng để xem xét tính hiệu quả của quy trình quản lý rủi ro. Project Manager chịu trách nhiệm đảm bảo rằng các lần risk audit được thực hiện với tần suất thích hợp, như được xác định trong kế hoạch quản lý rủi ro của dự án. Hình thức risk audit và mục tiêu của nó cần được xác định rõ ràng trước khi tiến hành. Quá trình này có thể được đưa vào trong các cuộc họp đánh giá dự án định kỳ hay có thể là một phần của cuộc họp đánh giá rủi ro, hoặc nhóm có thể chọn tổ chức các cuộc họp risk audit riêng.
• Risk reviews: Các cuộc họp đánh giá rủi ro được lên lịch thường xuyên, cần kiểm tra và ghi lại hiệu quả của các biện pháp ứng phó rủi ro trong việc đối phó với rủi ro tổng thể của dự án và với các rủi ro riêng lẻ.

– Đánh giá rủi ro có thể được tiến hành cùng với họp dự án định kỳ hoặc có thể tổ chức họp riêng, và được quy định trong kế hoạch quản lý rủi ro.

– Đánh giá rủi ro cũng có thể dẫn đến việc phát hiện ra các rủi ro mới (bao gồm các rủi ro thứ cấp phát sinh từ các phương án ứng phó rủi ro đã thỏa thuận), đánh giá lại các rủi ro hiện tại, đóng các rủi ro đã hết hạn, các vấn đề phát sinh do rủi ro đã xảy ra và xác định các bài học cần rút ra để áp dụng trong các giai đoạn khác của dự án hiện tại hoặc trong các dự án tương tự trong tương lai.