ソフトウェアリスクとは何か、どう管理するか

リスクとは、将来の損失や問題が起こる可能性です。情報、管理手段、時間が不足すると生じやすくなります。ソフトウェア開発では、製造コストの上昇、品質低下、納期遅れなどが損失になり得ます。将来は不確実で、計画に既知と未知の要因をすべて盛り込むことはできないため、リスクが存在します。内部リスクはプロジェクトマネージャーが管理できる範囲にあり、外部リスクはその範囲を超えています。リスク管理には次の目的があります。

1. リスクを特定する。
2. 影響を抑える。
3. 発生の可能性を下げる。
4. リスクを監視する。

プロジェクトマネージャーは三種類の不確実性を扱います。

1. 既知の事実は、チームがすでに把握している事柄です。例えば、開発者が少ないと納品が遅れる可能性があります。こうしたリスクはプロジェクト管理計画に記録します。
2. 既知の未知とは、チームが理解しているものの、そのプロジェクトに存在するか分からないリスクです。例えば、顧客との意思疎通が不十分だと、要件に漏れが出ることがあります。チームはそのリスクを知っていますが、顧客がすべての詳細を伝えたかは分からないことがあります。
3. 未知の未知とは、組織がまだ認識していないリスクです。なじみのない技術やツールに関わることがよくあります。例えば、顧客が、チームが理解していない技術を急に使うよう求めると、プロジェクトはそれまで知らなかったリスクにさらされます。

ソフトウェアリスクの定量化には次の手順があります。

1. リスク事象を正確に記述する。
2. 事象が起こる確率を定める。
3. 想定される損失を見積もる。
4. 負う可能性のある責任を明確にする。

リスク管理には次のプロセスがあります。

1. ソフトウェアリスクの特定
2. ソフトウェアリスクの分析
3. ソフトウェアリスクへの対応計画
4. ソフトウェアリスクの監視

以下では、それぞれのプロセスを説明します。

ソフトウェアリスクの特定

リスクを特定するために、過去のプロジェクトの問題を調べます。現在の計画を見直し、弱い部分を探します。フローチャートにすると、計画の重要な部分を検討しやすくなります。ブレインストーミングで既知の未知を洗い出します。技術、運用、政治、法律、社会、組織の内外に関わる判断を評価しましょう。

原寸大の図を開く ↗

ソフトウェアリスクの特定

リスクを特定するための手順を定めます。各リスクについて、固有のID、特定した日付、説明、その他の関連情報を記録します。

ソフトウェアリスクの分析

リスク分析では、リスクを特定して分類し、水準、発生の可能性、影響を調べます。リスクを引き起こすおそれのある技術上の条件を考慮し、発生の可能性を百分率で表します。条件には次のものがあります。

1. 技術の複雑さ
2. テストチームが持つ技術知識
3. チーム内の対立
4. 広い地域に分散しているチーム
5. 品質の低いテストツールの使用

影響とは、リスクが現実になった場合の結果です。顧客、企業、社会にどんな影響が及ぶかを把握します。

1. 顧客の損失
2. 事業への悪影響
3. 評判の低下または社会への悪影響
4. 金銭的損失
5. 企業に対する法的措置
6. 営業許可の取り消し

次の方法でリスク水準を評価します。

定性的リスク分析 各リスクを次のいずれかに分類します。

• 高
• 低
• 中

定量的リスク分析

この方法では、発生の可能性と影響を数値で見積もります。例えば、10,000 USD の損失が生じる確率が10%なら、損失の期待値は1,000 USD です。確率だけでは結果の重大さは分かりません。

ソフトウェアリスクへの対応計画

リスクへの対応計画では、次の作業を行います。

1. 発生の可能性を下げる予防策を決める。
2. リスクが発生したときの影響を抑える対策を決める。
3. プロセスを継続して監視し、リスクを早期に特定する。

原寸大の図を開く ↗

ソフトウェアリスクへの対応計画

ソフトウェアリスクの監視

リスクの監視をプロジェクト活動に組み込み、水準が高いリスクを定期的に確認します。監視には次の作業が含まれます。

• リスクへの対応計画を追跡し、計画、特性、その他の条件に大きな変化がないか確認する。
• プロジェクト管理者向けに状況報告をまとめる。
• リスクを見直し、影響や発生の可能性が可能な限り低くなったリスクを終了する。
• 新しいリスクがないか定期的に確認する。